[datensicherheit.de, 05.12.2018] Der Online-Handel floriert zur Advendszeit und wird gleichzeitig zum Schauplatz für Cyber Crime: Verbraucher wie Shop-Betreiber stehen jetzt verstärkt im Fadenkreuz von Cyber-Angriffen. Denn in der umsatzstärksten Jahreszeit sind Händler eher mit ihrem Tagesgeschäft beschäftigt und kümmern sich weniger um die IT-Sicherheit. Oft wird auch die Besetzung in den IT-Abteilungen heruntergefahren – Adventszeit ist auch Urlaubszeit.
Privatpersonen werden leichter Opfer von Phishing-Angriffen. Betrügerische, aber täuschend echt aussehende, E-Mails werden jetzt nicht ganz so argwöhnisch betrachtet wie zu anderen Jahreszeiten. So haben Betrüger gute Karten, an Kunden- und Zahlungsdaten zu gelangen. Beliebt bei Cyberkriminellen sind jetzt auch Fake-Shops. Dazu setzen sie täuschend echt aussehende Shops auf: Wer hier jedoch bestellt und gleich bezahlt, sieht seine Waren nie.

© PSW Group

Christian Heutger, Geschäftsführer der PSW GROUP GmbH & Co. KG

Die IT-Sicherheitsexperten der PSW GROUP haben einige Tipps parat, worauf Käufer und Verkäufer achten sollten.

Tipps für Verbraucher: Phishing und Fake-Shops erkennen

Es gibt viele Möglichkeiten, wie Verbraucher E-Mails oder Webshops, in denen sie shoppen möchten, auf deren Seriosität überprüfen können:

• Absender-Adresse: Es ist nur der erste Schritt, aber bereits ein Blick auf den Absender einer E-Mail verrät, wo sie herkommt: Handelt es sich um eine bekannte Domain oder klingt sie bereits unseriös?
• Anrede im Anschreiben: In der Regel versenden Online-Shops, bei denen schon einmal bestellt wurde, E-Mails mit persönlicher Anrede. „Eine E-Mail, in der der Adressat mit sehr geehrter Herr, sehr geehrte Dame oder Ähnlichem angesprochen wird, sollte für Misstrauen sorgen“, mahnt Christian Heutger, Geschäftsführer der PSW GROUP.
• Rechtschreibung: Fake-Mails und -Shops strotzen für gewöhnlich vor Fehlern. Gehäufte Rechtschreibfehler in E-Mails und Webshops sind deshalb ein Anzeichen für Cyber Crime.
• SSL-Verschlüsselung: Persönliche Daten inklusive Zahlungsinformationen sollten ausschließlich verschlüsselt übertragen werden. „Verbraucher erkennen eine Verschlüsselung an einem kleinen Vorhängeschloss zu Beginn der Adresszeile sowie am Kürzel ‚https‘. Google Chrome warnt sogar vor unverschlüsselten Websites“, so Heutger.
• Zahlungsmodalitäten: Bietet ein Webshop nur eine Zahlungsmöglichkeit und dann auch noch Vorkasse, könnte es sich um eine Betrugsmasche handeln. Wer hier zahlt, erhält seine Ware höchstwahrscheinlich nie.
• Preise: Erscheinen die Preise eines Shops als zu gut, um wahr zu sein, ist Skepsis angebracht. „Selbst wenn sie Rabatte gewähren, müssen Händler auch etwas verdienen. Deshalb sollten die Preise nicht unglaubwürdig niedrig sein“, warnt Heutger.
• Gütesiegel: Vertrauenswürdige Online-Händler besitzen mindestens ein Gütesiegel, wie „Trusted Shops“ oder „EHI Geprüfter Online-Shop“. Um ein solches Siegel zu erhalten, haben sich Händler an strenge Vergabe-Richtlinien zu halten.
• Impressum: Ist das Impressum mit Firmen- und Inhabernamen, Anschrift und Kontaktdaten vollständig? Fehlen Angaben oder gar das Impressum, ist der Webshop als unseriös einzustufen. „Um beispielsweise reklamieren zu können, muss eine einfache Kontaktaufnahme über E-Mail oder Kontaktformular möglich sein. Auch ein Kaufrücktritt sowie der Widerruf müssen dem Kunden so einfach wie möglich gemacht werden“, gibt Christian Heutger einen weiteren Hinweis.
• Datenschutzerklärung & AGB: Europaweit sind die Veröffentlichung der Datenschutzerklärung und der Allgemeinen Geschäftsbedingungen Pflicht. Fehlt die Aufklärung darüber, wie, wo und wozu persönlichen Daten verwendet werden, sollte ein Webshop gemieden werden.
• Bewertungsplattformen: Bewertungsplattformen, Google-Rezensionen oder FAQ-Portale geben Eindrücke anderer User wider. Dort lässt sich leicht Auskunft darüber einholen, wie der Shop, allen voran Bestell- und Zahlungsabwicklung, bei anderen Nutzern ankam. „Geeignet sind Bewertungsplattformen, die ausschließlich echte Bewertungen zulassen. Dazu gehören ausgezeichnet.org sowie eKomi“, rät Heutger.

