PCI DSS Penetrationstest Pflicht nach Requirement 11.4
Der PCI DSS (Payment Card Industry Data Security Standard) verlangt von allen Unternehmen, die Karteninhaberdaten speichern, verarbeiten oder übertragen, regelmäßige interne und externe Penetrationstests. Wir liefern PCI-konforme Pentests inklusive Segmentierungsprüfung.
Was ist der PCI DSS?
Der PCI DSS ist der Sicherheitsstandard der Kreditkartenindustrie, herausgegeben vom PCI Security Standards Council (gegründet von u. a. Visa, Mastercard, American Express). Er definiert in zwölf übergeordneten Anforderungen, wie Karteninhaberdaten zu schützen sind. Die aktuelle Version ist v4.0 (bzw. v4.0.1).
Für Penetrationstests ist Requirement 11.4 maßgeblich: Es verlangt eine dokumentierte Pentest-Methodik sowie interne und externe Penetrationstests mindestens alle zwölf Monate und nach signifikanten Änderungen. Wird die Cardholder Data Environment (CDE) durch Segmentierung vom übrigen Netz getrennt, muss zusätzlich die Wirksamkeit dieser Segmentierung getestet werden.
Herausgeber
PCI SSC
Pflicht
Requirement 11.4
Turnus
mind. alle 12 Monate
Was verlangt Requirement 11.4?
Requirement 11.4 fordert einen strukturierten, wiederkehrenden Pentest-Prozess für die Cardholder Data Environment – auf Netzwerk- und Applikationsebene, von innen und außen.
Scope & CDE
Karteninhaberdaten-Umgebung und Perimeter abgrenzen
Externer Pentest
Internetseitig erreichbare Systeme der CDE prüfen
Interner Pentest
Angriffspfade aus dem internen Netz in die CDE testen
Segmentierungstest
Wirksamkeit der Netz-Trennung bestätigen
Bericht & Re-Test
Findings beheben und prüffähig nachweisen
Was droht ohne PCI-DSS-Konformität?
PCI DSS ist eine vertragliche Pflicht gegenüber Banken und Kartenanbietern. Verstöße werden über die Acquirer und Card Brands durchgesetzt – besonders teuer wird es nach einem Datenleck.
Vertragsstrafen
Fines durch Card Brands
Acquirer-Banken können bei Nichtkonformität monatliche Strafzahlungen verhängen und weiterreichen.
Höhere Haftung
Teure Folgen nach Datenpanne
Bei einem Vorfall ohne Nachweis der Konformität drohen Haftung, Forensik-Kosten, Wiederausstellung von Karten und Reputationsschaden.
Akzeptanzverlust
Verlust der Kartenakzeptanz
Im Extremfall kann die Fähigkeit, Kartenzahlungen zu akzeptieren, eingeschränkt oder entzogen werden.
Unsere PCI-DSS-Penetrationstests
Wir decken die in Requirement 11.4 geforderten Testarten ab – mit nachvollziehbarer, prüffähiger Dokumentation.
Externer Pentest
Prüfung der von außen erreichbaren Systeme der CDE auf ausnutzbare Schwachstellen.
Interner Pentest
Test der Angriffspfade aus dem internen Netzwerk in die Karteninhaberdaten-Umgebung.
Segmentierungstest
Nachweis, dass die CDE wirksam von Out-of-Scope-Netzen getrennt ist – wie von 11.4 gefordert.
Applikations-Pentest
Prüfung der zahlungsrelevanten Anwendungen auf Schwachstellen (passend zu Requirement 6).
Wer braucht einen PCI-DSS-Pentest?
PCI DSS betrifft jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder überträgt – unabhängig von der Größe.
Händler (Merchants)
Online- und stationäre Händler, die Kartenzahlungen akzeptieren.
Payment Service Provider
Zahlungsdienstleister und Payment-Gateways mit Zugriff auf Kartendaten.
E-Commerce-Plattformen
Webshops und Plattformen, die Zahlungsdaten verarbeiten oder weiterleiten.
Service Provider
Dienstleister, die kartendatenrelevante Systeme für andere betreiben (verkürzter Segmentierungs-Turnus).
Unser Vorgehen
Ein klar strukturierter Prozess – von der ersten Beratung bis zum prüffähigen Nachweis.
Erstgespräch & Scoping
Kostenlos: Wir grenzen Ihre CDE ab und bestimmen den passenden Testumfang nach 11.4.
Externer & interner Pentest
Netzwerk- und Applikationsebene über den gesamten CDE-Perimeter.
