Zusammenfassung

Warum dieser Fall in eine Risiko- und Rechenschaftsakte gehört

Neiman Marcus gehört in eine Risiko- und Rechenschaftsakte, weil es bei dem Fall nicht nur um gestohlene Kartennummern geht. Es geht darum, wer die Zahlungsumgebung des Einzelhandels in dem Moment kontrolliert, in dem ein Käufer keine sinnvolle Möglichkeit hat, den Zustand des Terminals, des Filialnetzwerks, der Prozessorverbindung, des Überwachungssystems oder der forensischen Beweiskette zu bewerten. Der Kunde sieht einen Verkauf. Der Herausgeber sieht Autorisierung und später Betrugssignale. Der Einzelhändler sieht Systeme, Anbieter, Protokolle, Filialen und Kartenmarkenbeziehungen.

Diese Asymmetrie ist das Kernproblem der Rechenschaftspflicht.

Der öffentliche Datensatz ist stark genug, um die Kontrollfläche zu identifizieren. Die Ankündigung des Generalstaatsanwalts von Washington, D.C. von 2019 aufhttps://oag.dc.gov/release/ag-racine-announces-neiman-marcus-pay-15-millionbesagt, dass Neiman Marcus 1,5 Millionen Dollar zahlte und Sicherheitsrichtlinien zustimmte, um eine Multi-Staaten-Untersuchung beizulegen. Dieselbe Seite sagt, dass der Verstoß Zahlungskartendaten in 77 US-Einzelhandelsfilialen betraf und dass etwa 370.000 Zahlungskarten kompromittiert wurden, von denen mindestens 9.200 betrügerisch verwendet wurden. Die Ankündigung des New Yorker Generalstaatsanwalts aufhttps://ag.ny.gov/press-release/2019/attorney-general-james-announces-15m-settlement-retailer-neiman-marcus-over-datawiederholt die Multi-Staaten-Struktur und listet einstweilige Verfügungen auf, einschließlich PCI DSS-Compliance, Netzwerküberwachung, Softwarewartung, forensische Ermittlervereinbarungen, Überprüfung von Zahlungssicherheitstechnologien und Datenentwertung durch Verschlüsselung oder Tokenisierung.

Dies sind keine abstrakten Versprechen. Sie identifizieren die praktischen Dinge, die nach einem Filialzahlungsverstoß wichtig sind: ob die Karteninhaberdatenumgebung abgegrenzt ist, ob Protokolle gesammelt und nahezu in Echtzeit überprüft werden, ob Software, die persönliche Informationen schützt, gewartet wird, ob externe forensische Ermittler schnell eingeschaltet werden können, ob Zahlungskartendaten entwertet werden und ob unabhängige Bewertungen Beweise liefern. Die Assurance of Voluntary Compliance aufhttps://oag.dc.gov/sites/default/files/2019-01/Neiman-Marcus-AVC.PDFist daher das zentrale Rechenschaftsdokument, weil es das Ereignis in eine Reparaturakte umwandelt.

Die Frage für diesen Artikel ist die offensichtliche Frage: Wer hatte die praktische Kontrolle über die Segmentierung der Zahlungsumgebung, Malware-Erkennung, Alarm-Eskalation, Kundenbenachrichtigung, Koordination mit Kartenetzwerken und den Nachweis, dass der Einzelhändler die wiederholte Zahlungsexposition reduziert hat? Die Antwort kann nicht sein, dass Betrug letztendlich bei Banken oder auf Kontoauszügen auftaucht. Der Einzelhändler kontrollierte die Filialzahlungsumgebung. Kartenmarken und Prozessoren kontrollierten Teile des Zahlungsökosystems. Herausgeber kontrollierten Neuausstellung und Erstattung.

Kunden kontrollierten sehr wenig außer der Überwachung von Kontoauszügen im Nachhinein. Rechenschaftspflicht sollte dieser Kontrollkarte folgen.

Der Fall ist auch wichtig, weil er in einer breiten Welle von Einzelhandelsverstößen stattfand. Krebs on Security berichtete über die erste Bestätigung aufhttps://krebsonsecurity.com/2014/01/hackers-steal-card-data-from-neiman-marcus/während der Target-Verstoß noch ein öffentlicher Referenzpunkt war. Der Bericht von Wired vom Januar 2014 aufhttps://www.wired.com/2014/01/neiman-marcus-hack/beschrieb die Aussage des Unternehmens, dass Malware versuchte, Zahlungsdaten vom 16. Juli bis 30. Oktober 2013 zu sammeln, und dass etwa 1,1 Millionen Karten für die Malware sichtbar gewesen sein könnten. Der Bericht von KERA aufhttps://www.keranews.org/business/2014-02-04/up-to-1-1-million-credit-cards-exposed-during-neiman-marcus-breachenthielt dieselbe Unternehmenserklärung. Der spätere staatliche Vergleich verwendete eine engere Zahl kompromittierter Karten. Die Lücke zwischen potenziell sichtbaren, kompromittierten und betrügerisch genutzten Karten ist genau der Grund, warum Beweisgrenzen wichtig sind.

Das Nennerproblem ist ein Rechenschaftsproblem

Diskussionen über Einzelhandelsverstöße gleiten oft zwischen verschiedenen Zahlen: Karten, die potenziell für Malware sichtbar waren, Karten, die nach forensischer Analyse als kompromittiert gelten, Karten, die nachweislich betrügerisch verwendet wurden, benachrichtigte Personen und Personen, die Zeit mit dem Ersetzen von Karten oder der Überwachung von Konten verbracht haben. Neiman Marcus zeigt, warum diese Zahlen nicht zusammengeführt werden sollten. Jeder Nenner beantwortet eine andere Kontrollfrage. Die potenziell sichtbare Population testet Segmentierung und Malware-Reichweite.

Die kompromittierte Population testet forensisches Vertrauen. Die betrügerisch genutzte Population testet kriminelle Monetarisierung und Auswirkungen auf den Herausgeber. Die benachrichtigte Population testet Kommunikationsvollständigkeit. Die Vergleichspopulation testet rechtliche Wiedergutmachung.

