Suchen
Integriertes Einzelhandelsmanagementsystem für den Omnichannel-Einzelhandel im modernen Geschäftsumfeld

Leitfaden für mehr Cybersicherheit im Einzelhandel

Erfahren Sie, wie Einzelhändler ihre Netzwerke, Kundendaten, POS-Systeme und Endpunkte am besten schützen können

07. Oktober 2024Dheeraj Rawal

Der Hintergrund

In diesem Blog geht es darum, wie die digitale Transformation die Einzelhandelsbranche verändert, da Marken Kunden beeindrucken wollen. Die Digitalisierung geht jedoch mit neuen Risiken einher. Wir stellen einige Beispiele aus dem Einzelhandel vor, bei denen Unternehmen infolge von Cyberangriffen Millionen Dollar verloren haben. Und wir zeigen, welche Lösungen sich anbieten, um die Cybersicherheit, die Compliance und die Resilienz zu optimieren.

Der rasante Wandel in der Einzelhandelsbranche

Ein Diagramm, das den weltweiten Gesamtumsatz im Einzelhandel von 2021 bis 2026 (in Billionen Euro) darstellt.

Die digitale Transformation in der Einzelhandelsbranche schreitet voran. Die Investitionen in Software steigen weiter. Die weltweiten IT-Investitionen beliefen sich im Jahr 2023 auf 196,5 Milliarden US-Dollar und dürften 2024 um 6,5 Prozent auf über 209 Milliarden US-Dollar steigen.1

Mit den IT-Investitionen wollen Einzelhändler unter anderem Lagerkosten senken, die Kundenzufriedenheit verbessern, die Bestandskontrolle rationalisieren bzw. automatisieren, die Prognosen optimieren und die Cybersicherheit stärken. Letztlich wollen Einzelhändler natürlich, dass dank der Technologie ihre Umsätze steigen. Die weltweiten Einzelhandelsumsätze nehmen Jahr für Jahr zu. Allein 2024 werden es mehr als 30,5 Billionen US-Dollar (27,7 Billionen Euro) sein.2

Technologie als Grundlage für ein reichhaltiges Kundenerlebnis

Da die Kunden von heute gern stöbern, Marken entdecken und sowohl online als auch offline einkaufen, setzen Einzelhändler verstärkt auf Technologie. Kunden möchten von Marken auf verschiedenen Kanälen angesprochen werden. Dies zwingt Einzelhandelsmarken zu einer Omnichannel-Präsenz, die über alle Kanäle hinweg ein einheitliches Erlebnis bietet. Das schließt auch ein personalisiertes Kundenerlebnis ein. 

So nutzen viele Einzelhändler KI-gestützte Personalisierung, um die Klickzahlen, die Verweildauer der Kunden im Webshop und die Net-Promoter-Scores zu steigern. 

Wie Walmart mit GenAI arbeitet

Der US-amerikanische Einzelhandelsriese Walmart hat in generative künstliche Intelligenz (Generative Artificial Intelligence, GenAI) investiert, um das digitale Einkaufserlebnis für seine Kunden zu verbessern. Walmart nutzt GenAI, damit die Kunden Produkte leicht suchen und entdecken können.

Das soll die Kundeninteraktion und die allgemeine Kundenzufriedenheit steigern.3 Immer mehr Einzelhändler setzen Technologien wie Chatbots, E-Commerce-Plattformen, intelligente Regale, mobile Anwendungen, sprachgestütztes Einkaufen, KI-Assistenten, kontaktloses Bezahlen, Ladenroboter und mehr ein.

Während solche Neuerungen den Einzelhandel verändern, bringen sie auch neue Probleme mit sich, unter anderem Cybersicherheitsrisiken. Einzelhändler werden durch den zunehmenden Einsatz von Technologie anfälliger für Cyberangriffe. Stellen Sie sich folgendes Szenario vor: In dem Bestreben, digital präsent zu sein, führt ein stationäres Geschäft Mobil- und Web-Anwendungen ein. Für die Einführung dieser Anwendungen sind folgende Dienste im Backend erforderlich:

  • Zahlungsgateways um Transaktionen zu unterstützen
  • Datenbankmanagement für die Speicherung von Kundendaten und Produktinformationen
  • Cloud Services zum Hosten von Web-Anwendungen, mobilem Backend, Datenbanken und mehr
  • Anwendungsprogrammierschnittstelle (API), um die Kommunikation zwischen verschiedenen Diensten zu verwalten
  • Datenanalyse zur Auswertung von Marketing-, Vertriebs- und anderen Kundendaten 
  • Authentifizierungsdienste, um Benutzeridentitäten zu verwalten

Full Scale Transformation führt zu mehr Einfallstoren

Dieses einfache Szenario wird mit Full Scale digitaler Transformation kompliziert. Die Zahl der digitalen Einfallstore nimmt zu. Böswillige Akteure versuchen, sich über diese Einfallstore Zugang zu verschaffen und Systeme zu hacken, wobei es zu Datenschutzverletzungen, Ransomware-Angriffen und anderen Sicherheitsvorfällen kommt. Schnelle Technologieeinführungen ohne solide Sicherheitsmaßnahmen machen Unternehmen verwundbar und Angreifer warten einfach darauf, dass sich die Schleusen öffnen.

