DE Glossary

Glossar des PCI SSC

Glossar

Glossar von Begriffen, Abkürzungen und Akronymen des Payment Card Industry (PCI) Security Standards Council.

a

Abschneiden

Methode zum Unlesbarmachen einer vollständigen PAN durch Entfernen eines Segments von PAN-Daten. Das Abschneiden bezieht sich auf den Schutz der PAN, wenn sie elektronisch gespeichert, verarbeitet oder übertragen wird. Siehe Maskierung zum Schutz der PAN bei Anzeige auf Bildschirmen, Papierbelegen usw.

Administratorzugriff

Erhöhte oder erweiterte Privilegien, die einem Konto für dieses Konto gewährt werden, um Systeme, Netzwerke und/oder Anwendungen zu verwalten. Der Administratorzugriff kann dem Konto einer Person oder einem integrierten Systemkonto zugewiesen werden. Konten mit Administratorzugriff werden je nach Betriebssystem und Organisationsstruktur häufig als „Superbenutzer“, „Root“, „Administrator“, „Admin“, „Sysadmin“ oder „Aufsichtsbehörden-Staat“ bezeichnet.

AES

Akronym für „Erweiterter Verschlüsselungsstandard.” Siehe Starke Kryptographie.

Änderungskontrolle

Prozesse und Prozeduren, um Änderungen an Systemen und Software auf Auswirkungen vor der Implementierung zu überprüfen, zu testen und zu genehmigen.

ANSI

Akronym für „American National Standards Institute.”

Anti-Malware

Software, die entwickelt wurde, um verschiedene Formen böswilliger Software zu erkennen, zu entfernen, zu blockieren oder einzudämmen.

Anwendung

Umfasst alle gekauften, kundenspezifischen und maßgeschneiderten Softwareprogramme oder Programmgruppen, einschließlich sowohl interner als auch externer (zum Beispiel Web-)Anwendungen.

Anwendungs- und Systemkonten

Auch als „Dienstleistungskonten“ bezeichnet. Kontendie Prozesse ausführen oder Aufgaben auf einem Computersystem oder in einer Anwendung durchführen. Diese Konten verfügen normalerweise über erhöhte Berechtigungen, die zum Durchführen spezieller Aufgaben oder Funktionen erforderlich sind und sind normalerweise keine Konten, die von einer Person verwendet werden.

AOC

Akronym für „Einhaltungsbescheinigung“. Die AOC ist das offizielle PCI SSC-Formular für Händler und Dienstleistungsanbieter, um die Ergebnisse einer PCI DSS-Bewertung zu bescheinigen, wie sie in einem Selbstbewertungsfragebogen (SAQ) oder Einhaltungsbericht (ROC) dokumentiert sind.

APCM

Akronym für „Treffen der Asien-Pazifik-Gemeinschaft.“

APO’s

Akronym für „Assoziierte teilnehmende Organisation.“

ASV

Akronym für „Zugelassenem Scanning-Anbieter.” Vom PCI SSC zugelassenes Unternehmen zur Ausführung externer Schwachstellen-Scanning-Dienstleistungen.

Audit-Protokoll

Auch als „Audit-Pfad“ bezeichnet. Chronologische Aufzeichnung von Systemaktivitäten. Stellt einen unabhängig verifizierbaren Pfad bereit, der ausreicht, um die Rekonstruktion, Überprüfung und Untersuchung der Abfolge von Umgebungen und Aktivitäten zu erlauben, die den Betrieb, die Prozedur oder das Ereignis in einer Transaktion vom Beginn bis zum Endergebnis umgeben oder dazu führen.

Ausstellende Dienstleistungen

Beispiele für ausstellende Dienstleistungen umfassen und Autorisierung und Kartenpersonalisierung, sind aber nicht darauf beschränkt.

Aussteller

Auch als „ausstellende Bank“ oder „ausstellendes Finanzinstitut“ bezeichnet. Entität, die Zahlungskarten ausstellt oder Ausstellungsdienstleistungen durchführt, erleichtert oder unterstützt, einschließlich, aber nicht beschränkt auf ausstellende Banken und ausstellende Verarbeiter.

Authentifizierung

Prozess zur Verifizierung der Identität einer Person, eines Geräts oder eines Prozesses. Die Authentifizierung erfolgt typischerweise mit einem oder mehreren Authentifizierungsfaktoren. Siehe Konto, Authentifizierungs-Anmeldeinformationen, und Authentifizierungsfaktor.

Authentifizierungs-Anmeldeinformationen

Kombination aus der Benutzer-ID oder Konto-ID plus dem/den Authentifizierungsfaktor(en), der/die zum Authentifizieren einer Person, eines Geräts oder eines Prozesses verwendet wird/werden. Siehe Konto und Authentifizierungsfaktor.

Authentifizierungsfaktor

Das Element, das verwendet wird, um die Identität einer Person oder eines Prozesses auf einem Computersystem nachzuweisen oder zu verifizieren. Authentifizierung erfolgt typischerweise mit einem oder mehreren Authentifizierungsfaktoren:

  • Eine Information wie ein Passwort oder eine Passphrase,
  • Ein Besitz wie ein Token-Gerät oder eine Smartcard,
  • Etwas Persönliches, wie ein biometrisches Element.

Die ID (oder Konto) und Authentifizierungsfaktor werden zusammen als Authentifizierungsnachweise betrachtet. Siehe Konto und Authentifizierungs-Anmeldeinformationen.

Autorisierung

Im Zusammenhang mit der Zugriffskontrolle ist die Autorisierung die Gewährung von Zugriffs- oder anderen Rechten für einen Benutzer, ein Programm oder einen Prozess. Die Autorisierung definiert, was eine Person oder ein Programm nach erfolgreicher Authentifizierung tun kann. Im Zusammenhang mit einer Zahlungskartentransaktion bezieht sich die Autorisierung auf den Autorisierungsprozess, der abgeschlossen wird, wenn ein Händler eine Transaktionsantwort erhält (zum Beispiel eine Genehmigung oder Ablehnung).

b

BAU

Akronym für „Geschäft wie gewohnt."

Besucher

Ein Verkäufer, ein Gast eines Mitarbeiters, ein Dienstleistungsmitarbeiter oder ein Mitarbeiter, der normalerweise keinen Zugang zu dem betreffenden Bereich hat. Karteninhaber, die sich in einem Einzelhandelsgeschäft aufhalten, um Waren oder Dienstleistungen zu kaufen, gelten nicht als "Besucher". Siehe Karteninhaber und Personal.

