PCI-Compliance

"PCI-Compliance" ist der seit 2007 global verbindliche Sicherheitsstandard der weltweit größten Kreditkartenfirmen. Er besteht im Wesentlichen aus zwölf konkreten Handlungsanweisungen. Händlerbanken und Providern obliegt es, die Umsetzung dieser Regeln bei allen, die mit Kreditkarten arbeiten, zu überwachen und durchzusetzen.

Dieses Dokument beschreibt ausführlich, mit welchen Maßnahmen und Einstellungen in protel Sie die PCI-Compliance in Ihrem Hause vorantreiben können.

Darum geht es im Einzelnen:

• Einführung: Datenschutz im Hotel
  
• Strategische Vorüberlegungen zur Umsetzung
  
• PCI-Compliance mit protel: Voraussetzungen
• Den PCI-Modus in protel SD aktivieren
• Vorher/nachher 1: Reservierungsdialog OHNE PCI-Modus
• Vorher/nachher 2: Gästekartei OHNE PCI-Modus
• Vorher/nachher 3: protel IM PCI-Modus
• Zugriff auf Altdatenbestände unterbinden
• Zugriff auf CC-Daten über die Benutzerrechte steuern
• So setzen Sie die Rechte
• Zugriff auf CC-Daten kontrollieren
• Altdaten löschen

Je nach Menge der in Ihrem Haus getätigten Kreditkartentransaktionen sind Sie zu mehr oder weniger aufwändigen Maßnahmen verpflichtet, die vom freiwilligen Ausfüllen eines Fragebogens bis zum ausgewachsenen "Security-Scan" des gesamten Unternehmens reichen.

Auch wenn die Sinnhaftigkeit vieler dieser gewissermaßen nachgeschobenen Maßnahmen durchaus kontrovers diskutiert wird, ändert das nichts daran, dass empfindliche Strafen drohen, wenn durch die Nichtbeachtung einer der zwölf PCI-Richtlinien Daten verloren gehen oder missbraucht werden.

Detaillierte Informationen zum Thema haben wir für Sie im protel PCI-Whitepaper zusammengestellt.

Der erste Grundsatz des Datenschutzes und gleichzeitig seine einfachste Lösung: Was nicht gespeichert wird, muss nicht geschützt werden. Dabei gilt beim Umgang mit Kreditkarten:

• Vertrauliche Identifizierungsdaten (Daten des Magnetstreifens und die Kartenprüfnummer) dürfen gar nicht gespeichert werden.
• Die Speicherung von Karteninhaberdaten (PAN, Karteninhabername und Ablaufdatum) sind unter der Voraussetzung erlaubt, dass kein unbefugter Zugriff darauf erfolgen kann.

Es empfiehlt sich, vor diesem Hintergrund einige strategische Überlegungen zur Handhabung von Kreditkartendaten in Ihrem Hause anzustellen:

• Welche Daten müssen unbedingt gespeichert werden?
• Wem muss es unbedingt möglich sein, Daten einzulesen / einzugeben?
• Wer benötigt im Anschluss unbedingt Zugriff auf die Daten?
• Wie lange müssen die Daten unbedingt aufbewahrt werden?

Die Umsetzung sollte dann so restriktiv wie möglich dafür sorgen, dass

• von Vornherein so wenig wie möglich gespeichert wird.
• die Eingabe neuer Daten kontrolliert erfolgt.
• jeder Zugriff auf gespeicherte Daten kontrolliert wird.
• die Daten so schnell wie möglich wieder gelöscht werden.

Die protel Hotelmanagement-Systeme verfügen über eine Reihe von Funktionen, die Sie dabei unterstützen, zentrale Vorgaben der zwölf PCI-Richtlinien einzuhalten.

Um die im Folgenden beschriebenen Einstellungen vornehmen zu können

• benötigen Sie protel in der Version 12.167 (oder höher). Falls ein Update notwendig ist, unterstützt Sie Ihr protel-Support bei der Durchführung.
• brauchen Sie Zugriff auf die Stammdaten.
• benötigen Sie das Benutzerrecht 000 "Bedienerverwaltung"

Kreditkartendaten, die noch in der "Vor-PCI-Zeit" in Gästekarteien gespeichert wurden, bleiben vom PCI-Modus zunächst unberührt! Solche Daten werden zwar in der Gästekartei nicht mehr angezeigt, können aber auch weiterhin über die Funktion "Übernahme aus Gastdaten" in den Reservierungsdialog übernommen werden.

Wie Sie den Zugriff auf solche Altdatenbestände vermeiden, erfahren Sie im folgenden Kapitel zu den Benutzerrechten.

Falls Sie es bevorzugen, sich von solchen Altdaten auf einen Schlag zu trennen, wählen Sie die Funktion "Alle CC-Daten aus Karteien löschen" (s. oben).

Über die Benutzeradministration steuern und kontrollieren Sie punktgenau, wer wie auf die sensiblen Kreditkartendaten zugreifen kann. Wir empfehlen Ihnen, diese Rechte entsprechend restriktiv zu setzen und auf einen möglichst kleinen Personenkreis zu beschränken. Nur diejenigen, die tatsächlich mit den Kreditkartendaten arbeiten (und z. B. nicht die Mitarbeiter des Housekeeping), sollten darauf zugreifen können.

Jeder Zugriff wird von protel automatisch überwacht und protokolliert. Diese Ereignisprotokolle können jederzeit abgefragt werden und geben detailliert Auskunft darüber, welcher Benutzer an welcher Stelle des Systems welche Funktionen ausgeführt hat.

Die Log-Funktion ist immer aktiv; sie kann nicht abgeschaltet werden.

Die diversen Berichte finden Sie in protel FO unter Büro | Berichtswesen | Aktionsprotokoll.

Wir übernehmen keinerlei Gewähr für die Aktualität, Korrektheit, Vollständigkeit oder Qualität der bereitgestellten Informationen; Irrtümer, Druckfehler und abweichende Abbildungen vorbehalten.

Haftungsansprüche gegen uns, die sich auf Schäden materieller oder ideeller Art beziehen, welche durch die Nutzung oder Nichtnutzung der dargebotenen Informationen verursacht wurden, sind grundsätzlich ausgeschlossen, sofern kein nachweislich vorsätzliches oder grob fahrlässiges Verschulden durch uns vorliegt.

Wir behalten es uns ausdrücklich vor, Teile der Anleitung oder das gesamte Dokument ohne gesonderte Ankündigung zu verändern, zu ergänzen oder zu löschen.