PCI DSS v4.0.1-Anforderung an CBOM: Eine Kurzanleitung

Kurz gesagt: PCI DSS v4.0.1, Anforderung 12.3.3, verpflichtet jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder übermittelt, ein dokumentiertes und regelmäßig überprüftes Verzeichnis aller verwendeten kryptografischen Verschlüsselungssuiten und Protokolle zu führen – eine sogenannte kryptografische Stückliste (CBOM). Diese Anforderung wurde am 31. März 2025 zusammen mit dem zugehörigen Schlüssel- und Zertifikatsverzeichnis gemäß Anforderung 4.2.1.1 zu einer obligatorischen Kontrollmaßnahme. Empfohlene Vorgehensweise: Erstellen Sie eine versionierte CBOM, die Algorithmen, Schlüssel, Zertifikate und Bibliotheken umfasst, weisen Sie einen Verantwortlichen zu und überprüfen Sie diese mindestens alle 12 Monate.

Die zentralen Thesen

• Die Anforderungen 12.3.3 und 4.2.1.1 des PCI DSS v4.0.1 wurden am 31. März 2025 von einer „zukünftigen“ Geltungsdauer zu vollständig bewerteten Anforderungen. QSAs prüfen diese nun in jeder Bewertung.
• Eine kryptographische Stückliste (CBOM) ist der praktische Mechanismus zur Erfüllung von 12.3.3: ein strukturiertes, versioniertes Inventar aller Verschlüsselungssuiten, Protokolle, Algorithmen, Schlüssel und Zertifikate in der Karteninhaberdatenumgebung.
• Die Anforderung besteht aus drei Teilen: Pflege des Inventars, aktive Überwachung der Branchenentwicklung hinsichtlich veralteter Verfahren und Dokumentation eines Reaktionsplans für den Fall, dass ein Verschlüsselungsverfahren oder ein Protokoll unsicher wird.
• Anforderung 4.2.1.1 (vertrauenswürdige Schlüssel und Zertifikate) und Anforderung 12.3.3 (Verschlüsselungssammlungen und Protokolle) ergänzen sich und sollten aus demselben Ermittlungsprozess erstellt werden, nicht als separate Projekte behandelt werden.
• Ein auditbereites CBOM benötigt einen zugewiesenen Verantwortlichen, einen schriftlich dokumentierten 12-monatigen Überprüfungsrhythmus und Nachweise, die sich direkt auf die QSA-Bewertungsverfahren für beide Anforderungen beziehen.

Veröffentlicht: Juli 2025 | Aktualisiert: August 2026 | Geprüft vom Compliance-Beratungsteam von Encryption Consulting

Dieser Beitrag ist Teil der Reihe von Encryption Consulting zum Thema kryptografische Compliance. Er ergänzt unsere Leitfäden zu den Unterschieden zwischen CBOM und SBOM , zur Kontrollzuordnung gemäß NIST SP 800-53 und zum FIPS 140-3-Übergangsleitfaden , die jeweils auf die Anforderungen eines bestimmten Compliance-Frameworks an das kryptografische Inventar eingehen.

Was ist die PCI-DSS-Anforderung 12.3.3 und was ist ein CBOM?

Der Payment Card Industry Data Security Standard (PCI DSS) ist der vom PCI Security Standards Council (PCI SSC) verwaltete Sicherheitsstandard für alle Organisationen, die Zahlungskartendaten speichern, verarbeiten oder übermitteln. PCI DSS v4.0.1 , veröffentlicht im Juni 2024, ist eine präzisierende Überarbeitung von v4.0 und ist zum jetzigen Zeitpunkt die aktuelle Version des Standards; der Rat hat noch keinen Zeitplan für v4.1 oder v5.0 veröffentlicht.

Anforderung 12.3.3 besagt, dass eine Organisation „ein aktuelles Verzeichnis aller verwendeten kryptografischen Verschlüsselungssuiten und -protokolle einschließlich Zweck und Einsatzort“ dokumentieren, „Branchentrends“ hinsichtlich der fortlaufenden Einsatzfähigkeit dieser Kryptografie aktiv beobachten und einen Reaktionsplan für erwartete Änderungen kryptografischer Schwachstellen dokumentieren muss. Eine kryptografische Stückliste (CBOM) ist das Dokument, das alle drei Teile erfüllt: ein strukturiertes, maschinenlesbares Verzeichnis von Verschlüsselungssuiten, Protokollen, Algorithmen, Schlüssellängen, Zertifikaten sowie den kryptografischen Bibliotheken und Modulen (OpenSSL, BoringSSL, HSM-Firmware), die diese implementieren, jeweils zugeordnet dem System oder Dienst, auf dem es ausgeführt wird.

