Diebstahl von 1,5 Millionen Kreditkarten-Informationen Visa spricht Global Payments die PCI-Compliance ab

Infolge des Verlustes von 1,5 Millionen Kreditkarten-Datensätzen wurde Global Payments seitens Visa von der Liste der PCI-konformen Unternehmen gestrichen. Kritik erntet der Dienstleister für Zahlungsabwicklungen vornehmlich dafür, den Datendiebstahl nicht zeitnah gemeldet zu haben.

Anbieter zum Thema

Moxa Europe GmbH

Cohesity GmbH

Specops Software GmbH

Bereits Anfang März 2012 sind Global Payments geschätzte 1,5 Millionen Datensätze zu Kunden von Visa und Mastercard abhanden gekommen. Doch erst etwa drei Wochen später hat das Unternehmen den Sicherheitsvorfall gemeldet.

Dafür gibt es laut Wieland Alge, General Manager EMEA bei Barracuda Networks, nur zwei mögliche Erklärungen: Entweder habe man den Diebstahl nicht früher entdeckt, was ein schwerwiegendes Versäumnis darstelle. “Oder aber, man hat [den Vorfall] erst jetzt kommuniziert, was schlichtweg inakzeptabel ist”, moniert Alge.

Die schnelle und offene Information über Schadensfälle sei einerseits ein zentrales Element, um die Konsequenzen abzumildern und betroffene Kunden zu schützen. Gleichzeitig dient eine Veröffentlichung der „Abwehr von künftigen Angriffen auf weitere potenzielle Firmenopfer“, unterstreicht Alge.

Ersten Untersuchungen zufolge wurden zwar die Kreditkartennummern entwendet, jedoch nicht die Namen, Adressen, Sozialversicherungsnummern oder andere persönliche Informationen von Kreditkarten-Besitzern. Nichtsdestotrotz wurden bis Freitag, 30. März, verdächtige Aktivitäten auf knapp 900 Konten registriert, schreibt Brian Krebs, ehemaliger Journalist der Washington Post, in seinem Security Blog.

Allem Anschein nach handelt es sich dabei vornehmlich um Accounts, die in Verbindung mit einem New Yorker Taxi- und Parkgaragen-Unternehmen stehen, das Kreditkartenzahlungen über Global Payments abgewickelt hat. Weitere Details hält Global Payments angesichts der noch ausstehenden Ermittlungen aber noch zurück.

Visa stellt PCI-Compliance in Frage

Wieland Alge geht davon aus, dass das Global Payments sämtliche im Payment Card Industry Data Security Standard (PCI DSS) definierten Richtlinien eingehalten hat. Visa hat den Zahlungsabwickler dennoch von der Liste der PCI-konformen Unternehmen gestrichen. Das Unternehmen kann sich erst dann neu bewerten lassen, wenn es den Sicherheitsvorfall vollständig untersucht und entsprechende Gegenmaßnahmen getroffen hat.

Für Global Payments kommt dieser Schritt seitens Visa nicht unerwartet. In der Konsequenz ist das Unternehmen laut dessen CEO Paul Garcia sehr darauf bedacht, schnelle Gegenmaßnahmen zu ergreifen. Da man aber jede noch so kleine Schwachstelle ausmerzen müsse, könne man aber auch nicht erwarten, dass man die Probleme innerhalb weniger Tage in den Griff bekomme.

(ID:32825880)