Nicht nur Ebay hatte das Problem: Nach Schätzungen des europäischen IT Security-Spezialisten Integralis weisen zahllose E-Business-Plattformen und Web-Shops gravierende Sicherheitslücken auf. Etwa die Hälfte aller Web-Shops sind laut Schätzungen von Integralis angreifbar, ca. 20% weisen Sicherheitslücken auf, die das Auslesen oder die Manipulation von Kundendaten ermöglichen. Der stete Kostendruck, mangelnde Ressourcen und Unwissenheit sind die häufigsten Gründe für die ungenügenden Sicherheitsmaßnahmen der Händler. Viele Vorfälle und Übergriffe werden zudem verschwiegen, da sie für das Renommee der Web-Shops hochgradig schädlich sind. Die Zahl der kriminellen Machenschaften dürfte sich in Zukunft noch deutlich erhöhen, da der Warenverkauf über das Internet boomt wie nie zuvor. Laut einer von TNS Infratest und Forrester Research veröffentlichten Studie füllten die Konsumenten in Westeuropa in 2004 ihren virtuellen Warenkorb für 40,5 Milliarden Euro, davon allein in Deutschland für 10,6 Milliarden Euro. Bis zum Jahr 2009 soll der Umsatz des Online-Geschäfts in Westeuropa bis auf 167,3 Milliarden Euro ansteigen.
Web-Shops im Visier der Hacker
Häufig wird bei der Implementierung eines Web-Shops nicht ausreichend auf Sicherheit geachtet, sondern die Funktionalität in den Mittelpunkt gestellt. Dies ist insbesondere deshalb alarmierend, da ein Angriff auf einen Web-Shop anonym und von überall in der Welt ohne spezielle Hacker-Tools ausgeführt werden kann. Bereits fünf Minuten sind laut Integralis-Experten ausreichend, um über einen gängigen Internet-Browser erste Sicherheitslücken eines Online-Shops aufzuspüren.
„Die meisten Betreiber von Web-Shops unterschätzen die Bedrohung, der sie ausgesetzt sind, bei weitem. Außerdem scheuen viele die Kosten, zusätzliche Sicherheitsmaßnahmen zu ergreifen. Die Vogel-Strauß-Mentalität ist hier weit verbreitet. Tatsächlich bieten heute keine anderen IT-Systeme eine vergleichbar große Angriffsfläche auf niedrigstem Sicherheitsniveau“, sagt Matthias Straub, E-Business-Experte bei IT Security-Spezialist Integralis.
Folgenschwere Fehler
Die Sicherheit eines Online-Shops ist abhängig von dessen einwandfreiem Design und einer fehlerfreien Programmierung der zugrunde liegenden Web-Anwendung. Die schwerwiegendsten Sicherheitslücken treten dann auf, wenn die Überprüfung der Benutzereingaben fehlt oder ungenügend funktioniert. Um ausreichend Sicherheit zu gewährleisten, muss konsequent jede Eingabe, die vom Web-Browser an den Web-Server des Online-Shops gesendet wird, von der Online-Shop-Anwendung kontrolliert und gegebenenfalls bereinigt werden. Dabei spielt die verwendete Plattform kaum eine Rolle, sondern es kommt vor allem auf die saubere Definition der Eingabeparameter an.
„Fehler in der Verarbeitung von Benutzereingaben werden von Hackern gerne ausgenutzt, um den Web-Shop zu unterwandern. Wird beispielsweise bei der Eingabe einer Bestellmenge nicht vom Web-Shop überprüft, ob es sich bei der Eingabe tatsächlich um eine Zahl handelt, kann ein Hacker auf diesem Weg eigene Kommandos an die Datenbank des Web-Shops absetzen. In vielen Fällen können dadurch extrem sensible Daten wie Kreditkarteninformationen in die Hände der Hacker gelangen und von diesen missbraucht werden“, so Straub.
Die häufigsten Angriffsarten sind laut Einschätzung der Integralis-Experten SQL-Injection, Parameter Tampering, Cross-Site-Scripting, Forceful Browsing und Cookie Poisoning. Am gefährlichsten ist laut Integralis die SQL-Injection, da bei dieser Angriffsart die mangelnde Filterung der Benutzereingaben ausgenutzt wird, um unerlaubt auf die Datenbank des Web-Shops zuzugreifen und damit in Besitz sämtlicher sensibler Daten zu kommen.
Vorsicht ist besser als Nachsicht
Als Basisschutz empfehlen die Integralis-Experten, bereits bei der Entwicklung der Online-Shops auf die korrekte Filterung aller Eingaben zu achten. Intelligente Webfilter, die vor die Online-Shops gestellt werden und die Anfragen aus dem Internet filtern, bieten einen zusätzlichen Schutz vor möglichen Angreifern. Darüber hinaus ist es ratsam, den Web-Shop mithilfe von Security-Audit-Tools auf Schwachstellen zu checken und gefundene Lücken schließen zu lassen. Integralis bietet Web-Shop-Betreibern einen Remote-Check ihrer Online-Shops, und dies sogar kostenlos, sollten die Experten von Integralis keine Sicherheitslücken aufdecken.
