Hallo!

Fordert euer Zahlungsanbieter für Kreditkarten euch auf eine Bescheinigung der zur PCI-DSS Konformität einzureichen?

Mich bislang noch nicht aber bei PCI DSS Version 4.0 muss ab 2025 die eigene Webseite alle 3 Monate einem Scan unterzogen werden. Wir speichern keine Kreditkartendaten sondern die werden über ein Iframe vom Zahlungs-Dienstleister eingeben aber das spielt keine Rolle mehr.

Anforderung 11.3.2: Regelmäßige externe Schwachstellen-Scans
Unternehmen müssen alle drei Monate externe Schwachstellen-Scans durchführen, die von einem vom PCI SSC zugelassenen Scan-Anbieter durchgeführt werden.

Und kostenlos ist das nicht.

Gruss
Chris

Dann müsste Paypal das ja bei jedem seiner Händler auch verlangen und vor allem kontrollieren. Das wäre sicher interessant.

11.6.1 finde ich schwieriger zu erfüllen (Bis 04/25 umzusetzen):

Ein Änderungs- und manipulationserkennungsmechanismus wird wie folgt eingesetzt:
11.6.1.a Systemeinstellungen, überwachte Zahlungsseiten und Ergebnisse aus
Überwachungsaktivitäten untersuchen, um die Verwendung eines Änderungs- und Manipulationserkennungsmechanismus zu verifizieren.

Um das Personal über nicht autorisierte Änderungen (einschließlich Anzeichen für Kompromittierung, Änderungen, Ergänzungen und Löschungen) der HTTP-Kopfzeile und des Inhalts von Zahlungsseiten, wie sie vom Verbraucherbrowser empfangen werden, zu warnen.
Der Mechanismus ist so konfiguriert, dass er die empfangene HTTP-Kopfzeile und die Zahlungsseite bewertet.

https://stripe.com/at/guides/pci-compliance

Müssen doch nur die großen Unternehmen machen?

Theoretisch möchte die Kreditkartenindustrie schon immer, dass Händler mindestens ein Self-Assessment abgeben. Selbst bei Level 4 Händlern (<1 Mio. Kreditkartentransaktionen pro Jahr).
Was ab 2025 in der Tat neu ist, ist die strengere Behandlung von iframes bei der Nutzung eines Zahlungsdienstleisters. Vielleicht greift deshalb der Zahlungsdienstleister des TE hier mehr durch, weil dieser selbst Druck erhält...?
Ein iframe innerhalb der eigenen Seite ist nun mal sicherheitstechnisch etwas anderes als ein Weiterleitung zum Zahlungsdienstleister.