Anforderung 4.2.1.1 ist die eng verwandte Schwesteranforderung: Sie verlangt ein Verzeichnis vertrauenswürdiger Schlüssel und Zertifikate, die zum Schutz primärer Kontodaten (PAN) während der Übertragung verwendet werden. Die meisten Organisationen erstellen beide Verzeichnisse im Rahmen desselben Ermittlungsprozesses, da sich ein Zertifikatsverzeichnis und ein Verzeichnis von Verschlüsselungssuiten in der Praxis stark überschneiden.

Wie lassen sich die Anforderungen 12.3.3 und 4.2.1.1 den Bereichen Kontrollen, Verantwortliche und Nachweise zuordnen?

Das Bestehen einer QSA-Prüfung bedeutet, dass jede Teilanforderung auf eine benannte Kontrolle, einen benannten Verantwortlichen und einen vom Prüfer einsehbaren Nachweis zurückgeführt werden kann. Die folgende Tabelle zeigt die Zuordnung, die Encryption Consulting bei der Abgrenzung eines CBOM-Projekts gemäß PCI DSS v4.0.1 verwendet.

Anforderung	Kontrolle	Eigentümer	Beweisstück
12.3.3(a) Inventar der Verschlüsselungssuiten und Protokolle	Versioniertes CBOM-Register, das jede Chiffriersuite, jedes Protokoll und jeden Algorithmus im CDE abdeckt	Kryptographie / Sicherheitstechnik	Exportiertes CBOM mit ausgefüllten Feldern für System, Zweck und Standort
12.3.3(b) Überwachung der Branchenlebensfähigkeit	Abonnement von NIST-, IETF- und CVE-Empfehlungen zu veralteten Systemen mit einem festgelegten Überprüfungsrhythmus	Sicherheitstechnik / GRC	Überwachungsprotokoll und jährliche Überprüfungsbestätigung, datiert innerhalb von 12 Monaten
12.3.3(c) dokumentierter Reaktionsplan	Handlungsleitfaden zur Reaktion auf kryptografische Sicherheitslücken mit Zeitplänen und Beteiligten	Sicherheitstechnik / Reaktion auf Sicherheitsvorfälle	Reaktionsplandokument und Nachweis über mindestens eine Planspielübung
4.2.1.1 Inventar vertrauenswürdiger Schlüssel und Zertifikate	Zertifikats- und Schlüsselbestand, die mit PAN-in-Transit-Systemen verknüpft sind	PKI-/Zertifikatslebenszyklusteam	Export des Zertifikatsinventars und Protokoll der Schlüsselverwalterzuweisung
3.6 / 3.7 Schlüsselverwaltung für gespeicherte Kontodaten	Dokumentierte Verfahren zur Schlüsselverwaltung, die Erzeugung, Rotation und Vernichtung umfassen	Wichtiges Managementteam	Richtlinien zum Schlüsselmanagement und Auszüge aus dem HSM-Audit-Protokoll
12.10.5 Reaktion auf Vorfälle bei kritischen Warnmeldungen	Der Notfallplan ist explizit auf kryptografische Warnmeldungen und IDS-/Änderungserkennungsalarme beschränkt.	Sicherheitsmaßnahmen	IR-Plan mit kryptospezifischem Eskalationspfad

Welche Implementierungsschritte sind für den Aufbau eines PCI DSS-fähigen CBOM erforderlich?

