Mehr als ein Schlüssel: So prüfen wir die Cloud Ihrer Automatenflotte

Ein externer Penetrationstest unserer Cloud-Plattform: was geprüft wurde, wie Accedia die Nachbesserungen kontrolliert hat und fünf Fragen an jeden Anbieter

Früher sicherte ein Schlüssel einen Verkaufsautomaten. Dieser Schlüssel bleibt wichtig. Heute erreicht eine Preisänderung, die Sie in Ihrer Plattform vornehmen, Automaten an vielen Standorten. Wer per App bezahlt, braucht für den Kaufabschluss Cloud-Dienste.

Ein größerer Teil der Sicherheit Ihrer Automatenflotte liegt heute in der Cloud-Plattform hinter Ihren Automaten. Darüber laufen Ihre Preise, Zahlungen, Benutzerzugriffe und Transaktionsdaten. Für eine Automatenflotte ergeben sich daraus drei praktische Fragen. Kann ein anderes Unternehmen auf derselben Plattform Ihre Daten sehen oder ändern? Kann jemand einen Ihrer Accounts übernehmen? Kann jemand ohne die richtigen Zugriffsrechte Preise oder die Automatenkonfiguration ändern?

Wenn Sie eine Automatenflotte betreiben oder absichern, hilft Ihnen ein pauschales Sicherheitsversprechen wenig. Sie müssen wissen, was geprüft wurde, wer die Prüfung durchgeführt hat und wie die Ergebnisse kontrolliert wurden. Hier zeigen wir Ihnen, wie das bei unserer Plattform aussieht. Abschließend geben wir Ihnen fünf Fragen an die Hand, die Sie jedem Anbieter stellen können, auch uns.

Warum wir eine externe Prüfung beauftragt haben

Wir expandierten in neue Märkte und gewannen größere Kund*innen. In dieser Phase beauftragten wir einen externen Penetrationstest und eine Sicherheitsprüfung unserer Cloud-Plattform. Ein Penetrationstest ist ein autorisierter, simulierter Angriff. Er sucht nach Schwachstellen, damit diese behoben werden, bevor sie jemand anderes findet.

Das Cybersicherheits-Team von Accedia führte die Arbeiten über rund 20 Tage von Februar bis März 2026 durch. Accedia ist ein europäisches Softwareentwicklungs- und IT-Dienstleistungsunternehmen mit Sitz in Sofia, Bulgarien. Die Ingenieur*innen von Accedia arbeiten außerdem mit unserem Team an Teilen der Plattform. Accedia beschreibt diese Zusammenarbeit in seiner veröffentlichten Fallstudie. Die Prüfung selbst führten die Cybersicherheits-Spezialist*innen von Accedia durch.

Welche Dienste geprüft wurden

Geprüft wurden zwei Teile der Plattform, mit denen Sie direkt arbeiten:

• die Cloud-Management-API, also die Programmierschnittstelle hinter Luna, unserer Plattform zur Steuerung Ihrer Automatenflotte. Darüber verwalten Sie Automaten, Preise und Benutzerzugriffe.
• die Wallet API, eine öffentlich erreichbare Schnittstelle. Über sie wickeln mobile Apps Zahlungen, Treueprogramme und die Kaufhistorie ab.

Von außen und aus einem Account heraus geprüft

Accedia ging dabei auf zwei Wegen vor. Beim Black-Box-Test simulierte das Team einen Angriff von außen ohne Zugangsdaten und suchte nach einem Zugang ins System. Beim Grey-Box-Test meldete sich das Team mit einem Account mit begrenzten Rechten an. Dann prüfte es, ob dieser Account mehr erreichen konnte, als seine Rolle erlaubt.

Grundlage der Prüfung waren die OWASP Top 10 für Webanwendungen und die OWASP IoT Top 10. Beide sind branchenweit verwendete Listen der kritischsten Sicherheitsrisiken.

Die Prüfung konzentrierte sich auf diese beiden Cloud-Dienste, über die Sie Daten, Preise und Zahlungen Ihrer Automatenflotte verwalten. Unsere Aussagen zu den Ergebnissen gelten nur für diesen Umfang.

Accedia hat die Nachbesserungen in einem zweiten Test kontrolliert

Ein Penetrationstest soll Schwachstellen finden. Danach kommt es darauf an, wie sie behoben werden. Unsere Entwickler*innen behoben die festgestellten Punkte. Accedia testete anschließend erneut und kontrollierte die Nachbesserungen.

Der ausführliche Bericht und die einzelnen Ergebnisse bleiben vertraulich. Die Vertraulichkeit schützt die Plattform und jedes Unternehmen, das sie nutzt.

Warum ein Test allein nicht reicht

Ein Penetrationstest beschreibt eine Plattform zu einem bestimmten Zeitpunkt. Software verändert sich. Auch die Methoden von Angreifenden verändern sich. Deshalb wiederholen wir externe Tests regelmäßig. Zwischen den Tests setzen wir die Sicherheitsarbeit fort mit:

• rollenbasierter Zugriffsverwaltung, bei der jede Person in Ihrem Team nur die für ihre Rolle erforderlichen Daten sieht und ändert
• sicheren Software-Updates
• Überwachung

„Ein Verkaufsautomat ist nur so sicher wie die Cloud-Plattform dahinter. Deshalb haben wir unsere Plattform extern von Accedia testen lassen, die Nachbesserungen erneut prüfen lassen und testen weiter. Unsere Kund*innen vertrauen uns ihre Automatenflotten, Zahlungen und Transaktionsdaten an. Dieses Vertrauen zu schützen, ist Teil unseres Produkts.“

— Doichin Yordanov, CTO, Invenda Group AG

Fünf Fragen an jeden Anbieter einer Automatenplattform

Stellen Sie diese Fragen beim Plattformvergleich oder zur Prüfung Ihrer bestehenden Lösung. Die Antworten zeigen, worauf eine Sicherheitsaussage basiert.

1. Wann wurden Ihre Cloud-Dienste zuletzt getestet und wer hat den Test durchgeführt?
2. Welche Dienste und APIs waren Teil des Prüfungsumfangs und was blieb außen vor?
3. Wurde sowohl ein Angriff von außen als auch der Zugriff über einen Account mit eingeschränkten Rechten getestet?
4. Welche Standards wie die OWASP Top 10 lagen dem Test zugrunde?
5. Wie wurde überprüft, ob die Lücken geschlossen sind, und wann ist der nächste Test geplant?

Stellen Sie uns dieselben fünf Fragen

Wenn Sie diese Fragen für Invenda besprechen möchten, kontaktieren Sie unser Team. Wir zeigen Ihnen, wie wir die Sicherheit der Plattform hinter Ihren Automaten prüfen und erhalten.

Sprechen Sie mit uns →

‍