Geldautomaten und POS-Systeme schützen

Geldautomaten und POS-Systeme schützen

Ob Cardstealer, vSkimmer oder POSeydon: heute sind Geldautomaten und POS-Systeme mehr denn je von Schadprogrammen betroffen, weil sie Cyberkriminellen direkten Zugang zu Bargeld und Kreditkartendaten verspricht. Die Infektion eines Geldautomaten kann auch Teil eines noch viel größer angelegten Bedrohungsszenarios sein. Eine Advanced Persistent Threat (APT) wie Carbanak konnte 2015 mehr als eine Milliarde US-Dollar an finanziellem Schaden anrichten.

Kaspersky Lab: Auch Geldautomaten benötigen Cyberschutz (Bild: Kaspersky Labs GmbH)

Wie kann ein geeigneter Schutz aussehen? Eine geeignete Sicherheitslösung muss viele Spezifika berücksichtigen, denen eingebettete Systeme im Finanzbereich unterliegen. Geldautomaten und POS-Systeme bilden in der Regel ein Netz aus geografisch weit verstreuten Geräten, die aufwendig zu verwalten sind und daher selten aktualisiert werden. Die oftmals älteren, hochspezialisierten Low-End-Systeme verfügen über wenig Leistung und Speicherkapazität. Außerdem sind sie mit dem Internet häufig nur über langsame drahtlose oder 3G-Netze verbunden. Hinzu kommt, dass Malware für Geldautomaten und POS-Systeme ungleich schnelleren Entwicklungszyklen unterliegt als die attackierten Geräte selbst. So läuft noch die große Mehrheit aller Geldautomaten mit Betriebssystemen auf Basis von Windows XP, für die es keine weiteren Sicherheits-Updates mehr gibt. Microsoft stellte am 12. Januar 2016 den Support für Windows XP Embedded ein, am 12. April 2016 folgte Windows XP Embedded for Point of Service. Ein Software-Update der meist älteren Geräte bedingt häufig neue Hardware-Komponenten. Daher warten viele Banken ab, bis ein genereller Austausch der Flotte an Geldautomaten fällig wird, was alle fünf bis zehn Jahre der Fall ist. Weiter unterliegen alle Systeme, die Kreditkartendaten verarbeiten, den im Payment Card Industry Data Security Standards (PCI DSS) Version 3.1 festgelegten technischen Sicherheitsanforderungen. Auch wenn sich dieser Standard nur auf Virenschutzprogramme bezieht, müssen alle Schutzlösungen die in den Unterkapiteln 5, 6 und 10 von PCI DDS v3.1 formulierten Anforderungen erfüllen. Sie besagen, dass auf den Geräten (insbesondere auf PCs und Server) eine Antiviren-Software installiert sein muss, die alle bekannten Arten von Schadsoftware erkennen, entfernen und vor diesen schützen kann. Alle Virenschutzmechanismen sollen auf dem neuesten Stand sein. Es müssen regelmäßig Scans durchgeführt sowie Audit-Logs generiert und aufbewahrt werden. Benutzer dürfen die Virenschutzsoftware weder deaktivieren noch verändern. Weiterhin müssen vom Hersteller bereitgestellte Sicherheitspatches innerhalb eines Monats nach Veröffentlichung installiert werden.

Seiten: 1 2 3Auf einer Seite lesen

Kaspersky Labs GmbH
www.kaspersky.de

Das könnte Sie auch Interessieren