BoA

Akronym für „Beirat.“

c

CDE

Akronym für „Karteninhaberdatenumgebung.“ Die CDE besteht aus:

  • Die Systemkomponenten, Personen und Prozesse, die Karteninhaberdaten und/oder sensible Authentifizierungsdaten speichern, verarbeiten und übertragen, und
  • Systemkomponenten, die keine CHD/SAD speichern, verarbeiten oder übertragen dürfen, aber uneingeschränkt mit Systemkomponenten verbunden sind, die CHD/SAD speichern, verarbeiten oder übertragen.

CERT

Akronym für „Computer-Notfallreaktionsteam“.

CIS

Akronym für „Zentrum für Internetsicherheit.“

CVSS

Akronym für „Gemeinsames Bewertungssystem für Schwachstellen“. Weitere Informationen finden Sie im ASV-Programmleitfaden.

d

Datenflussdiagramm

Ein Diagramm, das zeigt, wie und wo Daten durch Anwendungen, Systeme, Netzwerk, und zu und von Dritten einer Entität fließen.

Definierter Ansatz

Siehe „PCI DSS-Abschnitt: 8 Ansätze zur Implementierung und Validierung von PCI DSS.

Dienstleistungsanbieter

Geschäftsentität, die keine Zahlungsmarke ist und direkt an der Verarbeitung, Speicherung oder Übertragung von Karteninhaberdaten (CHD) und/oder sensiblen Authentifizierungsdaten (SAD) im Auftrag einer anderen Entität beteiligt ist. Dieses umfasst Zahlungs-Gateways, Zahlungs-Dienstleistungsanbieter (PSPs) und unabhängige Vertriebsorganisationen (ISOs). Dies umfasst auch Unternehmen, die Dienstleistungen anbieten, die die Sicherheit von CHD und/oder SAD kontrollieren oder sich auf sie auswirken könnten. Beispiele umfassen verwaltete Dienstleistungsanbieter, die verwaltete Firewalls, IDS und andere Dienstleistungen bereitstellen, sowie Hosting-Anbieter und andere Entitäten. Wenn eine Entität eine Dienstleistung bereitstellt, die nur die Bereitstellung eines öffentlichen Netzwerkzugriffs einbezieht – wie ein Telekommunikationsunternehmen, das nur die Kommunikationsverbindung bereitstellt –, würde die Entität nicht als Dienstleistungsanbieter für diese Dienstleistung betrachtet (obwohl sie als Dienstleistungsanbieter für andere Dienstleistungen angesehen werden kann). Siehe Multi-Mandantenanbieter und Dritter Dienstleistungsanbieter.

Dienstleistungscode

Drei- oder vierstelliger Wert im Magnetstreifen, der auf das Ablaufdatum der Zahlungskarte auf den Verfolgungsdaten folgt. Es wird für verschiedene Dinge verwendet, wie zum Definieren von Dienstleistungsattributen, zum Unterscheiden zwischen internationalem und nationalem Austausch oder zum Identifizieren von Nutzungsbeschränkungen.

DMZ

Abkürzung für „entmilitarisierte Zone“. Physisches oder logisches Unternetzwerk, das dem internen privaten Netzwerk einer Organisation eine zusätzliche Sicherheitsebene bietet.

DNS

Akronym für „Domänennamensystem."

Doppelte Kontrolle

Prozess der Verwendung von zwei oder mehr separaten Entitäten (normalerweise Personen), die zusammenarbeiten, um sensible Funktionen oder Informationen zu schützen. Beide Einheiten sind gleichermaßen für den physischen Schutz von Materialien verantwortlich, die an anfälligen Transaktionen beteiligt sind. Es ist keiner einzelnen Person gestattet, auf die Materialien (zum Beispiel den kryptografischen Schlüssel) zuzugreifen oder diese zu verwenden. Für die manuelle Schlüsselerzeugung, -beförderung, -ladung, -speicherung und -wiedergewinnung erfordert doppelte Kontrolle die Aufteilung der Kenntnis des Schlüssels unter den Entitäten. Siehe Gespaltenes Wissen.

DORA

Akronym für „Gesetz über die digitale Betriebsstabilität.“

Drittanbieter von Dienstleistungen (TPSP)

Jeder Dritte, der als Dienstleistungsanbieter im Namen einer Entität handelt. Siehe Multi-Mandantenanbieter und Dienstleistungsanbieter.

e

E-Commerce (web) Umleitungsserver

Ein Server, der einen Kundenbrowser von der Website eines Händlers an einen anderen Ort zur Zahlungsabwicklung während einer E-Commerce-Transaktion umleitet.

ECC

Akronym für „Elliptische-Kurven-Kryptographie." Siehe Starke Kryptographie.

Entfernbare elektronische Medien

Medien, die digitalisierte Daten speichern, die leicht entfernt und/oder von einem Computersystem zu einem anderen transportiert werden können. Beispiele für entfernbare elektronische Medien umfassen CD-ROM, DVD-ROM, USB-FlashLaufwerke und externe/tragbare Festplatten. In diesem Zusammenhang umfassen entfernbare elektronische Medien keine Hot-Swap-fähigen Laufwerke, Bandlaufwerke, die für Massen-Backups verwendet werden, oder andere Medien, die normalerweise nicht zum Transport von Daten von einem Standort zur Verwendung an einem anderen verwendet werden.

Entität

Im Zusammenhang mit einer PCI DSS-Bewertung, ein Begriff, der verwendet wird, um das Unternehmen, die Organisation oder das Geschäft, zu vertreten, das einer PCI DSS-Bewertung unterzogen wird.

Erwerber

Auch als „Handelsbank“, „erwerbende Bank“ oder „erwerbendes Finanzinstitut“ bezeichnet. Entität, in der Regel ein Finanzinstitut, das Zahlungskartentransaktionen für Händler verarbeitet und von einer Zahlungsmarke als Erwerber definiert wird. Erwerber unterliegen den Regeln und Prozeduren für Zahlungsmarken bezüglich der Händler-Einhaltung. Siehe Zahlungsverarbeiter.

f

Fernzugriff

Zugriff auf das Netzwerk einer Entität von einem Standort außerhalb dieses Netzwerks. Ein Beispiel für eine Technologie für den Fernzugriff ist ein VPN.

Festplattenverschlüsselung

Technik oder Technologie (entweder Software oder Hardware) zum Verschlüsseln aller gespeicherten Daten auf einem Gerät (zum Beispiel einer Festplatte oder einem Flash-Laufwerk). Alternativ wird Verschlüsselung auf Dateiebene oder Datenbankverschlüsselung auf Spaltenebene verwendet, um Inhalte bestimmter Dateien oder Spalten zu verschlüsseln.

Firewall

Hardware- und/oder Softwaretechnologie, die Netzwerkressourcen vor nicht autorisiertem Zugriff schützt. Eine Firewall erlaubt oder verweigert Computerverkehr zwischen Netzwerken mit unterschiedlichen Sicherheitsstufen basierend auf einer Reihe von Regeln und anderen Kriterien.