Der zeitgenössische Offenlegungsdatensatz zeigt, dass Malware versuchte, Kartendaten vom 16. Juli bis 30. Oktober 2013 zu sammeln, mit etwa 1,1 Millionen Kunden-Zahlungskarten, die potenziell für Malware sichtbar waren. Der spätere Multi-Staaten-Datensatz besagt, dass etwa 370.000 Zahlungskarten kompromittiert wurden und mindestens 9.200 betrügerisch verwendet wurden. Diese Aussagen sind nicht unbedingt widersprüchlich. Sie befinden sich in verschiedenen Stadien der Beweisreife.

Aber ein rechenschaftspflichtiger Artikel muss den Unterschied benennen, weil betroffene Personen und Herausgeber „potenziell sichtbar" nicht auf die gleiche Weise erleben wie ein forensisches Team.

Die Remijas-Entscheidung des Siebten Gerichtsbezirks ist wichtig, weil sie den Schaden nach einem Verstoß als mehr als eine buchhalterische Frage behandelt. Die Kopie von Justia aufhttps://law.justia.com/cases/federal/appellate-courts/ca7/14-3122/14-3122-2015-07-20.htmlfasst zusammen, dass das Gericht die Abweisung wegen fehlender Klagebefugnis aufhob, nachdem die Kläger konkrete Verletzungen im Zusammenhang mit dem Datenverstoß geltend gemacht hatten. Das offizielle Gerichts-PDF aufhttps://media.ca7.uscourts.gov/cgi-bin/rssExec.pl?Path=Y2015%2FD07-20%2FC%3A14-3122%3AJ%3AWood%3Aaut%3AT%3AfnOp%3AN%3A1590360%3AS%3A0&Submit=Displayist nützlich, weil der Berufungsdatensatz anerkannte, dass Kunden nicht auf Missbrauch warten sollten, um Abhilfekosten zu verursachen. Diese Argumentation ist für Zahlungsverstöße wichtig, weil die Erstattung durch den Herausgeber nicht die Zeit, Angst, Unannehmlichkeiten, verlorene Kontinuität, fehlgeschlagene wiederkehrende Zahlungen oder die Mühe, Verstoßbenachrichtigungen zu interpretieren, beseitigt.

Das Nennerproblem betrifft auch Herausgeber. Ein Herausgeber muss entscheiden, ob er Karten neu ausstellt, Konten überwacht, Betrugsverluste absorbiert, das Callcenter-Volumen bewältigt und Autorisierungsregeln anpasst. Diese Kosten können auch dann anfallen, wenn die unmittelbare öffentliche Erklärung des Einzelhändlers sorgfältig und unvollständig ist. Wenn ein Einzelhändler den Herausgebern keine zeitnahen, genauen Kartenlisten und Expositionsfenster zur Verfügung stellen kann, muss der Herausgeber unter Unsicherheit entscheiden. Das ist Kostenübertragung.

Der Kontrollinhaber zahlt möglicherweise nicht alle nachgelagerten Kosten direkt, aber nachgelagerte Parteien leisten die Arbeit.

Deshalb sollte eine starke Zahlungsverstoßakte einen Zeitstrahl von Betrugssignal bis Prozessorbemachrichtigung, Untersuchung des Einzelhändlers, forensischer Bestätigung, Malware-Eindämmung, Kundenbenachrichtigung, Herausgeberkoordination, rechtlichem Vergleich und Kontrollsanierung enthalten. Der öffentliche Datensatz liefert Teile dieses Zeitstrahls. Er liefert nicht jede private Warnung, jede Protokollprüfung, jede Entscheidung auf Filialebene zur Segmentierung oder jede Kommunikation mit Kartenmarken. Die fehlenden Artefakte sind kein Grund, Rechenschaftspflicht zu ignorieren.

Sie sind die Beweislücken, die definieren, was Rechenschaftspflicht erfordern würde.

Kontrolle der Zahlungsumgebung ist nicht gleichbedeutend mit Kontrolle der Einzelhandelsmarke

Neiman Marcus war ein Luxuseinzelhändler, aber die Frage der Zahlungskontrolle betrifft nicht das Markenprestige. Es geht um die Umgebung, die Kartendaten speichert, verarbeitet oder überträgt. Der PCI Security Standards Council beschreibt PCI DSS aufhttps://www.pcisecuritystandards.org/standards/pci-dss/als Basis technischer und betrieblicher Anforderungen zum Schutz von Zahlungskontodaten. Die breitere Standards-Seite aufhttps://www.pcisecuritystandards.org/standards/platziert PCI DSS neben anderen Zahlungssicherheitsstandards, einschließlich Punkt-zu-Punkt-Verschlüsselung und Gerätesicherheit. Diese Materialien sind keine forensischen Berichte von Neiman Marcus. Sie sind nützlich, weil sie das Kontrollvokabular definieren, das die staatlichen Vergleichsdokumente verwendeten.

Die Definition der Karteninhaberdatenumgebung im AVC ist zentral. Sie umfasst Technologien, die Zahlungskartenauthentifizierungsdaten in Übereinstimmung mit PCI DSS speichern, verarbeiten oder übertragen. Diese Definition verschiebt das Gespräch von generischer „Cybersicherheit" hin zu einer abgegrenzten Zahlungsoberfläche. Ein Einzelhändler kann Zahlungsdaten nicht schützen, wenn er nicht weiß, welche Systeme, Netzwerke, Geräte, Protokolle, Dienstanbieter, Filialabläufe, Softwarekomponenten und Administratorkonten Kartendaten berühren oder die Sicherheit von Systemen beeinträchtigen können, die dies tun.

Segmentierung ist wichtig, weil Einzelhandelsnetzwerke betrieblich chaotisch sind. Filialen benötigen Point-of-Sale-Terminals, Bestandssysteme, Treuesysteme, Mitarbeitergeräte, Fernsupport, Prozessorkonnektivität, Filial-Backoffice-Systeme und Unternehmensberichterstattung. Wenn diese Zonen nicht getrennt und überwacht werden, kann ein Kompromiss in einem Bereich zu Zugriff auf Kartendaten oder auf Systeme werden, die Kartendaten betreffen. Der öffentliche Datensatz legt das vollständige Netzwerkdesign von Neiman Marcus nicht offen.

Die rechenschaftspflichtige Schlussfolgerung ist enger: Die Vergleichsverpflichtungen in Bezug auf PCI DSS, Überwachung, Softwarewartung und Zahlungsdatenentwertung zeigen, dass die Regulierungsbehörden die Karteninhaberumgebung als das Reparaturobjekt behandelten.

