Achtung, Onlinehändler und E-Commerce-Anbieter: Wenn es darum geht, clientseitige Daten und Onlinezahlungen vor digitalem Skimming und Magecart-Angriffen zu schützen, gibt es einen neuen Sheriff in der Stadt.
Im März 2022 veröffentlichte der Payment Card Industry (PCI) Security Standards Council eine überarbeitete Version seines Datensicherheitsstandards PCI DSS v4.0, der die Mindestsicherheitsanforderungen festlegt, die Händler bei der Speicherung, Verarbeitung und Übertragung von Karteninhaberdaten erfüllen müssen. Die überarbeiteten Anforderungen umfassen eine Reihe von Verbesserungen, die sichere Online-Transaktionen gewährleisten und Verbraucher, Unternehmen sowie Kartenaussteller bei Online-Handelsgeschäften schützen sollen.
Die neuen Anforderungen konzentrieren sich auf die Notwendigkeit, browserbasierte JavaScript-Bibliotheken von Drittanbietern zu überwachen und zu verwalten, die in E-Commerce-Websites eingebunden werden, um sofort einsatzbereite Funktionen wie iFrames zur Zahlungsabwicklung, Chatbots, Werbung, Schaltflächen zum Teilen in sozialen Netzwerken und Tracking-Skripte bereitzustellen. Diese JavaScript-Bibliotheken helfen Unternehmen zwar dabei, die Website-Entwicklung zu beschleunigen, eröffnen Cyberkriminellen jedoch zugleich einen breiten Angriffsvektor, da die Skripte durch digitales Skimming und Magecart-Angriffe leicht kompromittiert werden können, um Anmeldedaten, Kreditkarteninformationen und andere personenbezogene Daten zu stehlen.
Diese Sicherheitsverletzungen schaden nicht nur den betrogenen Verbrauchern, sondern auch Ihrem Unternehmen, da sie zu Compliance-Verstößen, Umsatzeinbußen, einem Rückgang des Aktienkurses, negativen Bewertungen in den sozialen Medien und einer Beeinträchtigung des Markenwerts führen können.
Auch wenn die Einhaltung der neuen Anforderungen von PCI DSS 4.0 erst ab 2025 verpflichtend ist, sollten Sie nicht warten! Die Angriffsarten, gegen die sich diese Anforderungen richten, treten bereits heute auf. Jetzt ist es an der Zeit, den Ruf Ihres Unternehmens und Ihre Kunden vor Angriffen und Betrug zu schützen, indem Sie die erweiterten Schutzmaßnahmen so schnell wie möglich umsetzen.
Welche Gefahren bergen clientseitige Angriffe?
Noch vor nicht allzu langer Zeit wurden kommerzielle Webanwendungen als monolithischer Code entwickelt, der von einem lokalen Webserver bereitgestellt wurde. Heutige moderne Webanwendungen unterscheiden sich jedoch grundlegend davon. Sie werden häufig durch die Verknüpfung von JavaScript-Bibliotheken von Drittanbietern entwickelt, wobei ein Großteil der Verarbeitung clientseitig im Browser des Nutzers erfolgt. Schätzungen zufolge bestehen 70–80 % einer typischen Webseite aus Bibliotheken von Drittanbietern, und einige dieser Skripte enthalten wiederum Code aus weiteren Drittanbieter-Skripten. Diese lange Kette von Codeabhängigkeiten führt dazu, dass Unternehmen nur wenig Einblick in den tatsächlich auf ihren Websites ausgeführten Code haben und kaum Kontrolle darüber ausüben können.
Bedrohungsakteure wissen, dass Unternehmen aufgrund des Umfangs und der Komplexität dieser Abhängigkeiten von Drittanbietern Schwierigkeiten haben, den in ihrer Umgebung ausgeführten Code ordnungsgemäß zu verwalten, nachzuverfolgen und abzusichern. Sie können nicht einmal erkennen, wenn Code verändert oder ausgenutzt wurde. Diese mangelnde Transparenz bietet Cyberkriminellen die Möglichkeit, schädliche Skripte in den Code einer legitimen Webseite oder Webanwendung einzuschleusen und Angriffe zu starten, um Benutzersitzungen abzufangen, zu manipulieren und zu übernehmen. So können sie personenbezogene Daten und Zahlungsinformationen abschöpfen, die Kontrolle über Websites übernehmen und diese verunstalten, gefälschte Inhalte anzeigen sowie neue Formulare erstellen oder legitime Formulare verändern – all dies kann den Weg für Betrug und Kontoübernahmen ebnen.
