Im März 2022 veröffentlichte der Payment Card Industry (PCI) Security Standards Council (SSC) die neueste Version seines Datensicherheitsstandards, PCI DSS v4.0. Ende März 2024 wurde PCI DSS v3.2.1 offiziell außer Kraft gesetzt. PCI DSS ist ein weltweit gültiger Standard, der die technischen und betrieblichen Mindestsicherheitsanforderungen festlegt, die alle Organisationen erfüllen müssen, die Zahlungskartendaten speichern, verarbeiten oder übertragen.
PCI DSS v4.0 und die zugehörigen Aktualisierungen (die neueste Version des PCI-DSS-Standards ist v4.0.1) stellen einen bedeutenden Fortschritt bei der Sicherheit von Zahlungskartendaten dar, da sie mehr Flexibilität und Risikokontrolle als frühere Versionen bieten. Sie enthielten Best Practices, an denen sich Unternehmen orientieren konnten. In etwas mehr als drei Monaten (nach dem 31. März 2025) werden diese „Best Practices“ von PCI DSS v4.x jedoch zu verbindlichen Anforderungen, die bei jeder PCI-DSS-Prüfung angewendet werden.
PCI DSS v4.x unterstreicht, wie wichtig der Schutz sensibler Karteninhaberdaten während des gesamten Lebenszyklus einer Zahlungskarte ist. Die vorgeschriebene Verschlüsselung – unabhängig davon, ob Karteninhaberdaten übertragen oder gespeichert werden – hebt die Bedeutung des Schutzes von Zahlungstransaktionen und Daten hervor und bietet zugleich einen präventiven Schutz vor neu auftretenden Bedrohungen.
PCI DSS und WAFs
In PCI DSS v3.2.1 hatten Organisationen die Möglichkeit, öffentlich zugängliche Webanwendungen mindestens einmal jährlich oder nach wesentlichen Anwendungsänderungen manuell oder mithilfe automatisierter Sicherheitstools zur Bewertung von Anwendungsschwachstellen zu schützen. Alternativ konnten sie sich dafür entscheiden, eine automatisierte Lösung vor jeder öffentlich zugänglichen Webanwendung zu installieren, um webbasierte Angriffe kontinuierlich zu erkennen und zu verhindern. Diese Lösung musste so konfiguriert sein, dass sie Angriffe blockiert oder entsprechende Warnmeldungen ausgibt. PCI DSS v4.x hingegen verpflichtet Organisationen dazu, eine Lösung vor öffentlich zugänglichen Webanwendungen bereitzustellen, die webbasierte Angriffe kontinuierlich erkennt, verhindert und entsprechende Warnmeldungen ausgibt (PCI DSS v4.0, Unterabschnitt 6.4.2).
Genau das leistet eine Web Application Firewall (WAF). Eine WAF wird öffentlich zugänglichen Anwendungen vorgeschaltet, um den Anwendungsdatenverkehr zu überprüfen, webbasierte Angriffe zu erkennen und davor zu schützen. Eine WAF verhindert Angriffe auf die Anwendungsschicht, darunter Angriffe, die bekannte und unbekannte Schwachstellen in Anwendungen und deren Software-Lieferkette ausnutzen können – also im Kerncode, in Bibliotheken von Drittanbietern, Build-Tools und anderem Code, aus denen sich die komplexen, hochentwickelten Anwendungen von heute zusammensetzen. WAFs schützen außerdem vor Angriffen, die Implementierungs- oder Konfigurationsfehler auszunutzen versuchen, sowie vor automatisierten Angriffen auf Zahlungsvorgänge, Anmeldedaten und installierte Anwendungen.
