Callcenter PCI Compliance ist einer der komplexesten Bereiche der PCI-DSS-Konformität, weil das Problem in einem Kanal entsteht, der von Natur aus nicht für die Sicherheit von Kartendaten konzipiert wurde: dem Telefon. Jedes Mal, wenn ein Agent die Kartennummer eines Kunden hört, treten dieser Agent, sein Arbeitsplatz, das Anrufaufzeichnungssystem und die gesamte Telefoninfrastruktur in den CDE-Perimeter ein. Es gibt präzise technische Lösungen, um dieses Problem zu beseitigen, ohne die Kundenerfahrung zu beeinträchtigen.
Das PCI-Problem im Callcenter: der Agent, der die PAN hört
Bei MOTO-Zahlungen (Mail Order / Telephone Order) teilt der Kunde dem Agenten die Kartennummer verbal mit, der sie in das Zahlungssystem eingibt. Dieses einfache Schema schafft ein massives Compliance-Problem: Der Agent hat direkten Zugang zur PAN, das Anrufaufzeichnungssystem erfasst sie im Klartext, und jedes System, das mit dem Arbeitsplatz des Agenten verbunden ist, fällt in die CDE. Der zu zertifizierende Perimeter wird zum gesamten Callcenter.
PCI-DSS-Anforderungen für ein Callcenter, das PANs verarbeitet, umfassen physische Kontrollen an Arbeitsplätzen (keine privaten Mobiltelefone, kein Stift und Papier), granulare Zugriffsrichtlinien, kontinuierliches Sitzungsmonitoring und präzise Regeln für Audioaufnahmen. Das Verbot der Anrufaufzeichnung während der Phase, in der die PAN mitgeteilt wird, ist eine Anforderung, die technisch schwer zuverlässig ohne dedizierte Lösungen umzusetzen ist.
DTMF und IVR: die zwei technischen Lösungen für Telefonzahlungen
Die effektivste Lösung, um die PAN aus der Agenten-Interaktion zu entfernen, ist DTMF (Dual-Tone Multi-Frequency). Mit dieser Technologie gibt der Kunde, wenn es Zeit zum Bezahlen ist, die Kartennummer über die Telefontastatur ein, anstatt sie verbal mitzuteilen. Die DTMF-Töne werden direkt vom Telefonsystem erfasst und an den Tokenisierungs-Vault gesendet, ohne jemals durch den Ton zu passieren, den der Agent hört. Das Callcenter wird aus dem PCI-Scope entfernt.
Die zweite Lösung ist IVR (Interactive Voice Response): ein automatisiertes System, das die gesamte Zahlungserfassungsphase ohne menschliche Intervention verwaltet. Der Kunde wird vorübergehend an das IVR-System weitergeleitet, gibt die Kartendaten ein und wird dann wieder mit dem Agenten verbunden, um die Unterstützung abzuschließen. Beide Lösungen können mit PCI Proxy EU über Standard-APIs integriert werden, die mit führenden Telefonie- und Contact-Center-as-a-Service-Systemen kompatibel sind.
Wie PCI Proxy EU das Callcenter aus dem PCI-Scope entfernt
Die Integration von PCI Proxy EU in den MOTO-Fluss funktioniert wie folgt: Wenn der Agent eine Transaktion initiiert, generiert das System eine sichere Zahlungssitzung. Der Kunde gibt die Kartennummer per DTMF oder IVR ein; die Töne werden abgefangen und direkt an den PCI Proxy EU Vault gesendet, der einen Token zurückgibt. Der Agent sieht in seiner Oberfläche nur den Token: Er hat niemals Zugang zur echten PAN.
Das praktische Ergebnis ist, dass das Callcenter, die Agenten-Arbeitsplätze, Anrufaufzeichnungssysteme und Telefoninfrastruktur den PCI-DSS-Perimeter verlassen. Nur der PCI Proxy EU Vault bleibt im Scope, der PCI DSS Level 1 zertifiziert ist. Für das Unternehmen bedeutet dies weniger Dokumentation, weniger Kontrollen, niedrigere Compliance-Kosten, bei gleicher operativer Kapazität zur Annahme von Telefonzahlungen.
Häufig gestellte Fragen
Ist die Anrufaufzeichnung im PCI-Scope immer verboten?
Sie ist nicht vollständig verboten, aber PCI DSS verlangt, dass sensible Authentifizierungsdaten (einschließlich CVV und Track-Daten) niemals aufgezeichnet werden, auch nicht in Audioform. Wenn die Aufzeichnung den Moment erfasst, in dem der Kunde die Kartennummer mitteilt, ist diese Aufzeichnung nicht konform. Mit DTMF werden die Töne aus dem Audiostrom entfernt, bevor sie den Aufzeichner erreichen, was eine vollständige Aufzeichnung möglich und konform macht.
Funktioniert DTMF mit Freecall-Nummern?
Ja. DTMF ist ein Standard-Telefonieprotokoll, das mit jeder Telefoninfrastruktur kompatibel ist, einschließlich Freecall-Nummern und VoIP-Systemen. Die Implementierung erfordert, dass der Telefonieanbieter die DTMF-Tondecodierung unterstützt und diese an das PCI Proxy EU System weiterleitet. Die meisten modernen Contact-Center-as-a-Service-Lösungen unterstützen diese Funktionalität nativ.
Wie lange dauert die Integration einer DTMF-Lösung?
Die Zeitspannen variieren je nach bestehender Telefoninfrastruktur. In einer Cloud-Contact-Center-Umgebung (wie Genesys, Twilio, Amazon Connect) dauert die Integration mit PCI Proxy EU typischerweise 2 bis 4 Wochen von der Entwicklung über das Testen bis zum Go-Live. Bei älteren On-Premise-Telefonsystemen können die Zeitspannen aufgrund der Integrationskomplexität auf 2–3 Monate verlängert werden.
Möchten Sie das PCI-Risiko aus den Telefonzahlungen Ihres Callcenters eliminieren? Entdecken Sie PCI Proxy EU.