Der Einzelhandel ist eine der am häufigsten angegriffenen Branchen; etwa einer von vier Angriffen richtet sich gegen ein Einzelhandelsunternehmen.4

Im Jahr 2023 waren zum Beispiel 69 Prozent aller Einzelhandelsunternehmen mit Ransomware-Angriffen konfrontiert. Mehr als jede zweite Lösegeldforderung überstieg 1 Million US-Dollar; bei jedem dritten Vorfall forderten die Angreifer 5 Millionen US-Dollar oder mehr.5

Weitere häufige Angriffe sind Credential Phishing, Malware oder auch Distributed Denial of Services (DDoS). Die Kosten einer durchschnittlichen Datenschutzverletzung im Einzelhandel lagen 2023 bei 2,96 Millionen US-Dollar. Im Jahr 2024 sind sie bereits auf 3,48 Millionen US-Dollar angewachsen. Dies entspricht einer Zunahme von 18 Prozent.6

Die Attacke auf einen Modehändler

Im Jahr 2022 war Zoetop, die Muttergesellschaft des Online-Modehändlers Shein, mit einer gravierenden Datenschutzverletzung konfrontiert, bei der die Daten von weltweit mehr als 39 Millionen Shein-Kunden gestohlen wurden. Berichten zufolge wurden Kundendaten wie Namen, E-Mail-Adressen, Kreditkarteninformationen, Passwörter usw. gestohlen. 

Diese Kundendaten wurden etwa zwei Jahre lang im Darknet verkauft. Erschwerend kam hinzu, dass das Unternehmen das Ausmaß des Angriffs eine Weile leugnete und die Angelegenheit unter den Teppich kehrte. Als der Vorfall an die Öffentlichkeit gelangte und die Behörden der Sache auf den Grund gingen, wurde dem Unternehmen für seine Versäumnisse beim Schutz finanzieller Kundendaten eine Geldstrafe in Höhe von 1,9 Millionen US-Dollar auferlegt, da diese Daten unter den Payment Card Industry Data Security Standard (PCI DSS) fallen.7

Bei den Untersuchungen stellte sich heraus, dass das Unternehmen nur über unzureichende Sicherheitsmaßnahmen verfügte. Unter anderem fehlten ein Passwort-Management-System, API-Sicherheit, ein Sicherheitsüberwachungssystem und ein Plan zur Reaktion auf Zwischenfälle. Das Unternehmen ergriff daraufhin Maßnahmen mit dem Ziel, die Sicherheitsvorkehrungen zu verbessern. 

Dieser Vorfall zeigt, wie wichtig Sicherheitsmaßnahmen sind, um solche Vorfälle zu vermeiden, die zu Ausfällen, Umsatzeinbußen, Rechtsverstößen, gerichtlichen Strafen und Rufschädigung führen. Die Reputation ist für jede Marke ein wichtiges Gut. Mehr als die Hälfte des Marktwerts einer Marke lässt sich auf den Ruf zurückführen. Das erklärt, warum Unternehmen nach negativen Ereignissen Einbußen beim Markenwert und beim Umsatz erleben.8

Wie Einzelhändler ihre wesentlichen Systeme schützen können

Welche Systeme und Ressourcen müssen Einzelhändler schützen? Welche Sicherheitslösungen bieten sich an?

1. Kundendaten: 

Kundendaten, die personenbezogene Daten und finanzielle Informationen enthalten, müssen in höchstem Maße geschützt werden, da sie ein lukratives Ziel für böswillige Akteure darstellen. Außerdem gibt es Regelwerke wie den PCI-DSS, die für Unternehmen gelten, die zahlungsbezogene Daten verarbeiten. Der PCI-DSS verpflichtet Unternehmen, etwa ein Dutzend Anforderungen in den Bereichen Netzwerksicherheit, Datenverschlüsselung, Zugangsmanagement u.v.m. einzuhalten.9 

Der Begriff Secure Access Service Edge (SASE) bezeichnet eine Sicherheitslösung, die Einzelhändler beim Schutz von Kundendaten unterstützen kann. SASE verhindert Datenverluste, indem es sensible Daten identifiziert und sperrt, bevor sie exfiltriert werden können. Sie bietet auch Datenverschlüsselung, die die Daten für Hacker unbrauchbar machen kann, selbst wenn sie gestohlen werden. Weitere SASE-Funktionen sind Einbruchschutz, sichere Web-Gateways und Web-Firewalls. 

