Der Begriff „Karteninhaberdatenumgebung“ (CDE) bezieht sich auf die Verfahren, mit denen die Informationen zu Karteninhaberinnen und -inhabern innerhalb eines Unternehmens verarbeitet, übermittelt und gespeichert werden. Konkret zählen dazu alle Systemkomponenten, die direkt in die Verarbeitung von Karteninhaberdaten involviert sind. Dabei kann es sich um Software, Hardware und alle sonstigen Verfahren oder Richtlinien handeln, die sich auf die Sicherheit von Kreditkartentransaktionen und -daten auswirken.

Im Folgenden werden wir darauf eingehen, was Sie über die CDE wissen sollten: ihre Rolle bei Zahlungen, ihre Funktionsweise und wie Unternehmen eine starke, sichere und zuverlässige Zahlungsumgebung gewährleisten können.

Worum geht es in diesem Artikel?

• Welche Rolle spielt die CDE in der Zahlungskartenbranche?
  
• Komponenten, Anforderungen und Datenarten innerhalb der CDE
  
• PCI-DSS-Anforderungen für eine CDE
  
• So schaffen Sie eine sichere CDE und garantieren deren Sicherheit
  
• So gehen Sie bei einem Verstoß gegen die Sicherheit der CDE vor
  

Welche Rolle spielt die CDE in der Zahlungskartenbranche?

Die CDE ist die Infrastruktur, in der Zahlungskartenangaben innerhalb eines Unternehmens verarbeitet, gespeichert oder übermittelt werden. Diese Umgebung umfasst alle technischen und betrieblichen Systeme, die Zahlungskartendaten verarbeiten. Nachfolgend finden Sie eine Übersicht über die wichtigen Funktionen der CDE innerhalb des breiter gefassten Zahlungsökosystems:

• Schutz von Karteninhaberdaten: Unternehmen nutzen die CDE, um die Zahlungsinformationen ihrer Kundschaft vor unbefugtem Zugriff und Datenschutzverstößen zu schützen. 2021 gab es laut einem Bericht von Flashpoint und Risk Based Security über 4.100 solcher Verstöße. Mit einer dedizierten Umgebung können sich Unternehmen auf Sicherheitsmaßnahmen an den Stellen konzentrieren, an denen sie am dringendsten gebraucht werden.

• Einhaltung von Standards: Organisationen, die Karteninhaberdaten verarbeiten, müssen den Payment Card Industry Data Security Standard (PCI-DSS) einhalten und die CDE ist der Ort für die Compliance-Bemühungen zur Einhaltung dieser Standards.

• Risikominimierung: Die CDE versetzt Unternehmen in die Lage, Risiken für Zahlungskartendaten exakt zu lokalisieren und zu reduzieren. Angesichts der potenziellen Folgen eines Datenschutzverstoßes ist die Sicherheit dieser Daten sehr wichtig. Beispielsweise führte 2013 ein bedeutender Datenschutzverstoß im Zusammenhang mit Kreditkarten bei Target zu Kosten von insgesamt 290 Millionen USD und fallenden Aktienkursen.

• Kundenvertrauen: Eine sichere CDE kann Kundenvertrauen aufbauen, da sie Kundinnen und Kunden zeigt, dass ihre Zahlungsinformationen sicher sind.

• Aufrechterhalten der Transaktionsintegrität: Die CDE gewährleistet, dass Transaktionen sicher und korrekt durchgeführt werden, sodass die Integrität des Zahlungsvorgangs gewahrt bleibt.

• Vermeiden rechtlicher und finanzieller Konsequenzen: Datenschutzverstöße können zu Rechtsverfahren und erheblichen finanziellen Verlusten führen. Unternehmen nutzen die CDE, um sich vor derartigen Folgen zu schützen.

Ein Unternehmen, das Zahlungskartendaten ohne eine effektive CDE-Strategie handhabt, setzt seine finanzielle Stabilität und seinen Ruf aufs Spiel. Nachfolgend werden wir darauf eingehen, wie Sie einen durchdachten Plan entwickeln können, um die Risiken zu minimieren und den Nutzen zu maximieren.

