10Die

hartnäckigsten Gerüchte über die Website-Sicherheit

Einleitung

In vielen Unternehmen werden selbst die einfachsten Website-Sicherheitsmaßnahmen vernachlässigt. Ein Grund dafür sind weit verbreitete Gerüchte und Missverständnisse, die dazu

führen, dass Gefahren, die jeder Website drohen, vielerorts schlicht nicht wahrgenommen werden.

Um Ihr Unternehmen wirksam zu schützen, müssen Sie diese Missverständnisse ausräumen,der Realität ins Auge sehen und Ihre Abwehrmaßnahmen, Richtlinien und Prozeduren stärken, bis Sie mit Gewissheit sagen können: „Mehr kann ich nicht tun“. Und dann müssen Sie genauer

hinsehen und mehr tun.

Doch beginnen wir am Anfang: Was sind diese Gerüchte und was steckt dahinter?

Hacker? Die interessieren sich doch nicht für mich!

Gerücht Nr. 1

Viele Website-Betreiber glauben, dass ihre Website ein so kleiner Fisch im Internet-Ozean ist, dass kein

Hacker sie auch nur ansehen würde.Hacker werfen ihre Netze heute aber sehr weit aus.

Hacking? It won’t happen to me!

Gehen Sie davon aus, dass Hacker Ihre Website immer im Visier habenWenn Sie davon ausgehen, dass Hacker Ihre Website ununterbrochen mithilfe von Skripten auf Schwachstellen „abklopfen“, sind Sie der Wahrheit am nächsten. Viel-leicht gibt es auf Ihrer Website wirklich nichts zu stehlen. Es ist allerdings auch möglich, dass Ihre SQL-Datenbank der reinste Leckerbissen für Kriminelle ist, die sich auf Identitätsdiebstahl spezialisiert haben.

Ihre SQL-Datenbank könnte zum Identitätsdiebstahl missbraucht werden Jeder Angriff birgt die Gefahr, dass ein Hacker Änderungen an Ihrer Website vor-nimmt, ohne dass Sie das bemerken. Zudem nutzen Internetkriminelle nun auch das sogenannte „Spear-Phishing“. Dazu beschaffen sie sich vertrauliche Daten und nutzen diese dann in gefälschten, aber sehr echt wirkenden E-Mails, in denen sie sich beispielsweise als Kollege des Opfers oder Mitarbeiter seiner Bank ausgeben. Mit diesen E-Mails versuchen sie, das Opfer zur Preisgabe von persönlichen Daten, Betriebsgeheimnissen oder anderen vertraulichen Informationen zu bewegen.

Hackern ist es egal, wie groß Ihr Unternehmen istUnabhängig davon, ob und was es auf Ihrer Website zu stehlen gibt, sollten Sie vor allem eines beherzigen: Hackern ist es egal, wie groß Ihr Unternehmen ist. Sie haben Ihre Website im Visier.

Sicherheitsrisiken Gerücht Nr. 2

Die Verantwortlichen vieler Unternehmen glauben, dass alle Risiken sich irgendwie abschätzen lassen. Im Bereich Website-Sicherheit ist das schlicht falsch. Wie können Sie

beispielsweise abschätzen, was eine gehackte Website oder ein ernsthaft infiziertes Netzwerk Sie kosten würde?

lassen sich quantifizieren

Unternehmen messen?Wie beziffern Sie den Schaden, der entstehen würde, wenn Betriebsgeheimnisse oder vertrauliche Kundendaten in die falschen Hände fielen? Wie können Sie die Auswirkungen eines solchen Vorfalls beziffern oder abschätzen, wie lange Ihr Unternehmen brauchen würde, um sich davon zu erholen? Und welcher langfristige Schaden würde entstehen, wenn Kunden nach einem Datenleck lieber bei Ihren Mitbewerbern einkaufen?

Woran können Sie erkennen, wie sicher Ihr Unternehmen ist?Natürlich müssen Sie wenigstens ungefähr wissen, wie sicher Ihr Unternehmen ist. Deshalb empfiehlt es sich, Sicherheitsmaßnahmen systematisch Schritt für Schritt zu implementieren. So gewinnen Sie einen detaillierten Einblick in Ihre Sicherheitsinfrastruktur und können gezielt die Strategien und Systeme auswählen, die die Anforderungen Ihres Unternehmens am besten erfüllen.

Für die Sicherheitsmaßnahmenist der CISO verantwortlich.