Erkennung ist genauso wichtig wie Segmentierung. Ein Zahlungsnetzwerk kann auf dem Papier segmentiert sein und dennoch versagen, wenn Malware den Pfad erreicht, in dem Kartendaten im Speicher erscheinen, wenn Protokolle nicht gesammelt werden, wenn Warnungen nicht überprüft werden oder wenn anomales Verhalten nicht zur Eskalation führt. Der DC AVC besagt, dass Neiman Marcus ein geeignetes System zur Sammlung und Überwachung der Netzwerkaktivität unterhalten und sicherstellen würde, dass Protokolle regelmäßig überprüft und nahezu in Echtzeit überwacht werden.

Diese Sprache sollte als Rechenschaftslektion gelesen werden: Der Test ist nicht, ob ein Protokollierungstool existiert, sondern ob verdächtige Aktivitäten schnell genug überprüft werden, um die Exposition zu reduzieren.

Softwarewartung ist eine weitere Kontrolle, keine Haushaltsdetail. Der AVC verlangt aktuelle Software, die mit dem Schutz persönlicher Informationen in der Umgebung verbunden ist, oder kompensierende Kontrollen, wenn ein Austausch unpraktisch ist. Dies ist wichtig, weil alte Software, nicht unterstützte Systeme und schlecht dokumentierte kompensierende Kontrollen zu Zahlungsrisikomultiplikatoren werden können. Ein Point-of-Sale-Bestand ist oft über viele Filialen verteilt.

Wenn die Software-Lebenszyklusdisziplin nicht Inventar, Patchen, Ersatzplanung und Risikodokumentation umfasst, werden Zahlungssysteme durch gewöhnliche Einzelhandelskomplexität anfällig.

Der Multi-Staaten-Vergleich ist eine Karte der praktischen Reparatur

Das nützlichste Merkmal des Multi-Staaten-Vergleichs ist, dass er sich nicht auf eine heroische Reparatur verlässt. Er kartiert Reparatur über mehrere Ebenen. Die DC-Pressemitteilung listet Zahlungskartensicherheitsprotokolle, IT-Netzwerküberwachung, Software-Updates, Verschleierung von Zahlungskarteninformationen, unabhängige professionelle Bewertung und stehende Vereinbarungen mit PCI-forensischen Ermittlern auf. Die Ankündigung des texanischen Generalstaatsanwalts aufhttps://www.texasattorneygeneral.gov/news/releases/ag-paxton-announces-15-million-settlement-neiman-marcus-over-data-breachfügt hinzu, dass der Verstoß 65.644 Texaner betraf und Kundenkreditkartendaten in 77 Filialen landesweit exponierte. Texas verknüpfte den Vergleich auch mit angemessenen Sicherheitsvorkehrungen gegen Cyberangriffe.

Der AVC aufhttps://www.texasattorneygeneral.gov/sites/default/files/images/admin/2019/Press/NMarcusAVC%201%208%202019.pdfist nützlich, weil er eine weitere offizielle Kopie derselben Vergleichsstruktur ist. Der Wert des AVC liegt nicht nur in der Strafe. Eine Zahlung von 1,5 Millionen Dollar ist sichtbar, aber die betrieblichen Anforderungen sind lehrreicher. Sie sagen anderen Einzelhändlern, was die Regulierungsbehörden als fehlend oder notwendig genug betrachteten, um es in einen öffentlichen Vergleich zu binden: PCI DSS-Compliance für relevante Systeme, Überwachung und Protokollprüfung, forensische Reaktionsvereinbarungen, Softwarewartung, Überprüfung von Zahlungstechnologien, Datenentwertung und Drittbewertung.

Diese Art von Vergleich zeigt auch die Grenzen der Rechenschaftspflicht nach einem Verstoß. Er kann zukünftige Kontrollen verlangen, aber er kann den Kunden nicht die Zeit zurückgeben, die sie mit dem Ersetzen von Karten oder dem Durchsuchen von Kontoauszügen verbracht haben. Er kann Bewertungen verlangen, aber er veröffentlicht nicht unbedingt die sensiblen Details der Bewertung. Er kann einen rechtlichen Datensatz schaffen, aber er kommt in der Regel Jahre nach dem Verstoß. Dauerhafte Rechenschaftspflicht hängt daher davon ab, ob die Organisation den Vergleich als Beweisdisziplin und nicht als rechtlichen Endpunkt nutzt.

Die Anforderung einer unabhängigen Bewertung ist wichtig. Ein Einzelhändler kann der Öffentlichkeit mitteilen, dass die Sicherheit verbessert wurde, aber ein Drittbericht fragt, ob administrative, technische und physische Sicherheitsvorkehrungen existieren, ob sie zur Größe und Komplexität des Unternehmens passen und ob Korrekturmaßnahmen ergriffen oder geplant wurden. Die Öffentlichkeit sieht möglicherweise nicht den vollständigen Bericht, da er sensible Netzwerkinformationen enthalten kann. Regulierungsbehörden können jedoch Beweise verlangen. Das ist wichtig, weil Zahlungssicherheit nicht nur an Pressemitteilungen gemessen werden kann.

Die Anforderung, Vereinbarungen mit mindestens zwei qualifizierten PCI-forensischen Ermittlern aufrechtzuerhalten, ist auch wichtiger als es scheint. Die Reaktion auf Vorfälle verliert oft Zeit in der Beschaffungs- und Zugriffsphase. Wenn ein Einzelhändler Bedingungen aushandeln, Konflikte klären, privilegierte Kanäle einrichten und Datenzugriff erst nach dem Auftreten von Betrugssignalen arrangieren muss, kann das Expositionsfenster andauern, während der Prozess aufholt. Eine stehende forensische Vereinbarung verhindert nicht allein Malware, aber sie verkürzt den Weg vom Signal zum Beweis.

Kundenbenachrichtigung ist eine Kontrolle, nicht nur eine Höflichkeit

Kundenbenachrichtigung wird oft als rechtliche und kommunikative Funktion behandelt. Bei einem Zahlungskartenverstoß ist sie auch eine Kontrolle. Ein Karteninhaber, der rechtzeitig und spezifisch benachrichtigt wird, kann Konten überwachen, Karten ersetzen, wiederkehrende Zahlungen aktualisieren und betrügerische Belastungen anfechten. Ein Karteninhaber, der vage oder verspätete Benachrichtigungen erhält, verwendet möglicherweise weiterhin eine kompromittierte Karte und schreibt spätere Probleme fälschlicherweise nicht zusammenhängenden Ursachen zu. Die Benachrichtigung verändert daher die Schadenskurve.

