Mehr IT-Sicherheit im E-Commerce

7 Tipps für einen sicheren Online-Shop

1. 1

   https-Verschlüsselung aktivieren

   Die Verschlüsselung einer Datenverbindung zwischen Anbieter und Nutzer sollte heutzutage Standard sein. Mithilfe des Algorithmus TLS (für „Transport Layer Security“) wird verhindert, dass sensible Daten – etwa bei der Übertragung durch ein Formular – auf dem Weg zu ihrem rechtmäßigen Empfänger von Dritten ausgelesen werden können. Eine korrekt verschlüsselte Verbindung wird in der Adresszeile des Webbrowsers meist durch ein Vorhängeschloss symbolisiert, die volle Adresse beginnt in diesem Fall mit der Zeichenfolge „https“. Um ihre Website zu verschlüsseln, müssen Anbieter ein entsprechendes Zertifikat bei einem darauf spezialisierten Anbieter erwerben. Hochsensible Informationen wie Passwörter sollten stets mit einem aktuellen Algorithmus verschlüsselt auf dem Server hinterlegt werden – niemals im Klartext.
2. 2

   Login-Versuche begrenzen

   Cy­ber­an­grif­fe wie et­wa so­ge­nann­te Bru­te-Force-At­ta­cken ba­sie­ren auf ei­ner Viel­zahl von Log-in-Ver­su­chen, bei de­nen sys­te­ma­tisch zahl­rei­che Kom­bi­na­tio­nen von Nut­zer­na­me und Pass­wort durch­pro­biert wer­den. Li­mi­tiert der Sho­pan­bie­ter die ma­xi­ma­le Zahl fal­scher Pass­wort­ein­ga­ben, lau­fen sol­che At­ta­cken ins Lee­re. Der zu­ge­hö­ri­ge Ac­count wird dann meist ge­sperrt und ist oh­ne ma­nu­el­le Ak­ti­on der In­ha­be­rin oder des In­ha­bers nicht mehr nutz­bar. Häu­fig lässt sich die­se Ein­stel­lung mit we­ni­gen Klicks im Shop-Ba­ckend kon­fi­gu­rie­ren.
   
3. 3

   Sichere Passwörter vorschreiben

   Zu den häu­figs­ten Schwach­stel­len in On­line-Shops ge­hört laut BSI-Stu­die ei­ne un­ge­nü­gen­de Pass­wor­t­richt­li­nie. Un­si­che­re Pass­wör­ter, die bei­spiels­wei­se nur we­ni­ge Zei­chen lang sind, kei­ne Son­der­zei­chen oder Zif­fern be­inhal­ten, sind leicht ma­schi­nell zu kna­cken. So­fern den Kun­din­nen und Kun­den die Nut­zung ei­nes si­che­ren Pass­worts mit­hil­fe ei­ner ent­spre­chen­den Richt­li­nie vor­ge­schrie­ben wer­den kann, soll­ten Shop­be­trei­ber in je­dem Fall da­von Ge­brauch ma­chen.
   
4. 4

   Zwei-Faktor-Authentisierung aktivieren

   Bei Online-Zahlungen ist sie bereits Pflicht: Die sogenannte starke Authentifizierung, auch als Zwei- oder Multi-Faktor-Authentisierung bezeichnet, verringert das Risiko eines missbräuchlichen Zugriffs auf Kundenprofile im Online-Shop beträchtlich. Zum Log-in ist dabei neben einem Passwort auch ein separates Gerät notwendig, auf dem zum Beispiel ein einmalig verwendbarer PIN-Code generiert wird. Eine Multi-Faktor-Authentisierung gehört noch nicht bei allen Shopsystemen zum Funktionsumfang.
5. 5

   Captchas einbinden

   Auch die „Captcha“ genannte Anwendung stellt einen wirksamen Schutz gegen automatisierte Log-in-Versuche dar: Sie stellt sicher, dass der Zugriff tatsächlich durch einen Menschen und nicht maschinell erfolgt. Vor der Anmeldung wird die Nutzerin oder der Nutzer dabei zum Beispiel zur korrekten Eingabe einer verfremdet dargestellten Zeichenfolge aufgefordert – oder muss alle Fotos anklicken, die einen bestimmten Gegenstand zeigen, etwa eine Verkehrsampel. Achtung, DSGVO: Die Einbindung eines Captchas erfordert in der Regel mindestens eine Anpassung der Datenschutzerklärung. Das bekannte Google-Produkt „reCaptcha“ ist nach Einschätzung von Expertinnen und Experten sogar ausschließlich nach vorheriger Einwilligung einsetzbar.
   
6. 6

   Ausführung von Fremdcode verhindern

   Spezielle Eingaben in Formularfelder eines Online-Shops können es Kriminellen ermöglichen, Schadcode auf dem Server auszuführen. Ein wichtiger Schritt zur Verhinderung eines derartigen Angriffs besteht darin, die Formulareingaben vor der Übertragung auf ihre Gültigkeit zu prüfen (Validierung). Problematische Inhalte – beispielsweise Eingaben im HTML-Format – können dann blockiert oder durch eine sogenannte Maskierung unschädlich gemacht werden. Auch die Implementierung einer strengen „Content Security Policy“ (CSP) kann die Ausführung eingeschleuster Schadskripte unterbinden. Die CSP wird im HTML-Code der Website deklariert.
   
7. 7

   Regelmäßig Updates durchführen

   Softwarehersteller bemühen sich in der Regel, bekannte Schwachstellen in ihren Produkten durch Updates zu beheben. Aus diesem Grund sollten Betreibende von Online-Shops die Aktualisierung ihrer Shopsoftware gegebenenfalls nicht auf die lange Bank schieben. Das Gleiche gilt übrigens auch für das Website-CMS (z. B. WordPress). Produkte, für die der Hersteller keine Updates und Sicherheits-Patches mehr anbietet (End-of-Life-Produkte), stellen ein hohes Sicherheitsrisiko dar und sollten nicht verwendet werden.