PCI DSS

Ich habe aber in meinem Vorleben, bevor ich ausschließlich kritische Infrastruktursicherheit gemacht habe, Ich habe sehr, sehr viel Payment-Card-Industry-Sicherheitsmaßnahmen, also Kreditkartensicherheit gemacht und bin dafür weltweit durch die Welt getingelt und habe eben all diese Prüfungen gemacht, all diese Systemlandschaften auditiert oder eben auch zu Zahlungsverkehr, der Verschlüsselung und dem Schutz von Kartendaten alle möglichen Dinge beraten und konzipiert.

Wir selber für uns brauchen natürlich keine, das heißt PCI DSS wird von den sogenannten Memberbanken von Visa, Mastercard und so weiter rausgegeben und die sogenannten Acquirer, also diejenigen, die das Händlerentgeltkonto betreuen und verwalten, wenn ich bei einem Händler bezahle, dann landet das Geld bei diesem Händler auf dem Konto.

Die und ihre Dienstleister und die ganzen Händler selbst müssen dann diese Sicherheitsmaßnahmen umsetzen, damit die Kreditkartendaten so weit sicher sind, dass alle dieses Bezahlsystem noch nutzen wollen.

Die haben keine Equirer und Issuer, also Karten herausgebende Banken und die Händler, Entgeltkontobetreiber, die sind das alles selbst. Das heißt, bei Amex habe ich nur einen Vertrag mit Amex selbst, die machen alles und bei Visa oder Mastercard, wenn ich Karten rausgeben will, muss ich eine Memberbank werden und wenn ich Karten annehmen will, eine Akzeptanzstelle sein will, dann muss ich als Acquirer da die Lizenz haben.

Also das ist nichts Neues. Die Angreifer haben gesehen, oh Moment, da haben sich Händler an den Acquirer angedockt online. Ich schalte mich mal dazwischen und greife die Daten ab. Das ist dann relativ schnell rausgekommen, weil man natürlich sehr schnell merkt, woher sind die Karten abgegriffen, wenn die das sehr plump und banal machen. Das nennt sich dann der CPP, Common Point of Purchase, der dann offensichtlich irgendeinen Fraud erlitten hat, irgendeine Kompromittierung.

Und dann haben die Angreifer gesagt, naja, ist ja irgendwie doof, das heißt, dann gehen wir da rein, intercepten die Daten und vor allem, wenn natürlich sozusagen versucht wurde, eine Bezahlung zu machen und die jedes Mal abbricht, aber dann die Daten missbraucht werden, ist ja relativ einfach, wo es versucht wurde.

Also haben die gesagt, naja, dann schalten wir uns dazwischen, nehmen die Daten erstmal entgegen, kopieren die uns und schicken sie dann ans echte System weiter, damit die Bezahlung läuft und dann wird es schwieriger erkannt. Dann ist man hingegangen und hat gesagt, naja, wir kompromittieren mehrere. Mixen die Daten oder greifen immer nur jede vierte Visa-Goldkarte ab oder so, damit es nicht so schnell auffällt, weil man dann umso länger diese Daten abgreifen kann.

Und dagegen müssen sich natürlich auch die Händler schützen. Die Zahlungssysteme haben über die Jahre diesen PCI-DSS-Standard inzwischen in der Version 4.0 weiterentwickelt. Das ist immer so ein Drei-Jahres-Zyklus, also den Standard PCDSS gibt es ungefähr seit 2005, glaube ich.

Visa und Mastercard hatten vorher die Vorläufer in 2002 und 2003 ins Leben gerufen, haben das dann gemerged mit weiteren Zahlungssystemen sozusagen gemeinsam als Payment Card Industry Security Standards Council, PCI SSC, ins Leben gerufen und dann jede drei Jahre weiterentwickelt.

Und da sind inzwischen Anforderungen drin, dass man sagt, die Händler müssen diese Systeme, von denen aus die Bezahlung initiiert wird in Richtung Kunde und dann auch zu uns als Akzeptanzumgebung, auch mit abgesichert werden und geschützt werden, weil diese Manipulation dieses Man-in-the-Middle schon seit vielen Jahren sehr erfolgreich funktioniert und man hat jetzt die Auflagen eben auch den Händlern mitgegeben.

Wenn ich alles an Dienstleister ausgelagert habe, zu keinem Zeitpunkt in Kontakt komme mit den Kartendaten, weil ich das an sogenannte Third-Party-Provider abgetreten habe, dann spare ich mir die ganze Arbeit. Ich brauche einen zertifizierten Dienstleister, der diese PCI DSS Zertifizierung hat und sage, okay, das ganze Thema geht an mir vorbei. Ich habe einen sicheren Dienstleister, der kümmert sich darum, der zeigt mir jedes Jahr seinen Zertifikatsupdate, muss ich nichts tun.