Die frühen öffentlichen Berichte zeigen, warum Benachrichtigung schwierig war. Krebs berichtete über die erste Bestätigung, nachdem Finanzbranchenquellen Betrug auf kürzlich in Neiman Marcus-Filialen verwendete Karten zurückführten. Die dort zitierte Unternehmenserklärung besagte, dass Neiman Marcus Mitte Dezember von seinem Kreditkartenprozessor über möglicherweise unbefugte Zahlungskartenaktivitäten informiert wurde und dass eine forensische Firma am 1. Januar Beweise für ein kriminelles Cyber-Sicherheitseindringen entdeckte. Wired berichtete später über den Malware-Zeitraum und die potenzielle Sichtbarkeit von 1,1 Millionen Karten.

Diese Sequenz zeigt, dass der Einzelhändler nicht der einzige Beobachter war. Prozessoren, Zahlungsmarken, Herausgeber, Betrugsteams, Strafverfolgungsbehörden und forensische Firmen waren Teil der Signalkette.

Eine rechenschaftspflichtige Benachrichtigung sollte trennen, was bekannt ist, was vermutet wird, was nicht betroffen ist und welche Maßnahmen Kunden ergreifen sollten. Die öffentlichen Materialien von Neiman Marcus und die spätere Berichterstattung betonten, dass Online-Käufe nicht betroffen zu sein schienen und dass PINs, Sozialversicherungsnummern und Geburtsdaten nicht in den Filialzahlungskartenvorfall involviert waren. Diese Unterscheidungen sind wichtig, beseitigen jedoch nicht den Schaden.

Eine Kartennummer und ein Ablaufdatum können immer noch Betrug, Klonen, versuchten Missbrauch oder Kartenersatzkosten unterstützen, abhängig von den erfassten Daten und dem Zahlungsökosystem.

Der Remijas-Rechtsstreit zeigt die rechtliche Bedeutung der Schadensminderung. Die Standpunktanalyse des Berufungsgerichts erkannte an, dass einige Kunden Kosten auf sich nehmen, um Schaden zu vermeiden oder zu reduzieren. Diese Rahmung ist besonders wichtig für Zahlungsverstöße im Einzelhandel, weil der unmittelbare Geldverlust möglicherweise von Herausgebern erstattet wird, während die Unannehmlichkeiten und das Risikomanagement auf viele Personen verteilt sind. Ein Verstoß kann finanziell „abgedeckt" sein und dennoch reale Kosten verursachen.

Kundenbenachrichtigung betrifft auch Markenpartner und kleine Serviceabhängigkeiten. Die Filialen eines Luxuseinzelhändlers sind in Einkaufszentren, Zahlungsökosysteme, Kartennetzwerke, Treuebeziehungen, Kundenarbeitsabläufe und Händlererwerbsvereinbarungen eingebettet. Wenn die Benachrichtigung unklar ist, absorbiert jede kundenorientierte Ebene Unsicherheit. Filialmitarbeiter werden möglicherweise Fragen gestellt, die sie nicht beantworten können. Kartenherausgeber erhalten möglicherweise Anrufe. Markenpartner machen sich möglicherweise Sorgen über die Assoziation. Prozessoren müssen möglicherweise den Umfang gegenüber Banken erklären.

Die Benachrichtigungsfunktion ist daher operativ, nicht dekorativ.

Koordination mit Kartenetzwerken zeigt versteckte Kostenübertragung

Zahlungskartenverstöße sind ungewöhnlich, weil das verletzte System nicht eine einzelne Organisation ist. Der Einzelhändler hat möglicherweise die kompromittierte Filialumgebung. Der Acquiring-Partner und Prozessor führen Transaktionen durch. Kartennetzwerke legen Regeln und Compliance-Prozesse fest. Herausgeber tragen Karteninhaberbeziehungen und erstatten oft Betrug. Kunden verbringen Zeit und akzeptieren Störungen. Regulierungsbehörden überprüfen Verbraucherschutz und Datensicherheit. Forensische Firmen untersuchen.

Keine einzige Partei besitzt die gesamte Kette, aber die Zahlungsumgebung des Einzelhändlers kann Arbeit in der gesamten Kette auslösen.

Deshalb ist die Koordination mit Kartenetzwerken Teil der offensichtlichen Frage. Ein Einzelhändler, der Malware entdeckt, muss betroffene Karten und Fenster identifizieren, mit Zahlungsmarken und Prozessoren koordinieren, die Schadensminderung des Herausgebers unterstützen, Beweise sichern und inkonsistente Aussagen vermeiden. Wenn die an Netzwerke übermittelten Daten spät oder unvollständig sind, können Herausgeber zu viele, zu wenige Karten oder Karten zum falschen Zeitpunkt neu ausstellen. Wenn Betrugssignale vor bestätigtem Malware-Umfang eintreffen, muss das Kartenökosystem zwischen betrieblicher Vorsicht und Kundenstörung wählen.

Der Neiman Marcus-Vergleich veröffentlichte nicht jede Kommunikation mit Kartenetzwerken. Aber er verlangte stehende Vereinbarungen mit PCI-forensischen Ermittlern und Maßnahmen im Einklang mit PCI DSS. Das ist ein Signal, dass das Zahlungsökosystem nach einem Verstoß abgegrenzte, fachkundige Beweise erwartet. Es reicht nicht, dass ein Einzelhändler sagt, er untersuche. Es braucht Beweise, dass Kartendaten exponiert wurden, welche Systeme betroffen waren, welche Daten wichtig sind, welche Filialen wichtig sind und welche Sanierung erfolgte.

Die Kostenübertragung ist in den 9.200 betrügerisch genutzten Karten sichtbar, auf die sich die staatlichen Vergleichsmaterialien beziehen. Diese betrügerischen Verwendungen waren nicht nur Zahlen in einer Regulierungsakte. Jede betraf einen Karteninhaber, Herausgeber, Betrugsablauf, Belastungsprüfung, potenzielle Ersatzkarte und Kundendienstereignis. Selbst nicht betrügerisch genutzte Karten könnten Überwachung und Neuausstellung erfordern. Diese nachgelagerte Arbeit ist der Grund, warum Zahlungssicherheit nicht einfach eine interne Kontrolle des Einzelhändlers ist.