Was PCI DSS v4.0 verlangt
Der überarbeitete Standard stuft Verbesserungen der clientseitigen Websicherheit ausdrücklich als entscheidend für jedes Unternehmen ein, das Online-Zahlungen akzeptiert. Der Standard schreibt vor, dass alle Skripte auf Zahlungsseiten, die im Browser des Kunden geladen und ausgeführt werden, umfassend verwaltet werden müssen. Konkret verlangt die neue Anforderung 6.4.3 von E-Commerce-Anbietern die Umsetzung folgender Maßnahmen:
- Eine Methode zur Bestätigung, dass jedes Skript autorisiert ist
- Eine Methode zur Gewährleistung der Integrität jedes Skripts
- Ein Verzeichnis aller Skripte mit einer schriftlichen Begründung, warum jedes einzelne erforderlich ist
Der neue Standard verlangt von Händlern, ihre Richtlinien und Verfahren zu überprüfen, um sicherzustellen, dass Prozesse für die Verwaltung aller Skripte auf Zahlungsseiten definiert sind, die im Browser des Verbrauchers geladen und ausgeführt werden. Darüber hinaus müssen sie die zuständigen Mitarbeiter befragen sowie Bestandsaufzeichnungen und Systemkonfigurationen prüfen, um sicherzustellen, dass alle Skripte auf Zahlungsseiten, die im Browser des Verbrauchers geladen und ausgeführt werden, gemäß allen in dieser Anforderung festgelegten Vorgaben verwaltet werden.
Darüber hinaus schreibt Abschnitt 11.6 des überarbeiteten Standards vor, dass unbefugte Änderungen an Zahlungsseiten erkannt werden und darauf reagiert wird. Hierfür ist ein Mechanismus zur Erkennung von Änderungen und Manipulationen erforderlich, der das Personal auf unbefugte Änderungen an den HTTP-Headern und den Inhalten von Zahlungsseiten in der vom Browser des Verbrauchers empfangenen Form hinweist. Die Konfigurationseinstellungen müssen mindestens einmal alle sieben Tage oder in der in der Risikoanalyse der Organisation festgelegten Häufigkeit überprüft werden.
Die Einhaltung dieser Anforderungen mithilfe manueller oder veralteter Lösungen ist kostspielig und ressourcenintensiv. Da Skripte für Zahlungsformulare clientseitig ausgeführt werden, haben Händler nur begrenzten Einblick in deren Verhalten, sodass Schadcode leicht unentdeckt bleiben kann. Darüber hinaus haben Händler nur wenig Kontrolle über Drittanbietercode, etwa dynamische JavaScript-Bibliotheken, die Webseitenfunktionen wie Zahlungsabwicklung, Formulare zur Cookie-Einwilligung, Chatbots oder Werbe-Tracker bereitstellen, da diese häufig aktualisiert und geändert werden – oftmals ohne Wissen des Händlers.
Bestehende Erkennungstechniken wie Subresource Integrity (SRI), die mithilfe von Integritätsprüfungen sicherstellt, dass Skripte nicht manipuliert wurden, und Content Security Policy (CSP), die einschränkt, von welchen Quellen Browser Skripte laden und an welche Ziele sie Daten senden dürfen, reichen nicht mehr aus, um die sich ständig verändernden Webanwendungen von heute zu schützen.
Unterstützen Sie Ihr Unternehmen dabei, die Anforderungen von PCI DSS v4.0 lieber früher als später zu erfüllen
Es gibt keinen Grund, bis 2025 zu warten, um die Sicherheitsanforderungen von PCI DSS v4.0 zu erfüllen. Handeln Sie jetzt, um Ihr Unternehmen vor Angriffen und Ihre Kunden vor Betrug und Kontoübernahmen zu schützen.
F5 Distributed Cloud Client-Side Defense kann Sie sofort dabei unterstützen, die neuen Anforderungen von PCI DSS v4.0 zu erfüllen und sich vor Magecart, Formjacking, digitalem Skimming und Angriffen zum Abgreifen personenbezogener Daten zu schützen. Dazu wird die Überwachung von Webseiten auf verdächtigen Code automatisiert, es werden verwertbare Warnmeldungen generiert und die Datenexfiltration wird durch Eindämmung mit nur einem Klick umgehend gestoppt.
Weitere Informationen dazu, wie Sie die Privatsphäre Ihrer Kunden schützen, Compliance-Verstöße in Ihrem Unternehmen vermeiden und gleichzeitig das Vertrauen der Verbraucher sowie den Ruf Ihrer Marke wahren können, finden Sie in diesem Lösungsüberblick oder in dieser Produktdemo.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...