Von: Frank Ziemann
Leider beachten E-Händler das Thema Sicherheit immer noch zu wenig. So war schon mehrfach von Shop-Betreibern zu lesen, die Kreditkartennummern und andere personenbezogene Daten unverschlüsselt auf ihrem Web-Server ablegten, so dass im Prinzip alle Welt darauf zugreifen konnte. Dabei bräuchten die Anbieter nicht viel zu investieren, wenn sie die sensiblen Daten gegenüber Unbefugten verbergen wollten. Ohnehin gilt sowohl für Händler als auch für Provider das Datenschutzgesetz, sofern sie Personenangaben speichern. Und das heißt, sie dürfen keine Mühen scheuen und müssen alle notwendigen technischen Maßnahmen treffen, damit Datendiebe vor der Tür bleiben.
Wer sich Einblick in die Transaktionsdaten eines Online-Geschäfts verschaffen will, kann dies an mehreren Stellen versuchen. Als erste Station kommt der Rechner des Kunden in Frage. Gelingt es einem Angreifer, dort ein Trojanisches Pferd oder ein Backdoor-Programm zu installieren, lässt er von der Software alle Tastatureingaben und Mausklicks des Shoppers protokollieren und bei passender Gelegenheit an sich übermitteln. Anwender sollten sich davor schützen, auch wenn sie nicht im Web einkaufen wollen. Abhilfe schafft eine regelmäßig aktualisierte Antivirus-Software, die im Hintergrund alle Festplattenzugriffe überwacht und bereits die Installation des Trojanischen Pferdes unterbindet. Desktop-Firewalls kontrollieren zudem den Datenverkehr einer InternetAnbindung und lassen auf Wunsch nur solche Pakete passieren, die von einem der installierten Programme angefordert wurden.
Die Man-in-theMiddle-Attacke
Der zweite Angriffspunkt ist der Übertragungsweg vom Kunden zum Web-Server. Weil die Daten der Web-Surfer prinzipiell in Paketen über das Internet gehen und weil die Teile einer Botschaft meistens über unterschiedliche Routen zum Ziel gelangen, können Lauscher von einer Stelle aus kaum alle Pakete einer Transaktion auffangen. Sie müssten schon Zugriff auf den Provider-Router des Kunden oder des Händlers haben, wo alle Pakete wieder "zusammenlaufen".
Eine elegante Hack-Methode sind sogenannte Man-in-the-Middle-Attacken, bei denen der Angreifer beiden Seiten vorgaukelt, er sei der jeweils andere Geschäftspartner. Tatsächlich leitet er die Daten an die jeweilige Zieladresse weiter, protokolliert jedoch alles genau und gelangt so in den Besitz von Kreditkartenangaben und anderen wertvollen Informationen. Der Hacker manipuliert dazu die DNS-Server (DNS = Domain Name System), die dem Browser des Internet-Users auf Anfrage zu einem Unified Resource Locator (URL) die passende IP-Adresse liefern. Die gehackten DNS-Server geben die Adresse des Angreifers statt der des Händlers weiter. Wird ein veränderter DNS-Server auch von anderen DNS-Servern als Informationsquelle genutzt, verbreitet sich die Fehlinformation weiter, und der Angreifer findet weitere Opfer. Bis der Betrug entdeckt und die Falscheinträge in allen betroffenen DNS-Servern korrigiert sind, kann einige Zeit vergehen.
Verschlüsselte Übertragung
Beide Angriffsarten vermeidet, wer die übertragenen Daten verschlüsselt. Hierzu dient das SSL-Verfahren (SSL = Secure Socket Layer), bei dem sich die Partner gegenseitig durch elektronische Zertifikate ausweisen und einen abhör- und manipulationssicheren, verschlüsselten Kanal zwischen Browser und Web-Server aufbauen. Weil SSL die Daten auf dem Web-Server wieder entschlüsselt, könnte dieser das nächste Ziel eines Spionageversuchs sein. Vorbeugend wirken dagegen zwei Mittel: Ein Public-Key-Verfahren chiffriert die gespeicherten Daten, und eine vorgeschaltete Firewall hält Angreifer aus dem Internet fern.
Public-Key-Methoden dienen zum Verschlüsseln und zum Entschlüsseln von Daten und verwenden zum Ein- und zum Auspacken unterschiedliche Keys. Firewalls kontrollieren den Datenverkehr zwischen zwei benachbarten Netzsegmenten. So genannte Paketfilter prüfen dazu die Header der weitergeleiteten Datenpakete und berücksichtigen zum Teil auch Anwendungsdaten. Application Level Gateways geben die Pakete nicht direkt an eine Zieladresse weiter, sondern vermitteln auf Anwendungsebene zwischen dem Absender und dem Empfänger.
Falls der Web-Server beim Provider steht, könnte das Entschlüsseln des SSL-Codes und das anschließende Verschlüsseln für die Übertragung zum Händler die Prozessoren in die Knie zwingen, weshalb die Last auf mehrere Schultern ruhen sollte. Der Web-Server reicht dazu die Daten an einen Datenbankserver weiter, der sie mit dem Public Key des Händlers codiert und ablegt. Dieses Vorgehen hat allerdings nur dann Sinn, wenn beide Server durch eine Firewall vor Angriffen geschützt sind, weil Lauscher andernfalls die ausgetauschten Informationen lesen könnten.