Wenn ich in irgendeiner Form mit den Kartendaten zu tun habe oder dem Kunden, also in dem Fall dann demjenigen, der diesen Verwaltungsakt haben möchte, der dann bezahlen muss, dem sage, hier kannst du zahlen, ich pointe dich nur auf die Seite, habe ich ja schon den initialen Pointer referenziert. Und dann bin ich Teil dieser Bezahlung, obwohl ich nicht Teil der Kreditkartenabwicklung bin.

Aber wenn mein System kompromittiert wird und manipuliert wird, kann ich ja schon die Bezahlung in eine andere Richtung schieben.

Der ist quasi in diesen Rahmen reingeschnitten, aber vom Layout kann ich das so gestalten, wie wenn das eine Seite ist und von mir ist. Dann gibt es ein sogenanntes Direct Posting. Das ist über die URL, wird das direkt an den anderen weitergesendet.

Es gibt JavaScript-Implementierung, wo eben JavaScript läuft immer auf dem Browser des Benutzers oder der Benutzerin, Aber das JavaScript selbst lädt die Person, die das nutzen will, ja von meinem Server als Behörde runter oder von meinem Dienstleister runter. Und dann gibt es noch sogenannte APIs, also technische Schnittstellen, mit denen ich das einreichen kann. Das sind so die, sag mal, fünf wesentlichsten Implementierungsarten.

Heißt, man kann selbst Polizeisysteme mit einbetten. Die Polizei betreibt ein System, das heißt Kuno, K-N-U-O, K-U-N-O, Entschuldigung. Und Kuno ist jetzt nicht für Kreditkarten, aber zumindest für gesperrte Girokarts. Wenn die sagen, hier wurde eine gestohlen und die haben wir jetzt hier als polizeiliches Kuno-System registriert, dann kann ich mich daran andocken und sagen, die Karte ist gesperrt, von der nehme ich genau keine Bezahlung entgegen, weil das Geld kriege ich ja nicht.

Also da gibt es wirklich Tod und Teufel an Implementierungen und auch Tod und Teufel an schwachsinnigen, unseriösen und unsicheren Implementierungen, weil die Leute nicht verstanden haben, wie man sichere Bezahlprozesse einbaut oder sichere Prozessketten etabliert und das Ende-zu-Ende absichert. Von daher gibt es auch in diesen fünf Varianten sehr, sehr viele Falschimplementierungen oder total unsichere Varianten.

Diese Selbstauskunft muss ich einmal im Jahr ausfüllen, unterschreiben und zurücksenden an meinen Akzeptanzpartner, weil eben natürlich es sein kann, dass ich doch irgendwas anders gemacht habe oder dass irgendwer das schlecht implementiert hat, dass ich meine Verantwortung nicht wahrgenommen habe. Ich kann zwar den Dienst auslagern, aber die Verantwortung als Akzeptanzsteller habe ich ja trotzdem selbst, auch als Behörde.

Und insofern lassen sich die Acquirer einmal im Jahr bestätigen, du hast wirklich, wirklich nirgendwo Einfluss auf die Kartendaten und die Flüsse. Du hast nur zertifizierte Dienstleister unter Vertrag.

Du bestätigst jetzt explizit, dass das so ist mit einer Unterschrift einmal im Jahr, das ist dann jetzt für ein Jahr gültig und wir lassen dich in Ruhe, aber du musst schon verstehen, worum es hier geht, nämlich um Kartensicherheit und die nimmst du jetzt wahr und unterschreibst, dass du das kapiert hast. Das müssen die dann natürlich einmal im Jahr machen, aber sie müssen dann, wenn sie das wirklich alles komplett ausgelagert haben, keine technischen Implementierungen mehr vornehmen.

Die Security Scans sind sozusagen aus dem Internet erreichbare Systeme auf bekannte Schwachstellen zu scannen und zu prüfen, also möglichst automatisiert sozusagen diese Prüfung durchzuführen und diese Scans passieren non-intrusive und non-destructive. Das heißt, sie sind nicht intrusiv, sie brechen nicht ein und sie sind nicht destruktiv. Das heißt, es gibt keinen Denial of Service oder einen Segmentation Fold oder was auch immer.

