Schnellantwort: Ein Filialkiosk liegt immer dann im PCI-DSS-Geltungsbereich, wenn er Karteninhaberdaten oder sensible Authentifizierungsdaten speichert, verarbeitet oder überträgt – damit befindet er sich innerhalb der Cardholder Data Environment. Komponenten, die lediglich mit dieser Umgebung verbunden sind oder deren Sicherheit beeinflussen können, können ebenfalls einbezogen werden. Verschlüsselung allein und die Tatsache, dass das Terminal unbeaufsichtigt ist, sind keine automatischen Ausnahmen.
Kurze Antwort: Fällt ein Selbstbedienungskiosk in einer Filiale in den PCI-DSS-Geltungsbereich?
Ein Filialkiosk liegt immer dann im PCI-DSS-Geltungsbereich, wenn er Karteninhaberdaten oder sensible Authentifizierungsdaten speichert, verarbeitet oder überträgt – damit befindet er sich innerhalb der Cardholder Data Environment. Komponenten, die lediglich mit dieser Umgebung verbunden sind oder deren Sicherheit beeinflussen können, können ebenfalls einbezogen werden. Verschlüsselung allein und die Tatsache, dass das Terminal unbeaufsichtigt ist, sind keine automatischen Ausnahmen.
Die meisten Leitfäden enden dort und wiederholen die zwölf Anforderungen. Das ist nicht das Problem, das ein Verantwortlicher für Filial-Compliance tatsächlich hat. Das Problem ist, dass Geltungsbereichsgrenzen während der Beschaffung implizit festgelegt werden – durch das, was das Lesegerät tut, durch die Art und Weise, wie das Cash-Modul verdrahtet ist, durch das VLAN, in dem das Gerät landet, und durch das, was der Anbieter schriftlich festhält – und dann bei der nächsten Bewertung entdeckt werden, wenn das Gerät bereits am Boden verschraubt ist. Die neun Punkte unten machen diese Grenzen zu einer Freigabeliste, die Sie dem RFP und den Abnahmekriterien des Anbieters beifügen können, mit einem benannten Verantwortlichen für jede Antwort.
Die 9-Punkte-Checkliste für den Geltungsbereich von Filialkiosken
| # | Vor der Unterzeichnung zu bestätigende Grenze | Wer verantwortet die Antwort |
|---|---|---|
| 1 | Karten-Datenpfad: Liest, überträgt oder speichert das Lesegerät PAN, und werden sensible Authentifizierungsdaten jemals nach der Autorisierung geschrieben? | Anbieter (Designabsicht) + Händler-Compliance |
| 2 | P2PE Status: welche PCI-gelistete Lösung, falls vorhanden, verwendet wird, und was entfernt sie tatsächlich von Ihrem Validierungsaufwand? | Anbieter + Acquirer / QSA |
| 3 | Bargeldmodul-Pfad: Können Kartendaten jemals die Bargeldannahme- oder Recycling-Platine durchlaufen? | Anbieter (Integrationsdokumentation) |
| 4 | Verbundene Komponenten: Welche Subsysteme können die Sicherheit des Zahlungspfads beeinflussen (OS, Remote-Management-Agent, Update-Dienst)? | Anbieter + Händler-Sicherheit |
| 5 | Netzwerkpfad: Wie ist der Kiosk vom LAN und WAN der Filiale segmentiert, und wer überwacht ihn. | Netzwerkteam der Filiale |
| 6 | Servicezugriff: Wie erreichen Außendienst- und Remote-Techniker das Gerät, und wie wird dieser Zugriff protokolliert. | Anbieter-Servicemodell + Händler-IAM |
| 7 | Physischer Manipulationsschutz: Wie widerstehen das Lesegerät und das Bargeldmodul Austausch und Skimming? | Anbieter + physische Sicherheit der Filiale |
| 8 | Nachweisformat: Was der Anbieter übergibt, im Vergleich zu dem, was Sie selbst generieren müssen. | Anbieter + Händler-Compliance |
| 9 | End von Life: Was geschieht mit gespeicherten Anmeldedaten, Schlüsseln und Protokollen, wenn ein Gerät ersetzt, zurückgegeben oder neu eingesetzt wird. | Anbieter + Händler-Asset-Management |
Zwei dieser Punkte entscheiden den größten Teil der nachgelagerten Arbeit. Punkt 1 ist binär: Entweder ist das Lesegerät ein PIN-Eingabegerät, das sensible Authentifizierungsdaten verarbeitet, oder es ist eine Komponente, die lediglich eine bereits verschlüsselte Nutzlast transportiert – und die beiden werden unterschiedlich dokumentiert. Punkt 5 ist der größte Hebel, den Sie kontrollieren, denn er bestimmt, wie viele andere Filialsysteme den vollständigen Kontrollsatz erfüllen müssen. Die Punkte 4, 6 und 9 sind diejenigen, die Einkäufer am häufigsten leer lassen, und sie sind diejenigen, nach denen ein QSA zuerst fragen wird.