Das Visa Global Registry und die Compliance-Prozesse der Kartenmarken sind bei Prozessorfällen expliziter, aber dieselbe Ökosystemlogik gilt für Einzelhändler. PCI DSS ist Branchen-Governance, die auf Verträgen, Bewertungen und Netzwerkregeln aufbaut. Die PCI DSS-Seite aufhttps://www.pcisecuritystandards.org/standards/pci-dss/sagt, dass der Standard eine Basis zum Schutz von Kontodaten bietet. Eine Basis ist keine Garantie. Es ist eine Mindeststruktur für Beweise. Wenn ein Verstoß auftritt, wird die Rechenschaftsfrage, ob die Organisation diese Basis kontinuierlich aufrechterhalten hat, ob Ausnahmen dokumentiert wurden und ob kompensierende Kontrollen real waren.

Sicherheitsautomatisierung braucht menschliche Rechenschaftspflicht

Das offensichtliche Thema umfasst Sicherheitsautomatisierung, und Neiman Marcus zeigt, warum Automatisierung notwendig, aber unzureichend ist. Filialzahlungsumgebungen produzieren zu viel Telemetrie für rein manuelle Überprüfung. Zahlungsautorisierungsabläufe, Endpunktaktivität, Dateiintegritätssignale, Administrativzugriff, Fernsupport-Sitzungen, Malware-Warnungen und ausgehender Datenverkehr benötigen automatische Sammlung und Korrelation. Aber Automatisierung kann nicht allein rechenschaftspflichtig sein. Jemand muss sie einstellen, lesen, eskalieren und die Exposition stoppen.

Die Sprache der nahezu Echtzeit-Protokollprüfung im AVC ist wichtig, weil sie Werkzeuge mit menschlichem Prozess verbindet. Ein Sicherheitsinformations- und Ereignismanagementsystem, das schlecht konfiguriert, ignoriert, laut oder von der Incident-Autorität getrennt ist, reduziert das Risiko nicht genug. Einzelhändler kaufen oft Überwachungswerkzeuge nach Verstößen, aber die rechenschaftspflichtigen Fragen sind betrieblich: Welche Protokolle speisen das System? Welche Zahlungssysteme fehlen? Was gilt als anomal? Wer überprüft Warnungen? Wie schnell eskalieren Warnungen? Welche Autorität hat der Responder?

Wie wird die Entscheidung aufgezeichnet?

Point-of-Sale-Malware testet auch, ob Erkennungswerkzeuge die richtige Ebene sehen. Malware kann Kartendaten aus dem Speicher abkratzen oder auf die spezifische Stufe abzielen, in der Klartextdaten vor der Autorisierung oder Verschlüsselung existieren. Das PCI SSC-Punkt-zu-Punkt-Verschlüsselungsmaterial aufhttps://listings.pcisecuritystandards.org/documents/P2PE_At_a_Glance_v3.pdferklärt den Wert des kryptografischen Schutzes von Kontodaten vom Punkt, an dem ein Händler die Karte akzeptiert, bis zur sicheren Entschlüsselungsumgebung. Die breitere P2PE-Beschreibung aufhttps://www.pcisecuritystandards.org/standards/erklärt, dass P2PE Zahlungskontodaten durch Verschlüsselung von der Erfassung im Zahlungsgerät bis zur Entschlüsselung in der Anbieterumgebung schützt. Für einen Einzelhändler ist die Rechenschaftslektion, dass die Reduzierung der Verfügbarkeit von Klartext-Kartendaten den Wert von Malware reduzieren kann.

Die PCI PTS-Point-of-Interaction-Seite aufhttps://www.pcisecuritystandards.org/standards/pts-point-of-interaction-poi/ist auch relevant, weil Geräte am Point of Interaction Zahlungskartendaten erfassen und Schutzmaßnahmen für sensible Daten erfordern. Auch das ist keine forensische Tatsache von Neiman Marcus. Es ist Kontext dafür, wie Zahlungssicherheit Verantwortung über Geräte, Anwendungen, Netzwerke und Dienstanbieter verteilt. Ein Filialzahlungsverstoß kann nicht nur in einem Unternehmensrechenzentrum repariert werden, wenn der Point-of-Interaction-Bestand schwach bleibt.

Sicherheitsautomatisierung sollte daher an Beweise gebunden sein. Ein Einzelhändler sollte in der Lage sein, die Warnungen, die ausgelöst wurden, die Warnungen, die hätten ausgelöst werden sollen, die nach dem Verstoß vorgenommenen Anpassungen, die hinzugefügten Protokollquellen, die aktualisierten Eskalationsspielbücher und die Zeit zwischen dem ersten verdächtigen Signal und der Eindämmung zu zeigen. Ohne diese Spur wird Automatisierung zu einer Beschaffungsbehauptung und nicht zu einer Kontrolle.

Datensouveränität und -lokalität sind praktisch, nicht symbolisch

Die offensichtlichen Themen umfassen Datensouveränität und -lokalität. In diesem Fall bedeutet das nicht eine grenzüberschreitende Cloud-Residenzstreitigkeit. Es bedeutet, dass Zahlungsdaten durch lokale Filialen, Filialsysteme, Acquiring-Routen, Kartennetzwerke, Prozessorbeziehungen, Herausgebersysteme und staatliche Rechtsordnungen fließen. Ein Verbraucher kauft in einer physischen Filiale, aber der Datenpfad wird sofort zu einem verteilten Zahlungsökosystem. Lokalität ist wichtig, weil jeder Staat Verbraucher, Verbraucherschutzbehörden, Benachrichtigungserwartungen und Durchsetzungsinteressen hat.

Der Multi-Staaten-Vergleich zeigt diese Lokalität. Die DC-Seite quantifizierte betroffene Kunden im District. Die Texas-Seite quantifizierte betroffene Texaner. Die New York-Seite quantifizierte Karten, die mit New Yorker Verbrauchern verbunden sind. Derselbe Verstoß hatte daher lokale Verbraucherschutzfolgen in vielen Rechtsordnungen. Ein Einzelhändler mit landesweiten Filialen kann Datenschutz nicht als reine Zentrale-Angelegenheit behandeln, wenn Karteninhaberschäden, Benachrichtigung und Durchsetzung staatlich verteilt sind.