1. Entdecken Alle kryptografischen Assets in der Karteninhaberdatenumgebung: Cipher Suites und Protokolle durch Netzwerk- und Endpunktscanning (nmap, sslscan oder kontinuierliche Erkennungstools) sowie Zertifikate, Schlüssel, Bibliotheken und HSM/TPM-Module.
2. Klassifizieren und kontextualisieren Bei jedem Befund: Zweck (z. B. „TLS-Terminierung für das karteninhaberseitige API-Gateway“) und Ort (System, Dienst oder Drittanbieterintegration).
3. Erstellen Sie das CBOM-Register in einem versionskontrollierten Format, sodass jede Änderung, jede Abschaffung und jede Behebung im Laufe der Zeit nachverfolgt und nicht überschrieben wird.
4. Eigentumsrechte zuweisen für jede kryptografische Domäne (Verschlüsselungssammlungen, Zertifikate, Schlüssel, HSMs) an ein benanntes Team, nicht an eine allgemeine Sicherheitsmailbox.
5. Legen Sie einen 12-monatigen Überprüfungsrhythmus fest. in schriftlicher Form, abgestimmt auf den PCI DSS-Bewertungskalender der Organisation, sodass das Überprüfungsdatum selbst zu einem Artefakt wird.
6. Abonnieren Sie veraltete Quellen: Dank der Empfehlungen von NIST, IETF und CVE wird eine Verschlüsselungsmethode, die von „genehmigt“ auf „nicht empfohlen“ wechselt, erkannt, bevor ein Prüfer danach fragt.
7. Dokumentieren Sie den Reaktionsplan: Zeitpläne für die Abschaffung eines Verschlüsselungsverfahrens, Ausweichkonfiguration, verantwortliche Stakeholder und Validierungsschritte vor der Inbetriebnahme.
8. Verpacken Sie die Beweise Der QSA wird Folgendes anfordern: CBOM-Export, Überwachungsprotokoll, Reaktionsplan und das gemäß Abschnitt 4.2.1.1 erforderliche Zertifikats-/Schlüsselinventar.

Wie ist der aktuelle Status von PCI DSS v4.0.1 und welche Frist gilt nun?

PCI DSS v4.0.1 ist die aktuell veröffentlichte Version des Standards. Version 3.2.1 wurde Ende März 2024 vollständig eingestellt, und die in v4.0 eingeführten, zukunftsbezogenen Anforderungen, darunter Anforderung 12.3.3 und Anforderung 4.2.1.1, wurden am 31. März 2025 zu verbindlichen Bewertungskriterien . Dieser Termin ist bereits verstrichen: Mit diesem Update werden beide Anforderungen im Rahmen eines Konformitätsberichts oder eines Selbstbewertungsfragebogens wie jede andere PCI-DSS-Kontrolle behandelt. Es gibt keine Übergangsfrist mehr, und das PCI SSC hat noch keinen Zeitplan für die Veröffentlichung von v4.1 oder v5.0 bekannt gegeben. Unternehmen sollten daher in absehbarer Zukunft mit v4.0.1 als Basis planen.

Welche Einschränkungen gibt es bei einem CBOM-basierten Ansatz?

• Ein CBOM ist nur so vollständig wie der dahinter stehende Erkennungsprozess; nicht verwaltete Schattenzertifikate, fest codierte API-Schlüssel und interne Ost-West-TLS-Verbindungen sind die häufigsten blinden Flecken.
• Anforderung 12.3.3 schreibt kein bestimmtes Werkzeug oder Dateiformat vor, daher akzeptieren QSAs verschiedene CBOM-Implementierungen, sofern die drei Unteranforderungen nachweislich erfüllt sind.
• Ein Inventar, das nicht versionskontrolliert ist, kann nicht beweisen, dass eine 12-monatige Überprüfung tatsächlich stattgefunden hat; eine jedes Jahr überschriebene Tabelle erfüllt weder den Sinn noch die Praxis der meisten QSA-Testverfahren.
• Der Anwendungsbereich des CBOM gemäß PCI DSS ist auf die Karteninhaberdatenumgebung beschränkt; Organisationen, die eine umfassendere kryptografische Governance anstreben (NIST SP 800-53, FIPS 140-3 oder Crypto-Agility-Programme), benötigen ein umfassenderes Inventar als in Abschnitt 12.3.3 zwingend vorgeschrieben.

Checkliste zur Vorbereitung auf die Prüfung gemäß Anforderung 12.3.3

1. CBOM-Export, der alle Cipher Suites, Protokolle, Algorithmen und Schlüssellängen im CDE abdeckt, wobei Zweck und Speicherort für jeden Eintrag angegeben sind.
2. Zertifikats- und Schlüsselinventar, das die Anforderung 4.2.1.1 erfüllt, mit Querverweisen zum CBOM.
3. Dokumentierter 12-monatiger Überprüfungszyklus mit Datum und Namen der letzten Überprüfungsfreigabe.
4. Überwachungsprotokoll, das das Abonnement von NIST-, IETF- oder CVE-Warnmeldungen anzeigt.
5. Reaktionsplan für kryptografische Sicherheitslücken mit definierten Zeitvorgaben, Ausweichmöglichkeiten und Beteiligten.
6. Nachweis mindestens einer Planspielübung oder einer simulierten Abwertungsreaktion.
7. Jedem kryptografischen Bereich (Verschlüsselungssammlungen, Zertifikate, Schlüssel, HSMs) ist ein benannter Eigentümer zugeordnet.
8. Versionsverlauf des CBOM-Registers, der die Änderungen im Laufe der Zeit aufzeigt, nicht nur eine einzelne statische Momentaufnahme.

