PCI-DSS-v4.0.1-Compliance für die Netzwerkinfrastruktur
PCI DSS v4.0.1 bringt deutliche Änderungen an den Netzwerksicherheitskontrollen, darunter den neuen individuellen Ansatz und aktualisierte Anforderungen an Netzwerksegmentierung, Firewall-Regeln und sichere Konfigurationen. ConnectMyAssets unterstützt Sie bei den Netzwerkkontrollen der Anforderungen 1, 2, 10 und 11, die Umgebungen mit Karteninhaberdaten schützen, mit Nachweisen, die für Ihren QSA bereitliegen.
Die Zone der Karteninhaberdaten unter Kontrolle.
Warum PCI DSS v4.0.1 die Netzwerk-Compliance verändert
PCI DSS v4.0 hat v3.2.1 am 31. März 2024 abgelöst, und die Revision v4.0.1 ist seit Ende 2024 die gültige Fassung; die zunächst zurückgestellten Anforderungen sind seit dem 31. März 2025 verbindlich. Netzwerkkontrollen sind die Grundlage für den Schutz von Karteninhaberdaten.
Anforderung 1, Netzwerksicherheitskontrollen
Anforderung 1 (früher „Installation und Pflege einer Firewall“) verlangt nun „Netzwerksicherheitskontrollen“ (NSCs), ein weiter gefasster Begriff, der Firewalls, Cloud-Sicherheitsgruppen, NDR und SDN-Richtlinien umfasst. Alle NSC-Regelwerke müssen alle sechs Monate überprüft werden (1.2.7), und jede Allow-Regel muss mit einer geschäftlichen Begründung dokumentiert sein.
Anforderung 2, sichere Konfigurationen
Anforderung 2 verlangt, Herstellervorgaben zu ändern, unnötige Dienste zu entfernen und alle Systemkomponenten sicher zu konfigurieren. Die neue Unteranforderung 2.2.7 schreibt die Verschlüsselung jedes administrativen Zugriffs außerhalb der Konsole vor. Konfigurationsstandards müssen überprüft werden, wenn neue Schwachstellen bekannt werden.
Anforderung 10, Protokollierung und Überwachung
Anforderung 10 verlangt die Protokollierung aller Zugriffe auf Systemkomponenten und Karteninhaberdaten. Neu in v4.0.1: automatisierte Mechanismen, die Ausfälle der Sicherheitsprotokollierung erkennen und melden (10.7.2), und die Prüfung aller übrigen Protokollarten mindestens einmal alle 12 Monate (10.4.1.1).
Anforderung 11, Sicherheitstests
Anforderung 11 verlangt regelmäßige Sicherheitstests, darunter interne und externe Schwachstellenscans, Penetrationstests und Intrusion Detection im Netzwerk. Neu in v4.0.1: Interne Schwachstellenscans müssen authentifiziert erfolgen (11.3.1.2), und Mechanismen zur Änderungserkennung müssen wöchentlich auf Skripten der Zahlungsseiten laufen (11.6.1).
Funktionen für die PCI-DSS-v4.0.1-Compliance im Netzwerk
Netzwerkfunktionen, die Sie bei den Anforderungen 1, 2, 10 und 11 von PCI DSS v4.0.1 unterstützen.
Prüfung der Firewall-Regeln (1.2.7)
Erfassen Sie die Regelwerke von Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper (Sicherheitsregeln, NAT, Objekte, Zonen, Dienste, VDOMs/vsys) und analysieren Sie sie: verdeckte, doppelte und widersprüchliche Regeln, any/any-Regeln, unsichere Dienste, Regeln ohne Logging, Risiko pro Regel. Ergänzen Sie eigene Prüfungen mit der Bedingungssprache. Ihre halbjährliche Prüfung beginnt mit Fakten.