Gerücht Nr. 3

Der Chief Information Security Officer (CISO) ist für die Ausarbeitung einer unternehmensweiten Strategie und die Umsetzung geeigneter Maßnahmen verantwortlich, um die

materiellen und immateriellen Werte eines Unternehmens an-gemessen zu schützen. Doch sollte er oder sie wirklich ganzallein für die Ausarbeitung und Implementierung sämtlicher

Sicherheitsmaßnahmen verantwortlich sein?

Diese Verantwortung sollte nicht auf einer einzigen Person lastenDie Sicherheitsstrategie und die einzelnen Maßnahmen sollten an den spezifischen Anforderungen des Unternehmens ausgerichtet sein. In den meisten Unternehmen bedeutet das, dass verschiedene Personen und Abteilungen im ganzen Unterneh-men in den Prozess eingebunden werden müssen.

Die Informationssicherheit ist kein rein technisches Problem mehr Neben der unmittelbaren Abwehr von Bedrohungen wirkt sie sich auch auf das Mit- arbeitermanagement, die Definition von Arbeitsprozessen, rechtliche Fragen, das Risikomanagement, die Öffentlichkeitsarbeit, die physische Sicherheit, organisatori-sche Änderungen u. a. m. aus.

Das Risikomanagement gehört unbedingt dazuAngesichts der komplexen Bedrohungslage ist offensichtlich, dass das Risikomanage-ment ein unverzichtbarer Bestandteil der Informationssicherheit ist. Zur Bewertungder einzelnen Risiken müssen zahlreiche Stakeholder aus allen Unternehmensberei-chen herangezogen werden. Die Rolle des CISO sollte eher die eines zentralen Kontaktpunktes sein, bei dem die Fäden zusammenlaufen.

4SSList defekt.

Gerücht Nr. 4

Mancherorts kursiert das Gerücht, dass die Protokolle Transport Layer Security (TLS) und Secure Sockets

Layer (SSL) defekt seien. Viele SSL-Gegner glauben, dass SSL durch ein völlig neues System ersetzt werden sollte.

Manche wollen sogar Zertifizierungsstellen (CA) abschaffen.

Hacking? It won’t happen to me!

Vorfälle aufgrund unzureichender Sicherheitsmaßnah-men bei AnwendernDie Vorteile, die SSL seit langer Zeit bietet, werden bei dieser Argumentation völlig außer Acht gelassen. SSL-Zertifikate gelten allgemein als das zuverlässigste und am weitesten einsetzbare Verschlüsselungsverfahren der Welt. Warum also die Forderungen nach einem völlig neuen System? In letzter Zeit machten mehrere Sicherheitsverstöße Schlagzeilen, in denen auch SSL eine Rolle spielte. Dabei leisteten jedoch meist unzureichende interne Sicherheitsmaßnahmen beim Anwender den Angreifern Vorschub und nicht Probleme mit SSL.

SSL funktioniert und ist ein unverzichtbarer Bestandteil jeder umfassenden SicherheitsstrategieSSL-Zertifikate sind seit fast 20 Jahren die zuverlässigste, bewährteste und in großem Umfang einsetzbare Methode zum Schutz von Online-Transaktionen. SSL ist nach wie vor ein unverzichtbarer Bestandteil jeder umfassenden Strategie für die Website-Sicherheit.

5Gerücht Nr. 5

Ihr Geschäft und Ihre Kunden sind nicht automatisch gegen alle Angriffe gefeit, nur weil Sie keine Kreditkarten-daten speichern. Internetkriminelle haben auch andere

Ziele im Auge und können Ihrem Unternehmen und seinem guten Ruf auf vielfältige Art schaden.

Ich speichere keine Kreditkartendaten,

also brauche ich kein SSL.

Hacking? It won’t happen to me!

Sie benötigen eine umfassende SicherheitsstrategieNur so können Sie Hackern den Zugang zu Ihrer Website verwehren. Unter anderem sollten Sie alle Bereiche Ihrer Website, in denen Kunden Daten eingeben, mit den stärksten verfüg-baren Maßnahmen schützen. Außerdem sollten Sie natürlich strenge Richtlinien für Anmelde-daten einführen.

Sichere BereicheDies sind interaktive und individuell angepasste „Portale“ auf Ihrer Website, in denen Kunden auf vertrauliche Daten zugreifen können. Sie können eine zusätzliche Sicherheitsebene einführen, indem Sie nur Anwendern mit einem elektronischen Zertifikat Zugang zu diesem Bereich gewähren.

