Station 00 · Wer beteiligt ist — und die eine Regel/Phase 3

Die eine Regel: Kartendaten berühren Sie nie

Die wichtigste Entscheidung des ganzen Themas fällt in den ersten fünf Minuten — und sie fällt fast immer richtig, wenn man einmal gesehen hat, was daran hängt.

Kartennummern, Prüfziffern und Ablaufdaten dürfen niemals durch Ihren Code, Ihren Server, Ihr Protokoll oder Ihre Datenbank laufen. Wer sie nie besitzt, kann sie nicht verlieren — und muss den weit überwiegenden Teil der Pflichten der Kartenbranche nicht selbst erfüllen.

Zwei Bauweisen — und der Unterschied in der HaftungLinks das Feld des Dienstleisters, rechts das eigene

Was der Unterschied praktisch bedeutet

	Fremde Bezahlmaske	Eigenes Kartenformular
Wer sieht die Kartennummer	nur der Dienstleister	Ihr Server, Ihre Protokolle, Ihre Sicherungen
Prüfaufwand nach den Kartenregeln	der kleinste vorgesehene Umfang — im Wesentlichen ein Fragebogen	die volle Prüfung, jährlich, mit externem Prüfer
Was ein Einbruch bedeutet	Ihre Daten sind weg, die Kartendaten nicht	meldepflichtiger Vorfall mit Kartendaten — die teuerste Klasse
Aufwand für Sie	ein eingebundenes fremdes Feld	Verschlüsselung, Netztrennung, Protokollprüfung, Zertifizierung
Wann es sich lohnt	praktisch immer	ab einer Größe, bei der Sie eine eigene Sicherheitsabteilung haben

Die Falle ist ein einziges Eingabefeld. Es genügt, dass die Kartennummer durch Ihre Seite läuft — sie muss nicht gespeichert werden. Wer aus gestalterischen Gründen ein eigenes Feld baut und den Wert weiterreicht, hat die Haftung übernommen, ohne es zu bemerken. Die Anbieter bieten deshalb gestaltbare Felder an, die technisch trotzdem ihnen gehören; das ist der richtige Weg, wenn das Aussehen wichtig ist.

Was Sie stattdessen speichern

Speichern Sie	Beispiel	Wofür
die Zahlungskennung des Anbieters	`za_3fk29d…`	Nachfragen, Erstatten, Abgleichen
die letzten vier Ziffern und die Kartenart	`Visa •••• 4242`	Der Kunde erkennt seine Karte wieder
die Zahlungsmittel-Kennung für Wiederholungen	`zm_9d21…`	Abonnement ohne erneute Eingabe (Station 05)
Betrag, Währung, Zeitpunkt, Zustand	`4900 EUR bezahlt`	Ihr eigener Zahlungsstand

Die Prüfliste zu dieser Regel — sie gilt für jede Zahlart
In unserem Code gibt es kein Feld, das eine Kartennummer entgegennimmt
Keine Zahlungsdaten stehen in Protokollen, Fehlermeldungen oder Fehlerberichten
Was wir speichern, ist die Kennung des Anbieters — nie das Zahlungsmittel selbst
Auch bei Lastschrift gilt: die Bankverbindung nimmt der Anbieter entgegen, nicht wir
Wir wissen, welche Selbstauskunft unser Anbieter von uns erwartet — und haben sie ausgefüllt

Auch für die Lastschrift gilt die Regel, wenn auch mit anderer Begründung. Eine Bankverbindung ist rechtlich kein Kartendatum, aber sie ist ein besonders sensibles Datum, und das Mandat des Kunden muss nachweisbar erteilt worden sein. Beides überlässt man dem Anbieter — er hat den Nachweis, Sie hätten nur das Risiko.

Zugang erhalten

Fortschritt merken?Mit Zugang bleiben Häkchen und erledigte Phasen am Konto — auf jedem Gerät.