Was ist passiert?
Eine unabhängige PCI-DSS-Assessorin hat Reflectiz gegen die neuen PCI-DSS-Anforderungen getestet und ein eindeutiges Ergebnis geliefert: Moderne Checkout-Seiten laden dutzende Drittanbieter-Skripte – von Analytics-Tags über Tag-Manager bis zu Support-Widgets. Jedes dieser Skripte stellt ein potenzielles Sicherheitsrisiko für sensible Zahlungsdaten dar und kann zum PCI-DSS-Compliance-Problem werden.
Hintergrund & Bedeutung
Die PCI DSS (Payment Card Industry Data Security Standard) schreibt strenge Regeln für den Umgang mit Kartendaten vor. Mit den neuen Richtlinien wird die Kontrolle über externe Skripte auf der Checkout-Seite zur kritischen Anforderung. Jedes unüberwachte Skript kann von Angreifern kompromittiert werden und direkt Zugang zu eingegebenen Kreditkartendaten erlangen. Dies ist besonders problematisch, da viele Unternehmen die vollständige Abhängigkeitskette ihrer Checkout-Umgebung nicht transparent überblicken.
Empfehlungen für IT-Teams
IT-Security-Teams sollten folgende Massnahmen priorisieren:
- Durchführen Sie ein vollständiges Audit aller auf der Checkout-Seite geladenen Skripte
- Implementieren Sie ein Script-Management-System zur Überwachung und Kontrolle von Drittanbieter-Codes
- Nutzen Sie Sandboxing und Content Security Policy (CSP) zur Isolation von externem Code
- Führen Sie regelmässige PCI-DSS-Compliance-Bewertungen durch
- Dokumentieren Sie alle Script-Abhängigkeiten und deren Sicherheitsstatus
Fazit
Die neuen PCI-DSS-Regeln machen klar: Checkout-Seiten erfordern Zero-Trust-Ansätze und strikte Script-Kontrolle. Unternehmen, die ihre externen Abhängigkeiten nicht managen, riskieren Compliance-Verstösse und Datenverluste.
Quelle: Original Artikel