Payment Card Industry Council: Kreditkartenterminals bald mit Firmware-Update

Ein älteres Terminal. Künftig müssen Firmware-Updates ermöglicht werden. (Bild: Nightflyer/CC-BY 3.0)

Skimming, Kreditkartenbetrug und manipulierte Bezahlterminals: Der Sicherheitstandard für EC- und Kreditkartenterminals wird überarbeitet. Künftig sollen die Geräte signierte Updates erhalten und gegen Laser resistent werden.

Um gegen Kreditkartenbetrug und manipulierte Bezahlterminals vorzugehen, wird der Sicherheitsstandard des Payment Card Industry Council erneuert [PDF]. Künftig wird vorgeschrieben, dass Zahlungsterminals per Firmwareupdate Sicherheitsupdates bekommen können. Auch gegen physische Manipulationen sollen die Geräte abgesichert werden können. Entsprechende Richtlinien finden sich auf der Seite der Organisation, die Änderungen sollen im kommenden Jahr in Kraft treten.

Neu ist, dass die Hersteller Firmwareupdates ermöglichen müssen. Damit diese Funktion nicht selbst zum Einfallstor für Malware oder andere Manipulationen wird, müssen die Updates signiert sein und das Gerät eine kryptographische Prüfung durchführen. Kann die Echtheit der Firmware nicht garantiert werden, wird das Update vom System abgelehnt. Eine vergleichbare Prüfung muss für alle Apps vorgenommen werden, die auf dem Gerät installiert werden.

Auch gegen physische Bedrohungen absichern

Die Geräte müssen auch gegen physische Manipulationen abgesichert werden. Ein Team von Hackern hatte auf dem Chaos Communication Congress im Jahr 2015 demonstriert, wie sie vertrauliche Informationen aus dem Hardware-Security-Modul eines herkömmlichen Lesegeräts auslesen konnten.

Das soll künftig nicht mehr möglich sein. Die Geräte sollen gegen Angriffe mit Lasern, chemischen Substanzen, Aufbrechen des Gerätes oder durch Einführung von Gegenständen in Lüftungsöffnungen abgesichert werden. Wird ein solcher Angriff entdeckt, soll das Gerät den Betrieb einstellen und alle darauf vorhandenen Informationen löschen.