- Anzeigen -


Sie sind hier: Home » Markt » Nachrichten

Trotz Information: Infektionen nicht bereinigt


Online-Skimming: 1.000 deutsche Online-Shops betroffen
Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen

- Anzeigen -





Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegen Informationen vor, nach denen aktuell mindestens 1.000 deutsche Online-Shops von Online-Skimming betroffen sind. Dabei nutzen Cyber-Kriminelle Sicherheitslücken in veralteten Versionen der Shopsoftware, um schädlichen Programmcode einzuschleusen. Dieser späht dann beim Bestellvorgang die Zahlungsinformationen der Kunden aus und übermittelt sie an die Täter. Betroffen sind Online-Shops, die auf der weit verbreiteten Software Magento basieren.

Der eingeschleuste Code und der damit verbundene Datenabfluss sind für Nutzer üblicherweise nicht erkennbar. Über den Umfang der über diese Angriffe bereits abgeflossenen Zahlungsdaten liegen dem BSI zurzeit keine Erkenntnisse vor.

Basierend auf einer von einem Entwickler von Sicherheits-Tools für Magento durchgeführten Analyse wurden bereits im September 2016 weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert, darunter auch mehrere hundert Shops deutscher Betreiber. CERT-Bund benachrichtigte daraufhin die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops
(https://twitter.com/certbund/status/786526938500259840).

Aktuellen Erkenntnissen zufolge wurde diese Infektion von vielen Betreibern bis heute nicht entfernt oder die Server wurden erneut kompromittiert. Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen. Dies ermöglicht Cyber-Kriminellen, weiterhin Zahlungsdaten und andere bei Bestellungen eingegebene persönliche Daten von Kunden auszuspähen. Die Anzahl aktuell bekannter betroffener Online-Shops in Deutschland ist dadurch auf mindestens 1.000 angestiegen.

Das CERT-Bund des BSI hat heute erneut die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops in ihren Netzen informiert und ruft die Provider auf, die Informationen an ihre Kunden (Shop-Betreiber) weiterzuleiten.

"Leider zeigt sich nach wie vor, dass viele Betreiber bei der Absicherung ihrer Online-Shops sehr nachlässig handeln. Eine Vielzahl von Shops läuft mit veralteten Software-Versionen, die mehrere bekannte Sicherheitslücken enthalten", erklärt BSI-Präsident Arne Schönbohm. "Die Betreiber müssen ihrer Verantwortung für ihre Kunden gerecht werden und ihre Dienste zügig und konsequent absichern."

Nach § 13 Absatz 7 TMG sind Betreiber von Online-Shops verpflichtet, ihre Systeme nach dem Stand der Technik (https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS_125.html) gegen Angriffe zu schützen. Eine grundlegende und wirksame Maßnahme hierzu ist das regelmäßige und rasche Einspielen von verfügbaren Sicherheitsupdates.

Das BSI weist darauf hin, dass die Verpflichtung zur Absicherung von Systemen nicht nur für Unternehmen, sondern auch für alle anderen geschäftsmäßigen Betreiber von Websites gilt. Darunter fallen zum Beispiel auch Websites von Privatpersonen oder Vereinen, wenn mit deren Betrieb dauerhaft Einnahmen generiert werden sollen. Dies wird bereits dann angenommen, wenn auf Websites bezahlte Werbung in Form von Bannern platziert wird.

Betreiber von Online-Shops auf Basis von Magento können mit dem kostenfreien Dienst MageReport überprüfen, ob ihr Shop-System bekannte Sicherheitslücken aufweist und von den aktuellen Angriffen betroffen ist. Zu jedem erkannten Problem werden detaillierte Informationen zu dessen Behebung bereitgestellt. (BSI: ra)

eingetragen: 22.01.17
Home & Newsletterlauf: 31.01.17


BSI: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Nachrichten

  • Grüne wollen Stärkung der IT-Sicherheit

    Die Fraktion Bündnis 90/Die Grünen dringt auf eine Stärkung der IT-Sicherheit in Deutschland. Dazu soll die Bundesregierung ein umfangreiches Maßnahmenpaket umsetzen, fordert die Fraktion in einem Antrag (19/1328). So soll die Regierung nach dem Willen der Fraktion "schnellstmöglich ein neues IT-Sicherheitsgesetz vorlegen", das mehr als nur die bisher berücksichtigte kritische Infrastruktur umfassen und auch öffentliche Stellen einbeziehen soll. Die Verantwortung für IT-Sicherheit müsse aus dem Bundesinnenministerium herausgelöst werden, "um den effektiven Grundrechtsschutz zu stärken". Zudem müssten klare Zuständigkeiten innerhalb der Bundesregierung benannt werden.