Segmentierungstest
Bestätigung der wirksamen Isolierung der Karteninhaberdaten-Umgebung.
Bericht & Maßnahmen
Prüffähige Dokumentation mit priorisiertem Maßnahmenkatalog.
Re-Test
Nachtest der behobenen Findings als Konformitätsnachweis.
Weitere Standards & Regularien
Wir decken die gängigen Sicherheits- und Compliance-Anforderungen ab. Sehen Sie sich verwandte Themen an.
Häufige Fragen
Ja. Requirement 11.4 des PCI DSS fordert eine dokumentierte Pentest-Methodik sowie interne und externe Penetrationstests mindestens alle zwölf Monate und nach signifikanten Änderungen der Cardholder Data Environment.
Mindestens alle 12 Monate und zusätzlich nach jeder signifikanten Änderung an Infrastruktur oder Anwendungen der CDE. Wird Segmentierung genutzt, müssen Service Provider deren Wirksamkeit alle 6 Monate testen, andere Organisationen mindestens jährlich.
Die CDE umfasst alle Personen, Prozesse und Systeme, die Karteninhaberdaten speichern, verarbeiten oder übertragen – inklusive direkt verbundener Systeme. Sie bestimmt den Scope des Penetrationstests.
Wenn die CDE durch Netzwerksegmentierung vom restlichen Netz getrennt wird, verlangt PCI DSS einen Test, der bestätigt, dass diese Trennung wirksam ist und keine Angriffspfade aus Out-of-Scope-Netzen in die CDE bestehen.
Aktuell ist PCI DSS v4.0 beziehungsweise die Pflege-Version v4.0.1. Version 4.0 hat v3.2.1 abgelöst; die zukunftsdatierten Anforderungen sind seit dem 31. März 2025 verbindlich umzusetzen. Unsere Prüfmethodik und die Berichtsstruktur folgen der aktuellen Fassung von Requirement 11.4.
PCI DSS verlangt eine qualifizierte interne Ressource oder einen qualifizierten externen Dienstleister, der organisatorisch unabhängig vom geprüften Bereich ist - eine QSA-Zulassung ist dafür nicht vorgeschrieben. Unsere Tester arbeiten mit OSCP-, OSWE- und CEH-Zertifizierung und haben über 500 Penetrationstests durchgeführt. Die Unabhängigkeit dokumentieren wir im Bericht für Ihren Assessor.
Nein, beides ist getrennt gefordert. Requirement 11.3 verlangt vierteljährliche externe Schwachstellenscans durch einen Approved Scanning Vendor, Requirement 11.4 zusätzlich manuelle Penetrationstests. Der Scan findet bekannte Schwachstellen, der Pentest weist nach, ob sie sich tatsächlich ausnutzen lassen und ob Angriffsketten in die CDE führen.
Wir grenzen zunächst die CDE und alle verbundenen Systeme ab und legen die Methodik nach 11.4.1 schriftlich fest. Danach folgen externer und interner Penetrationstest auf Netzwerk- und Applikationsebene sowie der Segmentierungstest. Der Bericht weist jede Vorgabe aus Anforderung 11.4 einzeln nach, sodass Ihr QSA ihn ohne Rückfragen abnehmen kann.
Ein manueller Penetrationstest wird individuell nach Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 EUR, abhängig von Größe der CDE, Zahl der Anwendungen und Umfang des Segmentierungstests. Ein automatisierter Schwachstellenscan als Einstieg kostet ab 1.499 EUR. Die Kosten senkt am stärksten eine saubere Segmentierung: Je enger die CDE geschnitten ist, desto weniger Systeme fallen in den Prüfumfang und desto kürzer fällt der Test aus.
Ihr Assessor erwartet die angewandte Methodik, den geprüften Scope mit allen getesteten Systemen, Testzeitraum und Tester, die gefundenen Schwachstellen mit Risikobewertung, die Ergebnisse des Segmentierungstests sowie den Nachweis, dass ausnutzbare Findings behoben und nachgetestet wurden. Genau so ist unser Bericht aufgebaut, inklusive Retest-Protokoll.
Rechtsgrundlagen & offizielle Quellen
PCI DSS 4.0 schreibt in Requirement 11.4 interne und externe Penetrationstests mindestens jährlich sowie nach wesentlichen Infrastruktur- oder Anwendungsänderungen vor – inklusive Tests der Netzwerk-Segmentierung.
Offizielle Quellen
PCI DSS Penetrationstest betrifft Sie? Sprechen wir darüber.
Kostenlose Erstberatung – wir analysieren Ihre Ausgangslage und zeigen den schnellsten Weg zur Konformität.