Forensik

Auch als „Computerforensik“ bezeichnet. Da sie sich auf Informationssicherheit bezieht, die Anwendung von Untersuchungstools und Analysetechniken, um Beweise aus Computerressourcen zu sammeln, um die Ursache von Datenkompromittierungen zu bestimmen. Untersuchungen zur Kompromittierung von Zahlungsdaten werden in der Regel von einem PCI Forensischen Ermittler (PFI) durchgeführt.

FTP

Akronym für „Dateiübertragungsprotokoll.“ Netzwerkprotokoll zur Übertragung von Daten von einem Computer zu einem anderen über ein öffentliches Netzwerk wie das Internet. FTP wird weitgehend als unsicheres Protokoll angesehen, da Passwörter und Dateiinhalte ungeschützt und im Klartext gesendet werden. FTP kann sicher über SSH oder andere Technologien implementiert werden.

g

GEAR

Akronym für „Global Executive Assessor Roundtable.”

Generierung des kryptografischen Schlüssels

Die Schlüsselgenerierung ist eine der Funktionen innerhalb der Schlüsselverwaltung. Die folgenden Dokumente stellen anerkannte Anleitungen zur ordnungsgemäßen Schlüsselgenerierung bereit:

  • NIST Special Publication 800-133: Empfehlung für die Generierung kryptografischer Schlüssel
  • ISO 11568-2 Finanzdienstleistungen – Schlüsselverwaltung (Einzelhandel) — Teil 2: Symmetrische Chiffren, ihre Schlüsselverwaltung und ihr Lebenszyklus
    • 4.3 Schlüsselgenerierung
  • ISO 11568-4 Finanzdienstleistungen – Schlüsselverwaltung (Einzelhandel) — Teil 4: Asymmetrische Kryptosysteme – Schlüsselverwaltung und Lebenszyklus
    • 6.2 Schlüssel-Lebenszyklusphasen - Generierung
  • European Payments Council EPC 342-08 Richtlinien zur Verwendung von Algorithmen und zur Schlüsselverwaltung
    • 6.1.1 Schlüsselgenerierung [für symmetrische Algorithmen]
    • 6.2.1 Schlüsselgenerierung [für asymmetrische Algorithmen].

Geringste Privilegien

Das Mindestmaß an Privilegien, das erforderlich ist, um die Rollen und Verantwortlichkeiten der Jobfunktion durchzuführen.

Gesetzliche Ausnahme

Eine rechtliche Einschränkung aufgrund eines lokalen oder regionalen Gesetzes, einer Verordnung oder einer behördlichen Vorschrift, wenn die Erfüllung einer PCI DSS-Anforderung gegen dieses Gesetz, diese Verordnung oder diese behördliche Vorschrift verstoßen würde. Vertragliche Verpflichtungen oder Rechtsberatung sind keine rechtlichen Beschränkungen. Informationen zur Meldung von rechtlichen Ausnahmen finden Sie in den folgenden PCI DSS v4.x-Dokumenten:

  • Die Vorlage für den Einhaltungsbericht (ROC) und die zugehörigen Konformitätsbescheinigungen.
  • Die Fragebogen zur Selbsteinschätzung (SAQs) und die zugehörigen Konformitätsbescheinigungen.

Hinweis: Wenn ein Unternehmen an mehreren Standorten tätig ist, kann eine rechtliche Ausnahme nur für die Standorte geltend gemacht werden, für die das Gesetz, die Verordnung oder die regulatorische Anforderung gilt, und nicht für Standorte, an denen das Gesetz, die Verordnung oder die regulatorische Anforderung nicht anwendbar ist.

Gespaltenes Wissen

Eine Methode, bei der zwei oder mehr Entitäten getrennt Schlüsselkomponenten oder Schlüsselanteile haben, die einzeln keine Kenntnis des resultierenden kryptografischen Schlüssels vermitteln.

Gezielte Risikoanalyse

Für PCI DSS-Zwecke eine Risikoanalyse, die sich auf eine oder mehrere bestimmte PCI DSS-Anforderung(en) von Interesse konzentriert, entweder weil die Anforderung Flexibilität erlaubt (zum Beispiel in Bezug auf die Häufigkeit) oder, für den kundenspezifischen Ansatz, um zu erklären, wie die Entität das Risiko bewertet hat und bestimmt hat, dass die kundenspezifische Kontrolle die Zielsetzung einer PCI-DSS-Anforderung erfüllt.

h

Händler

Für die Zwecke des PCI DSS wird ein Händler als jede Entität definiert, die Zahlungskarten mit den Logos einer am PCI SSC teilnehmenden Zahlungsmarke als Zahlung für Waren und/oder Dienstleistungen akzeptiert. Ein Händler, der Zahlungskarten als Zahlungsmittel für Waren und/oder Dienstleistungen akzeptiert, kann auch ein Dienstleistungsanbieter sein, wenn die verkauften Dienstleistungen dazu führen, dass Karteninhaberdaten im Auftrag anderer Händler oder Dienstleistungsanbieter gespeichert, verarbeitet oder übertragen werden. Zum Beispiel ist ein ISP ein Händler, der Zahlungskarten für die monatliche Abrechnung akzeptiert, aber auch ein Dienstleistungsanbieter, wenn er Händler als Kunden hostet.

Hashing

Eine Methode zum Schützen von Daten, die Daten in einen Nachrichtenauszug mit fester Länge konvertiert. Hashing ist eine einseitige (mathematische) Funktion, bei der ein nicht geheimer Algorithmus eine Nachricht beliebiger Länge als Eingabe nimmt und eine Ausgabe fester Länge erzeugt (normalerweise als „Hash-Code“ oder „Meldungsübersicht“ bezeichnet). Hash-Funktionen müssen die folgenden Eigenschaften haben:
  • Es ist rechnerisch nicht möglich, die ursprüngliche Eingabe nur anhand des Hash-Codes zu bestimmen.
  • Es ist rechnerisch nicht möglich, zwei Eingaben zu finden, die denselben Hash-Code angeben.

HSM

Akronym für „Hardware-Sicherheitsmodul“ oder „Host-Sicherheitsmodul“. Ein physisch und logisch geschütztes Hardwaregerät, das einen sicheren Satz kryptografischer Dienstleistungen bereitstellt, die für kryptografische Schlüsselverwaltungsfunktionen und/oder die Entschlüsselung von Kontodaten verwendet werden.

i

IDS

Akronym für „Eindringungs-Erkennungs-System.“

Interaktive Anmeldung

Der Prozess von einer Person, die Authentifizierungs-Anmeldeinformationen bereitstellt, um sich direkt bei einem Anwendungs- oder Systemkonto anzumelden. Verwendung der interaktiven Anmeldung bedeutet, dass es keine Verantwortung oder Rückverfolgbarkeit der von der Person ergriffenen Aktionen gibt.