Wie F5 helfen kann
F5 schützt jede Anwendung und API – überall. Unsere WAF-Lösungen können jeder Anwendung vorgeschaltet werden, unabhängig davon, wo diese betrieben wird. Ganz gleich, ob Sie eine WAF zum Schutz von Anwendungen vor Ort, in Rechenzentren oder in der Cloud benötigen: F5 bietet eine WAF-Lösung, die umfassende Sicherheit auf Anwendungsebene sowie Schutz vor Exploits und Angriffen gewährleistet. F5 WAF ist als Appliance, als Software oder in der Cloud per Self-Service oder als Managed Service verfügbar und schützt unter anderem containerisierte Anwendungen und Kubernetes.
F5-Produkte sind als PCI-DSS-Dienstleister der Stufe 1 zertifiziert. Ein Dienstleister ist gemäß der Definition des PCI SSC eine Organisation, die keine Zahlungskarten bestimmter Marken oder andere Formfaktoren bereitstellt, jedoch Karteninhaberdaten oder sensible Authentifizierungsdaten für eine andere Organisation verarbeitet, speichert oder überträgt. Unternehmen, die Dienstleistungen zur Kontrolle oder Beeinflussung der Sicherheit von Karteninhaberdaten oder sensiblen Authentifizierungsdaten erbringen, wie F5 mit F5 Distributed Cloud Services, werden ebenfalls als Dienstleister gemäß PCI DSS v4.0 eingestuft. Die Funktionen der F5-Produkte helfen unseren Kunden, die PCI-DSS-Anforderungen an Händler zu erfüllen. Diese werden vom PCI SSC definiert als alle Unternehmen, die Zahlungskarten mit den Logos einer teilnehmenden Zahlungsmarke als Zahlungsmittel für Waren und/oder Dienstleistungen akzeptieren.
F5 Distributed Cloud Services bieten zahlreiche Dienste, die viele Abschnitte und Unterabschnitte des PCI-DSS-v4.0-Standards für Organisationen abdecken, die Zahlungskartendaten speichern, verarbeiten oder übertragen.
F5 Distributed Cloud WAF schützt Apps überall – in Clouds, Rechenzentren und Edge-Standorten. Als zwischengeschalteter Proxy prüft Distributed Cloud WAF Anwendungsanfragen und -antworten und blockiert bzw. mindert Risiken, darunter die Kategorien der OWASP Top 10, Bedrohungskampagnen, böswillige Benutzer, Layer-7-DDoS-Bedrohungen, Bots und automatisierte Angriffe, um nur einige zu nennen. Durch umfassende, einheitliche Sicherheitskontrollen und Richtlinien schützt die Lösung vor Angriffen auf Webanwendungen und Schwachstellen und bietet dabei eine leicht zu konfigurierende, bereitzustellende, verwaltende und skalierbare Beobachtbarkeit. F5 Distributed Cloud WAF integriert den Schutz einfach und nahtlos in Ihren App-Entwicklungsprozess und ermöglicht so eine schnellere und sicherere Anwendungsbereitstellung sowie kürzere Release-Zyklen. Durch den Einsatz signatur- und KI-basierter Erkennungstechniken mit automatisierter Signaturoptimierung bietet F5 Distributed Cloud WAF schnellen, unkomplizierten Schutz auf Anwendungsebene mit maximaler Wirksamkeit. Der neue KI-Assistent in Distributed Cloud Services vereinfacht die Sicherheit für verteilte Apps und APIs durch eine natürlichsprachliche Benutzeroberfläche mit Echtzeiteinblicken, umsetzbaren Empfehlungen und einer Zusammenfassung der Datenberichte.
F5 NGINX App Protect ist eine schlanke, leistungsstarke WAF, die APIs und moderne Anwendungen in verteilten Architekturen und hybriden Umgebungen durchgängig schützt. Als plattformunabhängige Lösung lässt sich NGINX App Protect nahtlos in Ihren Anwendungsentwicklungsprozess integrieren. Dabei erkennt und verhindert sie Angriffe auf Anwendungen, darunter Denial-of-Service-Angriffe (DoS) auf Layer 7 und Bot-Angriffe. NGINX App Protect ist eine leistungsstarke Anwendungssicherheitslösung mit geringer Latenz, mit der Sie die Anwendungssicherheit in Kubernetes-Clustern und in der Cloud skalieren und so Ihre Computing-Kosten erheblich senken können. Die Lösung bietet mehrschichtigen Schutz, wehrt aktive Cyberangriffskampagnen ab und geht über den Schutz vor den OWASP-Top-10-Risikokategorien hinaus.
