PCI DSS für KMU: Was Kartenakzeptanz an Compliance kostet

Für einen Präsenzbetrieb mit gemieteten Kartenterminals kostet die PCI-DSS-Compliance selbst so gut wie nichts. Bezahlt wird sie über zwei Zeilen der Abrechnung: die monatliche PCI-Servicegebühr des Acquirers und die Strafgebühr für eine fehlende Selbstauskunft. Bei einem Einzelhändler mit drei Standorten und sechs Terminals sind das zusammen rund 587 Euro im Jahr, wovon die Strafgebühr von 299 Euro vollständig vermeidbar ist.

Was PCI DSS von einem Präsenzbetrieb verlangt

Der Payment Card Industry Data Security Standard ist ein Regelwerk der Kartennetzwerke Visa, Mastercard, American Express, Discover und JCB. Er legt fest, wie Karteninhaberdaten gespeichert, übertragen und verarbeitet werden dürfen. Verbindlich wird er über Ihren Vertrag zum Acquiring. Ein Gesetz steht dahinter nicht, die Pflicht ergibt sich aus der Vereinbarung mit Ihrem Zahlungsdienstleister und wird von diesem auch durchgesetzt.

Die aktuelle Fassung trägt die Nummer 4.0.1 und löste zum Jahresende 2024 die Version 4.0 ab. Eine Reihe von Anforderungen war anfangs zurückgestellt und wurde zum 31. März 2025 ohne Übergangsfrist verbindlich. Für Ihren Betrieb heißt das vor allem eines: Eine Selbstauskunft auf einem älteren Formular akzeptiert kein Acquirer mehr, auch wenn sich an Ihrem Setup nichts geändert hat.

Praktisch verlangt der Standard von einem Betrieb mit Kartenterminals weniger, als der Name vermuten lässt. Die Terminals müssen ein gültiges PIN-Transaction-Security-Zertifikat tragen, was jedes vom Acquirer gelieferte Gerät erfüllt. Kartendaten dürfen nicht notiert, nicht in der Kasse gespeichert und nicht per Mail versendet werden. Voreingestellte Passwörter an Kasse und Router müssen geändert sein. Und einmal im Jahr bestätigen Sie diese Punkte schriftlich.

Der Aufwand liegt damit weniger in der Technik als in der Dokumentation. Wer die Fragen einmal sauber beantwortet hat, wiederholt die Übung im Folgejahr in einer knappen Stunde, solange Terminals und Kassensystem unverändert bleiben.

Warum fast jeder Mittelständler in Level 4 fällt

Die Kartennetzwerke teilen Händler in vier Stufen ein, und zwar nach der Zahl der Kartentransaktionen pro Jahr und Netzwerk. Level 1 beginnt bei mehr als sechs Millionen Transaktionen im Jahr und verlangt ein Vor-Ort-Audit durch einen zertifizierten Prüfer. Level 4 umfasst Betriebe bis zu einer Million Transaktionen und weniger als 20.000 Transaktionen im Fernabsatz. Dort genügt die Selbstauskunft.

Entscheidend ist die Stückzahl, nicht der Euro-Betrag. Ein Einzelhändler mit 2,4 Mio. Euro Kartenumsatz und einem durchschnittlichen Bon von 45 Euro kommt auf rund 53.000 Kartenzahlungen im Jahr. Das ist ein Zwanzigstel der Level-4-Obergrenze. Selbst bei 10 Mio. Euro Kartenumsatz und demselben Bonwert wären es gut 222.000 Transaktionen, also weiterhin Level 4.

Für Sie als Geschäftsführer bedeutet das eine klare Entwarnung: Ein Angebot über ein mehrtägiges externes Audit oder eine kostenpflichtige Zertifizierung passt nicht zu Ihrer Einstufung. Wer Ihnen so etwas verkaufen will, verkauft eine Leistung, die Ihre Stufe nicht verlangt.

Welche Selbstauskunft für Ihr Setup gilt

Von der Selbstauskunft gibt es mehrere Varianten, die sogenannten Self-Assessment Questionnaires. Welche für Sie gilt, hängt davon ab, wie die Kartendaten durch Ihren Betrieb fließen. Zwei Setups decken den Mittelstand fast vollständig ab.

