Warum PCI DSS die Anrufaufzeichnung betrifft

Sobald ein Contact Center Kartenzahlungen am Telefon annimmt und Gespräche aufzeichnet, entsteht ein Konflikt: Aufzeichnungen dienen Qualität und Compliance — aber sie dürfen keine Zahlungskartendaten enthalten. Genau hier setzt der PCI DSS (Payment Card Industry Data Security Standard) an. Die aktuelle Version 4.0.1 ist seit dem 31. März 2025 verbindlich.

Für Betreiber von Kundenservice- und Contact-Center-Umgebungen heißt das: Aufzeichnung und Kartenzahlung müssen technisch sauber getrennt werden — sonst drohen Audit-Feststellungen, Vertragsstrafen der Kartenorganisationen und ein erhöhtes Datenschutzrisiko.

Was PCI DSS bei Aufzeichnungen verlangt

Der Kern ist eindeutig: Anrufaufzeichnungen dürfen keine Karteninhaberdaten enthalten. Aufnahmen, die die vollständige Kartennummer (PAN), die Prüfziffer (CVV/CVC) oder die PIN im Audio erfassen, verstoßen gegen Anforderung 3 des Standards.

Besonders streng ist die Regel für sensible Authentifizierungsdaten: CVV/CVC, vollständige Magnetstreifendaten und PIN dürfen nach der Autorisierung unter keinen Umständen gespeichert werden — auch nicht verschlüsselt, auch nicht „nur kurz".

Der Kernkonflikt: Aufzeichnung trifft Kartendaten

In der Praxis entsteht das Problem im Moment der Zahlung: Die Kundin nennt oder tippt ihre Kartendaten, während das Gespräch läuft und aufgezeichnet wird. Ohne Schutzmechanismus landen PAN und CVV im Audiofile — und damit im Geltungsbereich (Scope) des PCI DSS. Der Scope umfasst dann Aufzeichnungssystem, Speicher und alle angebundenen Systeme, was Aufwand und Risiko drastisch erhöht.

Das Ziel ist deshalb, den Kartendaten-Moment vollständig aus der Aufzeichnung — und idealerweise aus dem gesamten Agenten-Arbeitsplatz — herauszuhalten.

Pause/Resume: verbreitet, aber riskant

Der klassische Ansatz ist Pause/Resume: Die Aufzeichnung wird während der Kartendateneingabe angehalten und danach fortgesetzt. Das funktioniert, ist aber fehleranfällig und wird im Audit zunehmend kritisch gesehen. Typische Schwächen: Mitarbeitende vergessen das Pausieren, das Timing passt nicht exakt, oder die „Pause" der Aufzeichnungslösung stummt nur die Datei, während das Audio im Hintergrund weiterläuft. Manuelles Pause/Resume erfüllt die Erwartung an eine automatische, verlässliche Ausklammerung sensibler Daten oft nicht.

Wenn Pause/Resume eingesetzt wird, sollte es automatisiert ausgelöst werden, etwa durch das Zahlungssystem, lückenlos protokolliert sein und nachweislich das Audio — nicht nur die sichtbare Datei — anhalten.

DTMF-Masking: der belastbare Ansatz

Der robustere Weg ist DTMF-Masking (auch DTMF-Suppression): Gibt die Kundin die Kartennummer über die Telefontastatur ein, werden die Tastentöne abgefangen und direkt an den Zahlungsdienstleister geleitet — als neutrale Töne, ohne dass Kartendaten den Agenten, seinen Bildschirm oder die Aufzeichnung erreichen. Der Agent bleibt im Gespräch, hört aber keine erkennbaren Ziffern, und die Aufzeichnung enthält keine Kartendaten.

Durch diese Kanaltrennung verlässt der Kartendaten-Moment den Verantwortungsbereich des Contact Centers. Das reduziert den PCI-Scope erheblich und ist der Ansatz, der im Audit 2026 verlässlich standhält. Eine Alternative mit ähnlichem Effekt ist die Auslagerung der Zahlung in eine sichere IVR-Selbstbedienung.

Umsetzung in der Praxis

Für einen sauberen Betrieb empfiehlt sich ein klarer Ablauf: Zunächst prüfen, an welchen Stellen im Gespräch Kartendaten anfallen. Anschließend die Zahlung technisch aus dem Agenten- und Aufzeichnungspfad herauslösen — vorzugsweise per DTMF-Masking oder sichere IVR. Falls Pause/Resume genutzt wird, dieses automatisiert auslösen und lückenlos protokollieren. Zusätzlich sicherstellen, dass CVV/CVC und andere sensible Authentifizierungsdaten nie gespeichert werden, Aufbewahrungsfristen automatisiert durchgesetzt werden und regelmäßige Stichproben belegen, dass keine Kartendaten in Aufnahmen gelangen.

Wie onsoft dabei unterstützt

onsoft liefert rechtssichere Anruf- und Bildschirmaufzeichnung für Contact Center mit verschlüsselter, revisionssicherer Speicherung, automatisierten Aufbewahrungsfristen und gezielter Wiederherstellung. Für PCI-relevante Abläufe lassen sich Aufzeichnung und Zahlungsmoment sauber trennen — inklusive automatisch ausgelöster Pausierung und lückenloser Protokollierung. In Kombination mit KI-Sprachanalyse und Qualitätsmanagement bleiben Compliance-Nachweis und Servicequalität in einem System.

Häufige Fragen

Dürfen Kartendaten in Anrufaufzeichnungen gespeichert werden?

Nein. Nach PCI DSS dürfen Aufzeichnungen keine Karteninhaberdaten enthalten. Kartennummer, Prüfziffer oder PIN im Audio verstoßen gegen Anforderung 3.

Reicht Pause/Resume für PCI DSS aus?

Manuelles Pause/Resume gilt als fehleranfällig und im Audit zunehmend kritisch. Es sollte automatisiert ausgelöst und lückenlos protokolliert werden; belastbarer ist DTMF-Masking oder eine sichere IVR.

Was ist DTMF-Masking?

Die über die Telefontastatur eingegebenen Kartendaten werden als Töne direkt an den Zahlungsdienstleister geleitet, sodass sie weder den Agenten, den Bildschirm noch die Aufzeichnung erreichen.

Darf der CVV/CVC gespeichert werden?

Nein. Sensible Authentifizierungsdaten wie CVV/CVC, Magnetstreifendaten und PIN dürfen nach der Autorisierung unter keinen Umständen gespeichert werden.

Seit wann gilt PCI DSS v4.0.1?

Die Version 4.0.1 ist seit dem 31. März 2025 verbindlich.