Standards für sichere Konfigurationen (2.2)
Bilden Sie Ihre Konfigurationsstandards als Compliance-Richtlinien ab: integrierter Katalog plus jede benötigte Regel. Erkennen Sie unsichere Verwaltungsprotokolle, unnötige Dienste und verbotene offene Ports. Die Richtlinien werden mit 0 bis 100 gewichtet, von Gerätegruppen geerbt und laufend ausgewertet.
Unterstützung der CDE-Segmentierung (1.3, 1.4)
Legen Sie die Geräte der CDE in eine eigene Gerätegruppe mit strengeren, gesperrten Richtlinien. Prüfen Sie die Firewall-Regeln zwischen den Zonen, die VLANs jedes Switches und die geprüften Ports, und legen Sie mit Scan-Regeln genau fest, welche Subnetze ConnectMyAssets erkennen oder erfassen darf.
Nachweise zu Konfigurationsänderungen (10.2)
Jede Konfigurationsversion wird mit zeilengenauem Diff aufbewahrt. Soron meldet beim nächsten Scan Änderungen, die außerhalb von ConnectMyAssets vorgenommen wurden. Der Audit-Trail protokolliert jede Aktion in ConnectMyAssets, und die Bastion zeichnet jede SSH-Sitzung auf. Protokolle gehen per Syslog oder HTTPS-Webhook an Ihr SIEM (CEF, LEEF, ECS, GELF).
Schwachstellen und TLS (6.3, 11.3)
Gleichen Sie die Firmware jedes Geräts mit CVEs ab, angereichert mit CISA KEV, EPSS und EUVD, und klassifizieren Sie sie (dringend, akzeptiertes Risiko mit Enddatum). Das TLS-Zertifikatsaudit markiert veraltete Protokollversionen (TLS 1.0, 1.1) sowie abgelaufene und selbstsignierte Zertifikate auf jedem geprüften Port.
Nachweise für Ihren QSA
Drucken Sie Compliance-Ansichten und Dashboards oder speichern Sie sie als PDF, exportieren Sie CSV und NDJSON und planen Sie E-Mail-Berichte pro Gerätegruppe. 365 Tage Compliance-Historie zeigen Ihrem Assessor, wie jede Kontrolle über das Jahr gehalten hat.
In drei Schritten zur PCI-DSS-v4.0.1-Compliance Ihres Netzwerks
Bewerten: Umfang und Lücken
Installieren Sie ConnectMyAssets, erkennen Sie die Subnetze im Geltungsbereich und erfassen Sie die Geräte per SSH. Integrierte Richtlinien, Firewall-Analyse und CVE-Abgleich liefern Ihnen einen ersten bewerteten Überblick über die Lücken gegenüber den Anforderungen 1 und 2.
Umsetzen: härten und durchsetzen
Schreiben Sie Ihre Konfigurationsstandards als Regeln, sperren Sie sie für die CDE-Gruppe, leiten Sie die Administration über die Bastion mit SSO und MFA und schließen Sie Lücken mit eigenen Skripten: Vorschau, Risikoregeln und Vorher-Nachher-Diff auf jedem Gerät.
Aufrechterhalten: laufende Validierung
Regelmäßige Scans und laufende Auswertung erkennen Abweichungen, sobald sie entstehen. Führen Sie die Firewall-Analyse vor jeder halbjährlichen Prüfung erneut aus, halten Sie die Klassifizierungen der Schwachstellen aktuell und übergeben Sie Exporte und Berichte Ihrem QSA.
Zugehörige Funktionen der Plattform
FAQ zu PCI DSS v4.0.1 im Netzwerk
Häufige Fragen zur PCI-DSS-v4.0.1-Compliance in der Netzwerkinfrastruktur.
Was sind die wichtigsten Änderungen von PCI DSS v4.0.1 für die Netzwerksicherheit?
