PCI DSS ist eine Reihe von Sicherheitsstandards, die im Jahr 2004 von großen Kreditkartenunternehmen eingeführt wurden, da Anwendungen, die Zahlungen verarbeiten, sehr attraktive Ziele für Hacker und bösartige Akteure sind.
Inhalt
PCI-DSS-Compliance
PCI DSS verfolgt nicht nur die Aufgabe, Kredit- und Debitkartentransaktionen nicht nur zu sichern, um Verluste für Banken und die Zahlungskartenbranche einzudämmen. Es soll auch das Vertrauen und die Sicherheit der Verbraucher erhöhen. Dies wird durch eine Reihe von Sicherheitskontrollen erreicht, die die Vertraulichkeit, Integrität und Genauigkeit der Kartendaten schützen. Dieser Compliance-Standard gilt für jede Organisation, die Kreditkartendaten speichert, verarbeitet und überträgt. Im Gegensatz zu NIST, einem Rahmenwerk, dessen Einhaltung zwar dringend empfohlen, aber nicht verpflichtend ist, müssen Sie PCI DSS unbedingt einhalten.
PCI-DSS-Anforderungen
PCI DSS besteht aus 12 Anforderungen, die in sechs Kontrollziele unterteilt sind. Sie stellen sicher, dass Unternehmen, die Kreditkartendaten verarbeiten, speichern oder übertragen, eine sichere Umgebung aufrechterhalten. Compliance trägt dazu bei, die Daten von Karteninhabern zu schützen und allgemeine Sicherheitsmaßnahmen zu stärken.
Ziel Nr. 1: Aufbau und Pflege eines sicheren Netzwerks
Regel Nr. 1: Installieren und pflegen Sie eine Firewall.
Regel Nr. 2: Verwenden Sie keine Standardkennwörter oder -konfigurationen des Anbieters.
Ziel Nr. 2: Schutz der Karteninhaberdaten
Regel Nr. 3: Schützen Sie gespeicherte Karteninhaberdaten
Regel Nr. 4: Verschlüsseln Sie übertragene Karteninhaberdaten.
Ziel Nr. 3: Implementierung eines Programms für Schwachstellenmanagement
Regel Nr. 5: Schützen Sie sich vor Malware.
Regel Nr. 6: Entwickeln und betreiben Sie sichere Systeme.
Ziel Nr. 4: Verwaltung der Zugriffskontrolle
Regel Nr. 7: Beschränken Sie den Zugriff auf Karteninhaberdaten.
Regel Nr. 8: Identifizieren Sie alle Personen, die Zugriff auf Karteninhaberdaten haben.
Regel Nr. 9: Beschränken Sie den physischen Zugriff auf Karteninhaberdaten.
Ziel Nr. 5: Überwachen und Testen von Netzwerken
Regel Nr. 10: Verfolgen und überwachen Sie den gesamten Zugriffs auf Karteninhaberdaten.
Regel Nr. 11: Testen Sie die Systemsicherheit.
Ziel Nr. 6: Pflege einer Richtlinie zur Informationssicherheit
Regel Nr. 12: Erstellen Sie eine Richtlinie zur Informationssicherheit innerhalb des Unternehmens und setzen Sie sie durch.
Es gibt auch vier Compliance-Stufen, abhängig von der jährlichen Anzahl der verarbeiteten Kredit-/Debitkartentransaktionen. Die Klassifizierung bestimmt, was das Unternehmen tun muss, um die Compliance zu gewährleisten:
Ebene 1: Über 6 Millionen Transaktionen/Jahr – Anforderung: Sorgen Sie für eine jährliche interne Prüfung durch einen autorisierten PCI-Auditor. Darüber hinaus muss einmal pro Quartal ein PCI-Scan durch einen zugelassenen Scanning-Anbieter (ASV) durchgeführt werden.
Ebene 2: 1 bis 6 Millionen Transaktionen/Jahr – Anforderung: Führen Sie eine jährliche Bewertung mithilfe eines Selbstbewertungsfragebogens (SAQ) durch. Möglicherweise ist ein vierteljährlicher PCI-Scan erforderlich.
Stufe 3: 20.000 bis 1 Million Transaktionen/Jahr – Anforderung: Führen Sie eine jährliche Selbstbewertung und möglicherweise einen vierteljährlichen PCI-Scan durch.