Komponenten, Anforderungen und Datenarten innerhalb der CDE

In einer CDE greifen mehrere Komponenten zur Verarbeitung sensibler Zahlungskartendaten ineinander. Im Folgenden werfen wir einen Blick auf diese Komponenten, die Anforderungen für ihren Schutz und die Arten von Daten, die sie verarbeiten:

Komponenten

• Computing-Hardware: Dazu gehören Server und Workstations, auf denen Zahlungsabwicklungssoftware ausgeführt wird. Außerdem umfasst sie Netzwerkkomponenten wie Router, Schalter und Firewalls, die Daten auf ihrem Weg durch die Netzwerke leiten und schützen.
  
• Zahlungsterminals: Dabei handelt es sich um physische Geräte an Points of Sale, die genutzt werden, um die Zahlungskarten von Kundinnen und Kunden durchzuziehen, einzuführen oder aufzulegen.
  
• Speichersysteme: Damit sind Bereiche gemeint, in denen Zahlungskartendaten aufbewahrt werden, sei es als digitale Dateien, Datenbanken oder Back-ups. Diese Kategorie schließt Wechselmedien wie USB-Laufwerke oder Back-up-Bänder ein.
  
• Anwendungen: Dabei handelt es sich um Software, die Zahlungen abwickelt, einschließlich Point-of-Sale-Systeme und Online-Zahlungsgateways.
  
• Zugangskontrollen: Diese Systeme wurden zum Authentifizieren von Nutzerinnen und Nutzern entwickelt, die auf die CDE zugreifen – über den physischen Zugang zu sicheren Bereichen oder den digitalen Zugriff auf Datensysteme.
  

Anforderungen

• Datenverschlüsselung: Zahlungskartendaten müssen nach starken kryptografischen Standards verschlüsselt werden, insbesondere wenn sie über offene oder öffentliche Netzwerke übermittelt werden.
  
• Zugriffsverwaltung: Nur befugte Personen sollten Zugriff auf die CDE haben und ihre Aktivitäten sollten protokolliert und überwacht werden.
  
• Physische Sicherheit: Der physische Zugang zur CDE muss kontrolliert und überwacht werden, mit Zugangspunkten, die gegen unbefugten Zugang gesichert sind.
  
• Regelmäßige Tests: Regelmäßige Scans und Penetrationstests sind erforderlich, um Schwachstellen zu erkennen und zu beheben.
  
• Richtlinien zu Datenspeicherung und -entsorgung: Unternehmen müssen mit klaren Richtlinien regeln, wie lange Karteninhaberdaten gespeichert werden, und Verfahren für die sichere Entsorgung nicht mehr benötigter Karteninhaberdaten festlegen.
  
• Anbietermanagement: Wenn Dritte Zugriff auf die CDE haben, müssen sie diese Sicherheitsanforderungen ebenfalls einhalten.
  

Datenarten

• Karteninhaberdaten: Dazu gehören der Name der Karteninhaberin bzw. des Karteninhabers, die Kartennummer, das Ablaufdatum und der Servicecode – Informationen, die oft auf der Vorderseite einer Zahlungskarte zu finden sind.
  
• Sensible Authentifizierungsdaten: Dies bezieht sich auf Elemente wie den Sicherheitscode der Karte (die Kartenprüfnummer [CVV] oder CVV2), persönliche Identifikationsnummern (PINs) und Magnetstreifen- oder Chipdaten, die zum Authentifizieren von Karteninhaberinnen und -inhabern und zum Autorisieren von Transaktionen verwendet werden.
  

Der CDE sollten alle Unternehmen, die Kundenzahlungen abwickeln müssen, hohe Priorität einräumen, unabhängig von der Branche, dem Zahlungsvolumen und anderen Risikofaktoren. Unternehmen, die die Komponenten ihrer CDE verstehen und Sicherheitsanforderungen einhalten, können Karteninhaberdaten effektiv vor Verstößen und Missbrauch schützen.

PCI-DSS-Anforderungen für eine CDE

Der PCI DSS bietet Leitprinzipien für die Sicherung von Zahlungskartendaten innerhalb der CDE. Diese umfangreichen und detaillierten Standards wurden für den Schutz der Karteninhaberdaten ab dem Moment, an dem die Karte eingesetzt wird, bis zum Ende des Transaktionsprozesses und darüber hinaus entwickelt. Im Folgenden finden Sie eine detaillierte Aufschlüsselung der Hauptanforderungen:

• Installieren und Aufrechterhalten einer Firewall-Konfiguration:Firewalls fungieren als Torwächter der CDE. Sie müssen angemessen eingerichtet sein und verwaltet werden, um eingehenden und ausgehenden Netzwerkverkehr anhand eines vorgegebenen Regelsatzes zu kontrollieren und so zu gewährleisten, dass unbefugter Zugriff blockiert wird.