Wenn Unternehmen Tools für das Kundenbeziehungsmanagement (CRM) nutzen, müssen sie rollenbasierte Zugangskontrollen, Multi-Faktor-Authentifizierung, Datenverschlüsselung und andere Maßnahmen zum Schutz von Kunden- und Unternehmensdaten einsetzen. Auch diese Optionen gehören zum Funktionsumfang von SASE.

2. Websites, Mobilanwendungen und E-Commerce-Plattformen

Einzelhandelswebsites, mobile Anwendungen und E-Commerce-Plattformen verarbeiten sensible Transaktionen, Kundeninteraktionen und personenbezogene Daten. Sie sind anfällig für Angriffe wie SQL Injections, Cross-Site-Scripting (XSS) und API-Missbrauch, wobei es zu Datenschutzverletzungen oder Serviceunterbrechungen kommen kann.

Sicherheitslösungen wie Web Application Firewalls (WAF) und SASE (mit anderen Worten: Multi-Faktor-Authentifizierung und Firewall-Sicherheit) blockieren bösartigen Datenverkehr, der auf die Website oder auf Mobile Apps abzielt. Außerdem können Einzelhändler ihre Kommunikation zwischen Apps und Backend-Systemen mit API-Sicherheit schützen. Unternehmen müssen ihre Systeme auch auf Schwachstellen prüfen, indem sie Penetrationstests durchführen und etwaige Lücken schließen, bevor sie ausgenutzt werden.

3. Netzwerke und Server

Das Netzwerk eines Einzelhändlers verbindet dessen POS-Systeme (die Abkürzung steht für Point of Sale), Datenbanken, Server und die Cloud-Infrastruktur. Auf Servern und in der IT-Infrastruktur befinden sich auch wichtige Anwendungen, Datenbanken und Kundendaten. Sicherheitsverletzungen in der IT-Infrastruktur oder im Netzwerk können sich schnell ausbreiten und zu erheblichen Betriebsstörungen führen.

Eine Sicherheitslösung, die auf Mikrosegmentierung setzt, kann Netzwerke in kleinere Einheiten aufteilen und separate Sicherheitsrichtlinien anwenden. Dadurch wird der Angreifer auf ein Segment beschränkt und der Angriff eingedämmt. SASE-Lösungen können für robuste Firewall-Sicherheit sorgen und auch sicherstellen, dass nicht autorisierten Benutzern der Zugriff auf kritische Ressourcen verwehrt wird. Mit Einbrucherkennungssystemen lassen sich unbefugte Zugriffsversuche oder verdächtige Netzwerkaktivitäten erkennen und blockieren.

Neben den Netzwerken müssen auch andere IT-Infrastrukturen geschützt werden, damit die Geschäftskontinuität gewährleistet ist. Jede Störung in diesem Bereich kann zu Ausfällen und Stillstand führen. Ein Beispiel: Im Jahr 2022 war die Metro AG, ein internationales Handelsunternehmen mit Sitz in Deutschland, mit einem Angriff konfrontiert, der zu massiven IT-Ausfällen in mehreren Filialen führte.

Zunächst ging das Unternehmen davon aus, dass es sich um ein IT-Problem handelte. Erst später stellte sich heraus, dass die Systeme gehackt worden waren, wodurch elektronische Etiketten sowie Zahlungs- und Kassensysteme außer Betrieb gesetzt wurden. Der Angriff beschränkte sich nicht auf stationäre Filialen, sondern betraf auch Onlinebestellsysteme, was zu weiteren Verzögerungen führte.10

POS-Systeme und Mitarbeitergeräte

Ein Kunde beim Blick auf den Computer eines Ladenbesitzers.

POS-Systeme sind ein wichtiger Punkt für die Verarbeitung von Kundentransaktionen. Wird ein POS-System kompromittiert, kann dies zu Karten-Skimming, Diebstahl von Zahlungsdaten und unbefugtem Zugriff auf das Netzwerk des Einzelhändlers führen. Da Mitarbeitergeräte wie Laptops und Smartphones auch für den Zugriff auf sensible Unternehmensdaten und -systeme verwendet werden, müssen sie geschützt werden.

