Gravierende Sicherheitslücken in vielen Webshop-Plattformen

"Sicherheitskatastrophe in Onlineshops" alarmiert iBusiness heute seine Leser und meint damit eine Pressemitteilung des Security-Unternehmens Integralis. Darin geben ‚Integralis-Spezialisten‘ die Schätzung ab, dass 50% aller Onlineshops angreifbar seien, 20% hätten sogar Sicherheitslücken, die das Auslesen oder die Manipulation von Kundendaten ermöglichten.

Verantwortlich seien einerseits Unwissenheit und fehlende Ressourcen auf Seiten der Händler, andererseits nimmt Integralis jedoch auch die Hersteller von Shopsoftware in die Pflicht:

"Die Sicherheit eines Online-Shops ist abhängig von dessen einwandfreiem Design und einer fehlerfreien Programmierung der zugrunde liegenden Web-Anwendung. Die schwerwiegendsten Sicherheitslücken treten dann auf, wenn die Überprüfung der Benutzereingaben fehlt oder ungenügend funktioniert."

Um diese Problematik zu verdeutlichen, nennt E-Business-Experte Matthias Straub* ein Beispiel: "Fehler in der Verarbeitung von Benutzereingaben werden von Hackern gerne ausgenutzt, um den Web-Shop zu unterwandern. Wird beispielsweise bei der Eingabe einer Bestellmenge nicht vom Web-Shop überprüft, ob es sich bei der Eingabe tatsächlich um eine Zahl handelt, kann ein Hacker auf diesem Weg eigene Kommandos an die Datenbank des Web-Shops absetzen. In vielen Fällen können dadurch extrem sensible Daten wie Kreditkarteninformationen in die Hände der Hacker gelangen und von diesen missbraucht werden"

Die – sicher nicht ganz uneigennutzigen! – Empfehlungen von Integralis fasst ebigo.de so zusammen: "Als Basisschutz empfiehlt Integralis, bereits bei der Entwicklung der Online-Shops auf eine korrekte Filterung aller Eingaben zu achten. Intelligente Webfilter, die vor die Online-Shops gestellt werden und die Anfragen aus dem Internet filtern, bieten einen zusätzlichen Schutz vor möglichen Angreifern. Darüber hinaus sei es ratsam, den Web-Shop mithilfe von Security-Audit-Tools auf Schwachstellen zu checken und gefundene Lücken schließen zu lassen."

Dennoch; auch, wenn bei der Integralis-Meldung Eigeninteresse sicher deutlich mitspielt, sollte man das Thema nicht einfach auf die leichte Schulter nehmen oder den Kopf in den Sand stecken!

Herzlich aus Hürth
Nicola Straub

*meines Wissens nach bin ich nicht verwandt oder verschwägert mit dem Integralis-Experten 😉