Bezüglich Punkt 2 sollten Sie genau wissen, was Sie kaufen. PCI-gelistete Punkt-zu-Punkt-Verschlüsselung reduziert den anwendbaren Validierungsaufwand erheblich, aber sie entfernt PCI DSS nicht aus der Händlerumgebung – diese Klarstellung stammt vom PCI SSC selbst, nicht von einem Herstellerdatenblatt, und sie wird in der Literatur zu unbeaufsichtigten Zahlungen weithin wiederholt. Betrachten Sie "P2PE zertifiziert" als eine Eingangsgröße zur Scope-Reduzierung, niemals als Scope-Ausstieg.
Bargeldannahme ist kein Nebenproblem für den Scope
Bei Bargeld handelt es sich nicht um Karteninhaberdaten, daher ist es verlockend, einen Cash-Recycler als außerhalb der Betrachtung zu behandeln. In einem Filialkiosk ist dem nicht so, aus zwei Gründen. Erstens fügt das Bargeldmodul ein physisches und elektronisches Modul innerhalb desselben Gehäuses wie der Leser hinzu, und jede gemeinsam genutzte Steuerung, jeder gemeinsam genutzte Strompfad oder jede gemeinsam genutzte Service-Schnittstelle wird zu einer Connected-to-Frage. Zweitens ist die Bargeldabwicklung der Bereich, in dem ein Angreifer mit physischem Zugang die längste Verweilzeit hat, weshalb Substitutions- und Skimming-Kontrollen in derselben Bewertung wie der Zahlungspfad liegen.
Die schriftlich zu stellende Anbieterfrage ist einfach: Befindet sich das Bargeldmodul auf einem vom Kartenleser getrennten Datenkanal, und wie wird diese Trennung in der Integrationsdokumentation dargestellt? Ein Schaltplan und eine Datenflusserklärung sind der Nachweis. Wenn die Antwort mündlich ist, behandeln Sie die Grenze als ungeklärt und bepreisen Sie das Risiko. Unser freistehender Self-Service-Kiosk für Bargeldabwicklung ist ein Beispiel für die Konfiguration, bei der diese Frage vor und nicht nach dem Abnahmetest beantwortet werden muss.
SAQ oder ROC? Warum es bei der Antwort um Ihren Kanal geht, nicht um das Gerät
Kein Kiosk-Datenblatt entscheidet darüber, ob Sie mit einem Self-Assessment Questionnaire oder einem vollständigen Report on Compliance validieren. Diese Festlegung liegt beim Händler und dessen Acquirer und hängt von Ihrem Card-Present- und Unattended-Channel-Profil, Ihrem Transaktionsvolumen und davon ab, wie Ihr Acquirer das Deployment klassifiziert. Das Gerät liefert Nachweise; es trifft nicht die Entscheidung.
Schließen Sie diesen Punkt vor der Bestellung ab, nicht danach. Bitten Sie den Acquirer und Ihren QSA, den Validierungsweg schriftlich zu bestätigen, und lehnen Sie Abnahmekriterien ab, die davon ausgehen, dass eine Scope-Erklärung eines Anbieters die eigene Festlegung des Händlers ersetzt. Wenn ein Angebot nahelegt, dass der Kauf eines bestimmten Terminals Ihre Validierungskategorie ändert, ist das eine Frage für den Acquirer.