Im ersten Fall steht ein eigenständiges Terminal an der Kasse und schickt die Transaktion über eine eigene Internetverbindung zum Acquirer. Die Kasse sieht die Kartendaten nie. Dafür ist die kurze Variante SAQ B-IP vorgesehen. Im zweiten Fall ist das Terminal an das Kassensystem angebunden, etwa um Beträge automatisch zu übernehmen. Damit wird das Kassennetz Teil des Kartendatenumfelds, und es gilt die deutlich längere Variante SAQ C.

Über diesen Unterschied entscheidet die Installation, lange bevor jemand über Konditionen spricht. Wer die Kassenanbindung wählt, gewinnt Tempo an der Kasse und spart Tippfehler, handelt sich aber einen jährlich wiederkehrenden Prüfaufwand ein. Diese Abwägung gehört vor die Unterschrift. Im laufenden Betrieb lässt sich die Verkabelung nur mit Aufwand wieder ändern.

Eine dritte Variante lohnt die Nachfrage: Setzt Ihr Acquirer eine validierte Punkt-zu-Punkt-Verschlüsselung ein, kommt die besonders kurze Selbstauskunft SAQ P2PE infrage. Fragen Sie schriftlich nach, ob Ihre Geräte in einer solchen Lösung betrieben werden. Die Antwort entscheidet über den Umfang Ihrer jährlichen Pflicht.

Was die Compliance tatsächlich kostet

Die Selbstauskunft und die zugehörigen Formulare stellt das PCI Security Standards Council kostenlos bereit. Kosten entstehen an anderer Stelle, und zwar auf Ihrer Monatsabrechnung.

Die PCI-Servicegebühr

Die meisten Acquirer stellen eine eigene Position für die Begleitung der Selbstauskunft in Rechnung. Üblich sind 4 bis 15 Euro im Monat, teils pro Vertrag, teils pro Terminal. Dafür erhalten Sie ein Portal, in dem Sie die Fragen beantworten, und eine Erinnerung vor Fristablauf. Bei manchen Anbietern ist diese Leistung bereits im Disagio enthalten. Dann zahlen Sie sie zweimal, falls sie zusätzlich als Zeile auftaucht.

Die Non-Compliance-Fee

Reichen Sie die Selbstauskunft nicht ein, schaltet der Acquirer eine zweite Position frei. Verbreitet sind Beträge zwischen 10 und 30 Euro im Monat je Vertrag, die Höhe steht im Preisverzeichnis. Diese Gebühr läuft still weiter, bis die Selbstauskunft vorliegt. Sie ist der einzige Posten dieses Themas, den Sie durch eine Stunde Arbeit auf null bringen können.

Aus der Anbieterperspektive ist die Gebühr gut kalkuliert. Ein Betrieb mit vollem Tagesgeschäft übersieht eine Erinnerungsmail, und der Posten läuft ab dem Folgemonat mit. Auf der Abrechnung heißt er selten Strafgebühr. Üblich sind Bezeichnungen wie Sicherheitsentgelt oder Compliance-Zuschlag, die zwischen Terminalmiete und Transaktionsentgelten nicht weiter auffallen.

Rechnen wir das für einen Einzelhändler mit drei Standorten und sechs Terminals durch. Der Vertrag sieht 4 Euro PCI-Servicegebühr je Terminal und Monat vor, das sind 24 Euro monatlich und 288 Euro im Jahr. Bleibt die Selbstauskunft aus, kommt eine Non-Compliance-Fee von 24,90 Euro monatlich hinzu, also 298,80 Euro im Jahr. In Summe stehen 586,80 Euro auf der Jahresrechnung, für einen Vorgang, dessen inhaltlicher Kern kostenlos ist.

Gemessen am Kartenumsatz von 2,4 Mio. Euro sind 587 Euro rund 0,024 Prozent, also ein Rundungsfehler im Disagio. Genau deshalb wird der Posten nicht geprüft. Über eine vierjährige Laufzeit summiert er sich trotzdem auf einen vierstelligen Betrag, und die Hälfte davon entsteht allein durch eine versäumte Frist. Wie sich solche Fixposten insgesamt aufaddieren, zeigt die Aufstellung zu den versteckten Terminalgebühren.

