Sind Sie auf die neuesten Sicherheitsanforderungen für Kartenzahlungen vorbereitet? Seit dem 31. März 2025 müssen Unternehmen PCI DSS v4.0.1 einhalten. Diese Aktualisierung des Payment Card Industry Data Security Standard hat eine Reihe zuvor empfohlener bewährter Sicherheitsmaßnahmen verbindlich gemacht. Mit Version 4.0.1 wurden neue Anforderungen an die kontinuierliche Sicherheit, eine verstärkte Authentifizierung sowie den Schutz vor Schwachstellen, Schadsoftware und Phishing eingeführt.
AWS gewährleistet für viele seiner Services die PCI-DSS-Konformität als Level-1-Serviceanbieter und schützt dabei die zugrunde liegende Infrastruktur sowie die Netzwerk- und Softwarekomponenten. Im Rahmen des AWS-Modells der geteilten Verantwortung ist Ihr Unternehmen jedoch für den Schutz Ihrer Anwendungen und Daten auf AWS verantwortlich. Um vollständige PCI-DSS-Konformität zu erreichen, müssen Sie möglicherweise zusätzliche Sicherheitsmaßnahmen für Ihre Anwendungen und Daten implementieren.
“PCI DSS v4.0.1 schreibt den kontinuierlichen Schutz aller öffentlich zugänglichen Webanwendungen und APIs vor und verlangt Lösungen, die Angriffe erkennen, verhindern und entsprechende Warnmeldungen ausgeben.”
Aktualisierte Sicherheitsanforderungen erfüllen
Ab PCI DSS v4.0.1 sind nun die folgenden Sicherheitsverbesserungen erforderlich:
Web application and API protection: PCI DSS v4.0.1 schreibt einen kontinuierlichen Schutz für alle öffentlich zugänglichen Webanwendungen und APIs vor und verlangt Lösungen, die Angriffe erkennen, verhindern und entsprechende Warnmeldungen ausgeben. Darüber hinaus sind Schwachstellenscans sowie die Pflege eines Bestandsverzeichnisses kundenspezifischer Software einschließlich APIs und Komponenten von Drittanbietern erforderlich (Anforderungen 6.2.4, 6.3.2 und 6.4.2).
Erweiterte Authentifizierung: Um unbefugten Zugriff auf sensible Zahlungsdaten zu verhindern, ist nun für jeden Zugriff auf die Karteninhaberdaten-Umgebung (Cardholder Data Environment, CDE) eine Multi-Faktor-Authentifizierung (MFA) erforderlich. Diese Umgebung umfasst alle Komponenten, die Karteninhaberdaten speichern, verarbeiten oder übertragen (Anforderung 8.4.2).
Überwachung von Sicherheitskontrollen und Erkennung von Ausfällen: Unternehmen müssen Ausfälle kritischer Sicherheitskontrollsysteme, einschließlich Systemen zur Erkennung und Verhinderung von Eindringversuchen sowie Anti-Malware-Lösungen, unverzüglich erkennen und beheben (Anforderung 10.7).
Umfassendes Schwachstellenmanagement: Regelmäßige und gründliche Schwachstellenscans aller öffentlich zugänglichen Anwendungen und Systeme sind erforderlich, um ausnutzbare Schwachstellen zu identifizieren – selbst solche, die tief in der Software-Lieferkette verborgen sind (Anforderung 11.3.1).
Fügen Sie F5-Lösungen auf AWS hinzu, um eine vollständige PCI-DSS-Abdeckung zu erreichen
Wie AWS bietet auch F5 Dienste an, die als Level-1-Dienstanbieter PCI-DSS-konform sind. F5-Lösungen bieten die zusätzlichen Sicherheitsfunktionen, die für die Einhaltung von PCI DSS v4.0.1 auf AWS erforderlich sind:
F5 Distributed Cloud WAF und F5 BIG-IP Advanced WAF bieten umfassende Anwendungssicherheit, indem sie den Anwendungsdatenverkehr überprüfen und Bedrohungen aus den OWASP Top 10, Distributed-Denial-of-Service-Angriffe (DDoS) auf Schicht 7 sowie schädliche Bots blockieren. Die WAF-Lösungen von F5 können vor jeder Anwendung bereitgestellt werden, unabhängig davon, wo sie ausgeführt wird – lokal, auf AWS oder in mehreren Clouds.
F5 Managed Rules for AWS WAF bieten vorkonfigurierte Sicherheitsregelsätze, die die Schutzfunktionen von AWS WAF erweitern. Dieser kontinuierlich aktualisierte Schutz schützt vor den OWASP Top 10-Bedrohungen, bösartigen Bots, Angriffen auf API-Ebene und anderen Schwachstellen.
F5 Distributed Cloud API Security erkennt und schützt APIs und überwacht sie kontinuierlich mithilfe von Verhaltensanalysen, um Anomalien und potenzielle Angriffe zu erkennen.
F5 BIG-IP Access Policy Manager ermöglicht mithilfe von MFA einen Zero-Trust-Anwendungszugriff auf die Karteninhaberdaten-Umgebung (CDE). Die Lösung schützt Karteninhaberdaten während der Übertragung und setzt einen sicheren Zugriff durch, um die Anforderungen zu erfüllen.
F5 BIG-IP SSL Orchestrator entschlüsselt den in Ihre AWS-Umgebung eingehenden Datenverkehr und leitet ihn durch Ihre Sicherheitsinfrastruktur, um Bedrohungen zu erkennen. Die Lösung überwacht den Zustand der Sicherheitslösungen und kann Probleme schnell beheben, wenn eine Sicherheitskontrolle ausfällt. So wird verhindert, dass der Datenverkehr unbeabsichtigt an den Sicherheitskontrollen vorbeigeleitet wird.
F5 Distributed Cloud Web App Scanning scannt kontinuierlich Ihre externe Angriffsfläche und deckt dabei exponierte Anwendungen und APIs auf. Durch automatisierte Penetrationstests identifiziert die Lösung potenziell ausnutzbare Schwachstellen tief in Ihrer Software-Lieferkette.
Optimieren Sie Sicherheit und Compliance mit F5
Durch die Implementierung von F5-Lösungen in Kombination mit den Sicherheitskontrollen von AWS können Sie:
- Vereinfachen Sie die Compliance durch eine umfassende Abdeckung der PCI-DSS-Anforderungen sowie durch Audit-Protokolle und Berichte.
- Reduzieren Sie das Risiko von Datenschutzverletzungen durch fortschrittliche Bedrohungserkennung und -prävention.
- Vereinheitlichen Sie Ihre Sicherheitsstrategie, um in Ihrer gesamten Hybrid- oder Multicloud-Umgebung für Konsistenz zu sorgen.
F5 und AWS arbeiten seit über einem Jahrzehnt partnerschaftlich zusammen, um die Bereitstellung und Sicherheit von Anwendungen in der Cloud zu vereinfachen. F5-Lösungen sind im AWS Marketplace erhältlich, sodass Sie sensible Zahlungskartendaten ganz einfach umfassend schützen können. Weitere Informationen finden Sie auf unserer Webseite „F5 auf AWS“.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...