F5 BIG-IP Advanced WAF ist die führende Web Application Firewall von F5. Die Erkennungs- und Abwehrfunktionen der preisgekrönten Advanced WAF bilden die Grundlage für Distributed Cloud WAF und NGINX App Protect. Mit Verhaltensanalysen, der Abwehr von DoS-Angriffen auf Layer 7, der Verschlüsselung sensibler Daten auf Anwendungsebene und Threat-Intelligence-Services schützt BIG-IP Advanced WAF Anwendungen in verteilten, hybriden Umgebungen vor einer Vielzahl von Angriffen auf Anwendungen. BIG-IP Advanced WAF bietet ein dediziertes, dynamisches Dashboard, das schnell und einfach Schutz vor den in den OWASP Top 10 aufgeführten Bedrohungen gewährleistet. BIG-IP Advanced WAF umfasst geführte Konfigurationen für gängige WAF-Anwendungsfälle sowie eine selbstlernende Engine und ermöglicht die granulare Anpassung von Sicherheitsrichtlinien.
Umfassender Schutz von F5
Darüber hinaus kann F5 weitere für den PCI-DSS-v4.0-Standard relevante Bereiche abdecken.
- APIs sind eine zentrale Komponente nahezu aller Transaktionen in verschiedensten Branchen und Organisationen. PCI DSS v4.0.1 führt mehrere neue Anforderungen zum Schutz und zur Absicherung von APIs als Bestandteil maßgeschneiderter und kundenspezifischer Software ein. F5 Distributed Cloud API Security trägt dazu bei, viele dieser neuen Anforderungen zu erfüllen, indem Kontrollen zum Schutz von APIs bereitgestellt werden, die zudem helfen, gängige Softwareangriffe und Schwachstellen zu verhindern oder deren Auswirkungen zu mindern. Weitere Informationen zu den API-Sicherheitsanforderungen in PCI DSS v4.0.1 finden Sie im Blogbeitrag von Ian Dinno: PCI DSS 4.0.1-Update: Wichtige neue API-Sicherheitsverbesserungen für Zahlungsabwickler erforderlich. Anfang 2025 erscheint außerdem ein neuer Blogbeitrag mit weiteren Details.
- F5 Distributed Cloud Web App Scanning scannt Ihre externe Angriffsfläche dynamisch und kontinuierlich und deckt dabei exponierte Webanwendungen und APIs auf. Mithilfe automatisierter Penetrationstests identifiziert und meldet Distributed Cloud Web App Scanning potenziell ausnutzbare Schwachstellen – selbst solche, die tief in Ihrer Software-Lieferkette verborgen sind. So können Sie Ihre Anwendungen und APIs besser vor Angriffen und Ausnutzung schützen. Distributed Cloud Web App Scanning unterstützt Sie außerdem bei der Erfüllung der Anforderungen aus PCI DSS v4.0, Unterabschnitt 6.3.2.
- F5 Distributed Cloud Mobile App Shield schützt Ihre mobilen Apps nahtlos vor Malware, Bots, Datenlecks, unbefugtem Zugriff und Man-in-the-Middle-Angriffen (MiTM), die zu Compliance-Verstößen, finanziellen Verlusten, Kundenabwanderung und Reputationsschäden führen können. Distributed Cloud Mobile App Shield bietet unübertroffenen Schutz zur Laufzeit und im Ruhezustand, um Ihre mobilen Apps proaktiv zu härten sowie Manipulationen zu verhindern und schädliche Bots, Datenexfiltration und API-Missbrauch zu blockieren.