Netzwerksegmentierung: der Hebel, der Ihr Audit verkleinert
Die Isolierung der Cardholder Data Environment vom restlichen Filialnetz bedeutet, dass weniger Systeme den vollständigen Kontrollsatz benötigen — Segmentierung reduziert den Audit-Umfang, statt ihn lediglich aufzuräumen, weshalb sie in Filialumgebungen als klassischer blinder Fleck analysiert wird. Drei Fragen an Ihr eigenes Netzwerkteam, bevor der Kiosk installiert wird:
- Welches VLAN oder Segment wird den Kiosk hosten, und welches dokumentierte Regelwerk gilt zwischen ihm und Schalter-, Back-Office- und Shared-Services-Umgebungen?
- Welcher East-West-Zugriff ist zwischen dem Kiosk und den Filialsystemen zulässig, und wer hat jede Regel genehmigt?
- Wer ist für Monitoring und Alarmierung für dieses Segment verantwortlich, und wo landen die Logs?
Ein flaches Filialnetz verwandelt einen Kiosk in eine standortweite Neubewertung — die Kosten dieses Fehlers zeigen sich lange nach der Installation, weshalb dies in die Beschaffungsentscheidung und nicht in den Bereitstellungsplan gehört.
EU-Filialen: Was das DORA-Overlay ändert
Für EU-Finanzunternehmen ist ein Geldautomat oder Selbstbedienungsterminal ein IKT-Asset innerhalb des Regimes für operationelle Resilienz, nicht nur ein Zahlungsgerät. Die Verordnung (EU) 2022/2554 (DORA) legt Pflichten zum IKT-Risikomanagement fest, die die Bewertung solcher Assets umfassen, und verpflichtet bedeutende Finanzunternehmen zu bedrohungsorientierten Penetrationstests. Die praktische Beschaffungskonsequenz ist, dass Erwartungen an Resilienz- und Testnachweise von Anfang an in den Lieferantenvertrag gehören; sie können nicht während des nächsten Aufsichtszyklus nachgerüstet werden.
Multi-Jurisdiktions-Gruppen sollten davon ausgehen, dass Kontrollen sich stapeln statt zu ersetzen. US-PCI-DSS-Arbeiten, EU-Resilienzverpflichtungen und, falls relevant, SWIFT-CSP-Segmentierungsanforderungen fügen jeweils ihre eigene Nachweisspur hinzu. Entwerfen Sie das Filialnetz und das Lieferanten-Nachweispaket einmal, sodass jedes Framework durch dieselben Artefakte erfüllt wird.
Was Sie vom Lieferanten vor der Unterzeichnung verlangen sollten (Nachweispaket)
- Eine unterzeichnete Erklärung darüber, was das Gerät speichert, verarbeitet und überträgt — und eine explizite Liste dessen, was es nicht tut.
- Richtlinie für Komponenten- und Firmware-Updates: wer Updates einspielen darf, über welchen Kanal und wie die Integrität verifiziert wird.
- Beschreibung des Fernzugriffs und des Servicemodells, zugeordnet zu Ihren eigenen Zugriffskontrollen und Protokollierungen.
- Beschreibung der Manipulationsreaktion von Leser- und Bargeldmodul, einschließlich des Verhaltens des Moduls nach einem erkannten Ereignis.
- Ausdrückliche Bestätigung dessen, was der Anbieter nicht gewährleisten kann – alles, was von Ihrem Netzwerk, Ihrem Acquirer oder Ihren operativen Kontrollen abhängt.
- Umgang mit Schlüsseln, Anmeldedaten und Protokollen am Ende des Lebenszyklus.
Spiegeln Sie diese Liste in Ihre RFP-Bewertung, damit Compliance-Antworten über Bieter hinweg vergleichbar sind und nicht in Anhängen vergraben werden – die Checkliste für die RFP-Beschaffung von Selbstbedienungskiosken zeigt, wie diese Positionen gegenüber Hardware- und Servicekriterien gewichtet werden. Seien Sie intern klar über die Rollen: Wir sind ein Hardware-OEM/ODM und liefern das Gerät und dessen Nachweise; wir zertifizieren nicht Ihre Compliance, und die Scope-Festlegung sowie die Auswahl von SAQ oder ROC liegen beim Händler und dessen Acquirer.
