PCI DSS 4.0: Drittanbieter-Skripte auf der Checkout-Seite

PCI DSS 4.0 macht Drittanbieter-Skripte auf Checkout-Seiten zum Sicherheitsrisiko. Erfahren Sie, was Händler jetzt tun müssen, um konform zu bleiben.

Warum Ihre Checkout-Seite plötzlich ein PCI-Problem hat

Stellen Sie sich vor: Ein Kunde gibt seine Kreditkartennummer ein, und im Hintergrund läuft nicht nur Ihr Code. Analytics-Tags, ein Tag-Manager, ein Support-Widget, ein Zahlungs-iFrame – eine moderne Checkout-Seite lädt Dutzende von Drittanbieter-Skripten. Jedes einzelne davon kann manipuliert werden. Genau das adressiert PCI DSS 4.0, der neue Security-Standard der Zahlungsindustrie.

Ein unabhängiger PCI-Qualified Security Assessor (QSA) hat die Lösung Reflectiz gegen die neuen Regeln getestet. Das vollständige QSA-Assessment finden Sie hier. Das Urteil ist klar: Alte Methoden reichen nicht mehr.

Was sich mit PCI DSS 4.0 geändert hat

Bisher reichte es oft, die Zahlungsseite zu scannen und ein Zertifikat zu haben. Die neue Version 4.0 verlangt mehr. Konkret: Sie müssen alle Skripte kontrollieren, die im Browser des Kunden ausgeführt werden. Klingt einfach? Ist es nicht.

Ein typischer Online-Shop bindet über 30 externe Skripte ein. Jedes könnte theoretisch auf Tastatureingaben zugreifen. Laut PCI DSS 4.0 müssen Sie nun dokumentieren, welche Skripte auf Kundendaten zugreifen, und Maßnahmen ergreifen, um unautorisierte Änderungen zu verhindern.

Das betrifft nicht nur Zahlungsdienstleister. Jeder Händler, der Kreditkarten akzeptiert, ist verpflichtet, die Skript-Sicherheit auf der Zahlungsseite nachzuweisen.

Die größte Gefahr: Skimming ohne Malware

Sie denken, Skimming passiert nur durch bösartige Software auf Ihrem Server? Falsch. Moderne Web-Skimming-Angriffe nutzen Drittanbieter-Skripte. Ein kompromittiertes Analytics-Tag oder ein manipuliertes Support-Widget kann Kreditkartendaten abgreifen – und das in Echtzeit.

Der Angriff geschieht komplett im Browser, ohne dass Ihr Server je etwas davon mitbekommt. PCI DSS 4.0 erkennt diese Gefahr und verlangt deshalb eine kontinuierliche Überwachung aller geladenen Skripte.

Was Sie jetzt tun müssen

Prüfen Sie Ihre Checkout-Seite: Welche Skripte laden Sie? Wer hat Zugriff? Können Sie Änderungen an diesen Skripten in Echtzeit erkennen? Viele Händler setzen noch auf manuelle Audits – einmal im Quartal. Das ist zu selten.

Sie brauchen eine Lösung, die: 1. Alle Skripte erfasst, 2. Ihr Verhalten überwacht, 3. Bei Abweichungen warnt. Die gute Nachricht: Es gibt Tools, die genau das tun. Die schlechte: Ohne diese Tools werden Sie PCI DSS 4.0 kaum bestehen.

Ein QSA prüft – das Ergebnis

Der unabhängige QSA testete Reflectiz nach den neuen PCI DSS 4.0-Anforderungen. Das Ergebnis: Die Lösung erfüllt die Anforderungen zur Kontrolle von Drittanbieter-Skripten. Lesen Sie den vollständigen Bericht auf der Reflectiz-Website.

Fazit: Die Ära der blinden Drittanbieter-Integration ist vorbei

PCI DSS 4.0 ist kein Albtraum – es ist eine Chance. Sie zwingt Händler, die Kontrolle über ihre Checkout-Seite zurückzugewinnen. Wer jetzt handelt, schützt nicht nur seine Compliance, sondern auch seine Kunden. Und das ist doch das eigentliche Ziel.