IT-Sicherheit: Themenfokus Website-Gestaltung

Transkript

1 Informationsbroschüre Informationsbroschüre für Einsteiger IT-Sicherheit: Themenfokus Website-Gestaltung

2 Herausgeber Maria Klees, E-Commere-Center Handel, Köln c/o IfH Institut für Handelsforschung GmbH Dürener Str. 401b Köln Telefon: Telefax: Internet: Text und Redaktion Maria Klees, ECC Handel, Köln Grafische Konzeption und Gestaltung Christian Bähr, ECC Handel, Köln Bildquellen N-Media-Images Tetastock Sven Bähren Gudellaphoto GaToR-GFX Yana Tsvetkova Druck Saxoprint GmbH, Dresden Herausgeber ECC Handel, Köln Stand Juni 2012

3 Inhalt 1 Einleitung Daten und Fakten Sichere Datenübertragung im Internet Auswahl geeigneter Zahlungsverfahren Datenschutz und Datensicherung Tipps zur Datensicherung Weitere rechtliche Aspekte der Website-Gestaltung Fazit Quellen Sichere E-Geschäftsprozesse in KMU und Handwerk... 13

4 2 Einleitung Die Relevanz einer sicheren Website Einleitung Für den ersten Eindruck gibt es keine zweite Chance diese alte Weisheit gilt auch im modernen Medium Internet. Die eigene Unternehmenswebsite dient ähnlich wie ein Schaufenster im stationären Handel als Aushängeschild eines jeden im Internet aktiven Unternehmens. Wie die Studie Netz- und Informationssicherheit in Unternehmen 2011 zeigt, verfügen bereits 93 Prozent der kleinen und mittleren Unternehmen über eine eigene Website, beinahe jedes siebte Unternehmen sogar über einen eigenen Online-Shop. Dabei dient der Online- Shop nicht nur als Visitenkarte, sondern generiert auch Umsätze. Gut ein Drittel der Unternehmen mit einem Online-Shop erzielt über diesen mehr als 25 Prozent des Gesamtumsatzes. Mit zunehmender Verbreitung von Smartphones greifen Nutzer und somit potenzielle Kunden auch von unterwegs aus und damit immer häufiger auf das Internet und Unternehmenswebsites zu, um sich über Produkte, Hersteller und Händler zu informieren. Aktuelle Studienergebnisse des ECC Handel zeigen, dass sich jeder vierte Smartphone-Nutzer vor seiner letzten Bestellung in einem Online-Shop über ein Smartphone informiert hat. Gleichzeitig wird das Sicherheitsempfinden der Konsumenten durch immer wiederkehrende Meldungen über Phishing-Seiten und Datenskandale regelmäßig erschüttert. So ist die Anzahl der Fälle, in denen Daten ausgespäht oder abgefangen wurden laut BKA von 2009 auf 2010 um mehr als 30 Prozent gestiegen und knapp 40 Prozent der Internetnutzer haben beim Online-Einkauf Bedenken, dass Kundendaten des Online-Shops ausgespäht und missbraucht werden. Umso wichtiger ist es, dass der Internetauftritt eines Unternehmens nicht nur ansprechend gestaltet ist, sondern auch den Sicherheitsbedürfnissen der Kunden entspricht. Insbesondere der Zahlungsvorgang ist dabei aus Kundensicht besonders kritisch, da hier sensible Daten wie die Bankverbindung oder die Kreditkartendaten angegeben werden müssen.

5 Daten und Fakten 3 Wussten Sie schon, dass Prozent der Konsumenten bei einer Produktrecherche sich online auf einer Händler-Website und 46 Prozent auf Hersteller-Websites informieren? jedem dritten Kauf im stationären Handel eine Informationssuche im Internet vorausgeht? knapp 36 Prozent der kleinen und mittleren Unternehmen auf externe Expertise bei der Realisierung ihrer Website zurückgreifen? 12 Prozent der mit der Betreuung der Website beauftragten Mitarbeiter nicht über sicherheitsspezifische Kenntnisse verfügen? noch immer jedes vierte Unternehmen die Daten im Rahmen seines Online-Shops nicht verschlüsselt überträgt? bei nachlässigem Umgang mit Kundendaten Geldbußen von bis zu Euro drohen können?