Persönliche DatenWenn Sie persönliche Daten wie Name, E-Mail-Adresse, Telefonnummer und Postanschrift erfassen, wird Identitätsdiebstahl zu einer ernst zu nehmenden Bedrohung für Ihre Kunden. Mit dem Schutz dieser Daten schützen Sie jedoch nicht nur Ihre Kunden, sondern auch den guten Ruf Ihres Unternehmens. Denken Sie auch daran, dass immer mehr Verbraucher beim Online-Kauf auf die Sicherheit achten und Websites ohne SSL-Zertifikat meiden.

Selbst wenn Sie auf Ihrer Website nichts verkaufen, wissen Ihre Kunden den Schutz ihrer persönlichen Daten zu schätzen.

AnmeldedatenFür die Anmeldung auf Ihrer Website sollten Sie nur Kennwörter mit mindestens 10 Zeichen zulassen, die eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Weisen Sie Ihre Kunden auch darauf hin, dass sie dieselben Anmeldedaten auf keinen Fall für verschiedene Websites benutzen sollten.

6 anbieten, sind im Grunde alle gleich.

Gerücht Nr. 6

Nein, das sind sie nicht. Es gibt verschiedene Arten von Zertifikaten, die nicht alle gleich vertrauenswürdig sind.

Die Zertifikate, die

Domänenvalidierung Dies ist die günstigste Methode zum Schutz einer Website. Das Unternehmen, das die Website betreibt, wird allerdings weder authentifiziert noch überprüft.

Unternehmensvalidierung Vor der Ausstellung eines Zertifikats mit Unternehmensvalidierung überprüft die Zertifi-zierungsstelle anhand eines etablierten und akzeptierten manuellen Verfahrens, ob der Antragsteller im Auftrag eines seriösen Unternehmens handelt und ob dieses Unterneh-men tatsächlich der Inhaber der Website ist. Bei dieser Überprüfung werden jedoch nicht die strengsten vom CA/Browser Forum* definierten Kriterien benutzt.

Extended Validation (EV)Ein Zertifikat mit EV wird nur ausgestellt, wenn die strengsten Kriterien des CA/Browser Forums* in einer sorgfältigen Untersuchung erfüllt wurden. Zertifikate dieser Art bieten das höchste Maß an Sicherheit und schaffen das größte Kundenvertrauen. Bei der Anzeige einer Website mit einem solchen Zertifikat wird die Adressleiste ganz oder teilweise grün gefärbt, um den Besuchern zu signalisieren, dass alles „im grünen Bereich“ ist.

* Das CA/Browser Forum ist eine unabhängige Normungsorganisation, die verlangt, dass die Legitimi-tät und Integrität eines Unternehmens bzw. einer Organisation gründlich überprüft werden, bevor ein Zertifikat ausgestellt wird.

DV

oV

EV

Entscheiden Sie sich für ein SSL-Zertifikat mit EV von einer weltweit anerkannten ZertifizierungsstelleSchützen Sie Ihre Website mit einem SSL-Zertifikat mit EV, das von einer weltweit aner-kannten Zertifizierungsstelle wie Thawte ausgestellt wurde. Damit signalisieren Sie den Besuchern Ihrer Website, dass diese sicher ist und von einem seriösen, legitimen Unter-nehmen betrieben wird. Vor der Ausstellung vieler anderer Zertifikate wird dagegen nur die Domäne und weder der Besitzer noch der Betreiber der Website überprüft.

Zeigen Sie ein Vertrauenssiegel an Vertrauensmarken bzw. -siegel sind ein weiteres wichtiges Zeichen dafür, dass der Einkauf auf einer Website sicher ist. Das Thawte Trusted Site-Siegel verschafft Ihrer Website sofor-tige Glaubwürdigkeit im Internet, da es den Kunden visuell vermittelt, dass die Identität Ihrer Website überprüft wurde und die Website mit SSL gesichert ist.

7Gefährliche Websites sehen

schon zwielichtig aus. Meine Website ist sicher.

Gerücht Nr. 7

Egal, wie viel Zeit, Geld und Technik sie aufwenden – Ihre Website wird nie 100-prozentig sicher sein. Der erste Eindruck trügt leider all zu oft: Viele Websites sehen zwar

sicher aus, sind es aber nicht.

Hacker sind ständig auf der Suche nach Einfallstoren – und werden immer wieder fündigZwischen der Entdeckung einer Schwachstelle und der Veröffentlichung einer gepatchten Version durch den entsprechenden Softwareanbieter ist Ihr System Angreifern nahezu schutzlos ausgeliefert. Geben Sie sich kei- ner Illusion hin: Hacker haben Ihre Website bereits untersucht und wissen,welche Software Sie verwenden. Sobald eine Zero-Day-Schwachstelle indieser Software entdeckt wird, sind sie zum Zuschlagen bereit.

