Mehr IT-Sicherheit im E-Commerce

Die Verschlüsselung einer Datenverbindung zwischen Anbieter und Nutzer sollte heutzutage Standard sein. Mithilfe des Algorithmus TLS (für „Transport Layer Security“) wird verhindert, dass sensible Daten – etwa bei der Übertragung durch ein Formular – auf dem Weg zu ihrem rechtmäßigen Empfänger von Dritten ausgelesen werden können. Eine korrekt verschlüsselte Verbindung wird in der Adresszeile des Webbrowsers meist durch ein Vorhängeschloss symbolisiert, die volle Adresse beginnt in diesem Fall mit der Zeichenfolge „https“. Um ihre Website zu verschlüsseln, müssen Anbieter ein entsprechendes Zertifikat bei einem darauf spezialisierten Anbieter erwerben. Hochsensible Informationen wie Passwörter sollten stets mit einem aktuellen Algorithmus verschlüsselt auf dem Server hinterlegt werden – niemals im Klartext.

Cyberangriffe wie die eingangs erwähnte Brute-Force-Attacke auf eine Online-Buchhandlung basieren auf einer Vielzahl von Login-Versuchen, bei denen systematisch zahlreiche Kombinationen von Nutzername und Passwort durchprobiert werden. Limitiert der Shopanbieter die maximale Zahl falscher Passworteingaben, laufen solche Attacken ins Leere. Der zugehörige Account wird dann meist gesperrt und ist ohne manuelle Aktion des Inhabers nicht mehr nutzbar. Häufig lässt sich diese Einstellung mit wenigen Klicks im Shop-Backend konfigurieren.

Zu den häufigsten Schwachstellen in Online-Shops gehört laut BSI-Studie eine ungenügende Passwortrichtlinie. Unsichere Passwörter, die beispielsweise nur wenige Zeichen lang sind, keine Sonderzeichen oder Ziffern beinhalten, sind leicht maschinell zu knacken. Sofern den Kunden die Nutzung eines sicheren Passworts mithilfe einer entsprechenden Richtlinie vorgeschrieben werden kann, sollten Shopbetreiber in jedem Fall davon Gebrauch machen.

Bei Online-Zahlungen ist sie bereits Pflicht: Die sogenannte starke Authentifizierung, auch als Zwei- oder Multi-Faktor-Authentisierung bezeichnet, verringert das Risiko eines missbräuchlichen Zugriffs auf Kundenprofile im Online-Shop beträchtlich. Zum Log-in ist dabei neben einem Passwort auch ein separates Gerät notwendig, auf dem zum Beispiel ein einmalig verwendbarer PIN-Code generiert wird. Eine Multi-Faktor-Authentisierung gehört noch nicht bei allen Shopsystemen zum Funktionsumfang.

Auch die „Captcha“ genannte Anwendung stellt einen wirksamen Schutz gegen automatisierte Log-in-Versuche dar: Sie stellt sicher, dass der Zugriff tatsächlich durch einen Menschen und nicht maschinell erfolgt. Vor der Anmeldung wird der Nutzer dabei zum Beispiel zur korrekten Eingabe einer verfremdet dargestellten Zeichenfolge aufgefordert – oder er muss alle Fotos anklicken, die einen bestimmten Gegenstand zeigen, etwa eine Verkehrsampel. Achtung, DSGVO: Die Einbindung eines Captchas erfordert in der Regel mindestens eine Anpassung der Datenschutzerklärung. Das bekannte Google-Produkt „reCaptcha“ ist nach Einschätzung von Experten sogar ausschließlich nach vorheriger Einwilligung einsetzbar.

Spezielle Eingaben in Formularfelder eines Online-Shops können es Kriminellen ermöglichen, Schadcode auf dem Server auszuführen – so geschehen Anfang 2022 über das von einem deutschen Computerhersteller genutzte Shopsystem. Durch die Ausnutzung einer sogenannten Stored-XSS-Lücke waren Adressdaten von Shopkunden für Unbefugte zugänglich. Ein wichtiger Schritt zur Verhinderung eines derartigen Angriffs besteht darin, die Formulareingaben vor der Übertragung auf ihre Gültigkeit zu prüfen (Validierung). Problematische Inhalte – beispielsweise Eingaben im HTML-Format – können dann blockiert oder durch eine sogenannte Maskierung unschädlich gemacht werden. Auch die Implementierung einer strengen „Content Security Policy“ (CSP) kann die Ausführung eingeschleuster Schadskripte unterbinden. Die CSP wird im HTML-Code der Website deklariert.

Softwarehersteller bemühen sich in der Regel, bekannte Schwachstellen in ihren Produkten durch Updates zu beheben. Aus diesem Grund sollten Betreibende von Online-Shops die Aktualisierung ihrer Shopsoftware gegebenenfalls nicht auf die lange Bank schieben. Dasselbe gilt übrigens auch für das Website-CMS (z. B. WordPress). Produkte, für die der Hersteller keine Updates und Sicherheits-Patches mehr anbietet (End-of-Life-Produkte), stellen ein hohes Sicherheitsrisiko dar und sollten nicht verwendet werden.