Mit diesen Lücken kämpfen Onlineshops - E-Commerce Magazin

Zugriff auf Transaktions- und Kundendaten,
Kontoinformationen und Versanddetails
eindeutig regelt. Shop-Betreiber sollten
die folgenden Fallstricke kennen:
→ Sicherheitslücke Nr. 1:
Oft werden selbst grundlegende Sicherungsmaßnahmen
nicht umgesetzt, etwa
der Einsatz einer Firewall, die eine einund
ausgehende Kommunikation auf die
notwendigsten Protokolle (etwa ssh, hhtp
und https) beschränkt, die Implementation
strikter Passwortregeln für Käufer
(Verwendung von Groß- und Kleinschreibung,
Sonderzeichen und einer Mindestpasswortlänge)
oder die Verschlüsselung
des Kommunikationskanals mit Zertifikaten.
Ebenso hoch ist die Zahl derer, die
keine regelmäßige Datensicherung durchführen.
→ Sicherheitslücke Nr. 2:
Zu den häufigsten Sicherheitslücken
zählen das „Cross Site Scripting“ und die
„SQL Injection“. „Cross Site Scripting“
(XSS) nutzt fehlerhafte Web-Applikationen
aus. Normalerweise werden in einer
Browser-Session nur Daten aus einem
vertrauenswürdigen Kontext verarbeitet.
XSS gaukelt dem Browser des Opfers vor,
dass bestimmte Scripte aus einer vertrauenswürdigen
Seite stammen. Auf diese
Weise lassen sich durch geschicktes Einschmuggeln
von Javascript-Code Webseiten
so verändern, dass beispielsweise
manipulierte Login- oder Bestellformulare
im Browser des Nutzers angezeigt werden.
Gibt der Nutzer nun seine Daten ein,
werden diese unbemerkt im Hintergrund
umgeleitet. Dritte können sich unter dieser
Identität am Onlineshop anmelden,
Bestellungen tätigen oder auf die im Kundenkonto
hinterlegten Kreditkarteninformationen
zugreifen. „SQL Injections“ nutzen
eine Schwachstelle beim Zugriff von
Anwendungen auf eine Datenbank aus.
Hierbei können bei Programmen, die zum
Beispiel Inhalte oder E-Mail-Adressen in
Datenbanken eintragen, durch Einsatz
von Funktionszeichen (Apostroph, Backslash,
Anführungszeichen oder Semikolon)
SQL-Kommandos eingefügt werden, die
an dieser Stelle eigentlich nichts verloren
haben. Durch die Schwachstelle werden
diese SQL-Kommandos ausgeführt. Angreifer
können gezielt Daten auslesen,
Datenbanken manipulieren oder in einzelnen
Fällen die Kontrolle über den ganzen
Server erhalten.
→ Sicherheitslücke Nr. 3:
Ist der Webshop eingerichtet, wird in
nächster Zeit kaum etwas verändert. Und
oft nicht einmal die Basissoftware aktualisiert.
Kein Wunder, Wartung und Betrieb
erfordern erhöhte Aufmerksamkeit und
kosten Zeit und Geld. Sicherheitslücken
werden so nicht oder nur mit zeitlicher
Verzögerung geschlossen. In dieser Zeit
sind die Systeme anfälliger. So können
Webserver mit den Apache-Versionen
2.2.0 bis 2.2.19 in kürzester Zeit von
Angreifern lahmgelegt werden (Denial- of-
Service-Attacken). Die damit
verbundenen Shopsysteme
sind nicht mehr
erreichbar. Wird Software
nicht aktualisiert, können
Shopsysteme selbst für die
Verbreitung von Schadprogrammen
genutzt werden.
„Drive By Exploits“ versuchen,
mit automatisierten
Verfahren Schwachstellen
im Browser oder Betriebssystem
der Besucher auszunutzen.
→ Sicherheitslücke Nr. 4:
Webshops, die keine Sessions
Cookies einsetzen –
kleine Programmschnipsel,
die während der Nutzung
des Shops temporär auf
dem Rechner des Benutzers
gespeichert werden,
sodass sich der Besucher
nicht mehr neu am Server
identifizieren muss. Meldet
sich ein Nutzer am Shop an
und leitet einen angeschauten
Artikel an einen Freund
weiter, so kann sich dieser
nun nicht nur den Artikel
anschauen, sondern unter
falschem Namen Bestellungen
aufgeben, Kontodaten einsehen und
diese verändern.
→ Sicherheitslücke Nr. 5:
Mit den oben genannten Sicherheitslücken
steigt das Risiko, beim Bezahlen im
Netz in Schwierigkeiten zu geraten. Dennoch
bieten viele Unternehmen nur die
Bezahlarten Überweisung, Kreditkarte
oder Bankeinzug an. Schlimmstenfalls
werden die Daten in einer Bestätigungsmail
dann unverschlüsselt an den Besteller
gesandt. Standard ist jedoch, dass
sensible Daten in der Bestätigungsmail
unkenntlich gemacht werden, indem etwa
bei Kontodaten nur die ersten und letzten
Stellen übermittelt werden. Der Einsatz
von sicheren und geprüften Bezahlverfahren
minimiert nicht nur das Risiko, sondern
schafft für Nutzer Sicherheit. ■
www.e-commerce-magazin.de