Dass dabei alle Mitarbeiter des Providers Zugriff auf die Kundeninformationen haben, ist ein Risiko, das nicht unterschätzt werden sollte. Von Vorteil bei einer Trennung von Web-Server und Datenbank ist, dass der Händler die mit seinem öffentlichen Schlüssel codierten Angaben ohne weitere Sicherheitsmaßnahmen über das Internet auf einen Rechner seiner Firma übertragen kann. Würde er, was nahe liegt, zwischen dem Web-Server und der Datenbank eine SSL-Verbindung aufbauen, wären wiederum die CPUs der Rechner mit Codierarbeit eingedeckt. Es gibt noch eine andere Möglichkeit dafür, wie die vertraulichen Kundendaten vom Provider zum Händler gelangen. Der Web-Server verwandelt die per SSL empfangenen Daten in PGP-verschlüsselte (PGP = Pretty Good Privacy) E-Mails und leitet sie an einen Mail-Server weiter, der sie an den Laden schickt. Auch hier kommt es zu einer erhöhten CPU-Last. Wie SSL verwendet PGP ein Public-Key-Verfahren. Der Web-Server arbeitet mit dem öffentlichen Schlüssel des Web-Shop, der die Mail mit seinem privaten Schlüssel wieder lesbar macht. Danach importiert der Händler die Daten aus dem E-Mail-Client in seine Warenwirtschaftssoftware. Ein Hacker erhält die Informationen nur dann, wenn er in den Arbeitsspeicher des Web-Servers beim Provider eindringt, wo die Daten für den Zeitraum zwischen der SSL-Entschlüsselung und der PGP-Verschlüsselung lesbar sind. Dem sollte der Provider durch Firewalls und beschränkte Zugriffsrechte für den Server entgegenwirken.
Dem Betreiber des Online-Shops bleibt in jedem Fall die Pflicht, seine Firmenrechner mit der größten Sorgfalt vor Angriffen von innen wie von außen zu schützen. Hier kommen je nach Größe des Unternehmens verschiedene der bereits genannten Sicherungsmaßnahmen zur Anwendung. Der Händler muss dabei nicht nur neugierige Blicke Unbefugter abwehren, er muss ebenso dem Verlust der Daten vorbeugen und im Rahmen einer umfassenden Sicherheitsstrategie regelmäßig Backups veranlassen. Denn verlorene Informationen führen sehr schnell zum Ende eines Unternehmens und seiner Online-Aktivitäten.
Einige Nachteile des SSL-Verfahrens vermeiden Methoden der Ende-zu-Ende-Verschlüsselung, bei denen das Entschlüsseln der Daten auf dem Web-Server entfällt. Denn sie beseitigen den Angriffspunkt beim Provider und verringern überdies die CPU-Last des Web-Servers. Gleichzeitig befreien sie den Provider von der Verantwortung, die er bei den bislang geschilderten SSL-Verfahren für die Sicherheit der Händlerdaten trägt. Ende-zu-Ende-Verschlüsselung gewähren Produkte, welche die Transaktionsdaten beim Kunden mit einem Browser-Plugin oder einem signierten Java-Applet entgegennehmen. Dabei können sie prüfen, ob die Eingaben vollständig und plausibel sind, das heißt ob die Kreditkartennummer das richtige Format hat und ob die Karte noch gültig ist. Dann codieren sie die Daten mit dem Public Key des Händlers und senden sie an den Web-Server. Von dort gelangen sie zum Händler, der sie mit seinem privaten Schlüssel dechiffriert. Die Rechenleistung für das Verschlüsseln erbringt hierbei allein der Computer des Kunden, wobei er nur die vertraulichen Angaben zu codieren braucht. Allerdings muss der Kunde das Java-Applet zunächst herunterladen, was unter Umständen lange dauern kann. Zudem ist die Auswahl an Produkten für die Ende-zu-Ende-Verschlüsselung noch gering.
Das standardisierte SET-Verfahren (SET = Secure Electronic Transaction) arbeitet nach einem ganz ähnlichen Prinzip und schützt sowohl den Händler als auch die Kunden vor Betrug. Für spontan entschlossene Käufer eignet sich die Methode jedoch nicht, weil beide Geschäftspartner vor einer Transaktion das Zertifikat einer unabhängigen Stelle beantragen und eine SET-Software installieren müssen. Die meisten Online-Shop-Lösungen unterstützen zwar den SET-Standard. Die Zahl der Händler, die dieses Verfahren tatsächlich anbieten, ist jedoch verschwindend gering. Auch Internet-Zahlungssysteme wie "Cybercash" und "First Virtual" konnten sich bislang nicht durchsetzen. Die überwiegende Zahl der Online-Anbieter will offenbar kein Risiko eingehen und setzt auf die wenig kundenfreundliche Lieferung per Nachnahme, denn wenige Shops liefern gegen Rechnung oder mit Lastschrift. Nur ein Bruchteil der deutschen Online-Anbieter verschlüsselt mit SSL. Nach wie vor schicken die meisten ihre Daten ohne Chiffre über das Internet.
Solange E-Commerce-Anbieter nicht einsehen, dass elementare Sicherheitsmaßnahmen notwendig sind, werden sie es schwer haben, die Vorbehalte vieler Kunden zu zerstreuen und deren Vertrauen in das Online-Shopping zu stärken. (kpl)