Ebene 4: Weniger als 20.000 Transaktionen/Jahr – Anforderung: Führen Sie eine jährliche Selbstbewertung und möglicherweise einen vierteljährlichen PCI-Scan durch.
Bedeutung von PCI-DSS-Compliance
Jeder Mensch im Unternehmen spielt eine Rolle, wenn es um die Aufrechterhaltung der Compliance geht. Es beginnt ganz oben bei den CISOs und reicht weiter nach unten bis zu den SecOps- und DevOps-Teams. In einer idealen DevSecOps-Welt gibt es keine Hierarchie in der Sicherheitsverantwortung zwischen beiden Teams – sie arbeiten zusammen. SecOps muss DevOps-Teams dabei helfen zu verstehen, was sie tun müssen, und Entwickler müssen dies auf Anwendungsebene umsetzen.
In Anlehnung an die 12 PCI DSS-Anforderungen finden Sie hier einige Beispiele dafür, dass kontinuierliche Compliance eine Teamleistung ist:
Regel Nr. 6: Entwickler müssen Systeme unter Berücksichtigung der Sicherheit entwickeln
Regel Nr. 8: Identitäts- und Zugriffsmanagement muss jedem Benutzer eine eindeutige Benutzer-ID zuweisen – Anforderung acht.
Regel Nr. 9: Die Abteilung für physische Sicherheit muss dafür sorgen, dass der Zugang zum Gebäude und zu den Serverräumen kontrolliert wird.
Regel Nr. 10: Das Team für Security Operations muss sicherstellen, dass Protokolle erstellt werden, um den Zugriff auf Karteninhaberdaten aufzuzeichnen und zu verfolgen.
Regel Nr. 11: Betriebs- und Entwicklungsteams müssen zusammenarbeiten, um Server und Software zu testen.
Regel Nr. 12: Das Management muss Richtlinien und zugehörige Dokumente entwickeln, um den Grad der Informationssicherheit und Compliance zu beschreiben, der in seinem Unternehmen erreicht werden muss.
Mit anderen Worten: Jeder und jede trägt dazu bei, die Vorschriften einzuhalten. Nicht nur zum Wohl des Unternehmens, sondern auch, damit Fachleute effizient entwickeln und bereitstellen können, ohne befürchten zu müssen, nach dem Start ihrer App 10.000 SOS-Meldungen in Slack vorzufinden.
Wie bereits erwähnt, liegt die Verantwortung hauptsächlich auf Anwendungsebene. Das betrifft die Verwendung eines sicheren Quellcodes, die Sicherstellung geeigneter Konfigurationen für Ihre CI/CD-Pipeline und vieles mehr. Vielleicht denken Sie: Okay, aber wie soll ich wissen, wie ich das machen soll? Die gute Nachricht ist, dass Sie kein Genie in Sachen Sicherheit oder Compliance sein müssen, genauso wenig wie Sie ein Neurochirurg sein müssen, um ein Pflaster auf eine Schnittwunde zu kleben. Es geht darum, die richtigen Hilfsmittel zu kennen und anzuwenden (beispielsweise ein Pflaster anstelle einer Serviette auf die Wunde zu kleben).
Um Fehlkonfigurationen zu vermeiden, können Sie sich die Dokumentationsseite für Ihren Cloud Service Provider (CSP) ansehen. All diese Informationen zu lesen, kann jedoch viel Zeit Kosten. Wenn Sie das vermeiden wollen, sollten Sie eine Sicherheitslösung mit Automatisierungsfunktionen verwenden (ausdrücklich empfohlen).
Der erste Angriff, der in den Sinn kommt, ist der Hackerangriff auf Capital One, bei bei dem 106 Millionen Kreditkartenanträge offengelegt wurden und der zu einer Geldstrafe von 80 Millionen US-Dollar durch die US-Aufsichtsbehörden führte. Auch einige andere Sicherheitsverletzungen hätten vermieden werden können, wenn die PCI-DSS-Regeln und -Ziele beachtet worden wären.
Hobby Lobby
Anfang 2021 wurde Hobby Lobby gehackt. Ein unabhängiger Researcher mit dem Pseudonym Boogeyman deckte die Sicherheitslücke auf. Er fand eine öffentlich zugängliche Datenbank auf Amazon Web Services (AWS), die sensible Informationen von über 300.000 Hobby-Lobby-Kunden enthielt. Die Datenbank war 138 GB groß und enthielt Kundennamen, Adressen, Telefonnummern und teilweise Kartendeaten. Kurioserweise befand sich in derselben Datenbank auch der Quellcode für die App des Unternehmens – ein ganz anderes Problem.