• Ändern vom Anbieter bereitgestellter Standardeinstellungen für Systempasswörter und Sicherheitsparameter: Systeme werden oft mit Standardpasswörtern und -einstellungen geliefert, was leicht ausgenutzt werden kann. Unternehmen müssen diese Standardeinstellungen in eindeutige, komplexe Passwörter und Konfigurationen ändern, bevor die Systeme verknüpft werden.

• Schützen gespeicherter Karteninhaberdaten: Wenn ein Unternehmen Karteninhaberdaten speichert, müssen diese mit akzeptierten Methoden verschlüsselt werden. Der Zugriff auf diese Daten muss auf das erforderliche Minimum beschränkt sein, wobei strenge Datenspeicherungsrichtlinien die Dauer der Speicherung sowie klare Verfahren für die anschließende Löschung der Daten vorgeben.

• Verschlüsselte Übermittlung von Karteninhaberdaten über öffentliche Netzwerke: Da Daten während der Übermittlung abgefangen werden können, müssen sie mit leistungsstarken Verschlüsselungsmethoden verschlüsselt werden, sobald sie über leicht zugängliche Netzwerke übermittelt werden, beispielsweise über das Internet.

• Nutzung und regelmäßiges Aktualisieren von Virenschutzsoftware: Virenschutzsoftware trägt zum Schutz der Systeme vor schädlichen Programmen bei. Sie muss in allen Systemen verwendet werden, die häufig Ziel von Malware-Angriffen sind, und regelmäßige Updates sind unverzichtbar.

• Entwickeln und Aufrechterhalten sicherer Systeme und Anwendungen: Unternehmen müssen alle Systemkomponenten vor Schwachstellen schützen, indem sie Sicherheitspatches installieren. Wenn Unternehmen Anwendungen entwickeln, sollte die Sicherheit vorrangig berücksichtigt werden.

• Beschränken des Zugriffs auf Karteninhaberdaten auf das absolut notwendige Minimum: Unternehmen sollten das Prinzip der geringsten Rechte durchsetzen, nach dem Einzelne nur auf die Daten, Ressourcen und Funktionen Zugriff erhalten, die für die Erfüllung ihrer Aufgaben erforderlich sind.

• Zuweisen einer eindeutigen ID für jede Person mit Zugang zu Computern: Dadurch können Aktionen, die wichtige Daten und Systeme betreffen, zu Einzelpersonen zurückverfolgt werden, was zur Aufrechterhaltung der Zurechenbarkeit beiträgt.

• Beschränken des physischen Zugangs zu Karteninhaberdaten: Physische Schutzvorkehrungen müssen unbefugte Personen am Zugang zu Systemen und Datenspeichern hindern. Dazu gehören Schlösser, Zugangskontrollen und Überwachungsmechanismen.

• Nachverfolgen und Überwachen jedes Zugriffs auf Netzwerkressourcen und Karteninhaberdaten: Protokollierungsmechanismen und die Möglichkeit, Nutzeraktivitäten nachzuvollziehen, sind wichtig, um Verstöße zu erkennen, ihnen vorzubeugen und darauf zu reagieren.

• Regelmäßiges Testen von Sicherheitssystemen und -prozessen: Sicherheitssysteme und -prozesse müssen regelmäßig einem Stresstest unterzogen werden, um sicherzustellen, dass sie korrekt konfiguriert sind und Karteninhaberdaten effektiv schützen.

• Aufrechterhalten einer Richtlinie zur Informationssicherheit: Unternehmen müssen eine formelle Richtlinie erarbeiten und aufrechterhalten, die Fragen der Technologie, von Bewusstseinsbildungsprogrammen und der Informationssicherheit mit einer klaren Managementstruktur regelt – und diese Richtlinie dann allen Mitarbeiterinnen und Mitarbeitern sowie Auftragnehmerinnen und Auftragnehmern vermitteln.