Keine Software ist perfekt Selbst die einfachste Website kommt nicht ohne Software aus – und jede Software enthält Fehler. Deshalb sollten Sie wissen, welche Software Ihre Website nutzt, und sich über Probleme, neue Versionen und Patches auf dem Laufenden halten.

Je mehr Hindernisse Sie Hackern in den Weg legen, desto sicherer ist Ihre WebsiteAbsolute Website-Sicherheit gibt es nicht, doch das sollte Sie nicht davon abhalten, alle Maßnahmen zu ergreifen, um Ihre Website so sicher wie möglich zu machen. Internetkriminelle sind Opportunisten. Je besser Sie Ihre Website verteidigen, desto wahrscheinlicher wird es, dass Hacker sich eine leichtere Beute suchen.

Ich brauche SSL nicht auf allen Webseiten.

Gerücht Nr. 8

8Viele Unternehmen und Organisationen nutzen SSL/TLS zwar, um den Datenaustausch während des Authentifizie-

rungsprozesses zu verschlüsseln, wenn ein Anwender sich auf ihrer Website anmeldet. Im weiteren Verlauf der Anwendersitzung werden Daten jedoch unverschlüsselt übertragen. Von dieser Praxis ist abzuraten, denn ange-sichts der sich ständig zuspitzenden Bedrohungslage

reicht dieser teilweise Schutz nicht mehr aus.

Mehr und längere AnwendersitzungenImmer mehr Menschen sind für immer längere Zeit bei ihren diversen Internet-Konten angemeldet. Internetkriminelle nutzen diesen Trend mit sogenannten Session-Side-jacking-Angriffen aus. Dabei fangen sie die HTTP-Pakete ab, die unverschlüsselt übertragen werden, nachdem ein Anwender sich angemeldet hat. Dadurch gelangen sie in den Besitz von (ebenfalls unverschlüsselten) Sitzungs-Cookies. Diese enthalten gewöhnlich Anwenderinformationen wie den Benutzernamen, das Kennwort und andere Daten über die aktuelle Sitzung.

Jedes Unternehmen, das den Schutz seiner Kunden ernst nimmt, sollte Always-On SSL implementierenSie brauchen lückenlosen Schutz für alle Webseiten, die Ihre Besucher aufrufen. Always-On SSL ist ein kostengünstiges Sicherheitsprinzip, das Website-Besucher während ihres gesamten Aufenthalts auf Ihrer Website schützt. Für Google, Micro-soft, PayPal, Symantec, Facebook, Twitter und andere führende Unternehmen gehört es zu den Best Practices. Jedes Unternehmen, das den Schutz seiner Kunden und seines guten Rufs ernst nimmt, sollte diesem Beispiel folgen und Always-On SSL mit SSL-Zertifikaten einer renommierten Zertifizierungsstelle implementieren.

9Meine Systeme sind sicher,

denn ich habe hervorragendeAntivirensoftware in meinem

Netzwerk installiert.

Gerücht Nr. 9

Es gab eine Zeit, zu der hervorragende Antivirensoftware allein ein Netzwerk schützen konnte. Diese Zeit ist jedoch

vorbei. Die Bedrohungslage hat sich zugespitzt. Inzwischen gibt es zahlreiche Malware-Varianten, die nicht mit auf Signaturen basierender Antivirensoftware erkannt und

abgewehrt werden können.

Auch die beste Antivirensoftware kann Sie nicht vor allen Angriffen schützenAuch hier findet der ewige Wettlauf zwischen Angreifern und Verteidigern statt: Hacker denken sich ständig neue und immer raffiniertere Angriffsmethoden aus, während die An-bieter von Sicherheitslösungen, IT-Administratoren und Anwender ihre Sicherheitsmaßnah-men kontinuierlich weiterentwickeln, um diese Angriffe abzuwehren. Hacker sind bereit, jede Schwachstelle in Ihrem System, Netzwerk oder sogar im Anwenderverhalten auszunutzen.

Antivirensoftware allein reicht nicht mehr ausMit Brute-Force-Angriffen nutzen sie gezielt verschiedene Schwachstellen in unterschied-lichen Systemen aus und wechseln dabei ständig die Taktik. Auch die beste Antivirensoft-ware kann nur einen Teil dieser Angriffe abwehren. Wer sich ausschließlich auf Antiviren-software verlässt, muss daher zunehmend mit teuren Systemausfällen, aufwendigen Wiederherstellungsmaßnahmen und erheblichen Datenverlusten rechnen.