Wo die eigentliche Haftung liegt

Die monatlichen Gebühren sind der sichtbare Teil. Der teure Fall ist ein Datenleck, bei dem über Ihre Systeme Kartendaten abfließen. Dann verlangt das Kartennetzwerk eine forensische Untersuchung, und der Acquirer reicht die Kosten sowie mögliche Vertragsstrafen an Sie weiter. Die Grundlage dafür steht in Ihrem Acquiring-Vertrag, meist im Abschnitt zu Haftung und Freistellung.

Für einen Präsenzbetrieb mit Standalone-Terminals ist dieses Risiko gering, weil bei Ihnen keine verwertbaren Kartendaten liegen. Es steigt in dem Moment, in dem jemand Kartennummern notiert, für Reservierungen aufbewahrt oder in einem Freitextfeld der Kasse ablegt. Diese Praxis ist in Hotels und im telefonischen Bestellgeschäft verbreitet und der wichtigste Punkt, den Sie im eigenen Haus abstellen sollten.

Ein Nebeneffekt ist die Beweislast. Wer die jährliche Selbstauskunft lückenlos eingereicht hat, steht im Schadensfall deutlich besser da als ein Betrieb, dessen letzte Bestätigung drei Jahre zurückliegt. Die Selbstauskunft ist damit auch eine Dokumentation Ihrer Sorgfalt.

Was im Vertrag steht und was Sie prüfen sollten

Die PCI-Posten stehen selten im Angebot. Sie finden sie im Preisverzeichnis, auf das der Vertrag verweist, oft in derselben Anlage wie die Regeln zu Vertragslaufzeit und Kündigungsfrist. Drei Punkte lohnen den Blick.

Erstens die Bemessung: Wird die Servicegebühr pro Vertrag oder pro Terminal berechnet? Bei sechs Geräten ist das der Unterschied zwischen 48 und 288 Euro im Jahr. Zweitens die Doppelung: Steht die Gebühr zusätzlich zu einer Formulierung, nach der die Compliance-Begleitung im Entgelt enthalten ist? Drittens die Non-Compliance-Fee: Ab wann greift sie, und wie werden Sie vorher erinnert? Eine Klausel, die die Gebühr ohne vorherige Aufforderung auslöst, gehört gestrichen.

Alle drei Punkte sind verhandelbar, und sie sind es leichter als das Disagio. Fixposten kosten den Acquirer nichts, wenn er sie senkt, während jeder Zehntelprozentpunkt am Disagio direkt seine Marge trifft. Wer ohnehin über die Konditionen spricht, nimmt die PCI-Zeile ohne Zusatzaufwand mit. Welche Posten dabei sonst noch auf den Tisch gehören, zeigt die Übersicht dazu, wie Sie Ihre Kartenabrechnung lesen.

So gehen Sie vor

Vier Schritte bringen das Thema für Ihren Betrieb dauerhaft vom Tisch.

1. Setup klären. Halten Sie fest, ob Ihre Terminals eigenständig arbeiten oder an der Kasse hängen. Daraus folgt die passende Selbstauskunft.
2. Abrechnung durchsuchen. Prüfen Sie die letzten drei Monatsabrechnungen auf eine PCI-Servicegebühr und auf eine Non-Compliance-Fee. Beide tragen oft andere Namen.
3. Selbstauskunft einreichen. Beantworten Sie die Fragen im Portal Ihres Acquirers und legen Sie eine jährliche Erinnerung im Kalender an, vier Wochen vor Fristablauf.
4. Posten verhandeln. Fordern Sie die Streichung einer laufenden Strafgebühr rückwirkend ab dem Monat der Einreichung und die Bemessung der Servicegebühr pro Vertrag statt pro Gerät.

Der dritte Schritt ist der wichtigste, weil er den größeren der beiden Beträge sofort beendet. Der vierte lohnt sich besonders, wenn ohnehin eine Konditionsanalyse ansteht, denn dann liegen alle Positionen der Abrechnung bereits geordnet vor.

PCI DSS ist für einen Betrieb mit Kartenterminals eine Formsache mit Preisschild. Die Anforderungen erfüllt ein sauber aufgesetztes Terminal ohnehin, und die jährliche Bestätigung kostet Sie eine Stunde. Was bleibt, sind zwei Zeilen auf der Abrechnung, von denen eine ganz verschwindet und die andere sich verhandeln lässt. Wie hoch Ihr Einsparpotenzial insgesamt ausfällt, zeigt erst der Blick auf alle Positionen zusammen, wie ihn eine unabhängige Konditionsanalyse liefert.