Wo diese Entscheidungen Ihre Gesamtkosten verändern
Drei Scope-Entscheidungen haben einen Preis, der erst nach dem Go-live sichtbar wird, wenn sie offen gelassen werden: Segmentierungs-Engineering und laufende Regelpflege; Servicezugriffskontrollen und Protokollierung für Vor-Ort- und Fernsupport; sowie Revalidierungsaufwand, wenn sich herausstellt, dass eine Grenze nicht dokumentiert war. Stellen Sie diese Positionen im Business Case neben den Stückpreis – die TCO-Vergleich für Bank-Self-Service-Kioske stellt Beschaffungs-, Integrations- und Servicemodellkosten nebeneinander, damit die Finanzabteilung das Gesamtbild sieht und nicht nur die Rechnung.
Wie man eine beliebige Behauptung „außerhalb des Geltungsbereichs“ oder „P2PE zertifiziert“ überprüft
- Fordern Sie den genauen Eintrag oder die genaue Referenz an und prüfen Sie, dass er aktuell ist, nicht ein historisches Zertifikat für eine abgelöste Konfiguration.
- Lesen Sie die Einschränkungsformulierungen des Anbieters selbst noch einmal — der Absatz nach der Hauptaussage nennt normalerweise, was ausgeschlossen ist.
- Bestätigen Sie, dass sich die Aussage auf das Modell und die Firmware bezieht, die Sie kaufen, nicht auf eine Referenzplattform.
- Wenn der Nachweis fehlt oder nur mündlich vorliegt, behandeln Sie die Geltungsbereichsfrage als offen und kalkulieren Sie dieses Risiko in die Entscheidung ein.
Fragen, die Käufer während der Geltungsbereichsprüfung stellen
Fallen Self-Service-Kioske unter den Geltungsbereich von PCI DSS, wenn sie Karten nur für ein paar Sekunden annehmen?
Die Dauer ist unerheblich. Wenn das Gerät Karteninhaberdaten oder sensible Authentifizierungsdaten speichert, verarbeitet oder übermittelt, befindet es sich in der Karteninhaberdaten-Umgebung, und verbundene oder sicherheitsrelevante Komponenten können ebenfalls einbezogen werden.
Entfernt die Verschlüsselung von Kartendaten den Kiosk aus dem Geltungsbereich von PCI DSS?
Nein. Verschlüsselung reduziert die Exposition und unterstützt einen reduzierten Validierungspfad, aber die PCI-SSC-Leitlinien betrachten Verschlüsselung allein nicht als Grund, die Anwendbarkeit von PCI DSS aufzuheben.
Entfernt eine PCI-gelistete P2PE-Lösung die Notwendigkeit eines SAQ?
Nein. Es kann den anwendbaren Validierungsaufwand erheblich reduzieren, aber der Händler validiert weiterhin, und die Route wird mit dem Acquirer und QSA bestätigt – nicht durch das Gerät.
Welche Nachweise sollte ein Kiosk-Anbieter für die Genehmigung der Filial-Compliance vorlegen?
Das oben genannte Nachweispaket: eine unterzeichnete Erklärung zur Datenverarbeitung, eine Komponenten- und Update-Richtlinie, ein Remote-Access-Modell, eine Beschreibung der Manipulationsreaktion, angegebene Einschränkungen und die Behandlung des End-of-Life. Alles, was der Anbieter nicht gewährleisten kann, sollte benannt und nicht impliziert werden.
Nächster Schritt
Fügen Sie diese Checkliste Ihrer RFP bei und bitten Sie jeden Bieter, sie Zeile für Zeile zu beantworten, wobei der Verantwortliche für jede Antwort genannt wird. Fordern Sie die PCI-DSS-Scope-Bestimmungs-Checkliste für Filialkioske + das Compliance-Nachweispaket an – oder ein Datenblatt für die kartenakzeptierende und bargeldakzeptierende Terminalkonfiguration, die Sie bewerten – von die Seite der Kiosk-Plattform für Bargeldabwicklung , und wir senden Ihnen die Hardware-Dokumentation und die Nachweise, die Sie Ihrem QSA übergeben können. Die Übergabe ist unkompliziert: Hardware und die dazugehörigen Nachweise kommen von uns; die Scope-Bestimmung, das Netzwerkdesign und die Auswahl von SAQ oder ROC bleiben bei Ihren Händler-, Netzwerk- und Acquirer-Teams.