Also die Vorgaben sind, dass man das als ASV-zertifizierter Scanning Vendor sicherstellen muss und das muss man dann auch einmal im Jahr gegen ein sogenanntes ASV Validation Lab gegenscannen und prüfen und die da absichtlich eingebauten Schwachstellen in allen Kategorien. Es gibt bestimmte Domänen, wie Netzwerkebene, Applikationsebene und so weiter. Da muss man aus allen Ebenen eine Mindestmenge an eingebauten Schwachstellen finden und das jedes Jahr auch wieder unter Beweis stellen.

Denn ein Intrusion-Prevention-System oder eine Web-Application-Firewall oder was auch immer soll ja natürlich funktionieren, aber es ist nur ein Schritt in der gesamten Kette und diesen Schritt muss man für den Scan-Zeitraum für die IP-Adressen des ASV-Scanning-Vendors explizit deaktivieren und sagen, eine Firewall bleibt oben, alle anderen Schutzmaßnahmen bleiben oben, aber aktive Störkomponenten wie ein IPS oder eine Web-Application-Firewall,

darf nicht im Einsatz sein und darf nicht den Scannen sozusagen verhindern. Weil sonst könnte ich einfach sagen, naja, immer wenn der Typ um die Ecke kommt, ich kenne ja seine IPs, muss er ja benennen, wenn der dann abfragt, fahre ich meinen EPS hoch, das sagt dann, nö, ich blocke hier einfach alles, dann bin ich ja super sicher. Die echten Angreifer gehen natürlich anders vor und insofern wäre das vielleicht Betrug und trotzdem Compliant, aber nicht hilfreich.

In meine Webseite binde ich per JavaScript, per Web Components diesen Online-Dienst ein. Der Online-Dienst wird aufgerufen und der Online-Dienst, also auf meiner Webseite wird dieser Online-Dienst aufgerufen und dieser Online-Dienst triggert dann eine Bezahlung und ruft die Paypage von zum Beispiel IPBL auf. Wer ist wo in Charge?

Wenn das nicht getan wurde, ich meine, für irgendjemand wird ja dieser Scan ausgeführt und auch benannt, wenn das die Behörde ist und da steht drauf, wir haben dich gescannt und das war dann aber das IPBL im Hintergrund, dann wird es trotzdem nicht konformer, wenn das IPBL ein IPS oder eine WAF aktiv hatte beispielsweise oder andere aktive Protection Systems.

Wenn ich jetzt auf die Idee komme als Kommune, ich baue mir doch selber noch so einen Online-Dienst, der dann auch gegen die öffentliche Schnittstelle von IPBL zum Beispiel kommuniziert, muss ich dann auch diese Scans auf meinem, oder muss ich die PCI-Konformität auch auf meiner Webseite quasi, in meinem Rechenzentrum durchführen, oder?

Ich muss hier nur diesen SAQ, diesen Self-Assessment-Questionnaire ausfüllen, wo ich sage, ich habe zertifizierte Dienstleister, die haben mir das bereitgestellt. Ich implementiere hier überhaupt nichts auf meinem System. Das machen die alle selbst. Ich bin raus und bin hier sauber. Dann können die das natürlich an sich vorbeivandern lassen.

Wenn nicht, müssen sie in ihrem eigenen Rechenzentrum, auf ihrem eigenen Web-Server, wie auch immer, die entsprechenden Schutzmaßnahmen umsetzen, die jeder andere auch umzusetzen hat, klar.

Diese dreistellige Nummer ist nicht auf dem Chip, ist nicht auf dem Magnetstreifen. Wenn du die ablesen kannst, dann hast du die Karte physisch in der Hand. Es steht in allen Standards und Sicherheitsprotokollen und Informationen, die jemals von Visa, Mastercard und sonst wem rausgegeben wurden, niemals, nie, nicht, unter keinen Umständen speicherst du diese Prüfziffer. Nie. Nicht. Nein. Pfui aus. Ich habe knapp 20 Jahre lang PCI-DSS-Beratung und Auditierung weltweit gemacht.

Ich habe so oft Kartenprüfnummern in den Datenbanken liegen sehen, wo sogar die Tabelle einfach schon oder die Spalte einfach CVV hieß oder CVC. Einfach damit man direkt weiß, diese dreistellige Nummer ist genau die, die du haben willst, um einkaufen zu gehen, weil du sagst, hier ist die Kartennummer, hier ist die dreistellige Nummer. damit hast du quasi die Kreditkarte von jemandem in der Hand.

