Jedes Unternehmen, das Kartenzahlungen annimmt, muss einmal im Jahr einen PCI-DSS-Selbstbewertungsfragebogen ausfüllen. Die Fragen werden vom PCI Security Standards Council vorgegeben und müssen exakt so beantwortet werden, wie sie formuliert sind. Was nach Angaben von Paytia bislang nicht gelöst war, ist der Ort, an dem diese Fragen beantwortet werden sollen: am Schreibtisch, auf einem Laptop, während sich die geprüften Gegenstände in einem anderen Raum befinden.

„Die Fragen sind die Fragen — formuliert man sie um, hat man sie nicht ausgefüllt. Wir haben den Fragebogen auf das Telefon gebracht, die Kamera das Ablegen übernehmen lassen und die Fotos auf dem Gerät belassen, wo sie hingehören.“ — Curtis Nash, CEO, Paytia

Paytia Comply verlagert den Fragebogen auf das Smartphone in Ihrer Tasche. Es umfasst alle neun SAQ-Typen und 966 PCI-DSS-v4.0.1-Anforderungen, jeweils einzeln, sodass Nutzer dort antworten können, wo sich die Nachweise tatsächlich befinden.

Nutzer können den Fragebogen auswählen, der zu ihrem Zahlungssetup passt — A, A-EP, B, B-IP, C, C-VT, D für Händler, D für Dienstleister oder P2PE — oder auf „Help me choose“ tippen und einige Fragen zu ihrer Umgebung beantworten. Jeder SAQ erklärt, was er abdeckt und wie viele Anforderungen er enthält, von 28 bei SAQ B bis 145 bei A-EP. Anschließend arbeiten sich die Nutzer durch die Fragen und markieren jede Antwort mit Yes, No oder N/A, während der Fortschritt fortlaufend erfasst wird.

Die Frage bleibt die Frage

Wenn eine Anforderung geöffnet wird, erscheint der offizielle PCI-SSC-Wortlaut unter der Überschrift „The question“. Paytia sagt, dass der Wortlaut nicht paraphrasiert oder gekürzt wurde. Ein umformuliertes SAQ wäre nach Angaben des Unternehmens kein SAQ mehr.

Was Comply ergänzt, sind die begleitenden Hinweise: was die jeweilige Anforderung tatsächlich bedeutet und welche Nachweise erforderlich sein können, um sie zu erfüllen — darunter zu prüfende Dokumente, zu befragende Personen und zu kontrollierende Konfigurationseinstellungen. Die Sprache des Standards bleibt unverändert, während die Erläuterung daneben steht und den Nutzern Kontext gibt, ohne den Quelltext zu verändern, auf den sie antworten sollen.

Die Kamera übernimmt das Ablegen

Viele Anforderungen verlangen einen Nachweis statt eines einfachen Häkchens, etwa einen Beleg für das Schloss des Serverraums, die Terminal-Einrichtung oder das Besucherprotokoll. Nach Angaben von Paytia war das Sammeln dieser Nachweise oft mühsam: Foto aufnehmen, sich selbst per E-Mail zusenden, auf einem Laptop herunterladen, die Datei umbenennen und dann herausfinden, zu welcher Anforderungsnummer sie gehört.

Comply soll diesen zusätzlichen Aufwand beseitigen. Wer vor dem geprüften Gegenstand steht, tippt auf „Take photo“ und fügt das Bild der betreffenden Anforderung hinzu. Die Fotos verbleiben auf dem Gerät. Wenn der Fragebogen abgeschlossen ist, werden die Materialien in ein PDF zusammengestellt, das exportiert oder an einen Acquirer oder QSA per E-Mail gesendet werden kann. In der Praxis richtet sich die App damit an den Ort, an dem Nachweise gesammelt werden, nicht an den Ort, an dem sie später geprüft werden.

Auch eine Taschenreferenz für den Browser

Nicht jede PCI-Frage taucht in einem Serverraum auf. Viele entstehen am Schreibtisch, oft als Frage danach, welcher SAQ überhaupt zutrifft, oder als Abkürzung in einer E-Mail eines Acquirers. Für diese Fälle bietet Paytia außerdem eine kostenlose Chrome-Erweiterung an, PCI SAQ Pocket Reference: chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf.

