PCI DSS-Compliance oft nicht gewährleistet


Report: Die Compliance-Situation beim Umgang mit Zahlungskarten ist weiterhin "enttäuschend"
Nicht umgesetzte Compliance-Richtlinien erhöhen die Gefahr des Datenmissbrauchs


(13.10.11) - Viele Unternehmen haben immer noch Probleme, die gängigen Sicherheitsstandards beim bargeldlosen Zahlungsverkehr einzuhalten. Damit setzen sie die vertraulichen Informationen der Kartennutzer dem Risiko des Datendiebstahl und -missbrauchs aus. Dies belegt der aktuelle "Payment Card Industry Compliance Report" von Verizon, der nach 2010 nun bereits zum zweiten Mal erscheint.

Laut des Reports haben die meisten Unternehmen, die Kredit- und/oder Debitkarten akzeptieren, nach wie vor Mühe, die "Payment Card Industry Data Security Standard" (PCI DSS) einzuhalten. Somit gehen sie ein großes Risiko ein, vertrauliche Kundeninformationen zu verlieren und Opfer von Kreditkartenbetrug zu werden.

Bei Nichteinhaltung der Compliance drohen harte Strafen durch die Kreditkartenunternehmen, wie etwa Geldstrafen und höhere Gebühren für Transaktionen. Zudem fordern immer mehr Partner und Kunden, die offensichtliche Einhaltung der Richtlinien.

Im aktuellen Bericht von Verizon wird nicht nur die aktuelle Gesamtsituation bei der Einhaltung von PCI DSS analysiert, sondern auch, inwieweit sich die Unternehmen an die zwölf spezifischen PCI-Forderungen halten. Zusätzlich werden Empfehlungen ausgesprochen, wie Firmen Compliance erreichen und beibehalten können.

"Wir hatten gehofft, dass sich mittlerweile mehr Unternehmen an den PCI-Standard halten. Wir sind überzeugt, dass Compliance letztlich die Sicherheitslage im Unternehmen verbessert und insgesamt das Risiko von Datenmissbrauch senkt", sagt Wade Baker, Director of Risk Intelligence bei Verizon. "Der Report erklärt, wo Unternehmen den Schwerpunkt setzen sollten und wie sie unsere Empfehlungen umsetzen, um möglichst schnell PCI-Compliance zu erreichen. Unser Ziel ist eine sicherere Umgebung für Kreditkartengeschäfte, sowohl für Verbraucher als auch für Unternehmen.“

Ergebnisse des PCI-Reports basieren auf realen PCI-Prüfungen und Datenschutz
Grundlage des Berichts bilden die Ergebnisse von über 100 PCI DSS-Prüfungen, die 2010 von den sogenannten "PCI Qualified Security Assessors" von Verizon vorgenommen wurden. Außerdem wurden Daten verwendet, die von der "Verizon Investigative Response Group" während der Untersuchung von Datenverletzungen im Zusammenhang mit Zahlungskarten gesammelt wurden. Um den Resultaten noch mehr Stichhaltigkeit und Aussagekraft zu verleihen, wurden sie darüber hinaus vom "Verizon Risk Intelligence Team" mit dem "2011 Verizon Data Breach Investigations Report" verglichen.

Für den Bericht wurden Prüfungsergebnisse von Unternehmen mit Sitz in den Vereinigten Staaten, in Europa und in Asien herangezogen, wodurch erstmals der globalen Bedeutung des PCI-Standards Rechnung getragen wurde.

Die wichtigsten Erkenntnisse

• Die Compliance-Situation ist unverändert und damit weiterhin "enttäuschend".
Lediglich 21 Prozent der Unternehmen erfüllen schon beim ersten Audit die Bestimmungen. Als mögliche Gründe für die weitverbreitete Non-Compliance nennt der Bericht neben der Schwierigkeit, die Bestimmungen zu erfüllen, übermäßiges Selbstvertrauen, Ignoranz und Konzentration auf andere Compliance- und Sicherheitsthemen.

• Datenmissbrauch steht nach wie vor in direktem Zusammenhang mit mangelnder PCI-Compliance. Der Bericht verdeutlicht erneut, dass Firmen, bei denen es zu Datenmissbrauch gekommen ist, mit großer Wahrscheinlichkeit die PCI-Standards nicht erfüllen und wahrscheinlich Opfer von Identitätsdiebstahl und betrügerischen Absichten sind.

• Unternehmen haben mit wichtigen PCI-Anforderungen Probleme. Am meisten haben Firmen mit den Anforderungen 3 (Schutz gespeicherter Karteninhaberdaten), 10 (Nachverfolgung und Überwachung des Zugriffs), 11 (regelmäßiges Testen von Systemen und Prozessen) und 12 (Einhaltung von Sicherheitsrichtlinien) zu kämpfen. Diese Maßgaben stehen allesamt in direktem Zusammenhang mit dem Schutz von Karteninhaberdaten.

• Nachrangige Behandlung von Compliance bedeutet oft, dass stark risikobehaftete Sicherheitsbedrohungen ignoriert werden. 2009 wurde der sogenannte Prioritized Approach eingeführt. Er dient dazu, Unternehmen beim Reduzieren der Risiken für ihre Karteninhaberdaten zu unterstützen und das jährliche PCI-Verfahren zu erleichtern. Die Autoren des Reports kommen zu dem Schluss, dass Unternehmen sich lieber auf den PCI DSS verlassen, anstatt PCI-Compliance über einen risikobasierten Ansatz zu erreichen. Als Folge hiervon werden in vielen Firmen hochgradig risikobehaftete und potenziell gefährliche Bedrohungen mit denkbar weitreichenden Konsequenzen nicht gebührend beachtet.