Wenn also das alles über Jahre sehr extrem passiert ist, ist natürlich das Vertrauen in die Zahlungssysteme immer weniger geworden. Deswegen hatten Visa, ich glaube Visa war 2002 und Mastercard 2003, haben die dann die Vorläufer der Sicherheitsprogramme von PCI DSS ins Leben gerufen. Da haben sie gesagt, okay, wir müssen die Leute auditieren und wir müssen von außen Security Scans machen, ob die irgendwie überhaupt halbwegs sichere Systeme betreiben.

Ich meine, bei kritischen Infrastrukturen ist es nicht anders. Ich sehe sehr, sehr oft archäologisch wertvolle Betriebssysteme, die irgendwie im Internet immer noch angedockt sind oder betrieben werden.

Kann man machen, ist dann aber auch kacke. Die Zahlungssysteme haben dann gesagt, nee, wir scannen das jetzt und haben bestimmte Vorgaben, weil wer mit unseren Kartennummern rumfummelt, fummelt ja auch mit dem Geld unserer Kunden und vor allem auch mit unserer Vertraulichkeit und mit unserem, naja, Achtung, Seriosität.

Deswegen haben die halt gesagt, Händler, die nicht verstanden haben, was sie da tun, sind ein richtig großes Bedrohungsszenario für das gesamte Öko-Infrastruktursystem bargeldloser Zahlungsverkehr, aber vor allem natürlich auch für die Marktmacht von Mastercard, Visamex und so weiter, machen wir uns nichts vor. Und dann haben sie halt gesagt, okay, wir werden jetzt dieses Programm aufsetzen, wir werden das gemeinsam machen mit anderen Bezahlsystemen, also Dynos, Discover, JCB und so alles dabei.

Und die haben gesagt, jo, also Händler und all ihre komischen Dienstleister machen jetzt entweder so richtig Sicherheit mit Krypto mitkümmern, mit technisch verstehen oder sie nehmen Dienstleister, der das für die macht und der nimmt dann vielleicht ein paar Euro mehr oder ein paar Dollar mehr. Aber der hat verstanden, was er zu tun hat, denn er wird ja dann geprüft.

Jetzt gibt es natürlich billige Audits, ahnungslose AuditorInnen, Tod und Teufel, aber insgesamt muss man schon sagen, machen die ganz schön viel Druck und ganz schön viel Stress und das ist auch immer mehr, ich sag mal, nach oben eskaliert. Da sind große Konzerne, die Prüfer waren, wirklich deregistriert worden, weil die einfach scheiße geprüft haben.

Es sind Unternehmen bankrott gegangen, weil sie einfach als Dienstleister unseriös gearbeitet haben und dann hochgenommen wurden und die Zahlungssysteme gesagt haben, so schlecht achtet ihr auf die Kartendaten unserer Kunden und auch der Händler. Okay, wir klemmen euch vom Visa- und Mastercard-Netz ab. Ihr macht gar keine Transaktion mehr mit uns. Und in dem Moment kannst du als Bezahldienst, Nessart Party, kannst du deinen Laden zumachen. Und genau solche Insolvenzen sind passiert.

Und damals, als das kam... Habe ich noch gesagt, das wird eine ganz schöne Verschiebung bewirken. Viele Händler werden selber die Kartendaten nicht mehr speichern, verarbeiten, übermitteln. Die werden Dienstleister nehmen. Wir werden eine Marktkonsolidierung erleben. Und genau das ist eingetreten, weil diejenigen, die gesagt haben, das ist alles so viel, ich verstehe das nicht, das ist ja doof oder mimimi, ja, dann geh weg und verarbeite einfach keine Kartendaten mehr.

Schnapp den Dienstleister, der es verstanden hat. Das hat eine Weile ganz gut funktioniert. Jetzt ist aber die nächste Evolutionsstufe, dass man genau solche kruden Anbindungen hat und die Angreifer natürlich gesagt haben, ja geil, ich mache Man-In-The-Middle in all diesen kaputten Implementierungen und greife dann halt davor an. Es gibt Parallelenzeug-Chat-Kontrolle.

Man wollte die Daten mitlesen, dann wurde immer mehr verschlüsselt und dann hat man gesagt, naja, bevor die dann verschlüsselt werden, greifen wir sie ab. Im Endeffekt machen die Bezahldienstangreifer nichts anderes. Die greifen das dann davor ab, nämlich bei der Behörde beispielsweise und sagen, hier, liebe Kommune, du hast einfach mal eine 3,50 Euro Webseite aufgesetzt und von da aus geht der Bezahlprozess los. Ja, geil, dann bedienen wir uns einfach an dieser Stelle.

