Ist Ihr Shop sicher? Angriffsszenarien und Interview

Für die aktuelle November-Ausgabe des webselling Magazins wurde Hendrik Lennarz, Sicherheitsspezialist bei Trusted Shops und zuständig für Sicherheitsaudits, zu Sicherheitsrisiken und möglichen Abwehrmaßnahmen von Online-Shops befragt.

Lesen Sie hier vorab das Interview zu Angriffsszenarien und Risiken für Shopbetreiber.

webselling: Welche Gefahren drohen Online-Shops im Internet, wenn die Webseite nicht richtig abgesichert wird?

Hendrik Lennarz: Mindestens 80% aller Webseiten weisen Schwachstellen auf. Online-Shops gelten jedoch als besonders gefährdet, da sie in der Regel eine Vielzahl sensibler Kundendaten verwalten und die Durchführung von Transaktionen mit monetärem Wert ermöglichen.

Gängige Angriffsszenarien können demnach sowohl dem Shopbetreiber, als auch dem Shopkunden auf direktem Wege Schaden zufügen. Die Übernahme von Benutzerzugängen, die Manipulation von Produktpreisen in der Datenbank oder die Nicht-Erreichbarkeit des Online-Shops sind beispielsweise nur einige der Gefahren die drohen, wenn ein Shopbetreiber seine Webseite nicht gegen bekannte Angriffe absichert.

Da für diese Angriffe heute grundsätzlich keine speziellen Werkzeuge, Skripte oder Programme notwendig sind, steigt die Gefahr für jeden Shop, dass verdientes Vertrauen bei den Kunden schnell wieder verspielt ist, sollte der Online-Shop Opfer eines schädigenden Angriffs werden.

webselling: Welche Fehler werden Ihrer Meinung nach von Shop-Betreibern diesbezüglich häufig gemacht?

Hendrik Lennarz: Man muss unterscheiden zwischen technischen Fehlern, die in der Programmierung oder der Systemkonfiguration gemacht werden und Fehlern, die mehr die Logik einzelner Vorgänge im Online-Shop betreffen.

Der Klassiker unter den technischen Schwachstellen ist natürlich die fehlende Validierung der Benutzereingabefelder einer Webseite. Dies kann das Einschleusen von schädlichem Code (Cross-Site Scripting) ermöglichen, der dem Angreifer beispielsweise Zugangsdaten und Passwörter zugänglich macht.

Von Hackern gern gesehen ist zudem die Verwendung veralteter Versionen von Standardsoftwarepaketen, denn dies erleichtert ihm die Arbeit, da er nicht einmal nach Schwachstellen suchen muss, weil diese bereits bekannt und öffentlich in den Foren des Anbieters dokumentiert wurden. So muss er nur einen entsprechenden Online-Shop finden, und die bekannte Schwachstelle ausnutzen.

Logische Fehler sind nicht weniger kritisch, da sie oftmals als Wegbereiter für technische Angriffe dienen. So ermöglicht beispielsweise die Ausgabe detaillierter Fehlermeldungen bei einem gescheitertem Login-Versuch einen Try-and-Error Angriff auf das System. Gibt man hingegen eine einheitliche Fehlermeldung aus, unabhängig davon, ob nun der eingegebene Benutzername oder das Passwort falsch waren, erhält der Angreifer keine zusätzlichen Informationen.

Die genannten Schwachstellen werden als sogenannte „Low-Hanging Fruits“ bezeichnet. Das bedeutet einerseits für den Angreifer einen sehr geringen Aufwand eine Schwachstelle in einem Online-Shop auszunutzen und andererseits für den Shopbetreiber, dass diese Schwachstellen mit relativ wenig Aufwand behoben werden können und somit die Schwierigkeit für einen schädigenden Angriff steigt.

webselling: Eingabemasken, wie etwa das Login für registrierte Kunden, zählen zu den meist genannten Sicherheitsrisiken. Sollte man als Shopbetreiber sicherheitshalber besser auf eine Kundenregistrierung verzichten?

Hendrik Lennarz: Es ist natürlich richtig, dass die Kundenregistrierung eines Online-Shops besonders häufig das Ziel zahlreicher Angriffe darstellt. Auf diese Funktionalität jedoch vollständig zu verzichten ist meines Erachtens nicht die richtige Lösung, da mittlerweile ein persönlicher Bereich vom Benutzer erwartet wird und demnach zur Benutzerfreundlichkeit des Online-Shops beiträgt.

Zudem denke ich, dass häufig nicht die technische Umsetzung des Login-Bereichs die eigentliche Schwachstelle darstellt, sondern eher der „böswillige“ Benutzer, der es verwendet. Vorgegebene Passwortrestriktionen wie beispielsweise eine bestimmte Mindestlänge oder die Verwendung wenigstens eines Sonderzeichens können derartige Angriffe bereits enorm erschweren. Bei dieser Frage muss der Shopbetreiber ein ausgewogenes Mittel zwischen einer angemessenen Benutzerfreundlichkeit und technischer Sicherheit finden.

Das Interview führte Markus Siek. Den vollständigen Bericht finden Sie in der Ausgabe 11/2007 des webselling Magazins.

Der im webselling-Artikel dargestellte kostenlose Security-Check ist eine erste Orientierung zum Thema. Nutzen Sie die Erfahrung der Trusted Shops Experten, um Optimierungspotentiale systematisch zu identifizieren. Begleitend zum Security-Check bietet Trusted Shops auch ein weiterführendes Security-Audit an:

Im Security-Audit wird in enger Zusammenarbeit mit dem Shopbetreiber eine sicherheitstechnische Untersuchung Ihrer Website vorgenommen. Mittels aktueller Prüfungssoftware testen Sicherheitsexperten Ihre Applikation auf bekannte grundlegende Sicherheitsrisiken. Ein detaillierter Audit-Report gibt Ihnen Auskunft über die Verwundbarkeiten und beschreibt erforderliche Gegenmaßnahmen. Ihr persönlicher Ansprechpartner steht für Fragen zu den Schwachstellen und den erforderlichen Lösungsmaßnahmen für Sie zur Verfügung.

Die folgende Übersicht stellt Angriffszenarien und -auswirkungen dar, die zu einem Image- und Kundenverlust führen können:

Mehr zu potentielle Schwachstellen und Risiken von Online-Shops lesen Sie in einem weiterführenden Blogbeitrag.