Home » News » Security Management » BSI-Studie: Onlineshops bergen oft Risiken

BSI-Studie: Onlineshops bergen oft Risiken

Kaum ein Unternehmen kann es sich heute noch leisten, auf die Präsentation der eigenen Produkte in einem Web-Shop zu verzichten. Bei der Wahl der Onlineshopping-Plattformen scheint jedoch Sicherheit nicht sehr weit oben zu stehen: Im Rahmen einer nun veröffentlichten Studie hat das BSI Software-Produkte für Onlineshops auf Schwachstellen untersucht und dabei insgesamt 78 Sicherheitslücken gefunden – teilweise mit gravierenden Auswirkungen auf das IT-Sicherheitsniveau von Daten der Verbraucherinnen und Verbraucher.

2 Min. Lesezeit
Foto: ©AdobeStock/THAWEERAT

Die Cyber-Sicherheitslage in Deutschland gilt als angespannt (https://www.bsi.bund.de/Lagebericht). Nach Erkenntnissen des BSI gilt dies auch für Bereiche des digitalen Verbrauchermarktes. In diesem Zusammenhang sind insbesondere Angriffe auf Kundendatenbanken von Onlineshops ein wichtiges Thema. Es handelt sich dabei zumeist um unbefugtes Abgreifen und die Offenlegung sensibler Verbraucherdaten – so genannte Datenleak-Vorfälle.

Über Onlineshops wird eine Vielzahl sensibler Daten von Verbraucherinnen und Verbrauchern verarbeitet. Neben persönlichen Kontaktdaten handelt es sich dabei in vielen Fällen auch um Bankverbindungen, Kreditkarten- und weitere Zahlungsdaten. Kein Wunder, dass Onlineshops längst im Fokus von Cyber-Kriminellen stehen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat daher in einer Studie die Sicherheitseigenschaften von Onlineshopping-Plattformen untersucht. Es handelt sich dabei um Software-Produkte, mit denen Onlinehändler ihre Webshops erstellen. Die Ergebnisse zeigen wichtige Handlungsbedarfe auf.

Fast alle im Rahmen der BSI-Studie untersuchten Produkte wiesen eine unzureichende Passwortrichtlinie auf. In sieben von zehn Shop-Softwareprodukten wurden JavaScript-Bibliotheken identifiziert, die verwundbar gegenüber bekannten Schwachstellen waren. In der Hälfte der untersuchten Produkte hat das BSI Software identifiziert, die das offizielle End-of-Life-Datum überschritten hatte und dementsprechend keine Sicherheits-Updates mehr erhält. Die identifizierten Schwachstellen behandelte das BSI im Rahmen des so genannten Coordinated-Vulnerability-Prozesses und sensibilisierte die betroffenen Software-Hersteller für die Problematik. Das BSI ruft Hersteller von Shop-Software dazu auf, Updates für identifizierte IT-Sicherheitslücken umgehend bereitzustellen, und appelliert an Betreiberinnen und Betreiber von Onlineshops, diese ebenso zeitnah zu implementieren oder alternativ auf sichere Produkte auszuweichen.

BSI-Vizepräsident Dr. Gerhard Schabhüser macht deutlich: „Die vorliegende Studie zeigt, dass die Verantwortung für sicheres Onlineshopping sowohl auf Hersteller- als auch auf Händlerseite liegt. Um die Gefahr künftiger Datenleak-Vorfälle zu senken und eine nachhaltige Steigerung des IT-Sicherheitsniveaus von Onlineshops zu erreichen, müssen Software-Hersteller regelmäßig Schwachstellenanalysen durchführen – aus Sicht des BSI bereits während der Produktentwicklung.“ Online-Händler sollten in ihrem eigenen Interesse bereits bei der Auswahl ihrer Shop-Software verstärkt auf IT-Sicherheit achten, um die Daten ihrer Kundinnen und Kunden bestmöglich zu schützen, so Schabhüser. Im Abschlussbericht der Studie gibt das BSI Onlineshop-Betreibenden eine entsprechende Orientierungshilfe.

Eine begleitend zur BSI-Studie durchgeführte Befragung von Verbraucherinnen und Verbrauchern ergab, dass rund ein Viertel aller Befragten bereits von Datenleaks beim Onlineshopping betroffen war. Die Hälfte der Befragten zeigte sich besorgt mit Blick auf mögliche Datenleaks. Allerdings zeigt der hohe Anteil derjenigen, die angaben, zumindest gelegentlich im Internet einzukaufen (91 Prozent) sowie der Anteil derjenigen, die laut eigener Aussage häufig im Internet einkaufen (55 Prozent), dass Onlineshopping für die Mehrheit der Verbraucherinnen und Verbraucher trotz bekannter Risiken ungebrochen attraktiv ist. BSI-Vizepräsident Schabhüser betont in diesem Zusammenhang: „Auch Verbraucherinnen und Verbraucher können und sollten beim Onlineshopping einen eigenverantwortlichen Beitrag für die Sicherheit ihrer Daten leisten.“

Andere interessante News

Cyberangriffe im Lichte der ISO 27001-Norm

Ein aktueller Trendreport zur Informationssicherheit im Jahr 2023 gibt einen Überblick über den aktuellen Stand der Informationssicherheit und beleuchtet dabei die größten Herausforderungen für Unternehmen in der heutigen Welt. Außerdem geht der Bericht auf die neue NIS2-Richtlinie ein und zeigt auf, was Unternehmen aus den jüngsten Datenpannen und Cyberangriffen lernen können.

Europäisches Cloud-Projekt geht an den Start

Das Bundeswirtschaftsministerium hat jetzt den Förderstart für ein erstes Teil-Projekt des EU-Programms „IPCEI-CIS“ angekündigt, mit dem Cloud- und Edge-Computing-Kapazitäten in der EU gestärkt werden sollen. Das Echo in der Branche ist positiv – für Bitkom-Präsident Achim Berg ist es beispielsweise ein „entscheidender Beitrag zu einer stärkeren europäischen digitalen Souveränität“.

Was nach einem Hackerangriff wichtig ist

Hackerangriffe nehmen weltweit immer mehr zu und der Krieg in der Ukraine trägt laut dem aktuellen Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Eskalation der Cyber-Kriminalität bei. Besonders Behörden und Unternehmen sind vermehrt Zielscheibe von Ransomware-Angriffen. Die große Preisfrage: Was tun, wenn es das eigene Unternehmen erwischt hat? Folgender Beitrag gibt einige Empfehlungen.