IPS

Akronym für „Eindringungs-Verhinderungs-System.“

ISA

Akronym für „Interner Sicherheitsgutachter.“

ISO

Akronym für „International Organization for Standardization.”

k

Karten-Skimmer

Ein physisches Gerät, das häufig an ein legitimes Kartenlesegerät angeschlossen ist und dazu dient, die Informationen einer Zahlungskarte unrechtmäßig zu erfassen und/oder zu speichern.

Karteninhaber

Kunde, für den eine Zahlungskarte ausgestellt wurde, oder jede Person, die zur Verwendung der Zahlungskarte autorisiert ist. Siehe Besucher.

Karteninhaberdaten (CHD)

Karteninhaberdaten bestehen mindestens aus der vollständigen PAN. Karteninhaberdaten können auch in Form der vollständigen PAN plus Folgendes erscheinen: Name des Karteninhabers, Ablaufdatum und/oder Dienstleistungscode. Siehe Sensible Authentifizierungsdaten für zusätzliche Datenelemente, die möglicherweise im Rahmen einer Zahlungstransaktion übertragen oder verarbeitet (aber nicht gespeichert) werden.

Kartenverifizierungscode

Wird auch als Kartenvalidierungscode oder -wert oder Kartensicherheitscode bezeichnet. Für PCI-DSS-Zwecke ist er der drei- oder vierstellige Wert, der auf der Vorder- oder Rückseite einer Zahlungskarte aufgedruckt ist. Kann entsprechend den individuellen teilnehmenden Zahlungsmarken als CAV2, CVC2, CVN2, CVV2 oder CID bezeichnet werden. Wenden Sie sich für weitere Informationen an die teilnehmenden Zahlungsmarken.

Klartextdaten

Unverschlüsselte Daten.

KMO

Akronym für „Schlüsselmanagementprozesse.“

Kommerziell von der Stange (COTS)

Beschreibung von Produkten, die Lagerartikel sind, die nicht speziell für einen bestimmten Kunden oder Benutzer angepasst oder entwickelt wurden und zur Verwendung sofort verfügbar sind.

Kompensierende Kontrollen

Siehe PCI DSS Anhänge B und C.

Kompromittierung

Auch als „Datenkompromittierung“ oder „Datenverletzung“ bezeichnet. Eindringen in ein Computersystem, bei dem der Verdacht besteht, dass nicht autorisierte Offenlegung/Diebstahl, Änderung oder Zerstörung von Karteninhaberdaten vorliegt.

Konsole

Direkt angeschlossener Bildschirm und/oder Tastatur, die den Zugriff auf und die Kontrolle eines Servers, MainframeComputers oder eines anderen Systemtyps erlaubt. Siehe Zugriff ohne Konsole.

Konto

Wird auch als "Benutzer-ID", "Konto-ID" oder "Anwendungs-ID" bezeichnet. Wird verwendet, um eine Person oder einen Prozess auf einem Computersystem zu identifizieren. Siehe Authentifizierungs-Anmeldeinformationen und Authentifizierungsfaktor.

Kontodaten

Kontodaten bestehen aus Karteninhaberdaten und/oder sensiblen Authentifizierungsdaten Siehe Karteninhaberdaten und Sensible Authentifizierungsdaten.

Kritische Systeme

Ein System oder eine Technologie, die von der Entität als besonders wichtig erachtet wird. Zum Beispiel kann ein kritisches System für die Durchführung eines Geschäftsbetriebs oder für die Aufrechterhaltung einer Sicherheitsfunktion wesentlich sein. Beispiele für kritische Systeme umfassen häufig Sicherheitssysteme, öffentlich zugängliche Geräte und Systeme, Datenbanken und Systeme, die Karteninhaberdaten speichern, verarbeiten oder übertragen.

Kryptografischer Schlüsse

Ein Parameter, der in Verbindung mit einem kryptografischen Algorithmus verwendet wird, der für Betriebe wie die folgenden verwendet wird:

  • Umwandlung von Klartextdaten in Chiffretextdaten,
  • Umwandlung von Chiffretextdaten in Klartextdaten,
  • Eine aus Daten berechnete digitale Unterschrift,
  • Verifizierung einer aus Daten berechneten digitalen Unterschrift,
  • Ein aus Daten berechneter Authentifizierungscode, oder
  • Eine Vereinbarung zum Austausch eines gemeinsamen Geheimnisses.

Siehe Starke Kryptographie.

Kryptographischer Algorithmus

Auch als „Verschlüsselungsalgorithmus“ bezeichnet. Ein klar spezifizierter umkehrbarer mathematischer Prozess, der zum Umwandeln von Klartextdaten in verschlüsselte Daten und umgekehrt verwendet wird. Siehe Starke Kryptographie.

Kryptoperiode

Die Zeitspanne, in der ein kryptografischer Schlüssel für seinen definierten Zweck verwendet werden kann. Wird häufig in Bezug auf den Zeitraum definiert, für den der Schlüssel aktiv ist, und/oder die Menge an Chiffretext, die vom Schlüssel erzeugt wurde, und gemäß bewährten Praktiken und Richtlinien der Branche (zum Beispiel NIST Special Publication 800- 57).

Kundenspezifischer Ansatz

Siehe „PCI DSS-Abschnitt: 8Ansätze zur Implementierung und Validierung von PCI DSS“.

l

LAN

Akronym für „lokales Netzwerk."

LDAP

Akronym für „Leichtes Verzeichniszugriffsprotokoll“

Logische Zugriffskontrolle

Mechanismen, die die Verfügbarkeit von Informationen oder informationsverarbeitenden Ressourcen nur auf autorisierte Personen oder Anwendungen beschränken. Siehe Physische Zugriffskontrolle.

m

MAC

In Kryptografie, ein Akronym für „Authentifizierungscode der Nachricht“. Siehe Starke Kryptographie.

Magnetstreifendaten

Siehe Nachverfolgungsdaten.

Maskierung

Methode zum Verbergen eines PAN-Segments, wenn es angezeigt oder gedruckt wird. Die Maskierung wird verwendet, wenn keine geschäftliche Notwendigkeit besteht, die gesamte PAN anzuzeigen. Maskierung bezieht sich auf den Schutz der PAN bei Anzeige auf Bildschirmen, Papierbelegen, Ausdrucken usw.

