- Anzeigen -


Sie sind hier: Home » Markt » Nachrichten

Trotz Information: Infektionen nicht bereinigt


Online-Skimming: 1.000 deutsche Online-Shops betroffen
Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen

- Anzeigen -





Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegen Informationen vor, nach denen aktuell mindestens 1.000 deutsche Online-Shops von Online-Skimming betroffen sind. Dabei nutzen Cyber-Kriminelle Sicherheitslücken in veralteten Versionen der Shopsoftware, um schädlichen Programmcode einzuschleusen. Dieser späht dann beim Bestellvorgang die Zahlungsinformationen der Kunden aus und übermittelt sie an die Täter. Betroffen sind Online-Shops, die auf der weit verbreiteten Software Magento basieren.

Der eingeschleuste Code und der damit verbundene Datenabfluss sind für Nutzer üblicherweise nicht erkennbar. Über den Umfang der über diese Angriffe bereits abgeflossenen Zahlungsdaten liegen dem BSI zurzeit keine Erkenntnisse vor.

Basierend auf einer von einem Entwickler von Sicherheits-Tools für Magento durchgeführten Analyse wurden bereits im September 2016 weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert, darunter auch mehrere hundert Shops deutscher Betreiber. CERT-Bund benachrichtigte daraufhin die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops
(https://twitter.com/certbund/status/786526938500259840).

Aktuellen Erkenntnissen zufolge wurde diese Infektion von vielen Betreibern bis heute nicht entfernt oder die Server wurden erneut kompromittiert. Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen. Dies ermöglicht Cyber-Kriminellen, weiterhin Zahlungsdaten und andere bei Bestellungen eingegebene persönliche Daten von Kunden auszuspähen. Die Anzahl aktuell bekannter betroffener Online-Shops in Deutschland ist dadurch auf mindestens 1.000 angestiegen.

Das CERT-Bund des BSI hat heute erneut die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops in ihren Netzen informiert und ruft die Provider auf, die Informationen an ihre Kunden (Shop-Betreiber) weiterzuleiten.

"Leider zeigt sich nach wie vor, dass viele Betreiber bei der Absicherung ihrer Online-Shops sehr nachlässig handeln. Eine Vielzahl von Shops läuft mit veralteten Software-Versionen, die mehrere bekannte Sicherheitslücken enthalten", erklärt BSI-Präsident Arne Schönbohm. "Die Betreiber müssen ihrer Verantwortung für ihre Kunden gerecht werden und ihre Dienste zügig und konsequent absichern."

Nach § 13 Absatz 7 TMG sind Betreiber von Online-Shops verpflichtet, ihre Systeme nach dem Stand der Technik (https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS_125.html) gegen Angriffe zu schützen. Eine grundlegende und wirksame Maßnahme hierzu ist das regelmäßige und rasche Einspielen von verfügbaren Sicherheitsupdates.

Das BSI weist darauf hin, dass die Verpflichtung zur Absicherung von Systemen nicht nur für Unternehmen, sondern auch für alle anderen geschäftsmäßigen Betreiber von Websites gilt. Darunter fallen zum Beispiel auch Websites von Privatpersonen oder Vereinen, wenn mit deren Betrieb dauerhaft Einnahmen generiert werden sollen. Dies wird bereits dann angenommen, wenn auf Websites bezahlte Werbung in Form von Bannern platziert wird.

Betreiber von Online-Shops auf Basis von Magento können mit dem kostenfreien Dienst MageReport überprüfen, ob ihr Shop-System bekannte Sicherheitslücken aufweist und von den aktuellen Angriffen betroffen ist. Zu jedem erkannten Problem werden detaillierte Informationen zu dessen Behebung bereitgestellt. (BSI: ra)

eingetragen: 22.01.17
Home & Newsletterlauf: 31.01.17


BSI: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Nachrichten

  • Förderung der Kommunikationstechnologie

    Um dem rasanten Wandel in der Digitalisierung nicht nur Schritt zu halten, sondern ihn auch zu gestalten und damit Deutschlands künftigen Wohlstand zu sichern, sind eigene Kompetenzen in strategisch Feldern der Informations- und Kommunikationstechnologie (IKT) unverzichtbar. Zu diesen bedeutsamen IKT-Feldern zählen vor allem Künstliche Intelligenz, Cybersecurity, digitale Plattformen (insbesondere sogenannte "Smart Services"), Blockchain-Technologie, Cloud Computing, Quantencomputing, Mikroelektronik, Kommunikations- und Netzwerktechnologien sowie Datenwissenschaften, schreibt die FDP-Fraktion in einer Kleinen Anfrage (19/3314).