Aktenzeichen XY ungelöst
Prinzipiell drohen den Tätern zwar Haftstrafen bis zu 5 Jahren, allerdings sind diese durch die Anonymität des Internets meist kaum zu ermitteln. An Geld oder Waren zu kommen ist für die Täter mit einem relativ hohen Risiko verbunden, da hierzu die Anonymität des Internets verlassen werden muss. Der Schaden, den sie anrichten, ist daher meist destruktiver Natur und schädigt vor allem die Betreiber der Online-Shops.
Web-Shops im Visier der Hacker
Häufig wird bei der Implementierung eines Web-Shops nicht ausreichend auf Sicherheit geachtet, sondern die Funktionalität in den Mittelpunkt gestellt. Dies ist insbesondere deshalb alarmierend, da ein Angriff auf einen Web-Shop anonym und von überall in der Welt ohne spezielle Hacker-Tools ausgeführt werden kann. Bereits fünf Minuten sind laut Integralis-Experten ausreichend, um über einen gängigen Internet-Browser erste Sicherheitslücken eines Online-Shops aufzuspüren.
„Die meisten Betreiber von Web-Shops unterschätzen die Bedrohung, der sie ausgesetzt sind, bei weitem. Außerdem scheuen viele die Kosten, zusätzliche Sicherheitsmaßnahmen zu ergreifen. Die Vogel-Strauß-Mentalität ist hier weit verbreitet. Tatsächlich bieten heute keine anderen IT-Systeme eine vergleichbar große Angriffsfläche auf niedrigstem Sicherheitsniveau“, sagt Matthias Straub, E-Business-Experte bei IT Security-Spezialist Integralis.
Folgenschwere Fehler
Die Sicherheit eines Online-Shops ist abhängig von dessen einwandfreiem Design und einer fehlerfreien Programmierung der zugrunde liegenden Web-Anwendung. Die schwerwiegendsten Sicherheitslücken treten dann auf, wenn die Überprüfung der Benutzereingaben fehlt oder ungenügend funktioniert. Um ausreichend Sicherheit zu gewährleisten, muss konsequent jede Eingabe, die vom Web-Browser an den Web-Server des Online-Shops gesendet wird, von der Online-Shop-Anwendung kontrolliert und gegebenenfalls bereinigt werden. Dabei spielt die verwendete Plattform kaum eine Rolle, sondern es kommt vor allem auf die saubere Definition der Eingabeparameter an.
„Fehler in der Verarbeitung von Benutzereingaben werden von Hackern gerne ausgenutzt, um den Web-Shop zu unterwandern. Wird beispielsweise bei der Eingabe einer Bestellmenge nicht vom Web-Shop überprüft, ob es sich bei der Eingabe tatsächlich um eine Zahl handelt, kann ein Hacker auf diesem Weg eigene Kommandos an die Datenbank des Web-Shops absetzen. In vielen Fällen können dadurch extrem sensible Daten wie Kreditkarteninformationen in die Hände der Hacker gelangen und von diesen missbraucht werden“, so Straub.
Die häufigsten Angriffsarten sind laut Einschätzung der Integralis-Experten SQL-Injection, Parameter Tampering, Cross-Site-Scripting, Forceful Browsing und Cookie Poisoning. Am gefährlichsten ist laut Integralis die SQL-Injection, da bei dieser Angriffsart die mangelnde Filterung der Benutzereingaben ausgenutzt wird, um unerlaubt auf die Datenbank des Web-Shops zuzugreifen und damit in Besitz sämtlicher sensibler Daten zu kommen.
Vorsicht ist besser als Nachsicht
Als Basisschutz empfehlen die Integralis-Experten, bereits bei der Entwicklung der Online-Shops auf die korrekte Filterung aller Eingaben zu achten. Intelligente Webfilter, die vor die Online-Shops gestellt werden und die Anfragen aus dem Internet filtern, bieten einen zusätzlichen Schutz vor möglichen Angreifern. Darüber hinaus ist es ratsam, den Web-Shop mithilfe von Security-Audit-Tools auf Schwachstellen zu checken und gefundene Lücken schließen zu lassen. Integralis bietet Web-Shop-Betreibern einen Remote-Check ihrer Online-Shops, und dies sogar kostenlos, sollten die Experten von Integralis keine Sicherheitslücken aufdecken.
Aktenzeichen XY ungelöst
Prinzipiell drohen den Tätern zwar Haftstrafen bis zu 5 Jahren, allerdings sind diese durch die Anonymität des Internets meist kaum zu ermitteln. An Geld oder Waren zu kommen ist für die Täter mit einem relativ hohen Risiko verbunden, da hierzu die Anonymität des Internets verlassen werden muss. Der Schaden, den sie anrichten, ist daher meist destruktiver Natur und schädigt vor allem die Betreiber der Online-Shops.