• Der PCI-Standard bietet Schutz vor den gebräuchlichsten Angriffsmethoden. Malware und Hacking sind die vorherrschenden Methoden, um sich Zugang zu Karteninhaberdaten zu verschaffen. Mehrere einander überlappende PCI-Anforderungen zielen darauf ab, das Unternehmen vor solchen Angriffen zu schützen.

Empfehlungen zur Erfüllung der Compliance-Anforderungen

Ausgehend von einer umfassenden Analyse hat Verizon folgende Empfehlungen zusammengestellt, die Unternehmen beim Erreichen ihrer PCI-Compliance-Ziele unterstützen:

• Compliance als kontinuierlichen Routineprozess betrachten. Compliance erfordert unablässiges Einhalten des Standards. Dies bedeutet tägliche Log-Überprüfungen, wöchentliche Verifizierung des Schutzes von Dateien, vierteljährliches Scannen auf Schwachstellen und jährliche Penetrationstests. Zu diesem Zweck empfiehlt Verizon, einen internen PCI-"Champion“ damit zu beauftragen, dass Compliance Teil der normalen Geschäftstätigkeit wird.

• Eine eigenständige Beurteilung ist, falls überhaupt, mit äußerster Umsicht vorzunehmen. Level-1- und -2-Händler, die für die größten Volumina an Kartentransaktionen verantwortlich sind, dürfen selbst beurteilen, ob der Standard bei ihnen eingehalten wird. Da es hierbei zu zahlreichen Problemen und Interessenkonflikten kommen kann, empfiehlt Verizon dringend, dass ein objektiver Dritter den Umfang der Beurteilung überprüft oder die Tests übernimmt.

• Sie darauf vorbereitet, die Latte höher legen zu müssen. Im Oktober 2010 stellte das PCI Security Standards Council die PCI DSS-Version 2.0 vor. Die neue Version verlangt eine noch stringentere Executive Summary und Bewertungsmethode bei der Definition des Umfangs. Unternehmen, die bereits mit den aktuellen Standards größere Schwierigkeiten haben, sollten sich dringend auf die neue Version vorbereiten.
(Verizon: ra)

Verizon Business: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Durchsetzung von Kundenschutzrechten

    Eine Untersuchung des Verbraucherzentrale Bundesverband (vzbv) zeigt klare Mängel bei der Umsetzung einiger Kundenschutzrechte des neuen Telekommunikationsgesetzes (TKG). Dafür wurden primär Verbraucherbeschwerden evaluiert. Probleme gibt es demnach insbesondere bei der Durchsetzung von Minderungsansprüchen und bei untergeschobenen Verträgen.

  • Datenschutz bei Online-Veranstaltungen

    ClickMeeting hat im Frühjahr 2022 untersucht, wie Nutzer es bei Online-Veranstaltungen mit dem Datenschutz halten. Und obwohl das Thema oft nur am Rande behandelt wird, verdeutlicht die Umfrage, dass sich die Organisatoren mit der Frage der Privatsphäre der Teilnehmer befassen sollten. Denn wie die Studie zeigt, möchten beispielsweise fast 90 Prozent der Nutzer vorab darüber informiert werden, wenn eine Online-Veranstaltung aufgezeichnet wird.

  • Neun von zehn Unternehmen setzen auf Industrie 4.0

    Ressourcen schonen, Energie sparen, CO2-Ausstoß reduzieren: Auf dem Weg zu mehr Nachhaltigkeit und Klimaschutz spielt die Industrie eine Schlüsselrolle. Digitalisierung ist der wesentliche Hebel, um diese Ziele zu erreichen. So steht die Hannover Messe als weltweite Industrieleitmesse in diesem Jahr auch unter dem Leitthema "Digitalisierung und Nachhaltigkeit". Eine aktuelle, repräsentative Befragung im Auftrag des Digitalverbands Bitkom stellt die Bedeutung digitaler Anwendungen für mehr Klimaschutz heraus.

  • DSGVO-Chancen und -Herausforderungen aufzeigen

    2018 trat in der EU die Allgemeine Datenschutzgrundverordnung (DSGVO) in Kraft. Am 25. Mai feiert sie nun bereits ihren vierten Geburtstag. Für die Datenschutzspezialistin Piwik PRO Anlass genug, zeitgleich ihren aktuellen DSGVO-Report herauszugeben. Der Bericht untersucht Chancen und Herausforderungen, welche die DSGVO mit sich bringt und zeigt auf, wie europäische Unternehmen mit der DSGVO umgehen und wie bzw. ob sich das Gesetz auf die Entscheidungsfindung auswirkt.

  • Defizite bei Durchsetzung der Sanktionen

    Der Deutsche Bundestag hat den Gesetzentwurf zur effektiveren Durchsetzung von Sanktionen verabschiedet. Transparency Deutschland begrüßt dieses erste Sanktionsdurchsetzungsgesetz. Darauf aufbauend müssen jedoch viele weitere Verbesserungen zur Behebung der fundamentalen strukturellen Defizite im Kampf gegen Schattenfinanzen und Geldwäsche folgen.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen