Datensicherheit: Onlinehändler tragen eine besondere Verantwortung

Der diesjährige Sicherheitsbericht des CDN-Anbieter Akamai „State of the Internet“ ist durchaus alarmierend: Im letzten Jahr wurden weltweit Millionen von Websites angegriffen -  oft von Kriminellen, die gestohlene Nutzerdaten verwenden wollen. Vor allem auch kleinere Online-Händler sind gefährdet: Genauso wie die ganz Grossen, tragen sie nicht nur für ihre eigenen Daten, sondern auch für die ihrer Kunden die Verantwortung. Wer sich allerdings an einige grundsätzliche Regeln hält, kann viel dazu beitragen, seinen Online-Shop vor Angriffen und  die Daten seiner Kunden zu schützen.

Online-Shopping lebt vom Vertrauen der Kunden. Das ist ein Grund dafür,
dass riesige Anbieter wie Amazon immer grösser werden. Umso wichtiger
ist es für kleinere Händler, ihre Shops und die Daten Ihrer Kunden zu
schützen.                                                                                    Bild pixabay

Die erste Regel kann nicht oft genug wiederholt werden: Verwenden Sie komplexe Passwörter, zum Beispiel für den Administrationszugriff auf Ihr Shopsystem, den Zugang zu Datenbanken oder zu Web-Hosts. Wählen Sie Passwörter aus, die Buchstaben, Zahlen sowie Sonderzeichen enthalten und mindestens acht Zeichen lang sind. Einfache oder zu kurze Passwörter können leicht entschlüsselt werden. Nutzen Sie unterschiedliche Passwörter für jeden Zugang, dadurch verhindern Sie den Totalschaden bei Verlust eines einzigen Passwortes. Ein Passwortmanager kann bei der Verwaltung der unterschiedlichen Passwörter helfen.

Nutzen Sie Virenscanner und Firewalls: Virenscanner sind sehr effizient in der Abwehr von Viren und Trojanern. Setzen Sie zudem eine Firewall ein, an der ohne Genehmigung keine Änderungen vorgenommen werden können. Halten Sie die Schutzprogramme immer aktuell. Denken Sie ausserdem daran, Ihr Betriebssystem regelmäßig zu aktualisieren.

Halten Sie auch Ihr Shopsystem aktuell: Das gleiche, was für die Virenprogramme und Betriebssysteme gilt, ist ebenso für Ihr Shopsystem wichtig - halten Sie es immer auf dem neuesten Stand. Die meisten Anbieter stellen regelmässige Updates zur Verfügung, in denen bekannte Schwachstellen geschlossen werden und sicherheitsrelevante Features enthalten sein können.

Geizen Sie mit Schreibrechten auf dem Webserver: Je mehr Dateien Schreibrechte besitzen, desto größer ist das Risiko, dass Schadprogramme auf den Webserver gelangen können. Diese Dateien lesen im schlimmsten Fall Daten Ihrer Kunden aus. Vergeben Sie deshalb nur dort Schreibrechte, wo sie wirklich benötigt werden.

Sichern Sie Formulare ab: Formulare werden gerne als Einfallstor für Schadsoftware genutzt, zum Beispiel Suchformulare, Benutzerregistrierung oder Kundenlogin. Im Programmcode legen Sie fest, wie diese Daten verarbeitet und ausgelesen werden. Deshalb sollten Sie bei der Erstellung des Codes Algorithmen einbauen (lassen), die es Schadprogrammen erschweren, mittels sogenannter Code-Injection-Angriffe ins System vorzudringen.

Verschlüsseln Sie sensible Daten: Es gibt keine hundertprozentige Sicherheit und es wird sie auch niemals geben. Unveröffentlichte Schwachstellen kann kein Hersteller beheben und somit wird jedes System immer angreifbar bleiben. Umso wichtiger ist es, für den Fall der Fälle gewappnet zu sein. Eine sehr effektive Methode besteht darin, die Daten nur verschlüsselt abzuspeichern und den Schlüssel sicher und getrennt von den Daten aufzubewahren. Verschafft sich ein Angreifer Zugang zum System, findet er so nur unlesbare Daten vor.

Holen Sie sich professionelle Unterstützung: Niemand kann ein Spezialist für alles sein. Das gilt auch für die Datensicherheit. Hierfür gibt es Lösungen und Fachpersonal, die Sie in der Absicherung Ihres Online-Shops unterstützen und Ihnen klar benennen können, wo die Probleme liegen.

Erpresserwährung Bitcoin

Mit Bitcoin geht’s wieder bergauf; die Kurse sind seit Oktober letzten Jahres um rund 80 Prozent angestiegen. Ein Bitcoin kostet heute, am 7. April 2016, 405 Schweizer Franken. Der Wert des digitalen Geldes hat in den letzten Monaten genau wie die  Anzahl gemeldeter digitaler Erpressungsfälle ständig zugenommen. Das ist kein Zufall: Bitcoin ist perfekt dazu geeignet, durch Ransomware verursachte Geldübergaben anonym zu halten.

Mit den Bitcoinkursen geht's bergauf - und auch die Erpresser wissen das zu
schätzen.                                                                         Screenshot finanzen.net 

Ransomware, der Schrecken jedes IT-Administrators. Ein verseuchtes File wird auf einen PC hochgeladen – aus der Cloud oder per E-Mail – und schon geht gar nichts mehr. Die betroffenen Daten sind nicht mehr zugänglich, weil verschlüsselt; um sie zu entschlüsseln verlangen die Cyber-Erpresser ein Lösegeld, fast immer in Form von Bitcoin. Eines der bekanntesten Beispiele ist ein amerikanisches Spital: Das Hollywood Medical Center in Los Angeles bezahlte anfangs dieses Jahres 40 Bitcoins (zu diesem Zeitpunkt rund 17‘000 US-Dollar) um wieder Zugang zu den eigenen Daten zu bekommen.
Das elektronische Zahlungssystem mache es den Tätern leicht, bestimmte Vorgänge zu automatisieren.  Zitat aus der “Zeit“:

“Jedes Locky-Opfer muss an eine eigens eingerichtete Bitcoin-Wallet zahlen. Eine einzige Wallet, auf der immer wieder der gleiche Betrag eingeht, der irgendwann zudem sehr groß wird, könnte Ermittlern auffallen. Tausende Wallets, die jeweils nur 0,5 bis ein Bitcoin enthalten, nicht. Gleichzeitig kann die Software der Kriminellen selbsttätig prüfen, ob das Lösegeld schon in der jeweiligen Wallet eingetroffen ist, und dem Opfer dann einen Link zum Entschlüsseln seiner Daten schicken.“

Dass die Erpresser erwischt werden, passiert nur sehr selten, obwohl die angerichteten Schäden in die Milliarden gehen, wie die “Süddeutsche“ berichtet:

“5,25 MilliardenDateien soll allein die Erpresser-Software CryptoWall zwischen Mitte März und Ende August 2014 verschlüsselt haben. Knapp 1700 Opfer zahlten ein Lösegeld von insgesamt mehr als 1,1 Milliarden Dollar. Die verlangten Summen variierten zwischen 200 und 10 000 Dollar, bei den meisten verlangten die Erpresser 500 Dollar. Da das Lösegeld mittlerweile meist in der Kryptowährung Bitcoin bezahlt werden muss, lassen sich die Geldflüsse kaum nachverfolgen. Beim CoinVault-Fall, bei dem zwei junge Niederländer, zur Tatzeit 18 und 22 Jahre alt, verhaftet wurden, war es Kaspersky gelungen, die Spur der bösartigen Software zu verfolgen - auch das ist oft sehr schwierig. Die beiden hatten mindestens 1500 Windows-Computer attackiert, die meisten davon in ihrem Heimatland, in Deutschland, den USA, Frankreich und England.“

Dass es sich beim Phänomen der Bitcoin-Erpressungen um ein Problem handelt, das zahlreiche Unternehmen betrifft, zeigt eine Umfrage von Akamai bei Deutschen Unternehmen: Mehr als ein Drittel der Befragten gaben an, dass ihr Unternehmen schon einmal von einem Cyber-Angriff betroffen wurde. Als neues Phänomen kristallisierten sich dabei laut Akamai im letzten Jahr DDoS-Angriffe mit dem Ziel der Bitcoin-Erpressung heraus. So ergab die Akamai-Umfrage, dass immerhin neun Prozent der angegriffenen Unternehmen von Bitcoin-Erpressern attackiert wurden.