PCI DSS 4.0.1: Checkout-Skripte als Sicherheitsrisiko - was Admins jetzt prüfen müssen
The Hacker News, PCI Council und SecurityWeek: PCI DSS 4.0.1 macht CSP, SRI und Script-Inventar zur Pflicht. Technische Maßnahmen gegen Magecart.
The Hacker News, PCI Security Standards Council und BleepingComputer berichten über eine Verschärfung der PCI-DSS-Anforderungen für Skripte auf Zahlungsseiten. PCI DSS 4.0.1 macht Content Security Policies (CSP), Subresource Integrity (SRI) und regelmässige Script-Inventare zur Pflicht. Für Admins mit E-Commerce-Shops bedeutet das konkrete Massnahmen gegen Magecart, Formgrabbing und Skimming.
Meldung und Einordnung
Drittanbieter-Skripte auf Checkout-Seiten sind kein neues Problem. Magecart-Angreifer nutzen seit Jahren kompromittierte Tracking-Skripte und Tag-Manager. Die Zahl der Vorfälle stieg um 37 Prozent (BleepingComputer). Der PCI Council reagiert mit PCI DSS 4.0.1.
Bisher galt: keine eigenen Skripte auf der Zahlungsseite (SAQ A). SAQ A-EP verlangte detailliertere Kontrollen. Mit 4.0.1 werden beide SAQ-Typen verschärft und um technische Prüfungen ergänzt.
Technische Details für Admins
Die neuen Anforderungen:
| Anforderung | Beschreibung | Technische Umsetzung |
|---|---|---|
| Req 6.4.3 | Script-Inventar: Alle Skripte inventarisiert, autorisiert, Integrität geprüft | Liste mit URLs, SHA-384-Hashes, Zweck |
| Req 6.2.2 | Subresource Integrity für externe Skripte | integrity-Attribut mit sha384-Hash |
| Req 11.6.1 | Vierteljährlicher Scan auf unautorisierte Skripte | DOM-Vergleich mit Baseline |
| Req 12.9.1 | Nachweispflicht für Drittanbieter | Schriftliche Bestätigung der Controls |
CSP muss mit nonce- oder hash-basiertem script-src arbeiten. unsafe-inline auf Zahlungsseiten nicht mehr zulässig.
Risiko für KMU und Betrieb
KMU mit WooCommerce, Shopify oder anderen Shop-Systemen sind besonders betroffen. Tracking-Skripte, Tag-Manager und Zahlungs-Widgets sind potenzielle Angriffspunkte. Ein kompromittiertes Plugin kann auf der Checkout-Seite beliebigen JavaScript-Code einschleusen.
Ein Magecart-Angriff bleibt oft wochenlang unbemerkt. Imageschaden und PCI-DSS-Nachaudit können ein KMU in Existenznöte bringen. Req 11.6.1 soll diese Erkennungszeiträume verkürzen.
Was Admins jetzt prüfen sollten
- Script-Inventar: Alle Scripts auf Checkout-Seite dokumentieren: Quelle, Zweck, SHA-384
- CSP konfigurieren: Content-Security-Policy mit nonce-basiertem script-src und strict-dynamic
- SRI für externe Skripte: integrity-Attribut mit SHA-384-Hash an jedes externe Script
- Tag-Manager prüfen: GTM CSP-Unterstützung in Container-Einstellungen aktivieren
- Baseline-Scan: Automatischer täglicher DOM-Vergleich mit Baseline
- Drittanbieter-Nachweis: Vom Zahlungsdienstleister schriftliche Bestätigung anfordern
Betriebscheck nach der Meldung
- Checkout-Seite mit DevTools auf unerwartete Skripte geprüft?
- CSP-Header im Report-Only getestet, dann auf Enforce umgestellt?
- Script-Integrität bei jedem Deployment automatisch geprüft?
- Zahlungs-Widget regelmässig gegen offizielle Quelle geprüft?
- Incident-Response-Plan für kompromittierte Checkout-Seite?
Admin-Einschätzung
Req 6.2.2 (SRI) und Req 11.6.1 sind technisch präzise und mit Standard-Mitteln umsetzbar. Grösster Aufwand: Script-Inventar und CSP bei gewachsenen Skript-Strukturen.
Wer Checkout-Seite dokumentiert, CSP und SRI einrichtet, hat nicht nur PCI-Compliance, sondern echten Schutz gegen Magecart.
Passende Anleitungen auf S-EDV
- Docker Compose absichern - Shop-Container sicher betreiben
- Linux-Server absichern: UFW und Fail2ban - Basis für Shop-Server