  • Für effektive Verschlüsselung im Internet

    Die Deutsche Bundesregierung setzt sich für einen flächendeckenden Einsatz des verschlüsselten Übertragungsprotokolls HTTPS im Internet ein. Es werde regelmäßig auf die Bedeutung der Nutzung von HTTPS hingewiesen. Viele Webseiten des Bundes böten den Einsatz von HTTPS oder erzwängen ihn automatisch, heißt es in der Antwort (19/681) der Bundesregierung auf eine Kleine Anfrage (19/517) der Fraktion Die Linke. Insgesamt unterstützten von 2.997 verwendeten Domains der Bundesbehörden 84,6 Prozent HTTPS. Das sei ein guter Stand, der noch verbessert werden könne. Das Ziel sei, den Anteil der Behörden-Domains mit Verschlüsselung weiter zu erhöhen.

  • Sicherheit beim Internet der Dinge

    Mit dem Internet verbundene Gebrauchsgeräte ("Internet der Dinge") müssen nach Ansicht der Deutschen Bundesregierung Mindestsicherheitsanforderungen erfüllen. Ansonsten ginge von einer massenweisen Verbreitung solcher Geräte ein Risiko für die gesamte IT-Infrastruktur aus, heißt es in der Antwort (19/662) der Bundesregierung auf eine Kleine Anfrage der FDP-Fraktion (19/514). Es sei daher "gut und richtig, dafür Sorge zu tragen, dass diese vernetzbaren Geräte erstmals flächendeckende Mindestsicherheitsstandards aufweisen und diese dem Käufer auch transparent sind". Mit der Cybersicherheitsstrategie 2016 habe sich die Bundesregierung zum Ziel gesetzt, Vorschläge zu unterbreiten, damit Verbraucher auf Basis eines einheitlichen Gütesiegels beim Kauf neuer IT-Produkte schnell feststellen könnten, welches Angebot sicher sei.

  • Einsatzteam für Computernotfälle

    Die Europäische Union will sich besser gegen Cyberbedrohungen schützen. Die EU-Institutionen haben eine interinstitutionelle Vereinbarung unterzeichnet, mit der ein ständiges Einsatzteam für Computernotfälle (Computer Emergency Response Team - CERT-EU) für die europäischen Organe, Einrichtungen und Agenturen eingerichtet wird. Bereits im September hatte die EU-Kommission eine Reihe von Maßnahmen zur besseren Reaktionsfähigkeit der EU auf Cyberangriffe vorgeschlagen. Der für den digitalen Binnenmarkt zuständige Kommissionsvizepräsident Andrus Ansip erklärte: "Das Computer Emergency Response Team ist ein wichtiger Akteur beim Schutz der EU-Institutionen vor Cyber-Bedrohungen. Es zeigt, wie viel die EU-Institutionen erreichen können, wenn sie gemeinsam handeln."

  • Warnungen vor IT-Sicherheitslücken

    Öffentliche Warnungen vor Sicherheitslücken in informationstechnischen Systemen sind ein Thema der Antwort der Bundesregierung (18/13566) auf eine Kleine Anfrage der Fraktion Bündnis 90/Die Grünen (18/13413). Darin erkundigten sich die Abgeordneten unter anderem danach, ob die Bundesregierung die Auffassung teilt, "dass die Zurückhaltung beziehungsweise fehlende staatliche Meldung jeglicher Formen von Sicherheitslücken an Hersteller wie Bürgerinnen und Bürger im konkreten Fall nicht nur Gefahren für Einzelpersonen, sondern für die kritischen Infrastrukturen der Bundesrepublik Deutschland insgesamt nach sich ziehen können".