Datenlokalität ist auch innerhalb des Unternehmens wichtig. Kartenflüsse auf Filialebene können sich je nach Gerätetyp, Softwareversion, Netzwerkarchitektur, Acquiring-Beziehung oder Einzelhandelsformat unterscheiden. Eine aussagekräftige Vorfallsakte sollte identifizieren, welche Standorte betroffen waren, welche Systeme im Umfang waren, welche Daten relevant sind und welche Datenelemente exponiert wurden. Der öffentliche Datensatz besagt, dass 77 Filialen betroffen waren. Er veröffentlicht keine technische Filialkarte.

Aber die Tatsache, dass physische Filialen wichtig waren, während Online-Käufe öffentlich unterschieden wurden, zeigt, warum Lokalität Teil des Umfangs ist.

Für Kunden ist Lokalität erfahrbar. Ein Käufer, der eine Karte in einer bestimmten Filiale während eines bestimmten Zeitraums verwendet hat, möchte wissen, ob diese Transaktion im Malware-Fenster war. Eine allgemeine Erklärung über einen Unternehmensverstoß ist weniger nützlich als eine Umfangsangabe, die mit Filialen, Daten und Datenelementen verknüpft ist. Eine starke Einzelhändler-Benachrichtigungsakte würde daher forensische Lokalität mit Kundenaktionen abgleichen: wo die Karte verwendet wurde, wann die Daten möglicherweise exponiert wurden, welche Informationen betroffen waren und welche Schritte angemessen sind.

Datensouveränität zeigt sich auch durch die Kontrolle über Beweise. Der Einzelhändler besitzt viele interne Protokolle. Prozessoren und Kartenmarken besitzen andere Aufzeichnungen. Herausgeber sehen Betrug. Strafverfolgungsbehörden und forensische Firmen können Ermittlungsergebnisse besitzen. Kunden besitzen Kontoauszüge. Kein einzelner Akteur besitzt die ganze Wahrheit. Rechenschaftspflicht erfordert, dass die Partei mit der Kontrolle über die Filialumgebung Beweise koordiniert, ohne zu übertreiben, was sie weiß.

Der Sammelklage-Datensatz zeigt, warum Erstattung keine vollständige Reparatur ist

Der Remijas-Fall wird oft als Standpunktentscheidung diskutiert, aber sein Rechenschaftswert ist breiter. Er zeigt, dass Zahlungsverstöße im Einzelhandel Verletzungstheorien um Risiko, Abhilfezeit, Überwachungskosten und Unannehmlichkeiten schaffen, selbst wenn betrügerische Belastungen erstattet werden. Die Zusammenfassung des Harvard Journal of Law and Technology aufhttps://jolt.law.harvard.edu/digest/data-breach-victims-rejoice-seventh-circuit-finds-that-threat-of-injury-is-sufficient-for-article-iii-standing-in-data-breach-class-actionsdiskutiert die Entscheidung als eine Entwicklung des Standpunkts bei Datenverstößen. Der Rechtsstreit-Datensatz setzte sich auch in Vergleichsmaterialien fort, einschließlich des vorläufigen Vergleichs-PDFs aufhttps://www.classaction.org/media/remijas-et-al-v-the-neiman-marcus-group-llc-preliminary-settlement.pdf.

Sammelklage-Materialien sind nicht dasselbe wie Regulierungsfeststellungen. Sie enthalten Behauptungen, Vergleichsargumente, gerichtliche Bedenken und ausgehandelte Wiedergutmachung. Dieser Artikel behandelt nicht jede Klägerbehauptung als feststehende Tatsache. Aber der Rechtsstreit ist nützlich, weil er die nachgelagerte menschliche und rechtliche Arbeit aufzeichnet, die durch den Verstoß entstanden ist. Verbraucher, Anwälte, Gerichte, Vergleichsverwalter und der Einzelhändler verbrachten alle Jahre damit, Fragen zu lösen, die mit Filialzahlungssystemen begannen.

Diese Zeitlücke ist Teil des Langzeit-Rechenschaftstests. Der Malware-Zeitraum war 2013. Die öffentliche Offenlegung erfolgte im Januar 2014. Die Entscheidung des Siebten Gerichtsbezirks kam 2015. Der Multi-Staaten-Vergleich kam 2019. Vergleichsmaterialien setzten sich danach fort. Die Folgen von Zahlungsverstößen enden nicht, wenn Malware entfernt wird. Sie bewegen sich in Neuausstellung, Überwachung, Rechtsstreit, Regulierungsvergleich, Richtlinienänderung und Prüfung.

Erstattung hinterlässt auch Störungen bei wiederkehrenden Zahlungen. Eine ersetzte Karte kann Abonnements, automatische Rechnungen, Reisereservierungen oder gespeicherte Zahlungsprofile unterbrechen. Die Person, die diese Arbeit übernimmt, taucht möglicherweise nie in einer Betrugsverlustsumme auf. Herausgeber behandeln Kartenersatz möglicherweise als Routine. Einzelhändler beschreiben den Verstoß möglicherweise als eingedämmt. Aber der Kunde erlebt den Verstoß durch Reibung. Gute Rechenschaftspflicht zählt Reibung, selbst wenn direkter Diebstahl rückgängig gemacht wird.

Der Sammelklage-Datensatz hebt auch die Grenzen individueller Wahl hervor. Kunden wählten nicht die Zahlungsarchitektur des Geschäfts. Sie wählten nicht den Protokollprüfprozess. Sie wählten nicht die forensische Firma. Sie konnten nur wählen, ob sie einkaufen, ob sie eine Zahlungskarte verwenden und wie sie nach der Benachrichtigung reagieren. Deshalb sollte die Beweislast bei der Organisation liegen, die die Einzelhandelszahlungsumgebung entworfen und betrieben hat.

Was eine stärkere Einzelhandelszahlungskontrollakte enthalten sollte

Eine stärkere Einzelhandelszahlungskontrollakte nach einem Verstoß vom Typ Neiman Marcus sollte mindestens acht Beweisebenen enthalten. Erstens sollte sie ein Zahlungsumgebungsinventar enthalten, das Filialen, Terminals, Zahlungsanwendungen, Netzwerksegmente, Support-Pfade, Prozessorverbindungen, Administratorkonten und Systeme zeigt, die die Karteninhaberdatenumgebung beeinflussen können. Zweitens sollte sie Segmentierungsbeweise zeigen, nicht nur Diagramme. Firewall-Regeln, Zugriffstests, Protokollflüsse und Ausnahmedatensätze sind wichtig.

