Rundum-Datenschutz mit Wincor Nixdorf - Sicher vom POS bis zur Zentrale

Sicher vom POS Ähnlich erging es drei weiteren Händlern. Insgesamt wurden 142 Kunden geschädigt, das Betrugsvolumen summierte sich auf rund bis zur Zentrale 250.000 Euro. Die Staatsanwaltschaft Dort- mund, die den Fällen nachgeht, spricht von einer „gut organisierten Bande“, die ein hohes technisches Know how aufweist. Deren Vor- Handel und Kreditkartenwirtschaft sind aufgeschreckt: High Tech- gehensweise: Die Täter lassen sich nachts im Betrüger nehmen inzwischen auch den POS ins Visier, um Karten- Markt einschließen und manipulieren das Le- daten abzugreifen. In Kooperation mit Cisco bietet Wincor Nixdorf segerät – um es sich einige Tage später per den Rundum-Datenschutz, vom Lesegerät bis zum Zentralrechner. nächtlichem Einbruch endgültig zu besorgen, die zwischenzeitlich eingegebenen PIN-Num- mern sowie die Magnetstreifen-Daten abzu- greifen und die EC-Karten nachzubauen. I hren ersten Coup landete die international tätige Bande im April 2006 in Schweden. Danach in Italien, Österreich und der Schweiz, Wie genau die Täter bei der Manipulation am Lesegerät vorgehen, entdeckte die Polizei bei einer Wohnungsdurchsuchung im Januar bis schließlich Anfang 2007 auch der deutsche 2007 in Stuttgart. Dort wurde ein gestohlenes Einzelhandel heimgesucht wurde. In einem Terminal gefunden, das mit nachträglich ein- Gartencenter in Castrop-Rauxel wurde näch- gebauten Zuleitungen zur Tastatur und zum tens eingebrochen – allerdings kam weder Leseschlitz ausgestattet war. Diese Zuleitun- Ware noch Bargeld abhanden, und auch Be- gen führen zu einem ebenfalls nachträglich schädigungen an Inventar waren nicht festzu- installierten Chip, der die Karten- und PIN- stellen. Lediglich eines der Kartenlesegeräte Daten identifizierte und speicherte. wurde vermisst. Auch in Castrop-Rauxel gelang es den Einige Tage später jedoch wurden Kunden Tätern, vor Ort am POS die Geräte zu öffnen, des Gartencenters bei der Polizei vorstellig: ohne die Sensoren zu aktivieren, die bei Von Geldautomaten in Frankreich und Spani- mechanischer Manipulation die Terminals en war per EC-Karte Bargeld von ihren Kon- ⁄automatisch abschalten. Außerdem haben sie ten abgehoben worden. offensichtlich eine Software entwickelt, die 20 report | OKTOBER 2007 alle benötigten Daten abgreifen und zuordnen interne Netze anzugreifen und auszuspio- kann. „Zwar wird den Handelskunden der nieren. Sicherheit im Paket Schaden schnell und unbürokratisch ersetzt“, Wincor Nixdorf und Cisco haben daher, so Margit Schneider, Leiterin Sicherheits- unter dem Namen SecurePOS, gemeinsam ein Durch Bündelung ihrer Lösungskompetenz management bei der EURO Kartensysteme Sicherheitspaket zum Schutz von Transakti- entwickelten Wincor Nixdorf und Cisco ein GmbH, einem Gemeinschaftsunternehmen der onsdaten im bargeldlosen Zahlungsverkehr Sicherheitspaket für den Datenverkehr im deutschen Kreditwirtschaft, „denn schließlich entwickelt. Es orientiert sich am Payment Handelsunternehmen. Unter dem Namen liegt seitens der Kunden in diesen Fällen nicht Card Industry Data Security Standard (PCI) – SecurePOS sind dabei einzelne Tools zu- ansatzweise eine Fahrlässigkeit vor.“ Händler einem Regelwerk zur sicheren Abwicklung sammengefasst, die entlang des gesamten allerdings müssen sich durchaus über potenti- von Kreditkarten-Transaktionen, das von al- Datenstroms, vom POS bis zum Zentralser- elle Image-Schäden Gedanken machen, wenn len wichtigen Kreditkartenorganisationen an- ver, für Sicherheit sorgen. Kartendaten an ihrem Lesegerät abgegriffen erkannt ist. Der PCI beinhaltet im wesentli- werden können. chen 12 Standard-Anforderungen (von der Cisco schützt die kompletten Systeme mit Installation einer Firewall über Passwort- einem speziellen Client vor Kompromittier- Schutz durch SecurePOS Schutz bis hin zur regelmäßigen Überprüfung barkeit. Der CSA verhindert lokale Angriffe, aller Sicherheitssysteme). Die Partner Wincor beispielsweise Modifikationen systemkriti- Obwohl die Polizei zwischenzeitlich in Paris Nixdorf und Cisco garantieren mit ihrem scher Dateien oder das Hinzufügen anderer und Umgebung insgesamt sechs Männer vor- Lösungsangebot, dass alle zwölf Kriterien unerwünschter und schädlicher Software, läufig festgenommen und insgesamt mehr als befolgt werden können (siehe Kasten). die beispielsweise Kunden- und Transak- 1500 (echte und nachgebaute) Kreditkarten si- Das PCI-Regelwerk ist im übrigen sankti- tionsdaten mitschneiden könnte. Auch chergestellt hat, „besteht diese Gefahr weiter- onsbewehrt – gegen Handelsunternehmen, die Angriffe über das Netzwerk durch Würmer, hin“, so Margit Schneider. diese Vorschriften nicht erfüllen, können Trojaner und Spyware können wirksam Also sollte Vorsorge getroffen werden – Strafgebühren verhängt oder bestimmte Ein- abgewehrt werden. gegen den Datenabgriff am Lesegerät, aber schränkungen angeordnet werden. Diese al- auch entlang des gesamten Datenstroms in- lerdings fallen kaum ins Gewicht im Vergleich Wincor Nixdorf hat mit TP.net eine Software nerhalb der Filiale und zum Rechner in der zur Höchststrafe, die im konkreten Schadens- entwickelt, die Transaktionen bereits vor Zentrale. Denn nicht nur der Fall Castrop- fall droht – nämlich einem Vertrauensverlust dem Versand zur Zentrale verschlüsselt, wo Rauxel zeigt: Die neue Täter-Generation bei den Kunden, die nicht mehr davon ausge- die Daten von TP.net Enterprise auf dem bringt hohes technisches Niveau mit und hen können, dass ihre Kreditkarten-Daten im Zentralserver übernommen werden. scheint durchaus in der Lage, auch firmen- Handelsunternehmen gut aufgehoben sind. C Betrugsentwicklung – Starker Anstieg bei POC’s* – aber: Verdreifachung innerhalb von 10 Jahren sie werden auch schneller und besser erkannt Anzahl mißbräuchlicher Verfügungen Anzahl erkannter POC’s 120.000 500 Inland Inland 445 Ausland Ausland 100.