Werden POS-Terminals am Point of Sale gehackt? Wie sicher sind Kreditkartendaten?

wenn das pos alt ist austauschen, neues gerät holen. frag die firma wegen pci-dss compliance, die wissen das. kartendaten verschlüsselt halten, belege kürzen (1234 anzeigen rest verstecken). firmware update regelmäßig machen...

PCI-DSS Anforderungen: 1) Netzwerksegmentierung (POS → Zahlungsnetzwerk), 2) Firewall-Regeln (nur POS-Ports), 3) Verschlüsselung (AES-256, TLS 1.2+), 4) Zugriffskontrolle (starkes Passwort, Schlüsselverwaltung), 5) Schwachstellenscans (quartalsweise), 6) Intrusion Detection, 7) Datenaufbewahrung (minimiert), 8) Incident-Response-Plan. Terminal-Software: Firmware-Updates für Verifone, Ingenico prüfen. Tokenisierung: Payment Processor verwaltet Token, im POS-Speicher keine Kartennummern speichern. Risiko im Offline-Modus: Verzögerungen bei der Batch-Abrechnung, hohes Chargeback-Risiko.

benutz das alte POS nicht mehr die EMV-Terminals von 2024 sind echt günstig. wenn du pci-dss compliance machen willst frag deinen zahlungsanbieter die helfen dir auch. kartendaten verschlüsselt und tokenisiert halten — die echte nummer darf nirgends sichtbar sein. also wenn ihr das gerät verkauft, macht einen secure wipe und holt euch ein zertifikat...

POS-Sicherheitsebenen: 1) Hardware (manipulationssicher, Secure Boot), 2) Software (signiertes OS, verifizierte Updates), 3) Kommunikation (TLS 1.2+, Certificate Pinning), 4) Daten (Verschlüsselung, Tokenisierung, Schlüsselverwaltung), 5) Compliance (PCI-DSS Selbstauskunft, SAQ, Audit). Migration: altes POS → neues POS, Datenmigration (altes Gerät bereinigen). Vorfall: Kartenkompromittierung → PCI-Benachrichtigung, Meldepflicht bei Datenlecks, Forensik.

20 Jahre POS-Verwaltung, größter Fehler ist die Nutzung alter Hardware. Firmware alter Terminals bekommt keine Sicherheitspatches mehr, sind Malware-Ziele. Neues Terminal (Chip + kontaktlos, tokenisiert) + korrektes VLAN + PCI-Audit durchgeführtes Unternehmen = sicher. Wenn du Kartendaten nicht auf dem Gerät speicherst, wirst du kein Hacker-Ziel.

Ich habe keinerlei Erfahrung mit Sicherheit von POS-Terminals deshalb frage ich. Wenn Genehmigung und Umfang nicht schriftlich vorliegen darf der Test nicht starten.

Wenn deine Situation anders ist, ändert sich das natürlich.

beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir dann maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen ofen die man nicht sieht.

schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Nur als Notiz, könnte nützlich sein.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

An deiner Stelle würde ich so vorgehen.

Gut, dass du diesen Thread eröffnet hast.

Man sollte der Reihe nach vorgehen. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Ich würde mich freuen wenn du das Ergebnis postest.

Ich möchte etwas fragen. Ein nicht getestetes Backup ist kein Backup.

Ein automatisierter Scan-Report ist kein Penetrationstest. Aus Erfahrung weiß ich das.

Gespeichert.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Das war's, entschuldige, wenn ich zu lang war.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn es jemand anders macht würde mich das auch interessieren.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern. Wenn es jemand anders macht, würde mich das auch interessieren.

ich erzähle mal was mir passiert ist, vielleicht hilft es euch. naja lösungen, die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen, das habe ich spät gelernt.

nur als Notiz könnte nützlich sein.