Drittens sollte sie Malware-Erkennungs- und Eindämmungsbeweise enthalten. Das bedeutet erstes verdächtiges Signal, Prozessor- oder Herausgeberbenachrichtigung, forensische Bestätigung, Malware-Familie oder -Verhalten, wo öffentliche Offenlegung sicher ist, betroffene Systeme, Eindämmungsmaßnahmen, Bestätigung, dass Malware entfernt wurde, und Beweise, dass saubere Images oder vertrauenswürdige Builds wiederhergestellt wurden. Viertens sollte sie Kartenumfangsbeweise enthalten: Datenelemente, Daten, Filialen, Kartenanzahlen, Betrugssignale, Herausgeberbenachrichtigungslisten und Unsicherheitsspannen.

Fünftens sollte sie die Logik der Kundenbenachrichtigung enthalten. Welche Kunden wurden benachrichtigt, wann, über welchen Kanal, mit welcher Erklärung und welchen Handlungsschritten? Wenn das Unternehmen alle Kunden benachrichtigte, die während eines breiteren Zeitraums eingekauft haben, weil die genaue Exposition nicht bestimmt werden konnte, sollte die Benachrichtigungsakte sagen, warum. Sechstens sollte sie eine Strategie zur Datenentwertung von Zahlungsdaten enthalten.

Verschlüsselung, Tokenisierung, Punkt-zu-Punkt-Verschlüsselung, Gerätesicherheit und Reduzierung der Klartext-Kartenexposition sollten mit Implementierungsnachweisen verknüpft sein.

Siebtens sollte sie unabhängige Bewertung und forensische Bereitschaft enthalten. Der AVC verlangt Drittbewertung und stehende PFI-Vereinbarungen. Eine starke interne Akte würde Beschaffungsbereitschaft, Beweissicherungsverfahren, Erwartungen an die Beweiskette, privilegierte Überprüfungsgrenzen, Berichtswege an Regulierungsbehörden und Konfliktprüfungen für Mandate hinzufügen. Achtens sollte sie Management-Rechenschaftspflicht enthalten: benannte Eigentümer, Berichterstattung an den Vorstand, offene Sanierungspunkte, Ausnahmegenehmigungen und Daten, an denen Kontrollen verifiziert wurden.

NIST-Kontrollmaterialien können helfen, diese Beweise zu organisieren. Das NIST Cybersecurity Framework aufhttps://www.nist.gov/cyberframeworkbietet Vokabular für Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. NIST SP 800-53 Rev. 5 aufhttps://csrc.nist.gov/publications/detail/sp/800-53/rev-5/finalbietet einen breiten Katalog für Zugriffskontrolle, Prüfung, Konfigurationsmanagement, Vorfallreaktion, Systemintegrität und Notfallplanung. Diese Quellen ersetzen nicht PCI DSS für Zahlungsumgebungen. Sie helfen, Zahlungssicherheit in eine für den Vorstand lesbare Beweisdokumentation zu übersetzen.

Der Punkt ist nicht, von Einzelhändlern zu verlangen, sensible Netzwerkdiagramme zu veröffentlichen. Der Punkt ist, sicherzustellen, dass Regulierungsbehörden, Bewerter, Vorstände und Incident-Leiter die Reparatur überprüfen können. Kunden können akzeptieren, dass einige Details vertraulich sind. Sie sollten nicht akzeptieren müssen, dass Reparatur nur durch Behauptung erfolgt.

Das Gegenfaktische sind begrenzte Zahlungsdaten, nicht perfekte Filialen

Das korrekte Gegenfaktische ist keine Einzelhandelsumgebung, in der nie ein Malware-Versuch auftritt. Es ist eine Einzelhandelsumgebung, in der Zahlungsdaten schwer zu erreichen, schwer zu monetarisieren, bei Berührung schnell erkannt und bei einem Fehler eng abgegrenzt sind. Ein reifes Zahlungssystem geht von Angriffsversuchen aus und ist auf Beweise ausgelegt. Das unterscheidet sich von der Annahme, dass Compliance-Status ausreicht.

Eine abgegrenzte Umgebung würde minimieren, wo Klartext-Kartendaten existieren. Sie würde Zahlungsgeräte und Verschlüsselungsstrategien verwenden, die die direkte Exposition des Einzelhändlers reduzieren. Sie würde Zahlungssysteme von breiteren Einzelhandelsnetzwerken segmentieren. Sie würde unterstützte Software aufrechterhalten. Sie würde Protokolle mit Schwellenwerten überwachen, die an echte Eskalation gebunden sind. Sie würde die Incident-Response mit dem Prozessor, Acquiring-Partner, Zahlungsmarken und forensischen Respondern testen. Sie würde Kartenumfangsbeweise so aufbewahren, dass Herausgeber sie nutzen können.

Der Neiman Marcus AVC weist auf dieses Gegenfaktische hin. Er nennt speziell PCI DSS, Netzwerküberwachung, Softwarewartung, Zahlungssicherheitstechnologien, Verschlüsselung oder Tokenisierung, unabhängige Bewertung und forensische Ermittler. Diese Verpflichtungen sind eine Blaupause zur Reduzierung des langen Endes. Sie beweisen nicht, dass jede Kontrolle nach dem Vergleich perfekt umgesetzt wurde, und dieser Artikel beansprucht keine private Überprüfung. Sie zeigen, was die öffentliche rechtliche Reparaturakte als wichtig erachtete.

Das Gegenfaktische umfasst auch klarere Führungsverantwortung. Zahlungssicherheit ist oft auf IT, Filialbetrieb, Sicherheit, Recht, Finanzen, Compliance, Prozessorverwaltung und Kundenkommunikation verteilt. Verteilte Verantwortung wird während eines Vorfalls fragil. Ein stärkeres Governance-Modell benennt, wer Eindämmungsentscheidungen treffen kann, wer mit Kartenmarken kommuniziert, wer Kundenbenachrichtigungen genehmigt, wer Regulierungsbehörden informiert, wer Filialsanierungen überprüft und wer bestätigt, dass die Zahlungsexposition reduziert wurde.

