Nach einer Auswertung des Sicherheitsanbieters Yarix entfielen 2024 12,2 % der registrierten Cyberangriffe in Deutschland auf Einzelhandel und E-Commerce, nur die Fertigungsindustrie lag knapp davor. Anders als Kliniken oder Stadtwerke hat der Handel dafür keinen eigenen KRITIS-Sektor und keine gesetzliche Testpflicht. Der Druck kommt aus dem Vertrag: Wer Kartenzahlung anbietet, unterliegt PCI DSS, und Anforderung 11 verlangt jährlich einen Penetrationstest sowie nach jeder wesentlichen Änderung. Dazu kommen die DSGVO für Kundenkonten und Bonusprogramme und der NIS2-Druck, den große Konzerne über Lieferantenaudits an Franchise-Partner und Dienstleister weitergeben.
Quellen: Yarix-Auswertung 2024, zitiert nach security-insider.de; PCI DSS v4, Anforderung 11.
Netzwerkdosen unter dem Kassentisch, Kartenterminals, die niemand auf Manipulation prüft, ein Gäste-WLAN, das im selben Segment hängt wie die Warenwirtschaft. Wer in Warnweste und mit Klemmbrett kommt und sagt, er tausche das Lesegerät, wird selten aufgehalten.
POS-Infrastruktur und Kartenterminals auf Manipulierbarkeit, Netzsegmentierung zwischen Kasse, WLAN und Filial-IT, und das Szenario „falscher Servicetechniker“ als abgestimmter Social-Engineering-Test.
Der Übergang von der Verkaufsfläche ins Backoffice ist oft ein Vorhang oder eine Tür ohne Schloss. Dahinter: der Filialrechner mit angemeldetem Konto, Dienstpläne, manchmal der Tresor. Aushilfen kennen die Kollegen nach zwei Wochen noch nicht alle.
Tailgating und Vorwand-Szenarien in Randzeiten, Bildschirmsperren und Konten am Filialrechner, und eine Phishing-Simulation, die auf Saison- und Filialpersonal zugeschnitten ist, nicht auf die Zentrale.
Netzwerkschrank ohne Schloss, Access Points in Griffhöhe, Lieferanten, die über die Rampe kommen und gehen, ohne dass jemand sie anmeldet. Der Schrank ist selten das Ziel, aber oft der Weg.
Physischer Zugang zu Netzwerk- und Serverkomponenten, offene Ports und Standardpasswörter auf Filialgeräten, die Anbindung an Warenwirtschaft und Zentrale.
Kundenkonten, Bonusprogramme, Gutscheine und Retourenlogik sind ein eigener Angriffsraum: Account-Übernahmen, Punkte-Betrug, Schnittstellen zu Payment und Logistik, Franchise-Partner mit Fernzugriff auf zentrale Systeme.
Web-Application-Pentest von Shop und Loyalty-Programm, Berechtigungen an den Schnittstellen zu Zahlungsdienstleistern und Filialen, Fremdzugänge von Partnern und Dienstleistern.
Zwei öffentlich dokumentierte Fälle aus den letzten Jahren, absichtlich weit auseinander in der Größe.
Nach einem Cyberangriff musste die Handelskette Online-Bestellungen über Wochen aussetzen, Warenverfügbarkeit und Logistik waren beeinträchtigt. Das Unternehmen bezifferte die Auswirkung auf das Betriebsergebnis später auf rund 300 Millionen Pfund.
Ein Mitarbeiter öffnete eine E-Mail mit einer angeblichen Bewerbung. Im Hintergrund installierte sich Schadsoftware, der Geschäftsbetrieb des Markts stand still. Dafür brauchte es weder Konzernstrukturen noch eine Zentrale, eine einzige Mail reichte.
Der Angriff skaliert. Die Abwehr muss es auch.
Angaben nach öffentlicher Berichterstattung. accessgranted war an diesen Vorfällen nicht beteiligt.
PCI DSS schreibt in Anforderung 11 vor, die Sicherheit von Systemen und Netzwerken regelmäßig zu testen. Für den Pentest heißt das konkret:
| Anforderung | Was gemeint ist | Womit wir es abdecken |
|---|---|---|
| Mindestens jährlich | Ein Penetrationstest pro Jahr und zusätzlich nach jeder wesentlichen Änderung an Infrastruktur oder Anwendungen. | Fester Testrhythmus, Re-Test nach Änderungen |
| Extern und intern | Angriffe von außen auf die erreichbaren Systeme und von innen aus dem Netz der Karteninhaberdaten-Umgebung. | Infrastruktur-Pentest, Filialnetz inklusive |
| Anwendungsebene | Webanwendungen und Schnittstellen, über die Karten- oder Kundendaten laufen, gegen die gängigen Schwachstellenklassen. | Web-Application-Pentest von Shop und Portalen |
| Segmentierung | Nachweis, dass die Karteninhaberdaten-Umgebung wirklich vom Rest des Netzes getrennt ist, zum Beispiel vom Gäste-WLAN in der Filiale. | Segmentierungstest vor Ort und aus der Zentrale |
Der Bericht ordnet jedes Finding der passenden Anforderung zu, damit ihr ihn dem PCI-Auditor so übergeben könnt, wie er ist. Dass der Handel politisch mehr Aufmerksamkeit braucht, hat zuletzt der Wirtschaftsrat der CDU laut Handelsblatt angemahnt: viele Filialen, vernetzte Kassen, sensible Zahlungsdaten.
In vielen Handelsunternehmen sitzen physische Sicherheit und IT-Sicherheit in zwei Abteilungen, die sich selten treffen. Genau in der Lücke dazwischen passiert der Einbruch.
Kennt Inventurdifferenzen, Kameras, Schließpläne und das Verhalten am Tor. Sieht den Serverschrank im Lager als IT-Thema.
Kennt Firewalls, Kassensoftware und den Shop. Sieht die Tür zum Backoffice als Thema des Filialleiters.
Ein kombiniertes Assessment liefert beiden denselben Bericht. Wer welchen Punkt umsetzt, steht dann als Zeile in der Maßnahmenliste, statt als Grundsatzfrage zwischen zwei Abteilungen hängen zu bleiben.
Ein Standort, ein Termin, vier Blickwinkel. Auf Wunsch anschließend Stichproben in weiteren Filialen.
Zutritt zu Backoffice, Lager und Netzwerkschrank, Manipulierbarkeit von Kartenterminals, Verhalten von Personal gegenüber vermeintlichen Technikern und Lieferanten.
Phishing- und Vorwand-Szenarien für Filial- und Saisonpersonal, mit Auswertung pro Standort statt nur pro Unternehmen.
Online-Shop, Kundenkonten, Bonusprogramm und die Schnittstellen zu Payment und Logistik, nach OWASP und mit PCI-Zuordnung.
Filialnetz, Segmentierung zur Karteninhaberdaten-Umgebung, Fernzugänge von Franchise-Partnern und Dienstleistern.
Für Handelsketten mit hoher Fluktuation bieten wir die Phishing-Simulation auch einzeln an, mit Auswertung je Filiale und Bericht in 48 Stunden.