Maßgeschneiderte und kundenspezifische Software

Maßgeschneiderte Software wird für die Entität von einem Dritten im Namen der Entität und gemäß den Spezifikationen der Entität entwickelt. Kundenspezifische Software wird von der Entität für den eigenen Gebrauch entwickelt.

Medien

Physisches Material, einschließlich, aber nicht beschränkt auf elektronische Speichergeräte, entfernbare elektronische Medien und Berichte in Papierform.

MO/TO

Akronym für „Versandbestellung/Telefonbestellung.“

MPoC

Akronym für „Mobile Zahlungen auf COTS.”

Multi-Faktor-Authentifizierung

Methode zur Authentifizierung eines Benutzers, bei dem mindestens zwei Faktoren verifiziert werden. Diese Faktoren umfassen etwas, das der Benutzer hat (wie eine Smartcard oder ein Dongle), etwas, das der Benutzer weiß (wie ein Passwort, eine Passphrase oder eine PIN) oder etwas, das der Benutzer ist oder tut (wie Fingerabdrücke und andere biometrische Elemente).

Multi-Mandanten Dienstleistungsanbieter

Eine Art von dritten Dienstleistungsanbietern, die verschiedene geteilte Dienstleistungen an Händler und andere Dienstleistungsanbieter anbietet, bei denen Kunden Systemressourcen gemeinsam nutzen (wie physische oder virtuelle Server), Infrastruktur, Anwendungen (einschließlich Software als eine Dienstleistung (SaaS)) und/oder DatenbankenDienstleistungen können Hosten von mehreren Entitäten auf einem einzigen geteilten Server, Bereitstellen von E-Commerce und/oder „Warenkorb“-Dienstleistungen, web-basierte Host-Dienstleistungen, Zahlungsanwendungen, verschiedene Cloudanwendungen und Dienstleistungen, und Verbindung zu Zahlungs-gateways und –prozessoren einschließen, sind aber nicht darauf beschränkt. Siehe Dienstleistungsanbieter und Dritte Dienstleistungsanbieter.

n

NAC

Akronym für „Netzwerkzugriffskontrolle.“

Nachverfolgungsdaten

Auch als „vollständige Verfolgungsdaten“ oder „Magnetstreifendaten“ bezeichnet. Im Magnetstreifen oder Chip verschlüsselte Daten, die zur Authentifizierung und/oder Autorisierung bei Zahlungsvorgängen verwendet werden. Kann das Magnetstreifenbild auf einem Chip oder die Verfolgungsdaten auf dem Magnetstreifen sein.

NAT

Akronym für „Netzwerkadressübersetzung.“

Netzwerkdiagramm

Ein Diagramm, das Systemkomponenten und Verbindungen innerhalb einer vernetzten Umgebung zeigt.

Netzwerksicherheitskontrollen (NSC)

Firewalls und andere Netzwerksicherheitstechnologien, die als Durchsetzungspunkte für Netzwerkrichtlinien fungieren. NSCs kontrollieren normalerweise den Netzwerkverkehr zwischen zwei oder mehr logischen oder physischen Netzwerksegmenten (oder Unternetzen) basierend auf vordefinierten Richtlinien oder Regeln.

Netzwerkverbindung

Ein logischer, physischer oder virtueller Kommunikationspfad zwischen Geräten, der das Senden und Empfangen von Netzwerkschichtpaketen gestattet.

Nicht vertrauenswürdiges Netzwerk

Jedes Netzwerk, das nicht der Definition eines „vertrauenswürdigen Netzwerks“ erfüllt.

NIST

Akronym für „National Institute of Standards and Technology.” Nicht regulierende Bundesbehörde in den USA Technologieadministration des Handelsministeriums.

NTP

Akronym für „Netzwerkzeitprotokoll.“

o

Objekt auf Systemebene

Alles auf einer Systemkomponente, das für deren Betrieb erforderlich ist, einschließlich, aber nicht beschränkt auf ausführbare Anwendungsdateien und Konfigurationsdateien, Systemkonfigurationsdateien, statische und gemeinsam genutzte Bibliotheken und DLLs, ausführbare Systemdateien, Gerätetreiber und Gerätekonfigurationsdateien, und Komponenten von Dritten.

Organisatorische Unabhängigkeit

Eine organisatorische Struktur, die sicherstellt, dass kein Interessenkonflikt zwischen der Person oder Abteilung, die die Aktivität durchführt, und der Person oder Abteilung, die die Aktivität bewertet, besteht. Zum Beispiel sind Personen, die Bewertungen durchführen, organisatorisch von der Verwaltung der zu bewertenden Umgebung getrennt.

OWASP

Akronym für „Offenes Weltweit-Sicherheitsprojekt.”

p

P2PE

Akronym für „Punkt-zu-Punkt-Verschlüsselung.“

PAN

Akronym für „Primäre Kontonummer (PAN).” Eindeutige Zahlungskartennummer (Kredit-, Debit- oder Prepaid-Karten usw.), die den Aussteller und das Karteninhaberkonto identifiziert.

Passwort / Passphrase

Eine Zeichenfolge, die als Authentifizierungsfaktor für einen Benutzer oder ein Konto dient.

Patch

Vorhandene Software aktualisieren, um Funktionen hinzuzufügen oder einen Fehler zu korrigieren.

PCI DSS

Akronym für „Payment Card Industry Data Security Standard“ (Zahlungskartenbranche Datensicherheitsstandard).

Personal

Vollzeit- und Teilzeitbeschäftigte, Zeitarbeitskräfte, Auftragnehmer und Berater mit Sicherheitsverantwortungen für den Schutz von Kontodaten oder die sich auf die Sicherheit von Karteninhaberdaten und/oder sensiblen Authentifizierungsdaten auswirken können. Siehe Besucher.

Phishing-resistente Authentifizierung

Authentifizierung, die die Offenlegung und Verwendung von Authentifizierungsgeheimnissen gegenüber einer Partei verhindern soll, die nicht das legitime System ist, bei dem sich der Benutzer zu authentifizieren versucht (z. B. durch In-theMiddle- (ITM) oder Impersonation-Angriffe). Phishing-resistente Systeme setzen häufig asymmetrische Kryptografie als zentrale Sicherheitskontrolle ein. Systeme, die ausschließlich auf wissensbasierten oder zeitlich begrenzten Faktoren wie Passwörtern oder EinmalPasswörtern (OTPs) beruhen, gelten nicht als phishing-resistent, ebenso wenig wie SMS oder magische Links. Beispiele für eine phishing-resistente Authentifizierung sind FIDO2.

Physische Zugriffskontrolle

Mechanismen, die den Zugriff auf einen physischen Raum oder eine Umgebung nur Mechanismen, die den Zugang zu einem physischen Raum oder einer Umgebung nur auf autorisierte Personen beschränken. Siehe Logische Zugriffskontrolle.