Die Erweiterung sitzt in der Browser-Symbolleiste und bietet drei Funktionen: einen Entscheidungsleitfaden mit acht Fragen, der zum richtigen SAQ führt, ein allgemein verständliches Glossar mit 15 PCI-Begriffen — darunter PAN, CDE, AOC und P2PE — sowie Verknüpfungen zu den kostenlosen Checklisten von Paytia für SAQ A, A-EP, B und D. Nach Angaben von Paytia funktioniert sie offline, benötigt keine Berechtigungen, enthält kein Tracking und ist als Open Source unter einer MIT-Lizenz verfügbar.

Die Erweiterung beantwortet Fragen, die am Schreibtisch auftauchen; die App dient dazu, den Fragebogen selbst auszufüllen — direkt vor den Nachweisen. Paytia stellt zudem einen kostenlosen Sofort-Checker unter paytia.com/resources/tools/which-saq bereit, der im Browser auf acht Fragen basiert und keine Informationen erfasst.

Warum Paytia das entwickelt hat

Paytia sagt, das Unternehmen sei seit 2016 ein PCI-DSS-Level-1-zertifizierter Anbieter und unterstütze Contact Center sowie Händler ohne Kartenzahlungskontakt bei der Einhaltung der Vorgaben. Dabei habe sich immer wieder dasselbe Muster gezeigt: Unternehmen wussten, dass der jährliche SAQ fällig ist, luden die offiziellen PDFs herunter, öffneten sie auf einem Laptop und hörten dann auf — weil das Dokument für den Prüfer geschrieben ist, der es später lesen wird, und weil sich ein Großteil der geforderten Nachweise an anderer Stelle im Gebäude befindet.

Nach Angaben von Paytia lag das Problem nicht bei den Fragen selbst, sondern beim Ort, an dem sie beantwortet werden. Dieser Unterschied ist wichtig, weil PCI-Selbstbewertung weiterhin ein formeller Prozess ist und die praktische Hürde oft darin besteht, Nachweise zu organisieren und den richtigen Fragebogen auszuwählen, bevor eine Prüfung überhaupt beginnen kann.

Was es nicht tut

Paytia beschreibt Comply als Checklisten- und Nachweis-Erfassungswerkzeug. Es ist keine rechtliche oder Compliance-Beratung, und der Acquirer hat die endgültige Entscheidung. Es zertifiziert kein Unternehmen als PCI-konform; dafür ist eine Bestätigung durch einen QSA erforderlich oder bei SAQ-berechtigten Händlern eine vom Unternehmen unterzeichnete Selbstbestätigung. Es führt auch keine externen Scans oder Penetrationstests durch und implementiert keine der technischen Kontrollen, die der Standard verlangt.

Was es nach Angaben von Paytia tut, ist, den Fragebogen vom Laptop zu holen und dorthin zu bringen, wo sich die Nachweise befinden.

„Ein SAQ ist nichts, was man vereinfachen darf. Die Fragen sind die Fragen — formuliert man sie um, hat man sie nicht ausgefüllt. Niemand hat je gefragt, wo man stehen soll, wenn man sie beantwortet. Es ist nie am Schreibtisch. Es ist im Raum mit dem Kartenterminal, dem Schrank oder dem Besucherprotokoll. Also haben wir den Fragebogen auf das Telefon gebracht, die Kamera das Ablegen übernehmen lassen und die Fotos auf dem Gerät belassen, wo sie hingehören.“ — Curtis Nash, CEO, Paytia

Paytia verweist außerdem auf die kostenlose Chrome-Erweiterung und den Sofort-Checker und betont, dass die breiter angelegten PCI-bezogenen Tools des Unternehmens dazu dienen sollen, Nutzern bei der Ermittlung des richtigen SAQ und der Organisation von Nachweisen für die Prüfung zu helfen.