Moderne Unternehmen brauchen ein umfassendes AbwehrsystemFür Internetkriminelle kann ein erfolgreicher Angriff sehr lukrativ sein. Deshalb scheuen sie nicht mehr davor zurück, erhebliche Ressourcen einzusetzen und beachtliche Sach-kenntnisse zu erwerben. Es ist davon auszugehen, dass sie in puncto Beharrlichkeit und Tücke mindestens ebenso viel zugelegt haben. Aus all diesen Gründen reicht Antiviren-software allein heute nicht mehr aus. Moderne Unternehmen und Organisationen benöti-gen ein umfassendes Abwehrsystem, das alle verfügbaren Sicherheitstechniken mitein-ander kombiniert.

10Wir habeneine Firewall,also sind wir vor

Gerücht Nr. 10

Dieses Gerücht ist weit verbreitet, ist aberdennoch eher Wunschdenken.

Angriffen geschützt.

Firewalls sollten als Übergangslösung betrachtet werdenMithilfe einer Firewall können viele potenziell schädliche Datenpakete blockiert werden. An Webserver gerichtete Anfragen muss eine Firewall jedoch passieren lassen, wenn der Web-server seine Funktion erfüllen soll. Eine speziell auf Webanwendungen zugeschnittene Firewall kann Ihren Webserver zwar vor bekannten Angriffsmethoden und ungewöhnlichen Anfragen schützen. Gegen Zero-Day-Angriffe, gültige Anfragen, die Ihre Daten manipulieren, und Angriffe, die gezielt Schwachstellen in Ihrer Geschäftslogik oder Ihrem Spezialcode ausnutzen, ist sie jedoch wirkungslos. Nachdem Sie einen solchen Angriff entdeckt haben, können Sie Ihre Firewall natürlich entsprechend anpassen. Das sollte jedoch immer nur eine Übergangs-lösung sein, die Ihren Webserver schützt, während Sie das eigentliche Problem beheben.

Mit SQL-Injection-Angriffen lassen sich Firewalls umgehen SQL-Injection-Angriffe gehören zu den größten Bedrohungen der Website-Sicherheit und sind dafür bekannt, dass sie schwer zu erkennen sind. Die raffiniertesten dieser Angriffe können das normale Anmeldeverfahren von Firewalls umgehen und die SQL-Befehle des Hackers direkt in zuvor geschützte Datenbanken einschleusen. Damit kann von Website-Sicherheit keine Rede mehr sein.

Unternehmen benötigen umfassende SicherheitsmaßnahmenWie also können Sie Ihre Website schützen? Indem Sie umfassende Sicherheitsmaßnahmen implementieren, die die unautorisierte Preisgabe von Daten verhindern und Sie umgehend auf alle Bedrohungen und Angriffe dieser Art aufmerksam machen. Neben Firewalls sind heute eine Reihe anderer Lösungen für die Abwehr von Angriffen an der Netzwerkgrenze verfügbar. Nutzen Sie eine effektive Kombination dieser Maßnahmen, um die Perimeter-Sicherheit zu einer wirkungsvollen Komponente Ihrer Sicherheitsstrategie auszubauen.

xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz

Schützen Sie Daten während der Übertragung mit einem SSL-Zertifikat von Thawte.Nicht alle SSL-Zertifikate sind gleich. Thawte konzentriert sich auf SSL, um Ihr Geschäft zu schützen. Millionen von Kunden in aller Welt vertrauen auf Online-Sicherheit von Thawte. Hier nur einige der vielen guten Gründe für einen Wechsel zu Thawte:

renommierte digitale Zertifikateweltweite Reputation für kompromisslose Sicherheit

SSL-Verschlüsselung mit bis zu 256 BitSupport der Spitzenklasse in mehreren Sprachen

neue, günstigere Preise, die zu jedem Sicherheitsbudget passenThawte Trusted Site-Siegel

Mit den renommierten digitalen Zertifikaten von Thawte schützen Sie Ihr Unternehmen und bauen so bei Ihren Kunden Vertrauen auf.

Warum Thawte?

Kaufen Testen Weitere Informationen

xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Lesen Sie unser ausführliches Whitepaper,um sich umfassend zu informieren.

Whitepaper herunterladen

®

Die 10 hartnäckigsten Gerüchteüber die Website-Sicherheit

Ein Leitfaden von Thawte

Whitepaper 2014