Für kleine und mittlere Unternehmen, die von Einzelhandelszahlungsökosystemen abhängen, ist die Lektion indirekt, aber real. Viele kleinere Händler haben nicht den Umfang oder die rechtlichen Ressourcen von Neiman Marcus. Sie nutzen Prozessoren, Gateways, Terminals und Dienstanbieter, weil sie nicht alles selbst bauen können. Ein prominenter Einzelhandelsverstoß zeigt, warum Serviceabhängigkeiten, Zahlungsstandards und forensische Bereitschaft auch für kleinere Betriebe wichtig sind. Kontinuität ist nicht nur, ob das Geschäft offen bleibt. Es ist, ob Kunden weiterhin Zahlungen nach einem Verstoß vertrauen können.

Beweisgrenzen sollten explizit sein

Der öffentliche Datensatz zeigt nicht jede private Tatsache. Er enthält nicht den vollständigen forensischen Bericht, die vollständige Malware-Beispielanalyse, die vollständige Protokollprüfung, jedes Filialnetzwerkdiagramm, jede Prozessorkommunikation, jede Kartenmarkenwarnung, jede Herausgeberentscheidung, jede Kundenbenachrichtigungsmailingliste oder jedes Bewertungsartefakt nach dem Vergleich. Eine verantwortungsbewusste Rechenschaftsanalyse muss diese Grenzen nennen.

Bestätigte öffentliche Fakten umfassen die staatlichen Vergleichsankündigungen, den AVC, die 77-Filialen-Beschreibung, die 370.000 kompromittierte Kartenzahl, die in den staatlichen Untersuchungen verwendet wurde, die mindestens 9.200 betrügerisch genutzte Zahl, die frühe öffentliche Offenlegung, die Remijas-Berufungsentscheidung und zeitgenössische Berichterstattung über den Malware-Zeitraum und 1,1 Millionen potenziell sichtbare Karten. Bestätigter Kontrollkontext umfasst PCI DSS, PCI P2PE, PCI PTS POI, NIST CSF und NIST SP 800-53 Materialien.

Unterstützte Schlussfolgerung umfasst die Schlussfolgerung, dass Segmentierung, Erkennung, Protokollprüfung, Software-Lebenszyklus, Zahlungsdatenentwertung, forensische Bereitschaft, Kundenbenachrichtigung und Koordination mit Kartenetzwerken die praktischen Rechenschaftsoberflächen waren. Diese Schlussfolgerung folgt aus den Vergleichsverpflichtungen und der Natur von Filialzahlungskarten-Malware. Sie erfordert nicht den Zugriff auf private Vorfallsartefakte.

Unbekannte bleiben. Die Öffentlichkeit kann nicht den genauen ersten Moment bestimmen, in dem Malware in die Umgebung eindrang, alle Gründe, warum die Erkennung die Zeit dauerte, die sie dauerte, jede interne Eskalationsentscheidung, die vollständige Beziehung zwischen Prozessor-Betrugswarnungen und der Einzelhändleruntersuchung, die endgültige Filial-für-Filial-Sanierungssequenz oder die Qualität der Umsetzung nach dem Vergleich. Diese Unbekannten löschen die Rechenschaftsfrage nicht. Sie zeigen, warum Beweise aufbewahrt und geeigneten Prüfern zugänglich gemacht werden sollten.

Diese Grenzdisziplin ist auch wichtig, weil Zahlungsverstöße vereinfachte Erzählungen anziehen. Eine Erzählung besagt, der Einzelhändler sei vollständig schuld, weil Malware existierte. Eine andere sagt, der Schaden sei begrenzt gewesen, weil Herausgeber Betrug erstatteten. Beide sind zu dünn. Die stärkere Erzählung folgt der Kontrolle: Was der Einzelhändler kontrollierte, was Zahlungspartner kontrollierten, was Herausgeber kontrollierten, was Kunden nicht kontrollieren konnten und welche Beweise die Reparatur belegen.

Rechenschaftspflicht folgt der Kontrolle über die Checkout-Umgebung

Die endgültige Rechenschaftszuweisung sollte der praktischen Kontrolle folgen. Neiman Marcus kontrollierte die Einzelhandelszahlungsumgebung, die Karten in Filialen akzeptierte. Zahlungsprozessoren und Kartenmarken kontrollierten Teile des Transaktions- und Compliance-Ökosystems. Herausgeber kontrollierten Kundenkartenbeziehungen, Betrugserstattung und Neuausstellung. Regulierungsbehörden kontrollierten die Durchsetzung. Kunden kontrollierten am wenigsten, obwohl sie dem Verstoß direkt ausgesetzt waren.

Diese Zuweisung bedeutet, dass der Einzelhändler die höchste Beweislast hat, um zu beweisen, dass seine Filialzahlungssysteme segmentiert, überwacht, gewartet und repariert wurden. Es bedeutet nicht, dass Prozessoren, Kartenmarken oder Herausgeber keine Verantwortung haben. Es bedeutet, dass die Partei, die das Checkout-System vor den Kunden platziert hat, die Beweise dafür erbringen muss, dass der Checkout keine stille Expositionsfläche geblieben ist.

Der Multi-Staaten-Vergleich ist nützlich, weil er benennt, wie dieser Beweis aussehen sollte: PCI DSS-Compliance, Überwachung und Protokollprüfung, qualifizierte forensische Bereitschaft, Softwarewartung, Überprüfung von Zahlungssicherheitstechnologie, Zahlungsdatenentwertung und unabhängige Bewertung. Die Remijas-Entscheidung ist nützlich, weil sie erklärt, warum die Abhilfekosten der Verbraucher und das zukünftige Risiko von Bedeutung sind. Die zeitgenössische Berichterstattung ist nützlich, weil sie die frühe Unsicherheit und den Unterschied zwischen potenzieller Sichtbarkeit und bestätigtem Kompromiss erfasst.

Neiman Marcus bleibt ein Langzeit-Rechenschaftstest für Verstöße, weil die Zahlungstransaktion kurz war, aber der Konsequenzdatensatz jahrelang andauerte. Das ist die Natur von Zahlungsdaten. Die Karte verlässt für einen Moment die Brieftasche des Kunden, aber die Exposition kann sich durch Herausgeber, Betrugssysteme, Kundenzeit, Regulierungsbehörden, Gerichte und Governance-Aufzeichnungen bewegen. Ein Einzelhändler, der Zahlungskarten akzeptiert, akzeptiert diesen langen Schweif.

Der rechenschaftspflichtige Einzelhändler ist derjenige, der vor und nach einem Verstoß zeigen kann, dass Kartendaten abgegrenzt, überwacht, entwertet und mit Beweisen repariert werden.