  • Bayern verstärkt Kampf gegen Cybercrime

    Bayern verstärkt den Kampf gegen Cybercrime und baut seine Zentralstelle Cybercrime Bayern (ZCB), die bei der Generalstaatsanwaltschaft Bamberg eingerichtet ist, personell und strukturell aus. Bayerns Justizminister Prof. Dr. Winfried Bausback hierzu in München: "Mit mehr Kompetenzen und mehr Personal machen wir unsere Zentralstelle noch schlagkräftiger und noch zukunftsfähiger. Künftig werden wir auch im Bereich Wirtschafts-Cybercrime mit gebündelter Kompetenz der Schattenseite des Internets die Stirn bieten."

  • Kompromittierung deutscher Regierungsnetze

    Die Zahl der im "Informationsverbund Bonn-Berlin" (IVBB) in den Jahren 2016 und 2017 abgefangenen E-Mails mit Schadsoftware ist ein Thema der Antwort der Bundesregierung (19/1867) auf eine Kleine Anfrage der Fraktion Die Linke (19/1390) mit dem Titel "Kompromittierung deutscher Regierungsnetze". Darin verweist die Bundesregierung auf Berichte des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur IT-Sicherheit in Deutschland von 2016 und 2017. Hiernach seien 2016 monatlich zirka 44.000 und 2017 monatlich zirka 52.000 mit Schadcode infizierte E-Mails in den Regierungsnetzen abgefangen worden. Ferner seien 2016 täglich zirka 3.600 und 2017 täglich zirka 5.200 Verbindungsversuche aus den Regierungsnetzen zu Schadcodeservern blockiert worden.

  • Umgang mit Verschlüsselungstechnologien

    Der Umgang mit Verschlüsselungstechnologien ist ein Thema der Antwort der Deutschen Bundesregierung (19/1434) auf eine Kleine Anfrage der Fraktion Bündnis 90/Die Grünen (19/982). Wie die Bundesregierung darin darlegt, hat sie sich "bereits im Jahr 1999 mit dem Kabinettbeschluss "Eckpunkte der deutschen Kryptopolitik" gegen jegliche Schwächung, Modifikation oder Verbot von Verschlüsselung oder ein Kompromittieren von Sicherheitsstandards der digitalen Kommunikation bekannt". Gleichzeitig gelte aber auch, "dass durch die Verbreitung starker Verschlüsselungsverfahren die gesetzlichen Befugnisse der Strafverfolgungs- und Sicherheitsbehörden nicht ausgehöhlt werden dürfen". Sie halte "deshalb ihre bisherige IT-Sicherheitspolitik, vor allem hinsichtlich der eigenen Positionierung zum Umgang mit Verschlüsselungstechnologien, für die Integrität digitaler Infrastrukturen und Angebote für förderlich", führt die Bundesregierung weiter aus.

  • "Entschlüsselungsplattform" bei Europol

    Der Umgang mit verschlüsselten Inhalten bei der EU-Polizeiagentur Europol ist ein Thema der Antwort der Deutschen Bundesregierung (19/1435) auf eine Kleine Anfrage der Fraktion Die Linke (19/993). Darin schrieb die Fraktion, dass Europol "weitere fünf Millionen Euro zur Entwicklung von Fähigkeiten zum Auslesen verschlüsselter Inhalte" erhalten solle. Wie die Bundesregierung in ihrer Antwort ausführt, stellt Verschlüsselung die Sicherheitsbehörden in der EU vor wachsende Herausforderungen bei den Ermittlungen. Daher sei es notwendig, dass Europol den betroffenen Sicherheitsbehörden die erforderliche Unterstützung zukommen lassen kann. Dies könne auch mit der Ausstattung von Europol mit Finanzmitteln einhergehen.