Kassensysteme sind heute direkt mit Geschäftsprozessen, Zahlungsdiensten und Unternehmensnetzwerken verbunden. Wird ein Kassensystem kompromittiert, kann dies weit über das einzelne Gerät hinaus Auswirkungen haben.
Ein Pentest von Kassensystemen und Kioskanwendungen untersucht daher nicht nur die sichtbare Anwendung. Ebenso betrachtet er das zugrunde liegende Betriebssystem, mögliche Berechtigungserweiterungen, physische Schnittstellen sowie die Frage, welche Auswirkungen eine erfolgreiche Kompromittierung auf angebundene Systeme haben könnte.
Warum Kassensysteme mehr als nur eine Kasse sind
Von außen betrachtet wirken viele Kassensysteme stark eingeschränkt. Sichtbar sind nur die Funktionen, die für den jeweiligen Anwendungsfall benötigt werden. Im Hintergrund greifen die Systeme jedoch oft auf Produktdatenbanken zu, kommunizieren mit Zahlungsdienstleistern, tauschen Daten mit Backend-Systemen aus oder sind in Unternehmensdomänen eingebunden.
Was auf den ersten Blick wie ein einzelnes System erscheint, ist damit häufig Teil einer Infrastruktur mit zahlreichen Verbindungen zu weiteren Anwendungen und Systemen.
Der erste Schritt: Aus dem Kioskmodus ausbrechen
Ein zentraler Bestandteil vieler Pentests ist die Überprüfung des Kioskmodus. Ziel ist es, zu prüfen, ob sich die vorgesehenen Einschränkungen umgehen lassen und dadurch weitere Funktionen des Systems erreichbar werden.
In der Praxis zeigt sich jedoch immer wieder, dass sich solche Einschränkungen umgehen lassen. Mögliche Angriffspunkte sind beispielsweise:
- Nicht gesperrte Tastaturkürzel
- Fehlerhafte Eingaben, die die Anwendung in einen unerwarteten Zustand versetzen
- Unzureichend abgesicherte Betriebssystemfunktionen
- Anwendungen oder Werkzeuge, die für den Betrieb nicht erforderlich sind, beispielsweise Terminalemulatoren oder Administrationswerkzeuge.
Ein Pentest untersucht dabei nicht nur, ob ein solcher Ausbruch möglich ist, sondern auch, welche weiteren Zugriffs- und Eskalationsmöglichkeiten sich daraus ergeben.
Die oft unterschätzte Gefahr physischer Angriffe
Kassensysteme unterscheiden sich von vielen anderen Unternehmenssystemen durch ihren Einsatzort. Sie stehen häufig dort, wo sich täglich zahlreiche Menschen frei bewegen und direkt mit ihnen interagieren können, wie z.B. an Self-Checkout-Kassen, Fahrkartenautomaten oder anderen Selbstbedienungssystemen. Anders als klassische Endgeräte befinden sie sich häufig in öffentlich zugänglichen Bereichen und sind nicht dauerhaft beaufsichtigt. Dadurch ergeben sich Angriffsmöglichkeiten, die bei vielen anderen Unternehmenssystemen keine Rolle spielen.
Gerade die Verbindung aus physischem Zugriff und Netzwerkanbindung macht diese Systeme für Angreifer interessant. Sicherheitsmaßnahmen, die in Rechenzentren oder Bürobereichen selbstverständlich sind, lassen sich an einer Selbstbedienungskasse nicht immer in gleicher Weise umsetzen.
Deshalb betrachten Pentests auch die physische Angriffsfläche eines Systems. Dazu gehören unter anderem:
- USB-Anschlüsse
- Ethernet-Ports
- Service- und Wartungsschnittstellen
- BIOS- und Boot-Konfigurationen
Werden solche Komponenten nicht ausreichend abgesichert, können sie zusätzliche Angriffsmöglichkeiten eröffnen oder bestehende Schutzmaßnahmen umgehen. In unseren Pentests zeigt sich immer wieder, dass bereits ungeschützte USB- oder Wartungsschnittstellen ausreichen können, um bestehende Schutzmaßnahmen zu umgehen.
Mit dem Zugriff auf das Betriebssystem endet ein Angriff nicht
Der Zugriff auf das Betriebssystem ist für Angreifer häufig nur der erste Schritt. Anschließend wird oft versucht, die eigenen Berechtigungen auszuweiten (Privilege Escalation) und Zugriff auf weitere Ressourcen zu erschließen.
Die dafür genutzten Techniken unterscheiden sich häufig kaum von Angriffen in klassischen Windows-Umgebungen. Schwachstellen im Betriebssystem, unsichere Konfigurationen oder überprivilegierte Benutzerkonten können dazu beitragen, dass Angreifer ihre Möglichkeiten erweitern.
Aus diesem Grund spielt die Härtung des Betriebssystems auch bei Kassensystemen eine wichtige Rolle. Ein sicher konfigurierter Kioskmodus allein reicht nicht aus, wenn sich auf anderen Wegen weitergehende Rechte erlangen lassen.
