Einzelhandel & Filialnetze · PCI DSS & DSGVO
Kassen, Backoffice, Lagerraum, Online-Shop: Ein Händler mit Filialnetz hat an jedem Standort dieselben Schwachstellen noch einmal, und dazu Personal, das im Weihnachtsgeschäft gerade erst angefangen hat. Der Einzelhandel war 2024 die am zweithäufigsten angegriffene Branche in Deutschland. Wir gehen mit euch durch eine Filiale, digital und zu Fuß, und ihr wisst danach, wie es in den anderen aussieht.
Lagebild
12,2% der 2024 von Yarix in Deutschland beobachteten Cyberangriffe trafen Einzelhandel und E-Commerce
Nach einer Auswertung des Sicherheitsanbieters Yarix entfielen 2024 12,2 % der registrierten Cyberangriffe in Deutschland auf Einzelhandel und E-Commerce, nur die Fertigungsindustrie lag knapp davor. Anders als Kliniken oder Stadtwerke hat der Handel dafür keinen eigenen KRITIS-Sektor; nur große Lebensmittelhändler fallen über den Sektor Ernährung unter die KRITIS-Pflichten. Der Druck kommt aus dem Vertrag: Wer Kartenzahlung anbietet, unterliegt PCI DSS, und wer seine Karteninhaberdaten-Umgebung selbst betreibt, muss nach Anforderung 11 jährlich einen Penetrationstest durchführen sowie nach jeder wesentlichen Änderung. Dazu kommen die DSGVO für Kundenkonten und Bonusprogramme und der NIS2-Druck, den große Konzerne über Lieferantenaudits an Franchise-Partner und Dienstleister weitergeben.
Quellen: Yarix-Auswertung 2024, zitiert nach security-insider.de; PCI DSS v4, Anforderung 11.
Woher der Druck kommt
Kartenakzeptanz heißt PCI DSS. Wer die Karteninhaberdaten-Umgebung selbst betreibt, muss nach Anforderung 11 jährlich einen Penetrationstest durchführen und einen weiteren nach jeder wesentlichen Änderung. Wer das nicht liefert, riskiert Vertragsstrafen und im Ernstfall die Kartenakzeptanz selbst.
Kundenkonten, Bonusprogramme, Retouren: Im Shop und an der Kasse liegen personenbezogene Daten, für die die DSGVO Schutzmaßnahmen nach Stand der Technik verlangt. Einen eigenen KRITIS-Sektor hat der Handel dagegen nicht, nur große Lebensmittelhändler fallen über den Sektor Ernährung darunter.
Große Konzerne geben ihren NIS2-Druck über Lieferantenaudits nach unten weiter. Wer als Franchise-Partner, Dienstleister oder Lieferant angebunden ist, bekommt die Fragebögen, ohne selbst unter das Gesetz zu fallen.
Position 02
Der Peak-Tag
Im Handel verschiebt sich das Risiko im Tagesverlauf. Wenn die Fläche voll ist, fällt ein Fremder am wenigsten auf, und gleichzeitig darf niemand etwas an der IT ändern. Wenn der Laden zu ist, dürfte man ändern, aber es schaut niemand hin. Das Band zeigt beides übereinander.
Gelegenheit: Niemand schaut zu
Laden zu, Änderungen freigegeben
Die einzigen Stunden, in denen jemand an Kasse, Switch oder Warenwirtschaft etwas ändern darf. Genau dann sitzt auch niemand in der Filiale, der eine offene Schranktür oder ein fremdes Gerät am Netz bemerken würde. Alarmanlage und Kamera decken die Verkaufsfläche ab, den Netzwerkschrank im Lager oft nicht.
Gelegenheit: Das Tor steht offen
Rampe offen, Change-Freeze beginnt
Die Rampe ist auf, Lieferanten gehen ein und aus, Ware blockiert den Gang zum Lager. Wer in dieser Stunde mit Warnweste und Rollwagen hereinkommt, wird selten angemeldet. Parallel fahren Kassen und Kartenterminals hoch, und niemand prüft, ob an einem Leseeinschub über Nacht etwas dazugekommen ist.
Gelegenheit: Sperre gegen die eigene IT
Change-Freeze aktiv
Ab jetzt darf bis zum Ladenschluss niemand mehr an die produktiven Systeme. Ein Befund, den ihr um zehn Uhr meldet, bleibt bis in die Nacht offen. Diese Sperre schützt den Umsatz und verlängert zugleich jedes Zeitfenster, das ein Angreifer bereits hat.
Gelegenheit: Niemand kennt alle
Personalwechsel, Freeze läuft weiter
Pausen, Schichtübergabe, Aushilfen im zweiten Monat. Wer jetzt sagt, er sei von der Wartungsfirma und tausche das Terminal, trifft auf niemanden, der ihn zuordnen kann. Das Backoffice steht in dieser Zeit häufig offen, weil ständig jemand hinein- und hinausgeht.
