Auch PCI bietet nur ein Mindestmaß an Sicherheit

Um die komplexen Anforderungen hinsichtlich der Sicherung von Kundendaten zu vereinfachen, haben MasterCard, Visa, American Express, Diners Club, Discover und JCB den Datensicherheitsstandard 'Payment Card Industry' (PCI) vereinbart. Dieser ist ab dem 30. Juni für Einzelhändler und Großhandelsketten verbindlich.

In einer Untersuchung von Forrester Research   hebt Ivan Remsik, Senior Analyst Financial Services, hervor, dass bisher bestehende Compliance-Systeme, die hauptsächlich auf der Eigenkontrolle der Abrechnungen durch den Kunden bestehen, auf Dauer nicht mehr funktionieren können. Der Analyst warnt Banken und Einzelhändler zudem davor, den PCI-Standard nur als ein neues externes Compliance-Programm einzuordnen.

Remsik macht weiterhin darauf aufmerksam, dass die PCI-Compliance Validation für große Dienstleistungsanbieter definiert ist und auch den Einsatz externer Sicherheitsexperten einschließt. Im Gegensatz dazu können sich Händler und kleinere Dienstleister nur auf das eigene Personal verlassen, das möglicherweise wichtige Hinweise auf Sicherheitslücken nicht erkennt. So sind viele Finanzdienstleistern kaum gegen Cross-Scripting (XSS)-Angriffe über das Interent geschützt. Ebenfalls Angriffen ausgesetzt seien Online-Einkäufer. Sie wissen häufig nichts über die Gefahren, welchen sie und ihre Finanzdaten im Internetverkehr gegenüberstehen. "SSL-Verschlüsselung reiche nicht aus um Freizeit-Hacker oder kriminelle Eindringlinge vom Plündern der Konten abzuhalten", so Remsik.

Remsik rät Händler und Banken zu ihrem und dem Schutz ihrer Kunden unter anderem zertifizierte IT-Sicherheisexperten in die Überprüfung der PCI-Sicherheitssysteme einzubeziehen und interne Auditoren in den Überprüfungsprozess zu integrieren.