Das ist Supply Chain und schwächstes Glied in der Kette. Und genau das versuchen die Zahlungssysteme gerade wieder zu unterwandern und zu unterbinden und zu sagen, können die Ahnungslosen mal aufhören, mit den Kartendaten zu arbeiten oder den Prozess einzuspeisen, weil inzwischen schon die Einspeisung des Prozesses unterwandert wird. Und dann muss ich dazu sagen, ausnahmsweise mal richtig gedacht. Ja, das finde ich gut. Also gut.

Ich habe da viele Implementierungen mitberaten oder eben auch geprüft, teilweise sogar auf Mainframes, also wirklich Hochleistungstokenisierung für viele hunderte von Millionen von Datensätzen.

Wenn ich aber in den Anfang, in den absoluten Beginn des Prozesses eingreife, dann kann ich auch da natürlich schon manipulativ wirken und sagen, ich schaffe, dass die Endnutzerin ihre Kartennummer eintippt, aber in meinem System und ich gebe es dann weiter und dann wird es tokenisiert, dann ist es auch zu spät.

Also beim Tokenisieren gibt es auch unheimlich viele verschiedene Arten der Implementierung und von daher muss man da auch aufpassen, was da sozusagen sicher und sinnvoll ist oder an welcher Stelle ich mir durch ein Tokenisieren auch tatsächlich erspare, zu sagen, ich muss mehr machen als nur in dem SAQ ausfüllen. Ich habe Dienstleister, die verstanden haben, was sie tun.

Die zeigen mir jedes Mal ihr Zertifikat. Ich selber speise hier überhaupt nichts irgendwo ein, bin safe und muss aber natürlich diese Verantwortung nachher wahrnehmen, weil die geht nun mal nicht weg. Ja.

Allerdings ist es wie immer, kostet natürlich Geld und man muss ja auch, wenn man einen Dienstleister irgendwie haben möchte, im Einkauf ja auch irgendwie verstehen, was ich einkaufen will und auch gegenprüfen können, was derjenige mir leistet und bietet. Und wenn natürlich die Kommunen schon damit überfordert sind zu verstehen, was bieten die da an, was ist der Unterschied und bin ich damit sauber und kann ich dann auch verstehen, was ich da einkaufe und habe die richtige Dienstleistung.

Wenn ich da im Einkauf scheitere, dann habe ich eher Zufall, aber nicht, ich weiß, was ich einkaufe. Und das ist immer das Problem bei allen Digitalisierungen. Wenn der Einkauf in den ganzen Kommunen nicht verstanden hat, was er da einkauft, dann können die Dienstleister alles Mögliche leisten, was irgendwie so aussieht oder den Anschein erweckt oder vielleicht sogar tatsächlich sicher ist, aber nicht funktional oder umgekehrt.

Und dann bekomme ich irgendwas, nur nicht einen Dienstleister, der das tut, was ich will. Dafür brauche ich nämlich A, einen kompetenten Einkauf und B, eine Dienstleistersteuerung, also ein Outsourcing oder Partymanagement. Und das kann ich nicht auslagern, denn ich muss ja oder kann ich schon, aber das endet dann so, wie wir es an vielen Stellen gesehen haben.

Da sitzen dann teilweise Dienstleister an einem Tisch und verhandeln über die Systemlandschaft der Kommune, wo ich dann gefühlt rückwärts umkippe und sage, ist es keiner, kein Verantwortlicher aus dem Laden selbst hier. Es reden Dienstleister untereinander und tauschen sich aus und stimmen sich ab, was sie wie für die tun. Das sind erlösmaximierende Unternehmen. Das kann doch nicht wahr sein. Aber genau das gibt es oft genug.

Und wenn ich das hier so mache und einkaufe, dann muss ich mich auch nicht wundern, wenn das so läuft.

Das Intro, um überhaupt zu verstehen, worum es geht und mal das Gesamtwerk zu sehen, war ein zweitägiger Workshop und zwar intensiv. Ich habe den bei dem einen oder anderen Konzern oder größeren Unternehmen irgendwann dann runtergedrückt bekommen. Die haben gesagt, mach das in den einzelnen Abteilungen innerhalb von einem Tag. Das hieß dann die Druckbetankung vom Hasen.

Und die Druckbetankung war dann vieles, was einfach in dem jeweiligen Konzern oder so nicht notwendig war, habe ich weggelassen. Aber das war schon Druckbetankung. Und da waren wirklich hochgestandene, seriöse und kompetente Menschen, die mit so einem rauchenden Schädel rausgegangen sind. Die haben nicht mehr gerade ausgeguckt. Es ist einfach wirklich ein sehr komplexes Thema.