Webshops häufig ungenügend gesichert

Nicht nur Ebay hatte das Problem: Nach Schätzungen des europäischen IT-Security-Spezialisten Integralis weisen zahllose E-Business-Plattformen und Webshops gravierende Sicherheitslücken auf. Etwa die Hälfte aller Webshops sind laut Schätzungen von Integralis angreifbar, etwa 20 Prozent weisen Sicherheitslücken auf, die sogar das Auslesen oder die Manipulation von Kundendaten ermöglichen. Der stete Kostendruck, mangelnde Ressourcen und Unwissenheit sind die häufigsten Gründe für die ungenügenden Sicherheitsmaßnahmen der Händler.

Viele Vorfälle und Übergriffe werden zudem verschwiegen, da sie für das Renommee der Webshops hochgradig schädlich sind. Die Zahl der kriminellen Machenschaften dürfte sich in Zukunft noch deutlich erhöhen, da der Warenverkauf über das Internet boomt wie nie zuvor. Der Hauptverband des Deutschen Einzelhandels (HDE) schätzt, dass die deutschen Konsumenten in diesem Jahr für 14,5 Milliarden Euro ihren virtuellen Warenkorb füllen. Und laut Forrester Research soll der Umsatz des deutschen Online-Geschäfts bis 2009 auf 43 Milliarden Euro ansteigen.

Häufig wird bei der Implementierung eines Webshops nicht ausreichend auf Sicherheit geachtet, sondern die Funktionalität in den Mittelpunkt gestellt. Dies ist insbesondere deshalb alarmierend, da ein Angriff auf einen Webshop anonym und von überall auf der Welt ohne spezielle Tools ausgeführt werden kann. Bereits fünf Minuten sind laut Integralis ausreichend, um über einen gängigen Internet-Browser erste Sicherheitslücken eines Online-Shops aufzuspüren.

„Die meisten Betreiber von Webshops unterschätzen die Bedrohung, der sie ausgesetzt sind, bei weitem. Außerdem scheuen viele die Kosten, zusätzliche Sicherheitsmaßnahmen zu ergreifen. Die Vogel-Strauß-Mentalität ist hier weit verbreitet. Tatsächlich bieten heute keine anderen IT-Systeme eine vergleichbar große Angriffsfläche auf niedrigstem Sicherheitsniveau“, sagt Matthias Straub, E-Business-Experte bei IT Security-Spezialist Integralis.

Häufigste Lücken

Die Sicherheit eines Online-Shops ist abhängig von dessen einwandfreiem Design und einer fehlerfreien Programmierung der zu Grunde liegenden Webanwendung. Die schwer wiegendsten Sicherheitslücken treten dann auf, wenn die Überprüfung der Benutzereingaben fehlt oder ungenügend funktioniert. Um ausreichend Sicherheit zu gewährleisten, muss konsequent jede Eingabe, die vom Webbrowser an den Webserver des Online-Shops gesendet wird, von der Online-Shop-Anwendung kontrolliert und gegebenenfalls bereinigt werden. Dabei spielt die verwendete Plattform kaum eine Rolle, sondern es kommt vor allem auf die saubere Definition der Eingabeparameter an.

„Fehler in der Verarbeitung von Benutzereingaben werden von Hackern gerne ausgenutzt, um den Webshop zu unterwandern. Wird beispielsweise bei der Eingabe einer Bestellmenge nicht vom Webshop überprüft, ob es sich bei der Eingabe tatsächlich um eine Zahl handelt, kann ein Hacker auf diesem Weg eigene Kommandos an die Datenbank des Webshops absetzen. In vielen Fällen können dadurch extrem sensible Daten wie Kreditkarteninformationen in die Hände der Hacker gelangen und von diesen missbraucht werden“, so Straub.

Die häufigsten Angriffsarten sind SQL-Injection, Parameter Tampering, Cross-Site Scripting, Forceful Browsing und Cookie Poisoning. Am gefährlichsten ist laut Integralis die SQL-Injection, da bei dieser Angriffsart die mangelnde Filterung der Benutzereingaben ausgenutzt wird, um unerlaubt auf die Datenbank des Webshops zuzugreifen und damit in den Besitz sämtlicher sensibler Daten zu kommen.

Als Basisschutz empfehlen die Integralis-Experten, bereits bei der Entwicklung der Online-Shops auf die korrekte Filterung aller Eingaben zu achten. Intelligente Webfilter, die vor die Online-Shops gestellt werden und die Anfragen aus dem Internet filtern, bieten einen zusätzlichen Schutz vor möglichen Angreifern. Darüber hinaus ist es ratsam, den Webshop mit Hilfe von Security-Audit-Tools auf Schwachstellen zu checken und gefundene Lücken schließen zu lassen. Integralis bietet Webshop-Betreibern einen Remote-Check ihrer Online-Shops, und dies sogar kostenlos, sollten die Experten von Integralis keine Sicherheitslücken aufdecken.

Prinzipiell drohen den Tätern zwar Haftstrafen bis zu fünf Jahren, allerdings sind diese durch die Anonymität des Internets meist kaum zu ermitteln. An Geld oder Waren zu kommen ist für die Täter mit einem relativ hohen Risiko verbunden, da hierzu die Anonymität des Internets verlassen werden muss. Der Schaden, den sie anrichten, ist daher meist destruktiver Natur und schädigt vor allem die Betreiber der Online-Shops. (mha)