Die Einhaltung dieser Anforderungen trägt zur Schaffung einer sicheren Umgebung für den Umgang mit Karteninhaberdaten bei, die Unternehmen und deren Kundschaft vor Datenschutzverstößen schützt und gleichzeitig Vertrauen und Integrität aufrechterhält. Durch fortlaufende Einhaltung des PCI DSS zeigen Unternehmen ihr Engagement für Sicherheit und bekennen sich zum umfassenderen Ziel der Schaffung einer sicheren Zahlungsumgebung.

So schaffen Sie eine sichere CDE und garantieren deren Sicherheit

Wie genau lässt sich eine starke CDE aufbauen und aufrechterhalten? Im Folgenden finden Sie eine Übersicht über den Prozess:

• Definieren Sie den Umfang der CDE: Identifizieren Sie alle Systeme, Personen und Prozesse, die Karteninhaberdaten speichern, verarbeiten oder übermitteln. Visualisieren Sie die Datenströme, um sich zu vergewissern, dass kein Teil der Umgebung übersehen wird.

• Segmentieren Sie das Netzwerk: Isolieren Sie die CDE von anderen Netzwerkressourcen, um den Zugriff zu beschränken. Das verringert die Anzahl der Systeme, die mit der CDE interagieren können, und minimiert damit die potenziellen Angriffsvektoren.

• Schützen Sie Daten durch Verschlüsselung: Setzen Sie beim Speichern und Übermitteln von Karteninhaberdaten leistungsstarke Verschlüsselung ein. Verschlüsselung wirkt wie ein Schloss, das die Daten für unbefugte Parteien, die nicht über den korrekten Schlüssel verfügen, unlesbar macht.

• Kontrollieren Sie den Zugriff: Stellen Sie sicher, dass nur befugte Personen Zugriff auf die CDE haben. Das ist durch ordnungsgemäße Identitätsprüfung, die Verwendung eindeutiger IDs und leistungsstarke Authentifizierungsmethoden möglich.

• Physische Sicherheit: Sichern Sie die physischen Standorte der CDE – zum Beispiel durch verschlossene Räume, Überwachungskameras und Zugangskontrollsysteme – vor unbefugtem Zutritt.

• Halten Sie Sicherheitssysteme aufrecht: Stellen Sie sicher, dass Sicherheitsanwendungen wie Firewalls, Virenschutzsoftware und Systeme zum Erkennen von Eindringversuchen auf aktuellem Stand sind, damit sie vor neuen Bedrohungen schützen.

• Erarbeiten Sie Sicherheitsrichtlinien und setzen Sie sie durch: Verfassen Sie klare Richtlinien, in denen die Sicherheitserwartungen definiert werden, und schulen Sie Ihr Personal entsprechend. Beziehen Sie Verfahren für den täglichen Betrieb mit ein, die detaillierte Anweisungen für die Reaktion auf Sicherheitsvorfälle und die Durchführung regelmäßiger Prüfungen enthalten.

• Überwachen und protokollieren Sie alle Aktivitäten: Führen Sie Protokollierungsmechanismen ein, um aufzuzeichnen, wer auf die CDE zugegriffen hat und was die jeweilige Person wann getan hat. Prüfen Sie die Protokolle regelmäßig auf verdächtige Aktivitäten.

• Testen Sie Sicherheitsmaßnahmen: Führen Sie regelmäßige Tests wie Anfälligkeitsprüfungen und Penetrationstests durch, um Sicherheitsschwachstellen zu finden und zu beheben.

• Reagieren Sie auf Verstöße: Erstellen Sie einen Vorfallsreaktionsplan, der darlegt, wie auf eine Sicherheitsverletzung zu reagieren ist. Darin sollten Eindämmungsstrategien, Kommunikationspläne und Schritte zur Vorbeugung gegen weitere Vorfälle enthalten sein.

• Regelmäßige Überprüfung und Verbesserung: Sicherheit ist ein fortlaufender Prozess. Prüfen und aktualisieren Sie die Sicherheitskontrollen, -richtlinien und -verfahren regelmäßig, um sich an neue Bedrohungen anzupassen.

• Vendor Due Diligence: Wenn Dritte Zugriff auf die CDE haben, überprüfen Sie sie gründlich und vergewissern Sie sich, dass sie die Sicherheitsanforderungen einhalten.

Eine sichere CDE erfordert kontinuierliche Kontrolle, regelmäßige Aktualisierungen der Schutzvorkehrungen und ein Bewusstsein für Sicherheitsfragen im gesamten Unternehmen.

