Kreditkartendaten von Server gestohlen, wie wird das erkannt/bemerkt?

Hin und wieder liest man ja solche Meldungen auf diversen IT Seiten das Kreditkartendaten von Betreiber XY gestohlen wurden.

Mich würde jetzt aber einmal interessieren, wie dieser Diebstahl eigentlich festgestellt wird.

Ich meine der Hacker gelangt irgendwie in das System um sie zu stehlen und wenn er nicht dumm ist, dann wird er auch seine Spuren verwischen.
Wie kann dann ein Admin hinterher feststellen, dass die Kreditkartendaten geklaut wurden?

Es gibt zwar Intrusion Detection Systeme, aber die erkennen ja eigentlich nur gescheiterte Angriffe und wenn der Hacker einmal im System ist, dann kann er natürlich auch die Kontrolle über das IDS erlangen und alle Spuren verwischen, sofern das IDS seine LOG Daten nicht in quasi Echtzeit auf ein nur einmal beschreibbares Medium speichert.

Ergänzung:

Bei dieser Fragestellung gehen wir davon aus, dass die Kreditkartendaten in einem verschlüsselten Dateiformat gestohlen wurden und der Hacker somit erstmal damit nichts anfangen kann, denn sonst würde ja die Benutzung der Kreditkartendaten den Einbruch verraten. Darauf wollte ich aber nicht hinaus.
Mich interessierst aus IT Seite, wie der Einbruch festgestellt wird.

nman

Sicherheit schrieb:

Es gibt zwar Intrusion Detection Systeme, aber die erkennen ja eigentlich nur gescheiterte Angriffe

Nein, IDS funktionieren anders als du dir das vorstellst.

und wenn der Hacker einmal im System ist, dann kann er natürlich auch die Kontrolle über das IDS erlangen und alle Spuren verwischen

Ein IDS läuft im Normalfall immer auf einer eigenen Maschine.

sofern das IDS seine LOG Daten nicht in quasi Echtzeit auf ein nur einmal beschreibbares Medium speichert.

Alle IDS, die ich bis dato gesehen habe, haben zumindestens sowohl auf einen Logserver geloggt, als auch E-Mail-Warnungen verschickt.