6 4 Sichere Datenübertragung Sichere Datenübertragung im Internet Bei vielen Kunden und auch Website- Betreibern ist die Angst vor Datenmissbrauch im Internet hoch. Sensible und persönliche Daten, wie die Konto- und Kreditkartennummer, müssen besonders geschützt werden, da diese sonst leicht ausgespäht und missbraucht werden können. Zudem kann ein fahrlässiger Umgang mit solchen Daten rechtliche und gegebenenfalls auch kostspielige Konsequenzen nach sich ziehen. Daher kommt der verschlüsselten Übertragung dieser Daten insbesondere in Online-Shops eine große Bedeutung zu. Verschlüsselungsprotokolle oder Dienstleister im Bereich der Zahlungsverfahren bieten hierzu verschiedene Lösungen an, von kostenloser Open-Source-Software bis hin zu umsatzbasierten oder transaktionsabhängigen Provisionsmodellen. Transport Layer Security (TLS) Das gängigste Verfahren zur Verschlüsselung von Daten ist Transport Layer Security (TLS). Es ist besser bekannt unter seinem Vorgängernamen Secure Sockets Layer (SSL). Bei TLS handelt es sich um ein Verschlüsselungsprotokoll zur sicheren Übertragung von Daten im Internet. Der große Vorteil von TLS ist, dass es in jedem Standard-Browser, wie bspw. Microsoft Internet Explorer, Mozilla Firefox oder Google Chrome, integriert ist und Kunden daher keine weitere Software von Drittanbietern installieren müssen. Aufgrund des Verschlüsselungsvorgangs können Außenstehende den Inhalt weder lesen noch verändern. Internet-Seiten, die mit dem TLS-Verfahren arbeiten, erkennt man daran, dass die URL mit anstatt

7 Sichere Datenübertragung 5 mit beginnt. Außerdem wird in allen gängigen Browsern ein verriegeltes Schloss-Symbol in der unteren Leiste angezeigt. Für die Übertragung der verschlüsselten Informationen sind sogenannte digitale Zertifikate notwendig, die die Identität des Website-Betreibers feststellen, um zu verhindern, dass eine gesicherte Verbindung zu einem Anbieter aufgebaut wird, der sich als jemand anderer ausgibt. Erst die finale Prüfung des Zertifikates gewährleistet eine sichere Übertragung von Daten. Um die Zuverlässigkeit und Integrität dieser Zertifikate im Rechtsverkehr sicherzustellen, unterliegen die Aussteller der Zertifikate der Aufsicht der Bundesnetzagentur. Auf den Seiten der Bundesnetzagentur ( findet sich eine Liste der Zertifikataussteller. Verbindung zu erschleichen. Bei EV-SSL- Zertifikaten wird in der Adresszeile des Browsers zusätzlich ein Feld angezeigt, in dem Zertifikats- und Domaininhaber im Wechsel mit der Zertifizierungsstelle eingeblendet werden. Des Weiteren wird je nach verwendetem Browser die Adresszeile (teilweise) grün eingefärbt. Um die größere Sicherheit zu gewährleisten, ist die Ausgabe der Zertifikate an strengere Vergabekriterien gebunden als bei TLS. Dies bezieht sich vor allem auf eine detaillierte Überprüfung des Antragstellers, wie bspw. ein Rückruf durch die Zertifizierungsstelle zur Feststellung der Identität und der Geschäftsadresse. Extended-Validation-SSL (EV-SSL) Seit einiger Zeit nutzen immer mehr Website-Betreiber Extended-Validation- SSL-Zertifikate (EV-SSL), also Zertifikate mit erweiterter Überprüfung. Diese sollen Internetnutzern ermöglichen, noch schneller zu erkennen, ob sie sich auf vertrauenswürdigen Seiten befinden und sie so besser vor Phishing-Versuchen schützen. Denn auch Betrüger haben es aufgrund einer teilweise zu lockeren Vergabe von SSL-Zertifikaten geschafft, sich eine angeblich sichere