Zu den wichtigsten Änderungen gehören: Anforderung 1 spricht nun von „Netzwerksicherheitskontrollen“ statt von „Firewalls“, um moderne Architekturen abzudecken (Cloud-Sicherheitsgruppen, SDN). Neue Unteranforderungen verlangen Beschränkungen des ein- und ausgehenden Verkehrs (1.3.1/1.3.2), halbjährliche Regelprüfungen mit geschäftlicher Begründung (1.2.7), verschlüsselten administrativen Zugriff außerhalb der Konsole (2.2.7) und authentifizierte interne Schwachstellenscans (11.3.1.2).
Ab wann müssen Organisationen PCI DSS v4.0.1 einhalten?
PCI DSS v3.2.1 wurde am 31. März 2024 außer Kraft gesetzt, v4.0 am 31. Dezember 2024: Bewertungen verwenden seither v4.0.1. Die zunächst zurückgestellten Anforderungen (bis zum 31. März 2025 als Best Practices eingestuft) sind seit dem 31. März 2025 verbindlich. Organisationen sollten die Einhaltung aller Anforderungen von v4.0.1 prüfen, einschließlich dieser früher zurückgestellten Punkte.
Was ist der individuelle Ansatz (Customized Approach) von PCI DSS v4.0.1?
Der individuelle Ansatz ist neu in v4.0.1 und erlaubt Organisationen, das Sicherheitsziel einer Anforderung mit alternativen Kontrollen zu erreichen. Statt dem definierten Ansatz (vorgeschriebene Kontrollen) zu folgen, dokumentieren die Unternehmen ihre eigene Kontrolle, führen eine gezielte Risikoanalyse durch und lassen von ihrem QSA bestätigen, dass das Ziel erreicht ist. Das ist nützlich für moderne Netzwerkarchitekturen, in denen klassische Kontrollen nicht direkt anwendbar sind.
Wie oft müssen Firewall- und NSC-Regeln nach PCI DSS v4.0.1 geprüft werden?
Anforderung 1.2.7 schreibt vor, dass NSC-Regelwerke mindestens einmal alle sechs Monate überprüft werden. Jede Prüfung muss bestätigen, dass die Regeln noch benötigt werden, mit geschäftlicher Begründung dokumentiert und von befugtem Personal genehmigt sind. Regeln für Verkehr zur und von der CDE sind besonders genau zu prüfen. ConnectMyAssets bereitet jede Prüfung mit einer aktuellen Analyse jedes Regelwerks vor: verdeckte, doppelte und widersprüchliche Regeln, any/any-Regeln, unsichere Dienste und Regeln ohne Logging.
Welche Netzwerksegmentierung verlangt PCI DSS?
PCI DSS schreibt Netzwerksegmentierung nicht zwingend vor, empfiehlt sie aber dringend, um den Umfang der CDE-Bewertung zu verringern. Anforderung 1.4 legt fest, dass NSCs zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzen eingesetzt werden müssen. Wird die Segmentierung genutzt, um den Umfang zu verringern, verlangt Anforderung 11.4.5 alle sechs Monate und nach jeder Änderung der Segmentierungskontrollen einen Penetrationstest der Segmentierung.
Wie unterstützt ConnectMyAssets bei Anforderung 2 von PCI DSS v4.0.1?
ConnectMyAssets unterstützt Anforderung 2, indem es Ihre Konfigurationsstandards (2.2.1) in Compliance-Richtlinien verwandelt, die laufend auf jedem Gerät ausgewertet werden, unnötige Dienste und verbotene offene Ports auf geprüften Ports markiert (2.2.4) und unsicheren administrativen Zugriff außerhalb der Konsole erkennt, etwa Telnet oder Verwaltung über HTTP (2.2.7). Jede benötigte Prüfung lässt sich mit der Bedingungssprache schreiben, und Soron alarmiert Sie, wenn ein Scan eine Abweichung erkennt.
PCI-DSS-v4.0.1-Compliance im Netzwerk erreichen
Erfahren Sie, wie ConnectMyAssets Sie bei den Netzwerkkontrollen von PCI DSS v4.0.1 unterstützt, mit Nachweisen, die für Ihre nächste QSA-Bewertung bereitliegen.