PIN

Akronym für ""persönliche Identifizierungsnummer."" Geheimes numerisches Passwort, das nur dem Benutzer und dem System bekannt ist und zur Authentifizierung des Benutzers gegenüber dem System verwendet wird. Der Benutzer erhält nur dann Zugriff, wenn die vom Benutzer bereitgestellte PIN mit der im System gespeicherten PIN übereinstimmt. Typische PINs werden bei Geldautomaten (ATMs) für Bargeldabhebungstransaktionen verwendet. Eine weitere Art von PIN wird bei EMV-Chipkarten verwendet, bei denen die PIN die Unterschrift des Karteninhabers ersetzt.

PIN-Block

Ein Datenblock, der verwendet wird, um eine PIN während der Verarbeitung zu kapseln. Das PIN-Blockformat definiert den Inhalt des PIN-Blocks und wie dieser verarbeitet wird, um die PIN zu ermitteln. Der PIN-Block besteht aus der PIN, der PIN-Länge und kann eine Teilmenge der PAN enthalten.

POI

Akronym für „Punkt der Wechselwirkung“, der Ausgangspunkt, an dem Daten von einer Karte gelesen werden. Ein elektronisches Produkt zur Annahme von Transaktionen; ein POI (Point of Interaction) besteht aus Hardware und Software und ist in Akzeptanzgeräten integriert, um es einem Karteninhaber zu ermöglichen, eine Kartentransaktion durchzuführen. Ein POI kann bedient oder unbedient sein. POI-Transaktionen sind in der Regel zahlungskartenbasierte Transaktionen mit Chipkarten (integrierter Schaltkreis) und/oder Magnetstreifenkarten.

PPO’s

Akronym für „Hauptteilnehmende Organisation.“

Privilegierter Benutzer

Ein Benutzerkonto mit mehr als grundlegenden Zugriffsprivilegien. Diese Konten haben typischerweise erhöhte oder erweiterte Privilegien mit mehr Rechten als ein Standardbenutzerkonto. Der Umfang der Privilegien über verschiedene privilegierte Konten hinweg kann jedoch je nach Organisation, Jobfunktion oder Rolle und verwendeter Technologie stark variieren.

Protokoll

Siehe Audit-Protokoll.

Punkt des Verkaufs-System (POS)

Hardware und Software, die von Händlern verwendet wird, um Zahlungen von Kunden zu akzeptieren. Kann-POI-Geräte, Pin-Pads, elektronische Bargeldregister usw. Einschließen.

q

QIR

Akronym für „Qualifizierter Integrator oder Wiederverkäufer.“ Siehe das QIR Program Guide auf der PCI SSC-Website für mehr Informationen.

QPA

Akronym für „Qualifizierter PIN-Gutachter.“

QSA

Akronym für „Qualifizierter Sicherheitsbewerter.“ QSA-Unternehmen sind von PCI SSC PCI SSC qualifiziert, um die Einhaltung der PCI DSS-Anforderungen durch eine Entität vor Ort zu validieren. Siehe dazu die QSA Qualifizierungsanforderungen über Details zu den Anforderungen für QSA-Unternehmen und -Mitarbeiter.

r

REB

Akronym für „Regionales Engagement-Gremium.”

RFC

Akronym für „Bitte um Kommentar.“

Risikobewertung

Prozess der Risikoklassifizierung, um Elemente in der Reihenfolge ihrer Wichtigkeit zu identifizieren, zu priorisieren und zu adressieren.

Risikoklassifizierung

Unternehmensweiter Prozess, der wertvolle Systemressourcen und Bedrohungen identifiziert; quantifiziert Verlustexpositionen (d. h. das Verlustpotenzial) basierend auf geschätzten Häufigkeiten und Kosten des Auftretens; und empfiehlt (optional), wie Ressourcen für Gegenmaßnahmen zugeordnet werden, um die Gesamtexposition zu minimieren. Siehe Gezielte Risikoanalyse.

ROC

Akronym für „Bericht zur Einhaltung.“ Berichtstool zur Dokumentation detaillierter Ergebnisse der PCI DSS-Bewertung einer Entität.

RRG

Akronym für „Roadmap Roundtable-Gruppe.”

RSA

Algorithmus zur Öffentlicher Schlüssel-Verschlüsselung. Siehe Starke Kryptographie.

s

SAQ

Akronym für „Fragebogen zur Selbstbewertung“. Berichtstool zur Dokumentation von Ergebnissen der PCI DSSSelbstbewertung einer Entität.

Schlüsselverwalter

Eine Rolle, bei der eine oder mehrere Personen mit der Erfüllung von Schlüsselverwaltungsaufgaben betraut und dafür verantwortlich sind, die geheime und/oder private Schlüssel, Schlüsselanteile oder Schlüsselkomponenten im Namen einer Entität einbeziehen.

Schlüsselverwaltungssystem

Eine Kombination aus Hardware und Software, die einen integrierten Ansatz zum Generieren, Verteilen und/oder Verwalten kryptografischer Schlüssel für Geräte und Anwendungen bereitstellt.

Scoping

Prozess zur Identifizierung aller Systemkomponenten, Personen und Prozesse, die in eine PCI DSS-Bewertung einbezogen werden sollen. Siehe dem PCI DSS-Abschnitt: 4 Scope von PCI DSS-Anforderungen.

Segmentierung

Wird auch als „Netzwerksegmentierung“ oder „Isolation“ bezeichnet. Segmentierung isoliert Systemkomponenten, die Karteninhaberdaten speichern, verarbeiten oder übertragen, von Systemen, die dies nicht tun. Siehe „Segmentierung“ in dem PCI DSS-Abschnitt: 4 Scope von PCI DSS-Anforderungen.

Sensible Authentifizierungsdaten (SAD)

Sicherheitsbezogene Informationen, die verwendet werden, um Karteninhaber zu authentisieren und/oder Zahlungskartentransaktionen autorisieren. Diese Informationen umfassen, sind aber nicht beschränkt auf Verifizierungscodes für die Kartenvalidierung, vollständige Verfolgungsdaten (vom Magnetstreifen oder einem gleichwertigen Chip), PINs und PIN-Sperren.

Sensibler Bereich

Ein sensibler Bereich ist in der Regel eine Teilmenge der CDE und jeder Bereich, in dem sich Systeme befinden, die als kritisch für die CDE betrachtet werden. Dies umfasst Rechenzentren, Serverräume, Backoffice-Räume an Einzelhandelsstandorten und alle Bereiche, die die Speicherung, Verarbeitung oder Übertragung von Karteninhaberdaten konzentriert oder zusammenfasst. Sensible Bereiche umfassen auch Bereiche, die Systeme unterbringen, die die Sicherheit der CDE verwalten oder aufrechterhalten (zum Beispiel solche, die Netzwerksicherheitskontrollen bereitstellen oder die physische oder logische Sicherheit verwalten). Davon ausgenommen sind Bereiche, in denen nur Verkaufsstellen-Terminals vorhanden sind, wie die Kassenbereiche in einem Einzelhandelsgeschäft oder Callcenter, in denen Agenten Zahlungen entgegennehmen.