Im Jahr 2013 hatte das US-amerikanische Einzelhandelsunternehmen Target mit einem verheerenden Cyberangriff zu kämpfen, bei dem die Daten von 70 Millionen Kunden an die Öffentlichkeit gelangten. Zudem waren 40 Millionen Kredit- und Debitkarten Nummern betroffen. Das Netzwerk des Unternehmens wies Schwachstellen auf, die durch Phishing-Mails ausgenutzt wurden. Die Hacker verschafften sich Zugang zu den POS-Geräten, die die Kartendaten der Kunden sammelten, und exfiltrierten diese Daten.

Target ließ sich vier Tage Zeit, um die Kunden nach der Entdeckung des Vorfalls zu benachrichtigen, und räumte der Sicherung der Systeme Vorrang ein. Diese Verzögerung und die Sicherheitsverletzung selbst führten zu einem erheblichen Geld- und Reputationsschaden – mit anderen Worten: Kosten von schätzungsweise 1 Milliarde US-Dollar, mehrere Klagen und Vertrauensverlust bei den Verbrauchern. Der Vorfall unterstrich die Risiken, die durch mangelhafte Sicherheit der Anbieter sowie unzureichende Netzwerksegmentierung entstehen und veranlasste die Unternehmenswelt, Cybersicherheit ernster zu nehmen.11

Zudem beschleunigte der Vorfall die Umstellung der USA auf Chip- und PIN-Kreditkarten und machte deutlich, dass robuste Cybersicherheitsmaßnahmen und Krisenmanagementpläne unverzichtbar sind. Der Vorfall hatte Konsequenzen für Target. Sowohl der CEO als auch der CIO traten zurück. Dieser Fall wurde zu einem abschreckenden Beispiel in puncto Cybersicherheit und Unternehmensführung.

Dieser Vorfall hätte mit den richtigen Sicherheitsstrategie verhindert werden können. Mit Sicherheitslösungen, die Endgeräte schützen, einer Netzwerksegmentierung, die die Bewegungsfreiheit der Angreifer in den Netzwerken einschränkt, und einer Verschlüsselung der Daten, die es den Hackern erschwert hätte, diese zu nutzen. Das Unternehmen hätte mithilfe von Tests der Systeme auf Patches und Schwachstellen die Sicherheitslücken beheben können, die zu diesem Fiasko geführt haben.

Endpunktsicherheitslösungen können POS-Systeme und -Geräte vor Malware, Datendiebstahl und unberechtigtem Zugriff schützen. Sie tragen außerdem dazu bei, Angriffe durch Schadsoftware zu verhindern und die sichere Verarbeitung von Zahlungsinformationen in POS-Systemen zu gewährleisten. Ähnlich überprüfen SASE-Lösungen kontinuierlich die Zugriffsanfragen von Benutzern auf Unternehmensdaten und gewähren nur nach Überprüfung Zugriff. Diese Überprüfung erfolgt fortlaufend und nicht nur einmalig, sodass jeder unbefugte Zugriff ausgeschlossen ist.

SASE-Sicherheit schützt E-Mail-Kommunikationssysteme auch vor Phishing-Angriffen, der Kompromittierung von Geschäfts-E-Mails (BEC) und Datenlecks.

Vorteile für den Einzelhandel

1. Stärkeres Kundenvertrauen: Der Schutz von Kundendaten stiftet Vertrauen und führt zu mehr Kundentreue und Folgegeschäft.

2. Einhaltung von Gesetzen und Vorschriften: Die Einhaltung des PCI-DSS und der Datenschutzbestimmungen hilft, Strafen und rechtliche Probleme zu vermeiden. Strafen für die Nichteinhaltung der PCI-DSS-Vorgaben können je nach Kartenvolumen 5.000 bis 10.000 US-Dollar betragen, aber auch schon mal bis zu 100.000 US-Dollar erreichen. Über solche Geldbußen hinaus können Kunden die Unternehmen auch einzeln verklagen, was zu ganz anderen Kosten führt.12 Standortabhängig gibt es im Übrigen weitere Vorschriften, beispielsweise die Datenschutzgrundverordnung (DSGVO) oder den California Consumer Privacy Act (CCPA). Die durchschnittlichen weltweiten Kosten für die Nichteinhaltung von Vorschriften (branchenübergreifend) belaufen sich auf 14,82 Millionen US-Dollar.13 Die Unternehmen erkennen langsam, dass es klüger ist, in Sicherheits- und Compliance-Lösungen zu investieren, mit denen sich Daten schützen und hohe Verluste wegen der Nichteinhaltung von Vorschriften vermeiden lassen.