Gelegenheit: Jede Störung kostet sofort
Höchstlast, keine Änderung erlaubt
Volle Fläche, volle Kassen, ein Fremder fällt hier am wenigsten auf. Gleichzeitig kostet jede Minute Ausfall unmittelbar Umsatz, und die Bereitschaft, ein System zur Prüfung vom Netz zu nehmen, ist auf dem Tiefpunkt. Wer hier zuschlägt, hat die beste Tarnung und den größten Hebel zur selben Zeit.
Gelegenheit: Alleinarbeit im Backoffice
Kassenabschluss, Änderungen eingeschränkt
Kassenabschluss, Tagesbericht, Geldzählung, oft von einer einzigen Person erledigt. Der Filialrechner ist angemeldet, die Tür zur Verkaufsfläche steht auf, und die letzten Mitarbeitenden sind mit dem Aufräumen beschäftigt. Für einen Vorwand am Telefon ist das die ergiebigste Stunde des Tages.
Der Testtermin richtet sich nach diesem Band. Aktive Prüfungen an Kassen und Terminals legen wir dorthin, wo sie niemandem den Umsatz kosten, physische Prüfungen bewusst in die Stunden, in denen die Fläche voll ist.
Position 03
Der Rundgang
Vier Stationen, die wir bei jedem Filial-Assessment abgehen. Der Weg ist immer derselbe: von der Fläche nach hinten und von dort in die Systeme der Zentrale.
Ein Standort als Stichprobe. Was wir dort finden, gilt meist für das ganze Netz.
Station 01 · Verkaufsfläche & Kasse
Was auffällt
Netzwerkdosen unter dem Kassentisch, Kartenterminals, die niemand auf Manipulation prüft, ein Gäste-WLAN, das im selben Segment hängt wie die Warenwirtschaft. Wer in Warnweste und mit Klemmbrett kommt und sagt, er tausche das Lesegerät, wird selten aufgehalten.
Was wir testen
POS-Infrastruktur und Kartenterminals auf Manipulierbarkeit, Netzsegmentierung zwischen Kasse, WLAN und Filial-IT, und das Szenario falscher Servicetechniker als abgestimmter Social-Engineering-Test.
Fällt auf: 06 bis 09 Uhr und 15 bis 20 Uhr
Station 02 · Backoffice & Personalraum
Was auffällt
Der Übergang von der Verkaufsfläche ins Backoffice ist oft ein Vorhang oder eine Tür ohne Schloss. Dahinter: der Filialrechner mit angemeldetem Konto, Dienstpläne, manchmal der Tresor. Aushilfen kennen die Kollegen nach zwei Wochen noch nicht alle.
Was wir testen
Tailgating und Vorwand-Szenarien in Randzeiten, Bildschirmsperren und Konten am Filialrechner, und eine Phishing-Simulation, die auf Saison- und Filialpersonal zugeschnitten ist, nicht auf die Zentrale.
Fällt auf: 12 bis 15 Uhr und 20 bis 24 Uhr
Station 03 · Lager & Netzwerkschrank
Was auffällt
Netzwerkschrank ohne Schloss, Access Points in Griffhöhe, Lieferanten, die über die Rampe kommen und gehen, ohne dass jemand sie anmeldet. Der Schrank ist selten das Ziel, aber oft der Weg.
Was wir testen
Physischer Zugang zu Netzwerk- und Serverkomponenten, offene Ports und Standardpasswörter auf Filialgeräten, die Anbindung an Warenwirtschaft und Zentrale.
Fällt auf: 00 bis 09 Uhr
Station 04 · Online-Shop & Zentrale
Was auffällt
Kundenkonten, Bonusprogramme, Gutscheine und Retourenlogik sind ein eigener Angriffsraum: Account-Übernahmen, Punkte-Betrug, Schnittstellen zu Payment und Logistik, Franchise-Partner mit Fernzugriff auf zentrale Systeme.
Was wir testen
Web-Application-Pentest von Shop und Loyalty-Programm, Berechtigungen an den Schnittstellen zu Zahlungsdienstleistern und Filialen, Fremdzugänge von Partnern und Dienstleistern.
Fällt auf: rund um die Uhr
Zwei Größenordnungen
Zwei öffentlich dokumentierte Fälle aus den letzten Jahren, absichtlich weit auseinander in der Größe. Beide Belege enden mit einer Summe, die vorher in keiner Planung stand.
Ein Konzern
Nach einem Cyberangriff musste die Handelskette Online-Bestellungen über Wochen aussetzen, Warenverfügbarkeit und Logistik waren beeinträchtigt. Das Unternehmen bezifferte die Auswirkung auf das Betriebsergebnis später auf rund 300 Millionen Pfund.
Auswirkung auf das Betriebsergebnisrund 300 Mio. Pfund
Der Angriff skaliert. Die Abwehr muss es auch.
Ein Markt
Ein Mitarbeiter öffnete eine E-Mail mit einer angeblichen Bewerbung. Im Hintergrund installierte sich Schadsoftware, der Geschäftsbetrieb des Markts stand still. Dafür brauchte es weder Konzernstrukturen noch eine Zentrale, eine einzige Mail reichte.
Auslösereine E-Mail
Angaben nach öffentlicher Berichterstattung. Access Granted war an diesen Vorfällen nicht beteiligt.