Sichere Codierung

Der Prozess der Erstellung und Implementierung von Anwendungen, die gegen Manipulation und/oder Kompromittierung resistent sind.

Sicherheitsbeauftragter

Primäre Person, die für die Sicherheit einer Entität verantwortlich ist.

Sicherheitsereignis

Ein Vorfall, der von einer Organisation als potenzielle Auswirkungen auf die Sicherheit für ein System oder seine Umgebung zu haben angesehen wird. Im Zusammenhang mit PCI DSS identifizieren Sicherheitsereignisse verdächtige oder anomale Aktivitäten.

SNMP

Akronym für „Einfaches Netzwerkverwaltungsprotokoll.“

Software von Dritten

Software, die von einer Entität erworben, aber nicht ausdrücklich für diese entwickelt wurde. Es kann Offene Quelle, Freeware, Shareware oder gekauft sein.

Spaltenebene Datenbankverschlüsselung

Technik oder Technologie (entweder Software oder Hardware) zum Verschlüsseln des Inhalts einer bestimmten Spalte in einer Datenbank gegen den vollständigen Inhalt der gesamten Datenbank. Alternativ siehe Festplattenverschlüsselung und Verschlüsselung auf Dateiebene.

SQL

Akronym für „Strukturierte Abfragesprache."

SSH

Abkürzung für „Secure Shell“.

SSL

Akronym für „Secure Sockets Layer.”

Standardkonto

Anmeldekonto, das in einem System, einer Anwendung, oder einem Gerät vordefiniert ist, um den anfänglichen Zugriff zu gestatten, wenn das System zum ersten Mal in Betrieb genommen wird. Als Teil des Installationsvorgangs können auch zusätzliche Standardkonten vom System generiert werden.

Standardpasswort

Passwort für Systemadministration, Benutzer oder Dienstleistungskonten die in einem System, einer Anwendung, oder einem Gerät vordefiniert sind; das normalerweise mit dem Standardkonto verbunden ist. Standardkonten und Passwörter sind veröffentlicht und bekannt und daher leicht zu erraten.

Starke Kryptographie

Kryptographie ist eine Methode zum Schutz von Daten durch einen umkehrbaren Verschlüsselungsprozess und ein grundlegendes Primitiv, das in vielen Sicherheitsprotokollen und -dienstleistungen verwendet wird. Starke Kryptografie basiert auf branchengetesteten und anerkannten Algorithmen zusammen mit Schlüssellängen, die mindestens 112 Bit effektive Schlüsselstärke und ordnungsgemäße Schlüsselverwaltungspraktiken bereitstellen. Die effektive Schlüsselstärke kann kürzer sein als die tatsächliche „Bit“-Länge des Schlüssels, was dazu führen kann, dass Algorithmen mit größeren Schlüsseln einen geringeren Schutz bieten als Algorithmen mit kleineren tatsächlichen, aber größeren effektiven Schlüsselgrößen. Es wird empfohlen, dass alle neuen Implementierungen eine effektive Schlüsselstärke von mindestens 128 Bit verwenden. Beispiele für Branchenreferenzen zu kryptografischen Algorithmen und Schlüssellängen umfassen:

  • NIST Special Publication 800-57 Teil 1,
  • BSI TR-02102-1,
  • ECRYPT-CSA D5.4 Algorithms, Key Size and Protocols Report (2018), und
  • ISO/IEC 18033- Encryption Algorithms, und
  • ISO/IEC 14888-3:2-81 IT Security techniques – Digital signatures with appendix Teil 3: Discrete logarithm based mechanisms.

Systemkomponenten

Alle Netzwerkgeräte, Server, Computergeräte, virtuellen Komponenten oder Software, die in der CDE enthalten oder mit ihr verbunden sind oder die sich auf die Sicherheit von Karteninhaberdaten und/oder sensiblen Authentifizierungsdaten auswirken könnten.

t

TAB

Akronym für „Technischer Beirat.“

TDES

Akronym für „Triple Data Encryption Standard.” Auch als „3DES“ oder „Triple DES“ bezeichnet.

Teilnehmende Zahlungsmarke

Auch als "Zahlungsmarke" bezeichnet. Eine Zahlungskartenmarke, die zum fraglichen Zeitpunkt dann offiziell als (oder ein verbundenes Unternehmen von) Mitglied des PCI SSC gemäß seinen maßgeblichen Dokumenten zugelassen wird. Zum Zeitpunkt der Abfassung dieses Berichts gehören zu den teilnehmenden Zahlungsmarken PCI SSC-Gründungsmitglieder und strategische Mitglieder.

TELNET

Abkürzung für „Telefon-Netzwerk-Protokoll.“

TGG

Akronym für „Technologie-Beratungsgruppe.”

TLS

Akronym für „Sicherheit der Transportschicht“.

Token

Im Zusammenhang mit Authentifizierung und Zugriffskontrolle ist ein Token ein Wert, der von Hardware oder Software bereitgestellt wird, die mit einem Authentifizierungsserver oder VPN zusammenarbeitet, um eine dynamische oder MultiFaktor-Authentifizierung durchzuführen.

Trennung von Aufgaben

Die Praxis, Schritte in einer Funktion auf mehrere Personen aufzuteilen, um zu verhindern, dass eine einzelne Person den Prozess untergräbt.

u

Überwachung der Dateiintegrität (FIM)

Eine Änderungserkennungslösung, die Änderungen, Hinzufügungen und Löschungen an kritischen Dateien überprüft, und benachrichtigt, wenn solche Änderungen erkannt werden.

v

Verbraucher

Individueller Karteninhaber kauft Waren, Dienstleistungen oder beides.

Verletzlichkeit

Fehler oder Schwäche, die, wenn sie ausgenutzt wird, zu einer absichtlichen oder unabsichtlichen Kompromittierung eines Systems führen kann.

Verschlüsselter kryptographischer Hash

Eine Hashing-Funktion, die einen zufällig generierten geheimen Schlüssel enthält, um brutale Gewalt-Angriffs-Widerstand und die Integrität der geheimen Authentifizierung bereitzustellen. Geeignete verschlüsselte kryptografische Hashing-Algorithmen beinhalten, sind aber nicht beschränkt auf: HMAC, CMAC und GMAC mit einer effektiven kryptografischen Stärke von mindestens 128 Bit (NIST SP 800-131Ar2). Im Folgenden finden Sie weitere Informationen über HMAC, CMAC und GMAC: NIST SP 800-107r1, NIST SP 800-38B, und NIST SP 800-38D). Siehe NIST SP 800-107 (Revision 1): Empfehlung für Anwendungen, die zugelassene Hash-Algorithmen verwenden §5.3.

