PCI-Compliance wird immer wichtiger

Bei PCI-Compliance nicht nur an die Zahlung mit Kreditkarte denken - Erweiterte Vorgaben des PCI-Standards werden erstmals überprüft
Händler müssen die Auflagen des PCI-Standards erfüllen, sobald Kreditkartendaten über ihre IT-Systeme laufen

(01.07.09) - art of defence, Anbieterin von Produkten für die Sicherheit von Web-Anwendungen, registriert eine stetige Zunahme von Anfragen, die die Absicherung von Online-Shops oder Kundenportalen vor Angriffen aus dem Internet betreffen. Als Grund nennt das Regensburger Unternehmen neue Spezifikationen des PCI (Payment Card Industrie)-Standards, dem Sicherheitsstandard der Kreditkartenindustrie. So ist der Schutz von Web-Anwendungen wie Online-Shops oder Kundenportalen erst im vergangenen Jahr verpflichtend geworden und fließt damit in diesem Jahr zum ersten Mal in die Überprüfungen der PCI-Compliance ein.

Händler müssen die Auflagen des PCI-Standards erfüllen, sobald Kreditkartendaten über ihre IT-Systeme laufen. Allerdings: "Kreditkarteninformationen werden nicht nur bei einer klassischen Zahlungsabwicklung mit der Kreditkarte erhoben", warnt Dr. Georg Heß, Geschäftsführer von art of defence. "So fragen beispielsweise Callcenter sensible Kreditkarteninformationen ab und geben sie an den Auftraggeber weiter; oder die Kreditkartennummer wird als Identifizierungsmerkmal in Kundenbindungsprogrammen genutzt. Kreditkartendaten gelangen damit durch die Hintertür in die Unternehmenssysteme. Das bedeutet, dass auch Händler unter die PCI-Richtlinien fallen können, die für die Zahlungsabwicklung per Kreditkarte auf einen externen Dienstleister setzen. Wichtig dabei ist: Der Händler ist auch in diesen Fällen für die Sicherheit der bei ihnen gespeicherten Kreditkartendaten nach PCI verantwortlich."

Die in Kapitel 6.6 des PCI-Standards spezifizierten Regelungen schreiben vor, dass aus dem Internet zugängliche Web-Anwendungen mindestens jährlich und nach jeder Änderung überprüft werden müssen; Schwachstellen, die dabei festgestellte werden, müssen behoben werden. Alternativ kann eine Web Application Firewall (WAF) installiert werden.

Bei Nicht-Einhaltung des PCI-Standards drohen dem Händler finanzielle Einbußen, beispielsweise durch Vertragszahlungen an die Bank oder vom PCI-Council verhängte Strafzahlungen. Zusätzlich ist der mittelbare finanzielle Schaden durch den Vertrauensverlust beim Kunden einzukalkulieren. Der PCI-Standard findet mittlerweile Anerkennung über die Kreditkartenindustrie hinaus: Erst kürzlich hat der US-Bundesstaat Nevada ein Gesetz beschlossen, dass PCI-Compliance für Unternehmen vorschreibt, die Zahlungskarten annehmen und in Geschäftsbeziehung mit dem Staat stehen.

Grundsätzlich rät Dr. Georg Heß auch kleineren Anbietern zum umfassenden Schutz ihrer Online-Shops. "Wir beobachten eine zunehmende Anzahl von automatisierten Angriffen auf Online-Shops, die zum Absturz des Systems führen können. Ein weiterer neuer Trend ist das Infizieren einer Website mit einem Trojaner, der an die Besucher der Website weitergegeben wird. Vor solchen Angriffen sollten Betreiber ihre Web-Shops in jedem Fall schützen. Wenn Kunden sich beim Online-Shopping Schad-Software einfangen, kann das den Erfolg von jahrelanger erfolgreicher Kundenbindung in kurzer Zeit zunichtemachen. Und das schlägt sich letztendlich auch finanziell nieder", so Heß. (art of defence: ra)

art of defence: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Markt / Hintergrund