Vom Kassensystem ins Unternehmensnetzwerk
Besonders kritisch wird die Situation, wenn Kassensysteme direkt in ein Unternehmensnetzwerk eingebunden sind, Teil einer Unternehmensdomäne sind oder weitreichende Netzwerkverbindungen besitzen. In solchen Szenarien kann ein kompromittiertes Kassensystem zum Ausgangspunkt weiterer Angriffe werden.
Sind solche Systeme nicht ausreichend segmentiert, lassen sich von dort aus unter Umständen weitere Systeme erreichen. Dazu gehören:
- andere Kassensysteme
- Backend-Systeme
- Datenbanken
- Endgeräte der Mitarbeitenden
- Server-Infrastrukturen
Im schlimmsten Fall bewegen sich Angreifer schrittweise durch die Umgebung und erweitern ihre Berechtigungen immer weiter. Ein Vorfall, der an einer einzelnen Kasse beginnt, kann sich dadurch auf deutlich größere Teile der Infrastruktur auswirken. Dadurch können nicht nur IT-Systeme betroffen, sondern auch Geschäftsprozesse, die auf diese Systeme angewiesen sind.
„Bei Pentests von Kassensystemen schauen wir nicht nur auf die Kioskanwendung selbst. Spannend wird es meist erst dann, wenn wir die gesamte Systemumgebung betrachten. Dort zeigt sich häufig, welche Auswirkungen eine Kompromittierung tatsächlich haben kann. Unternehmen erhalten dadurch eine fundierte Grundlage, um Risiken zu bewerten und Sicherheitsmaßnahmen zu priorisieren.“
Samir Benzammour, Senior Consultant IT Security, usd AG
Warum Kiosk-Pentest und Active-Directory-Pentest zusammengehören
Kassensysteme sind meist vor Ort in eine Domäne eingebunden, die es Administratoren und Dienstleistern erlaubt, die Systeme remote zu warten und zu aktualisieren. Damit gehen jedoch auch Risiken einher. Gelingt es Angreifern, ein Kassensystem zu kompromittieren, können sie auch Rechte in der Domäne erlangen, wodurch sich die potenzielle Angriffsfläche vervielfacht. Ein Pentest des Kassensystems zeigt, ob sich das Gerät als Einstiegspunkt missbrauchen lässt und die damit verbundenen Angriffsmöglichkeiten. Ein Active Directory Pentest bewertet dagegen, welche Auswirkungen ein solcher Einstieg innerhalb der Unternehmensumgebung haben könnte.
Dabei werden unter anderem Vertrauensstellungen, Berechtigungen und Fehlkonfigurationen innerhalb der Domäne analysiert. Erst das Zusammenspiel beider Prüfungen ermöglicht eine ganzheitliche Betrachtung der Risiken und ihrer potenziellen Auswirkungen auf das Unternehmen.
Welche Maßnahmen für mehr Sicherheit sich bei Kassensystemen häufig bewähren
Die Ergebnisse eines Pentests liefern in der Regel konkrete Hinweise zur Absicherung der Systeme. Ziel ist dabei nicht nur, einen Ausbruch aus dem Kioskmodus zu verhindern, sondern auch, die Auswirkungen einer möglichen Kompromittierung zu begrenzen. Ein Pentest ist insbesondere dann sinnvoll, wenn Kassensysteme öffentlich zugänglich sind, beispielsweise als Self-Checkout-Lösungen oder Kioskanwendungen eingesetzt werden, mit weiteren Backend-Systemen kommunizieren oder direkt in Unternehmensnetzwerke und Active-Directory-Umgebungen eingebunden sind. Häufige Maßnahmen sind unter anderem:
- konsequente Einschränkung des Kioskmodus
- Deaktivierung nicht benötigter Funktionen und Anwendungen
- Absicherung physischer Schnittstellen
- minimale Benutzerberechtigungen
- Härtung des Betriebssystems
- Netzwerksegmentierung und möglichst eingeschränkte Domänenanbindung
- sichere Update- und Wartungsprozesse
Welche Maßnahmen sinnvoll sind, hängt von der jeweiligen Systemlandschaft und den identifizierten Risiken ab. Ziel sollte dabei immer sein, die Angriffsfläche so weit wie möglich zu begrenzen. Kassensysteme sollten daher nicht automatisch als vertrauenswürdig betrachtet werden. Sie sollten nur auf die Systeme und Ressourcen zugreifen können, die für ihren Betrieb tatsächlich erforderlich sind.
Mehr als nur die Kasse im Blick
Moderne Kassensysteme, Self-Checkout-Lösungen und Kioskanwendungen sind längst keine isolierten Geräte mehr. Ihre Sicherheit beeinflusst daher häufig deutlich mehr als den einzelnen Verkaufs- oder Serviceprozess.
Daher geht es bei einem Pentest von Kassensystemen häufig nicht nur darum, einzelne Schwachstellen aufzudecken. Vielmehr liefert ein Pentest die Grundlage, um fundierte Entscheidungen über die Absicherung von Kassensystemen und den angebundenen Systemen zu treffen.
Sie möchten wissen, welche Auswirkungen ein kompromittiertes Kassensystem auf Ihre Umgebung haben könnte? Sprechen Sie uns gern an und gemeinsam klären wir, welche Prüfansätze für Sie sinnvoll sind.