Tipps für Online-Händler: Schutz vor DDoS-Attacken

• Um Online-Händler anzugreifen, sind DDoS-Attacken ein beliebtes Mittel: Kriminelle generieren solange massenhaft künstlichen Traffic, bis der Server in die Knie geht. Ziel ist es, die Shop-Server lahmzulegen und Händler um ihren Umsatz zu bringen. Treffen kann das jeden. Mit diesen Sicherheitsmaßnahmen sind Händler gewappnet:
• Belastbarkeitsplan entwerfen: Er enthält die technischen Kompetenzen und eine Idee davon, wie der Geschäftsbetrieb unter dem Stress, der nach einem solchen Angriff entsteht, aufrechterhalten wird.
• Angriffserkennungsroutinen entwickeln: Es gibt sowohl großvolumige Angriffe als auch Angriffe von kurzer Dauer und mit geringem Volumen. „Letztere werden gestartet, um das Netzwerk zu testen und Sicherheitslücken aufzuspüren. Händler sollen sich deshalb mit den Netzwerkverkehrsmustern vertraut machen und sich über DDoS-Angriffsschutzlösungen informieren, die den Angriffsverkehr in Echtzeit erkennen“, rät Heutger.
• Filterung des Angriffs-Traffics: Um ein Netzwerk gegen DDoS-Angriffe abzusichern, wird ein Schutz im Internetzugang benötigt, der nur „saubere“ Daten weiterleitet und Angriffs-Traffic filtert. Viele Cloud-Lösungen werden hier als On-Demand-Lösungen angeboten. „Da hier manuelle Eingriffe in die Netzwerkkonfiguration erforderlich werden, greift der Schutz erst mit einigen Minuten Verzögerung. Alternativ existieren Always-on-Lösungen „On-Premise“ und „in the Cloud“, informiert der Sicherheitsexperte.
• DDoS-Abwehrinstanz in Firewall: In die vorhandenen Sicherheitssysteme sollten eine zusätzlich DDoS-Abwehrinstanz implementiert werden. Denn bei einer Attacke werden selbst leistungsfähige Firewall- sowie Intrusion Prevention-Systeme (IPS) derart mit Daten überflutet, dass Internet und damit diverse Dienste nicht mehr verfügbar sind.
• Challenge Response System: Um herauszufinden, ob Anfragen von realen Usern oder infizierten Endgeräten stammen, lohnt sich ein Challenge Response System. „Damit lässt sich eine Anfrage an den Client versenden. Antwortet dieser korrekt, kann der Zugriff gewährt werden. Andernfalls wird die Abfrage abgewiesen und die betroffene IP-Adresse gesperrt“, erklärt Christian Heutger.
• Multi-Layer Defence: Belegen DoS- und DDoS-Angriffe nur eine geringe Bandbreite, sind Firewalls in der Lage, sie zu erkennen und abzuwehren. Dabei muss jedes angreifende Paket durch entsprechende Firewall-Regeln bearbeitet werden. Das belastet die CPU des Firewall-Systems. Abhilfe schaffen Appliances, die auf mehrschichtige Abwehrmodelle setzen.

„Grundsätzlich kann nur eine mehrschichtige Strategie verlässlichen Schutz vor DDoS-Attacken bieten. Für welche DDoS-Lösung sich ein Händler entscheidet, er sollte sicherstellen, dass sie nicht nur Application-Layer-DDoS-Angriffe erkennt. Sie sollte auch benutzerdefinierte Muster und Techniken blockieren und über die Fähigkeit verfügen, anormale Verhaltensmuster im Verkehrsaufkommen zu erkennen“, gibt Christian Heutger einen abschließenden Rat.

Weitere Informationen zum Thema:

datensicherheit.de, 13.10.2018
Sicherheit nach Efail: Empfehlungen für private Nachrichten

datensicherheit.de, 02.10.2018
DSGVO: Datenminimierung im WHOIS hat Auswirkungen auf Domain-Registrare und Zertifizierungsstellen

datensicherheit.de, 06.09.2018
Mehr Vertraulichkeit im Internet durch DNS über HTTPS

