PCI-DSS-Penetrationstest

PCI DSS Penetration Testing

Prüfen Sie interne und externe Angriffspfade, validieren Sie die Segmentierung und dokumentieren Sie Findings für Ihre PCI-DSS-Bewertung.

PCI DSS

Tests passend zu Ihrer Umgebung

Definieren Sie die Systeme, die Karteninhaberdaten speichern, verarbeiten oder übertragen, einschließlich verbundener Dienste und Segmentierungskontrollen.

Umfang

Die Karteninhaberdaten-Umgebung abdecken

Definieren Sie Anwendungen, APIs, Netzwerke, Cloud-Dienste und Segmentierungskontrollen im Prüfungsumfang.

Testen

Interne, externe und Segmentierungskontrollen prüfen

Prüfen Sie Angriffspfade in Anwendungen und Netzwerken über interne, externe und segmentierte Umgebungen hinweg.

Umbrella Web Application dashboard showing workflow status and severity with 8 findings in a donut chart.
Beheben

Findings beheben und nachtesten

Priorisieren Sie validierte Findings, beheben Sie wesentliche Probleme und führen Sie bei Bedarf Nachtests durch.

Welche Rolle Penetrationstests bei PCI DSS spielen

Anforderung 11.4 umfasst interne, externe und Segmentierungstests. Anforderung 6 enthält laufende Kontrollen für Webanwendungen, die ein punktueller Pentest nicht ersetzt.

Anforderung

Bezeichnung

Wie Blaze unterstützt

6.2.4

Sicherheit maßgeschneiderter Software

Prüft kundenspezifische Anwendungen, APIs, Authentifizierungs- und Autorisierungsabläufe sowie Geschäftslogik, die Zahlungsdaten offenlegen könnte.

6.4.1 / 6.4.2

Schutz öffentlich erreichbarer Webanwendungen

Bewertet öffentlich erreichbare Anwendungen und APIs auf ausnutzbare Schwachstellen in zahlungsbezogenen Systemen.

11.4.1

Methodik für Penetrationstests

Tests nach einer dokumentierten Methodik (NIST SP 800-115, OWASP, PTES), die die gesamte CDE und kritische Systeme abdeckt.

11.4.2

Interne Penetrationstests

Interne Netzwerk- und Systemtests bewerten, welche Ziele ein Angreifer oder kompromittierter Benutzer erreichen könnte.

11.4.3

Externe Penetrationstests

Externe Netzwerk- und Anwendungstests für öffentlich erreichbare Angriffspfade.

11.4.4

Behebung und Nachtests

Findings werden behoben und erneut getestet, um die Korrektur ausnutzbarer Schwachstellen zu bestätigen.

11.4.5 / 11.4.6

Segmentierungstests

Prüft, ob Segmentierungskontrollen die CDE von Systemen außerhalb des Umfangs isolieren (bei Dienstleistern alle sechs Monate).

Klare Nachweise für Sicherheitsteam und QSA

Sie erhalten einen klaren Umfang, validierte Findings, Empfehlungen zur Behebung und Berichte zur Prüfung durch Sicherheitsteam und QSA.

Check Circle

PCI-bezogener Umfang

Decken Sie relevante Anwendungen, APIs, Netzwerke, Cloud-Dienste und Segmentierungskontrollen ab.

Chart Donut

Validierte Findings

Sie erhalten Schweregrad, Auswirkungen, Reproduktionsschritte und praktische Empfehlungen zur Behebung.

Lock Simple

QSA-fähige Berichte

Teilen Sie Umfang, Methodik, Nachweise und Behebungsstatus mit Ihrem QSA.

Seal Check

Unabhängige Tests

Blaze ist CREST-akkreditiert. Findings werden vor der Übergabe geprüft.

Stack

Remediation-Workflow

Weisen Sie Findings zu, verfolgen Sie Fixes und halten Sie Sicherheits- und Compliance-Teams abgestimmt.

Lightning

Optionaler Nachtest

Bestätigen Sie, ob Fixes das ursprüngliche Finding beheben, und dokumentieren Sie das Ergebnis.

Relevante Findings wiederverwenden

Einige Findings können weitere Assurance-Arbeiten unterstützen. Jeder Standard hat weiterhin eigene Anforderungen.

01

SOC 2

Unterstützt SOC-2-Readiness und Customer Assurance.

Mehr erfahren
02

DSGVO

Unterstützen Sie die Risikobewertung und technische Schutzmaßnahmen für Systeme, die personenbezogene Daten verarbeiten.

Mehr erfahren
03

ISO 27001

Unterstützt ISMS-Risikobehandlung und Auditgespräche.

Mehr erfahren

Fragen zu PCI-DSS-Penetrationstests

Ja. Anforderung 11.4 verlangt dokumentierte interne und externe Penetrationstests, Behebung und Nachprüfung. Segmentierungstests gelten außerdem, wenn Segmentierung den PCI-DSS-Prüfumfang reduziert.
Anforderung 11.4 behandelt das Penetrationstestprogramm: Methodik, interne und externe Tests, Behebung, Nachprüfung und gegebenenfalls Segmentierungstests.
Tests sind grundsätzlich jährlich und nach wesentlichen Änderungen erforderlich. Für Segmentierungskontrollen gelten eigene Intervalle, darunter häufigere Tests für Dienstleister. Stimmen Sie den konkreten Zeitplan mit Ihrem QSA ab.
Ja. Interne und externe Tests untersuchen unterschiedliche Angriffswege in der Karteninhaberdatenumgebung, verbundenen Systemen sowie relevanten Anwendungs- und Netzwerkschichten.
Nein. Anforderung 6.4.2 verlangt den fortlaufenden automatisierten Schutz öffentlich erreichbarer Webanwendungen. Ein punktueller Pentest unterstützt die Behebung, ersetzt diese Kontrolle aber nicht.
Diese Anforderungen betreffen Autorisierung, Integrität, Inventarisierung und Änderungserkennung von Skripten auf Zahlungsseiten. Ein Pentest kann die Assurance unterstützen, implementiert diese fortlaufenden Kontrollen jedoch nicht.
Ja. Die Prüfung bestätigt, dass die Segmentierung die Karteninhaberdatenumgebung von Systemen außerhalb des Prüfumfangs isoliert. Ihr QSA sollte das anwendbare Intervall bestätigen.
Verwandte Leistungen

Erweitern Sie Ihr Zahlungssicherheitsprogramm

Ergänzen Sie breitere Tests oder Sicherheitsführung dort, wo Ihre Zahlungsumgebung sie benötigt.

Penetrationstests

Prüfen Sie Anwendungen, APIs, Cloud-Umgebungen, Netzwerke und verbundene Systeme über den PCI-Umfang hinaus.

Mehr erfahren

Red Teaming

Prüfen Sie, wie Menschen, Prozesse und Technologie auf einen zielorientierten Angriff reagieren.

Mehr erfahren

Fractional CISO

Ergänzen Sie laufende Verantwortung für Risiko, Assurance, Compliance Readiness und Berichterstattung.

Mehr erfahren

Planen Sie Ihren PCI-DSS-Pentest

Teilen Sie PCI-Umfang, Segmentierungsansatz und Bewertungszeitplan. Wir helfen, den passenden Test zu definieren.