Der Verstoß war das Ergebnis einer falsch konfigurierten Cloud-Datenbank, die öffentlich zugänglich war. Dies ist ein klarer Bruch der PCI-DSS-Regeln Nr. 3, Nr. 7 und Nr. 9, da die Zahlungskartendaten auf einem offenen Server gespeichert wurden. Hobby Lobby missachtete außerdem Regel Nr. 10, wonach der Zugriff auf Karteninhaberdaten und relevante Netzwerkressourcen verfolgt und überwacht werden muss. Das war eindeutig nicht der Fall, da sonst die Fehlkonfiguration behoben und die ganze Tortur letztendlich vermieden worden wäre.
Macy’s
Im Oktober 2019 kam es bei dem großen Einzelhändler zu einer Sicherheitsverletzung, bei der die Zahlungskartennummern, Sicherheitscodes und Ablaufdaten von Kunden offengelegt wurden, die das Online-Kassensystem mit der Wallet-Seite „My Account“ genutzt hatten. Macy’s legte zwar die Anzahl der betroffenen Kunden nicht offen, aber der Einzelhändler verzeichnete bis April jenes Jahres 55,7 Millionen monatliche Online-Besuche. Und offen gesagt ist schon der Diebstahl der Daten eines einzigen Kunden Grund genug zur Sorge.
Der Verstoß erfolgte aufgrund eines gezielten Malware-Angriffs, bei dem Malware in die Checkout- und Wallet-Seiten eingeschleust wurde. Macy's hatte offensichtlich gegen eine Reihe von PCI-DSS-Regeln verstoßen, was umso besorgniserregender ist, als Magecart bekannt war. Tatsächlich war Macy’s in jenem Jahr nur eines von vielen Opfern, darunter FILA, Ticketmaster, British Airways und andere. Frühere Angriffe auf andere große Einzelhändler hätten Macy's dazu veranlassen müssen, Sicherheitsaudits durchzuführen und alle Schwachstellen gemäß den Anforderungen des PCI DSS zu beheben.
Von Compliance zu Resilienz
Cybersicherheitskonformität ist die Grundlage einer sicheren digitalen Umgebung – aber nur der Anfang. Um Ihr Unternehmen wirklich zu schützen, müssen Sie über bloße Vorschriften hinausgehen und ein proaktives Risikomanagement einführen.
Cyber Risk Exposure Management (CREM) ermöglicht es Ihnen, Cyberrisiken über Ihre gesamte Angriffsfläche hinweg zu erkennen, zu bewerten und zu reduzieren. Der nächste Schritt, um Compliance in einen strategischen Vorteil zu verwandeln.
Als Governance, Risk & Compliance Lead Europe ist Udo Schneider Experte für Themen wie NIS2 und DORA, die er in Webinaren oder auf Veranstaltungen, vor Kunden und Partnern sowie als Pressesprecher behandelt. Udo Schneider unterstützt zudem den Vertrieb bei Kundenterminen und erstellt detaillierte Inhalte, wie etwa ein kürzlich veröffentlichtes NIS2-Whitepaper.
Häufig gestellte Fragen (FAQs)
Was ist der PCI DSS?
PCI DSS ist ein globaler Sicherheitsstandard zum Schutz von Kartendaten bei Verarbeitung, Speicherung und Übertragung durch Unternehmen.
Was ist der Unterschied zwischen PCI und PCI DSS?
PCI ist die Branche, PCI DSS ist der Sicherheitsstandard zum Schutz von Kartendaten in Zahlungssystemen.
Was ist das Ziel von PCI DSS?
Das Hauptziel von PCI DSS ist der Schutz von Kartendaten und die Vermeidung von Betrug im Zahlungsverkehr.
Wann wurde PCI DSS eingeführt?
PCI DSS wurde im Jahr 2004 eingeführt, um einheitliche Sicherheitsstandards für Kartenzahlungen weltweit zu schaffen.
PCI DSS wurde gemeinsam entwickelt von?
PCI DSS wurde gemeinsam von Visa, MasterCard, American Express, Discover und JCB als Sicherheitsstandard für Kartenzahlungen entwickelt.