Was würde Encryption Consulting empfehlen?

Behandeln Sie die Anforderungen 12.3.3 und 4.2.1.1 als ein einziges Discovery-Projekt, nicht als zwei separate. Organisationen, die ein Zertifikatsinventar getrennt von einem Cipher-Suite-Inventar erstellen, scannen dieselbe Umgebung regelmäßig zweimal – einmal für jede Anforderung –, obwohl ein einziger CBOM-Discovery-Durchlauf mit dem richtigen Datenmodell beides abdecken würde. Wir empfehlen, in kontinuierliches Discovery zu investieren, anstatt einen punktuellen Scan durchzuführen: Karteninhaberdatenumgebungen ändern sich zwischen den Bewertungszyklen, und ein einmal erstelltes und nie aktualisiertes CBOM stellt ein Compliance-Risiko dar, das als Compliance-Dokument getarnt ist. Kombinieren Sie das CBOM mit unserer CBOM Secure- Plattform für kontinuierliches Discovery und unseren Compliance Advisory Services für die Gap-Analyse gemäß den exakten QSA-Testverfahren für v4.0.1.

Häufig gestellte Fragen

Was ist die PCI-DSS-Anforderung 12.3.3?

Organisationen, die dem PCI DSS unterliegen, müssen ein dokumentiertes und aktuelles Verzeichnis aller verwendeten kryptografischen Verschlüsselungssammlungen und -protokolle führen, Branchentrends hinsichtlich ihrer fortlaufenden Einsatzfähigkeit überwachen und einen Notfallplan für erwartete kryptografische Schwachstellen erstellen. Die Einhaltung des PCI DSS ist seit dem 31. März 2025 verpflichtend.

Ist ein CBOM gemäß PCI DSS obligatorisch?

PCI DSS nennt „CBOM“ nicht als erforderliches Artefakt, aber ein CBOM ist die praktische Methode, mit der die meisten Organisationen die Unteranforderungen von Anforderung 12.3.3 in Bezug auf Inventarisierung, Überwachung und Reaktionsplan in einer Form erfüllen, die ein QSA überprüfen kann.

Worin unterscheidet sich CBOM von SBOM im Rahmen von PCI DSS?

Eine Software-Stückliste (SBOM) erfasst alle Softwarekomponenten einer Anwendung. Eine kryptografische Stückliste (CBOM) beschränkt diesen Umfang auf kryptografische Komponenten: Verschlüsselungssammlungen, Protokolle, Algorithmen, Schlüssel und Zertifikate. Die PCI-DSS-Anforderung 12.3.3 bezieht sich auf den Umfang der CBOM, nicht auf die umfassendere SBOM. Einen vollständigen Vergleich finden Sie in unserem CBOM-vs.-SBOM-Leitfaden .

Was passiert, wenn eine Organisation kein kryptografisches Inventar führt?

Seit dem 31. März 2025 führt das Nichterfüllen der Anforderung 12.3.3 zu einem entsprechenden Vermerk im Rahmen des Konformitätsberichts oder des Selbstbewertungsfragebogens, genau wie jede andere Kontrolllücke im Rahmen des PCI DSS. Dies kann die Zertifizierung verzögern und, je nach den Richtlinien der erwerbenden Bank, die Verarbeitungsberechtigungen beeinträchtigen.

Wie oft muss das kryptografische Inventar überprüft werden?

Mindestens einmal alle 12 Monate, und das Datum der Überprüfung selbst muss als Nachweis dokumentiert werden, nicht nur die Existenz eines Inventars.

Sind Sie bereit, die Lücke zu schließen? Kontaktieren Sie Encryption Consulting unter [email protected] , um ein CBOM-Erkennungsprojekt gemäß PCI DSS v4.0.1 zu planen.

Referenzen

• PCI DSS v4.0.1, PCI Security Standards Council
• PCI SSC: Gerade veröffentlicht, PCI DSS v4.0.1
• Rat für PCI-Sicherheitsstandards