datensicherheit.de, 28.06.2018
Whois: Bedrohung durch die DSGVO

[datensicherheit.de, 11.10.2018] Laut einer neuen Studie mit dem Titel Greatest Mobile Security Threats in the Enterprise macht ein gravierender Mangel an Übersicht über die genutzten Geräte und Netzwerke Unternehmen anfällig für Datenmissbrauch und Phishing-Angriffe. Die Studie, die Enterprise Mobility Exchange im Auftrag von NetMotion Software durchführte, zeigt, dass fast 50 Prozent der mobilen Arbeitnehmer während des größten Teils ihrer Arbeitszeit mit unternehmensfremden, öffentlichen Wi-Fi- und Carrier-Netzwerken verbunden sind. Von diesen 50 Prozent geben mehr als 27 Prozent an, zu über 76 Prozent der Zeit mit Netzwerken verbunden zu sein, die nicht ihrem Unternehmen gehören. Zudem verfügen mehr als 60 Prozent der Unternehmen nicht über die nötigen Tools, um zu prüfen, wann sich ein Gerät mit einem fremden Netz verbindet. Und über die Hälfte der Unternehmen sind sich nicht einmal sicher, wie sich der Geräte-Datenverkehr überwachen lässt und wie sie prüfen können, mit welchen Servern die Nutzer außerhalb der Firmen-Firewalls verbunden sind.

„Unsere Studie belegt, dass Unternehmen keine effektiven Strategien zum Schutz gegen mobile Sicherheitsbedrohungen entwerfen können, wenn sie nicht wissen, was die Geräte während eines wesentlichen Teils ihrer Nutzungszeit machen“, so Dorene Rettas, Geschäftsführerin, Enterprise Mobility Exchange. „Und mehr noch: Durch die vielfache Nutzung von Drittanbieter-Netzen entsteht ein blinder Fleck, der ausgeräumt werden muss, damit Geräte wirklich abgesichert werden können.“

Neben Datenlecks und Phishing-Angriffen hebt die Studie noch andere wesentliche Bedrohungen hervor, wie etwa unsichere Anwendungen, Spyware und Netzwerk-Spoofing. Die meisten Befragten gaben zwar an, irgendeine Form von Sicherheitsrichtlinien für Mobilgeräte zu haben, um die Risiken einzudämmen, doch rund ein Drittel setzt sie nicht aktiv durch. Und obwohl unsicheres Nutzerverhalten Unternehmensdaten gefährden kann, führen mehr als ein Drittel der Firmen (36 Prozent) keine Sicherheitsschulungen für ihre Mitarbeiter durch.

Wie die Studie weiter zeigte, bleiben viele Unternehmen selbst dann untätig, wenn sie sich der Bedrohungen bewusst sind. Fast die Hälfte der Befragten (49 Prozent) wissen nicht, wie viele Sicherheitsvorfälle mit Mobilgeräten sich bei ihnen im Vorjahr ereignet hatten. Und 66 Prozent der Unternehmen verlangen von den Benutzern nicht, sich über ein gesichertes VPN zu verbinden, um auf Unternehmensdaten zuzugreifen, und gefährden dadurch ihre internen Netzwerke.

„Die Arbeit im Büro und im Außendienst erfordert ständigen Zugang zu verschiedensten Anwendungen. Daher liegt es im eigenen Interesse eines Unternehmens, seinen Mitarbeitern sicheren Zugriff auf verschiedene Wi-Fi- und Carrier-Netze zu ermöglichen“, ergänzt Christopher Kenessey, CEO und Präsident von NetMotion. „Die Unternehmen haben jedoch noch einen weiten Weg zu gehen, um Transparenz und Kontrolle für das Geräte- und Nutzerverhalten in allen Netzwerken außerhalb der Firewall gewährleisten zu können.“

„Angesichts der großen Zahl von Außendienstmitarbeitern, die sich mit unternehmensfremden, ungeschützten Netzwerken verbinden, brauchen Unternehmen Tools zur Echtzeitsammlung von Daten, um die Sicherheitsbedrohungen für den heutigen mobilen Arbeitsplatz abzuwehren“, betont Nick McQuire, Vice President of Global Enterprise Research bei CCS Insight. „Transparenz und aussagekräftige Analysen sind nötig, damit die IT-Teams ihre Geräte und Netzwerke überwachen und so die Sicherheitsrisiken eindämmen können.“

Die Studie Greatest Mobile Security Threats in the Enterprise wurde im Juli und August 2018 in den Vereinigten Staaten durchgeführt. Dazu wurden mehr als 130 Personen in Unternehmen und Organisationen mit eigenen Mobilgeräten (Telefone, Tablets, Laptops) befragt. Die Teilnehmer kamen aus der Finanzindustrie, dem öffentlichen Sektor, dem Lagerwesen und anderen Bereichen.

Weitere Informationen zum Thema:

Enterprisemobilityexchange.com
Vollständige Studie „Greatest Mobile Security Threats in the Enterprisee“

NetMotion Software
Mobile Performance Management Software

datensicherheit.de, 27.09.2018
Venafi-Studie: Look-Alike-Domains sind Phishing-Risiko für Online-Shopper