- PCI DSS v4.0, Unterabschnitt 8.4.2, schreibt vor, dass für jeden Zugriff auf die Karteninhaberdaten-Umgebung (Cardholder Data Environment, CDE) eine Multi-Faktor-Authentifizierung (MFA) implementiert werden muss. Die CDE kann aus Systemkomponenten bestehen, die Karteninhaberdaten oder vertrauliche Authentifizierungsdaten speichern, verarbeiten oder übertragen oder uneingeschränkte Verbindungen zu diesen Systemen aufweisen. F5 BIG-IP Access Policy Manager (BIG-IP APM) ermöglicht einen Zero-Trust-Anwendungszugriff. Dazu gehört, den Zugriff auf Anwendungen und Daten abhängig von einer beliebigen Anzahl von Faktoren, einschließlich Datum und Uhrzeit, auf die jeweiligen Berechtigungen zu beschränken. BIG-IP APM kann Karteninhaberdaten und vertrauliche Authentifizierungsdaten während der Übertragung schützen. Darüber hinaus ermöglicht es eine Step-up-Authentifizierung, bei der festgelegte Benutzer – etwa Benutzer, die auf die CDE zugreifen, oder Remote-Benutzer – andere Authentifizierungsdaten als beim ursprünglichen Zugriff eingeben müssen, einschließlich anderer MFA-Anmeldedaten.
- Zur Erkennung und zeitnahen Behebung von Ausfällen kritischer Sicherheitskontrollsysteme, einschließlich IDS-/IPS- und Anti-Malware-Lösungen, steht F5 BIG-IP SSL Orchestrator zur Verfügung. BIG-IP SSL Orchestrator schützt vor verschlüsselten Bedrohungen, indem verschlüsselter Datenverkehr entschlüsselt und über anpassbare dynamische Serviceketten durch Ihren vorhandenen Sicherheits-Stack geleitet wird. Zudem verteilt die Lösung den Datenverkehr auf die Lösungen in Ihrem Sicherheits-Stack, überwacht deren Funktionsfähigkeit und kann die Aktualisierung der Verschlüsselungsverfahren für Ihre Sicherheitslösungen verwalten. Sollte eine Ihrer Sicherheitslösungen ausfallen, können Sie die Gefahr mithilfe der dynamischen Serviceketten von BIG-IP SSL Orchestrator schnell eindämmen. So lässt sich die ausgefallene Lösung umgehen und nachteilige Auswirkungen wie eine unbeabsichtigte Umgehung der Datenverkehrsprüfung können minimiert werden. Wenn Sie eine Sicherheitslösung austauschen müssen, unterstützt BIG-IP SSL Orchestrator Änderungen und Ergänzungen von Sicherheitsdiensten effizient und leitet entschlüsselten Datenverkehr nahtlos zur Überprüfung weiter, ohne den Datenfluss zu unterbrechen. BIG-IP SSL Orchestrator unterstützt Sie bei der Erfüllung der PCI-DSS-v4.0-Unterabschnitte 10.7.2, 10.7.3 und 11.5.1.1.
Alles zusammenführen
Wie bereits erwähnt, unterstützt F5 Sie dabei, viele der neuen Anforderungen von PCI DSS v4.0 – unabhängig von Ihren spezifischen Anforderungen und sonstigen Prioritäten – zu erfüllen, bevor sie ab dem 31. März 2025 verbindlich gelten.
Weitere Informationen dazu, wie F5 Sie bei der Einhaltung der PCI-DSS-v4.0-Standards unterstützen kann, finden Sie in den folgenden Ressourcen:
Wichtige Änderungen in PCI DSS 4.0.1, die Sie kennen sollten
Für PCI DSS 3.2.1 hat die letzte Stunde geschlagen ... Sind Sie bereit für 4.0?
Die Abwehr von Bots sollte auch zur Einhaltung des PCI DSS beitragen
Was ist PCI DSS? Überblick, Anforderungen und Vorteile
Für weitere Informationen wenden Sie sich bitte direkt an Ihren F5 Account Manager, Channel Manager oder F5 Channel Partner.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...