So gehen Sie bei einem Verstoß gegen die Sicherheit der CDE vor

Auch bei sorgfältigster Planung und Instandhaltung lässt es sich kaum vermeiden, dass es zu Verstößen kommt. Die Art des Betrugs verändert sich fortlaufend und selbst die besten CDE-Ansätze haben Schwachstellen. Ohne einen belastbaren Plan für den Umgang mit Verstößen ist keine CDE-Strategie vollständig.

• Sofortige Reaktion und Eindämmung: Erkennen Sie den Datenschutzverstoß und dämmen Sie ihn sofort ein. Das bedeutet, dass Sie die betroffenen Systeme isolieren müssen, um weiteren Datenverlust zu verhindern. Wenn es zu dem Verstoß zum Beispiel auf einem bestimmten Server gekommen ist, sollte dieser Server vom Netzwerk getrennt werden.

• Bewerten und analysieren Sie den Verstoß: Führen Sie eine gründliche Untersuchung durch, um den Umfang des Verstoßes zu bestimmen. Dabei muss ermittelt werden, auf welche Daten zugegriffen wurde, wie es zu dem Verstoß gekommen ist und wie lange die Exposition dauerte. Forensische Tools und Techniken können bei dieser Analyse helfen.

• Benachrichtigen Sie relevante Parteien: Transparenz ist beim Umgang mit einer Verletzung der CDE von zentraler Bedeutung. Das Unternehmen muss alle betroffenen Kundinnen und Kunden benachrichtigen und ihnen mitteilen, welcher Art der Verstoß war, welche Informationen kompromittiert wurden und welche Schritte das Unternehmen unternimmt, um den Verstoß zu beheben. Darüber hinaus schreiben rechtliche Anforderungen unter Umständen vor, dass das Unternehmen Aufsichtsorgane über den Verstoß informieren muss.

• Ziehen Sie Rechts- und Compliance-Fachleute zurate: Rechtsberater/innen sollten die Tragweite des Verstoßes bewerten und für die Einhaltung aller relevanten Gesetze und Vorschriften sorgen. Die Zusammenarbeit mit Fachleuten ist insbesondere deshalb wichtig, weil sich die rechtlichen Bestimmungen für Datenschutzverstöße von Region zu Region und Branche zu Branche unterscheiden.

• Verstärken Sie die Sicherheitsmaßnahmen: Ausgehend von den Erkenntnissen der Untersuchung sollte das Unternehmen verbesserte Sicherheitsmaßnahmen umsetzen, um Verstößen vorzubeugen. Dazu könnten Aktualisierungen der Software, eine Verstärkung der Firewalls und das Verbessern der Verschlüsselungsmethoden gehören.

• Schulungen und Bewusstseinsbildung für Mitarbeiterinnen und Mitarbeiter: Oft kommt es zu Verstößen wegen menschlicher Fehler. Es ist wichtig, Mitarbeiterinnen und Mitarbeitern Best Practices für Datenschutz und die Wichtigkeit des Schutzes von Kundendaten zu vermitteln.

• Öffentlichkeitsarbeit: Das Unternehmen sollte offen über die Schritte informieren, die es zur Behebung des Verstoßes und zur Vorbeugung gegen weitere Vorfälle unternimmt.

• Fortlaufende Überwachung: Nachdem sie sich mit den unmittelbaren Auswirkungen des Verstoßes auseinandergesetzt haben, müssen Unternehmen ihre Systeme fortlaufend überwachen, um ungewöhnliche Aktivitäten sofort zu erkennen.

• Überprüfen und aktualisieren Sie Ihren Vorfallsreaktionsplan: Nach dem Vorfall müssen Unternehmen ihren Vorfallsreaktionsplan ausgehend von den gewonnen Erkenntnissen überprüfen und aktualisieren. Dadurch sind sie im Fall weiterer Vorfälle besser vorbereitet.

• Support und Unterstützung für Kundinnen und Kunden: Unternehmen müssen betroffenen Kundinnen und Kunden Unterstützung anbieten, wozu das Bereitstellen von Kreditüberwachungsdiensten oder eine Hotline für Fragen gehören kann.

Während des gesamten Prozesses sollten Unternehmen den Fokus auf Präzision und Rechenschaftspflicht legen und proaktive Maßnahmen ergreifen, um das Vertrauen wiederherzustellen und die Sicherheit ihrer Kundendaten zu gewährleisten.