PCI DSS · Anforderung 11
PCI DSS schreibt in Anforderung 11 vor, die Sicherheit von Systemen und Netzwerken regelmäßig zu testen. Für den Pentest heißt das konkret:
| Anforderung | Was gemeint ist | Womit wir es abdecken |
|---|---|---|
| Mindestens jährlich | Ein Penetrationstest pro Jahr und zusätzlich nach jeder wesentlichen Änderung an Infrastruktur oder Anwendungen. | Fester Testrhythmus, Re-Test nach Änderungen |
| Extern und intern | Angriffe von außen auf die erreichbaren Systeme und von innen aus dem Netz der Karteninhaberdaten-Umgebung. | Infrastruktur-Pentest, Filialnetz inklusive |
| Anwendungsebene | Webanwendungen und Schnittstellen, über die Karten- oder Kundendaten laufen, gegen die gängigen Schwachstellenklassen. | Web-Application-Pentest von Shop und Portalen |
| Segmentierung | Nachweis, dass die Karteninhaberdaten-Umgebung wirklich vom Rest des Netzes getrennt ist, zum Beispiel vom Gäste-WLAN in der Filiale. | Segmentierungstest vor Ort und aus der Zentrale |
Der Bericht ordnet jedes Finding der passenden Anforderung zu, damit ihr ihn dem PCI-Auditor so übergeben könnt, wie er ist. Dass der Handel politisch mehr Aufmerksamkeit braucht, hat zuletzt der Wirtschaftsrat der CDU laut Handelsblatt angemahnt: viele Filialen, vernetzte Kassen, sensible Zahlungsdaten.
Zuständigkeit
In vielen Handelsunternehmen sitzen physische Sicherheit und IT-Sicherheit in zwei Abteilungen, die sich selten treffen. Genau in der Lücke dazwischen passiert der Einbruch.
Kennt Inventurdifferenzen, Kameras, Schließpläne und das Verhalten am Tor. Sieht den Netzwerkschrank im Lager als IT-Thema.
Der Netzwerkschrank hinter einer unverschlossenen Tür. Für die eine Seite ein IT-Gerät, für die andere ein Raumproblem, und deshalb seit Jahren unverändert.
Kennt Firewalls, Kassensoftware und den Shop. Sieht die Tür zum Backoffice als Thema des Filialleiters.
Ein kombiniertes Assessment liefert beiden denselben Bericht. Wer welchen Punkt umsetzt, steht dann als Zeile in der Maßnahmenliste, statt als Grundsatzfrage zwischen zwei Abteilungen hängen zu bleiben.
Module
Ein Standort, ein Termin, vier Blickwinkel. Auf Wunsch anschließend Stichproben in weiteren Filialen.
Zutritt zu Backoffice, Lager und Netzwerkschrank, Manipulierbarkeit von Kartenterminals, Verhalten von Personal gegenüber vermeintlichen Technikern und Lieferanten.
Phishing- und Vorwand-Szenarien für Filial- und Saisonpersonal, mit Auswertung pro Standort statt nur pro Unternehmen.
Online-Shop, Kundenkonten, Bonusprogramm und die Schnittstellen zu Payment und Logistik, nach OWASP und mit PCI-Zuordnung.
Filialnetz, Segmentierung zur Karteninhaberdaten-Umgebung, Fernzugänge von Franchise-Partnern und Dienstleistern.
Position 08
Ablauf
Fünf Schritte, an deren Ende ihr einen Bericht habt, den ihr weiterreichen könnt. Der Weg ist bei einer Filiale derselbe wie bei achtzig.
Kostenlos und unverbindlich. Wir klären, welche Filiale repräsentativ ist, ob Shop und Zentrale dazugehören und ob der Bericht auf PCI DSS zugeordnet werden soll.
Der Umfang steht schriftlich, der Preis ist fest. Termine legen wir entlang eures Handelstags und außerhalb des Hochlastzeitraums, damit niemand während des Weihnachtsgeschäfts Befunde offen lassen muss.
Physischer Rundgang, Social Engineering und die technischen Prüfungen laufen im selben Zeitraum. Der Filialleiter oder eine von euch benannte Person weiß Bescheid, das übrige Personal bewusst nicht.
Jedes Finding mit Nachweis, Risikoeinstufung und Maßnahme, zugeordnet zur passenden PCI-DSS-Anforderung. Wir gehen ihn mit IT und Filialsicherheit gemeinsam durch, damit die Maßnahmenliste am Ende Zeilen statt Zuständigkeitsfragen enthält.
Nach der Behebung prüfen wir die betroffenen Punkte erneut. Denselben Schritt verlangt PCI DSS ohnehin nach jeder wesentlichen Änderung an Infrastruktur oder Anwendungen.
SummeEin Bericht, der zum Auditor geht, wie er ist, und eine Maßnahmenliste, die im Filialnetz wiederverwendbar ist.
Wir nehmen einen Standort komplett auseinander, digital und vor Ort, und ihr wisst danach, wie es in den anderen wahrscheinlich aussieht. Ein kurzes Gespräch, dann ein Festpreis.