Verschlüsselung

Die (umkehrbare) Umwandlung von Daten durch einen kryptografischen Algorithmus, um Chiffretext zu erzeugen, d. h. den Informationsinhalt der Daten zu verbergen. Siehe Starke Kryptographie.

Verschlüsselung auf Dateiebene

Technik oder Technologie (entweder Software oder Hardware) zum Verschlüsseln des vollständigen Inhalts bestimmter Dateien. Alternativ siehe Festplattenverschlüsselung und Datenbankverschlüsselung auf Spaltenebene.

Verschlüsselungsalgorithmus

Siehe Kryptographischer Algorithmus.

Vertrauenswürdiges Netzwerk

Netzwerk einer Entität das von der Entität kontrolliert oder verwaltet werden kann und das die anwendbaren PCI DSSAnforderungen erfüllt.

Verwaltung des kryptografischen Schlüssels

Der Satz von Prozessen und Mechanismen, die die Etablierung und Wartung kryptografischer Schlüssel unterstützen, einschließlich des Ersetzens älterer Schlüssel durch neue Schlüssel, falls erforderlich.

Verzeichnistoken

Ein Zufallswert aus einer Tabelle mit Zufallswerten, der einem bestimmten PAN entspricht.

Virtualisierung

Die logische Abstraktion von Rechenressourcen von physischen und/oder logischen Beschränkungen. Eine gängige Abstraktion wird als virtuelle Maschinen oder VMs bezeichnet, die den Inhalt einer physischen Maschine nimmt und ihr gestattet, auf unterschiedlicher physischer Hardware und/oder zusammen mit anderen virtuellen Maschinen auf derselben physischen Hardware zu arbeiten. Andere gängige Abstraktionen umfassen, sind aber nicht beschränkt auf Container, serverloses Computing oder Mikrodienstleistungen.

Virtuelles Zahlungsterminal

Im Zusammenhang mit dem Fragebogen zur Selbstbewertung (SAQ) C-VT, ist ein virtuelles Zahlungsterminal ein webbrowserbasierter Zugriff auf einen Erwerber, Verarbeiter oder die Website eines dritten Dientleistungsanbieters, um Zahlungskartentransaktionen zu autorisieren, wenn der Händler Zahlungskartendaten über einen Webbrowser manuell eingibt. Im Gegensatz zu physischen Terminals lesen virtuelle Zahlungsterminals die Daten nicht direkt von einer Zahlungskarte. Da Zahlungskartentransaktionen manuell eingegeben werden, werden in Händlerumgebungen mit geringem Transaktionsvolumen typischerweise virtuelle Zahlungsterminals anstelle von physischen Terminals verwendet.

VPN

Akronym für "virtuelles privates Netzwerk."

w

Web Anwendung

Eine Anwendung, auf die im Allgemeinen über einen Webbrowser oder über Webdienstleistungen zugegriffen wird. Webanwendungen können über das Internet oder ein privates, internes Netzwerk verfügbar sein.

z

Zahlungskanal

Methoden, die von Händlern verwendet werden, um Zahlungen von Kunden zu akzeptieren. Übliche Zahlungskanäle schließen Karte vorhanden (bei der Person), und Karte nicht vorhanden (E-Commerce unde MO/TO) ein.

Zahlungskarte

Für Zwecke des PCI DSS jeder Zahlungskarten-Formfaktor, der das Logo einer am PCI SSC teilnehmenden Zahlungsmarke trägt.

Zahlungskarten-Formfaktor

Umfasst physische Zahlungskarten sowie Geräte mit Funktionalität, die eine Zahlungskarte emulieren, um eine Zahlungstransaktion einzuleiten. Beispiele für solche Geräte umfassen, sind aber nicht beschränkt auf Smartphones, Smartwatches, Fitnessarmbänder, Schlüsselanhänger und Tragbares wie Schmuck.

Zahlungsmarke

Eine Organisation mit gebrandeten Zahlungskarten oder anderen Formfaktoren für Zahlungskarten. Zahlungsmarken regeln, wo und wie die Zahlungskarten oder andere Formfaktoren, die ihre Marke oder ihr Logo tragen, verwendet werden. Eine Zahlungsmarke kann eine am PCI SSC teilnehmende Zahlungsmarke oder eine andere globale oder regionale Zahlungsmarke, ein System oder ein Netzwerk sein.

Zahlungsseite

Eine webbasierte Benutzerschnittstelle, die ein oder mehrere Formelemente enthält, die Kontodaten von einem Verbraucher erfassen oder erfasste Kontodaten für Zwecke der Verarbeitung und Autorisierung von Zahlungsvorgängen vorlegen sollen. Die Zahlungsseite kann wie folgt gerendert werden:
  • Ein einzelnes Dokument oder eine Instanz,
  • Ein Dokument oder eine Komponente, die in einem Inline-Rahmen innerhalb einer Nichtzahlungsseite angezeigt wird,

Mehrere Dokumente oder Komponenten, die jeweils ein oder mehrere Formelemente enthalten, die in mehreren Inline-Rahmen innerhalb einer Nichtzahlungsseite enthalten sind.

Zahlungsseitenskripts

Alle Programmiersprachenbefehle oder Anweisungen auf einer Zahlungsseite, die vom Browser eines Verbrauchers verarbeitet und/oder interpretiert werden, einschließlich Befehlen oder Anweisungen, die mit dem Dokumentobjektmodell einer Seite interagieren. Beispiele für Programmiersprachen sind JavaScript und VB-Script; weder Markup-Sprachen (zum Beispiel HTML) noch Style-Regeln (zum Beispiel CSS) sind Programmiersprachen.

Zahlungsverarbeiter

Manchmal auch als „Zahlungs-Gateway“ oder „Zahlungsdienstleistungsanbieter (PSP)“ bezeichnet. Entität, die von einem Händler oder einer anderen Entität beauftragt wurde, Zahlungskartentransaktionen in deren Namen abzuwickeln. Siehe Erwerber.

Zugriff ohne Konsole

Logischer Zugriff auf eine Systemkomponente, der über eine Netzwerkschnittstelle statt über eine direkte, physische Verbindung zur Systemkomponente erfolgt. Der Zugriff ohne Konsole umfasst den Zugriff aus lokalen/internen Netzwerken sowie den Zugriff aus externen oder entfernten Netzwerken.