3. Unterbrechungsfreier Geschäftsbetrieb: Die Sicherung von Websites, Mobile Apps und Netzwerken beugt Cyberangriffen vor, die zu Unterbrechungen von Diensten und zu Ausfallzeiten führen könnten. Ausfallzeiten sind teuer. Bei größeren Handelsunternehmen kann jede Stunde Ausfallzeit bis zu 1,1 Millionen US-Dollar kosten.14

4. Verbesserter Schutz der Einnahmen: Beugt man Sicherheitslücken in E-Commerce-Plattformen und POS-Systemen vor, so schützt man damit die Einnahmen vor Betrug und Datendiebstahl.

5. Verbesserte betriebliche Effizienz: Mikrosegmentierung und SASE-Lösungen minimieren die Folgen von Angriffen und reduzieren die Wiederherstellungszeit und die damit verbundenen Kosten.

6. Weniger Finanzbetrug: Die Endpunktsicherheit für POS-Systeme gewährleistet sichere Transaktionen und senkt das Risiko finanziellen Betrugs.

7. Schutz vor Datenschutzverletzungen: Starke Verschlüsselung und Zugriffskontrolle verhindern den unbefugten Zugriff auf sensible Kunden- und Unternehmensdaten.

8. Weniger Phishing- und E-Mail-Risiken: Die Sicherung von E-Mail-Systemen verringert die Phishing-Gefahr und beugt Datenlecks und Reputationsschäden vor.

9. Bessere Sicherheit für alle Mitarbeitergeräte: Kontinuierliche Benutzerüberprüfung und fortwährender Endpunktschutz mindern das Risiko, dass kompromittierte Mitarbeitergeräte auf Unternehmenssysteme zugreifen.

10. Frühzeitige Erkennung von Bedrohungen: Einbrucherkennung und Penetrationstests helfen, etwaige Schwachstellen frühzeitig zu erkennen und Risiken zu minimieren, bevor sie sich auf das Unternehmen auswirken.

T-Systems: ein End-To-End-Sicherheitspartner

Mit den richtigen Sicherheitslösungen können Einzelhändler unnötige Ausfälle vermeiden, die mit Sicherheitsvorfällen einhergehen. Darüber hinaus können sie Kosten aufgrund der Nichteinhaltung von Vorschriften, rechtliche Probleme und Reputationsschäden abwenden.

T-Systems bietet Sicherheitslösungen wie SASE, Mikrosegmentierung, Endpunkt-Erkennung und Reaktion, automatisierte Penetrationstests und vieles mehr an, um nicht nur den Sicherheitsstatus, sondern auch die allgemeine Resilienz zu verbessern. Mit unseren umfassenden Managed-Security-Lösungen können wir Einzelhändlern helfen, Bedrohungen im Voraus zu erkennen, in Echtzeit darauf zu reagieren und nach Zwischenfällen schnell wieder zum Normalbetrieb zurückzukehren. Wenn Sie mehr über unsere Sicherheitslösungen erfahren möchten bzw. darüber, wie Sie Ihre Marke schützen können, nehmen Sie noch heute Kontakt mit uns auf.

Zur Person
Dheeraj Rawal

Dheeraj Rawal

Content Marketer, T-Systems International GmbH

Profil und alle Artikel ansehen

Das könnte Sie auch interessieren

Wir freuen uns auf Ihre Meinung

Haben Sie Ideen, Vorschläge oder Fragen zu diesem Thema? Wir laden Sie herzlich zu einem Gedankenaustausch mit uns ein. Nehmen Sie Kontakt mit uns auf!

1 IT Spending in Retail Forecast, 2024, Gartner
2 Global Retail Sales, 2024, Statista
3 Gen AI Article, 2024, Walmart
4 Retail Cyber Security Statistics, 2023, Fortinet
5 State of Ransomware in Retail, 2024, Sophos
6 Average Cost of Retail Data Breach, 2024, CSA
7 Shein Data Breach Article, 2022, Cyber Security Hub
8 Reputation and Market Value Press Release, 2020, PR Newswire
9 PCI Compliance Artikel, 2024, Digital Guardian
10 Metro Cyber Attack News, 2022, Security Week
11 Target Data Breach Artikel, 2021, Entech
12 PCI DSS Non-Compliance Costs, 2024, Comforte
13 True Cost of Non-Compliance, 2024, Colligo
14 Average Cost of Downtime Artikel, 2023, Solarwinds Pingdom

Besuchen Sie t-systems.com außerhalb von Germany? Besuchen Sie die lokale Website für weiterführende Informationen und Angebote für Ihr Land.