8 6 Auswahl geeigneter Zahlungsverfahren Auswahl geeigneter Zahlungsverfahren Grundsätzlich minimiert der Einsatz verschiedener Zahlungsverfahren das Risiko eines Kaufabbruchs, da dem Kunden so mehr Auswahlmöglichkeiten eröffnet werden. So geben mehr als 80 Prozent der Internetnutzer an, eher in einem Online-Shop einzukaufen, wenn dieser das bevorzugte Zahlungsverfahren anbietet. Allerdings ist auch bei der Entscheidung für oder gegen bestimmte Zahlungsverfahren die Gewährleistung der sicheren Übertragung von notwendigen Daten wie Bankverbindung oder Kreditkartennummern auf eine Verschlüsselung zu achten. Darüber hinaus haben viele Kunden Bedenken, wenn Sie sensible Zahlungsinformationen auf einer Website angeben müssen. So ist die Zahlungssicherheit für die Internetnutzer das wichtigste Kriterium bei der Auswahl eines Zahlungsverfahrens, gefolgt von der Seriosität des Verfahrens bzw. des Anbieters. Steht das präferierte Zahlungsverfahren nicht zur Verfügung, brechen 37,5 Prozent der Kunden den Kauf ab und wechseln zu einem anderen Online-Händler oder in den stationären Handel. Um solche Kaufabbrüche zu reduzieren, sollte daher auch ein Zahlungsverfahren aufgenommen werden, dass keine Angabe von Bankverbindungsdaten erfordert bei dem Online- Shop direkt erfordert. Aktuelle Studienergebnisse zeigen, dass die Einführung eines Zahlungsverfahrens, bei dem die Abwicklung der Zahlung über einen unabhängigen Dritten erfolgt (wie bspw. PayPal) zu einer Steigerung der Konversionsrate um durchschnittlich knapp 23 Prozent führen kann. Zusätzlich sollte für alle Besucher gut sichtbar darauf hingewiesen werden, dass die Übertragung ihrer Daten ausschließlich verschlüsselt erfolgt, um möglichen Bedenken vorzubeugen. Bei der Einführung neuer Zahlungsverfahren sollten außerdem immer Chancen und Risiken abgewogen werden da sich die Zahlungsverfahren hinsichtlich ihrer Sicherheit und eventuell anfallenden Kosten unterscheiden.

9 Datenschutz und -sicherung 7 Datenschutz und Datensicherung Von Kunden erhobene Daten müssen im Unternehmen vor Missbrauch geschützt (Datenschutz) und besonders gesichert (Datensicherung) werden. Wird dies nicht beachtet, können nicht nur ein Imageverlust und die Abwanderung von Kunden, sondern auch rechtliche Konsequenzen wie Geldbußen in Höhe von mehreren Tausend Euro drohen. Unternehmen sind daher gut beraten, sich mit den relevanten Gesetzen in diesem Bereich, wie beispielsweise dem Bundesdatenschutzgesetz und dem Telemediengesetz, ausführlich auseinander zu setzen. Unter stellt das Bundesministerium der Justiz in Zusammenarbeit mit der juris GmbH eine Sammlung fast aller geltenden deutschen Gesetze kostenlos zur Verfügung. geprüfter Onlineshop sinnvoll sein zum einen um die getroffenen Sicherheitsmaßnahmen überprüfen zu lassen, zum anderen um die Einhaltung von Datenschutz- und Datensicherheitsstandards auch den Kunden gegenüber sichtbar zu kommunizieren. Dies führt nicht nur dazu, dass die Kunden dem Online-Shop ein höheres Vertrauen entgegenbringen, sondern auch zu einer Erhöhung der Kaufwahrscheinlichkeit. Aktuelle Studienergebnisse zeigen, dass Gütesiegel zu einer Steigerung der Konversionsrate von rund 23 Prozent führen können. Im Folgenden finden Sie einige Hinweise und Tipps zum Thema Datensicherung und Datenschutz. Außerdem sollte ein Verantwortlicher für die IT- und Informationssicherheit benannt werden. Die Studie Netz- und Informationssicherheit in Unternehmen 2011, zeigt, dass hier insbesondere bei kleinen und mittleren Unternehmen noch Nachholbedarf besteht. 14 Prozent der befragten Unternehmen gaben an, keinen konkreten Verantwortlichen für die IT-Sicherheit benannt zu haben. Außerdem kann eine Zertifizierung mit einem Gütesiegel wie Trusted Shops, TÜV Süd s@fer-shopping oder EHI

10 8 Datenschutz und -sicherung Was ist erlaubt? Grundsätzlich erlaubt ist die Speicherung von sogenannten Bestandsdaten, d. h. Unternehmen dürfen die relevanten Kundenadressen und Angaben, die zur Abwicklung des Bestellverhältnisses notwendig sind, speichern. Die Verwendung von Kundenadressen zu Marktforschungszwecken, zur Werbung und für personalisierte Marketing-Maßnahmen ist nur dann erlaubt, wenn sie durch eine explizite Einwilligung des Kunden (z. B. über das Anklicken eines Kästchens) autorisiert wurden. Wo sollen die Daten gespeichert werden? Daten sollten auf separaten Rechnern gespeichert werden, die vom Internet abkoppelt sind und damit besser vor Hackern geschützt werden können. Dies dient dem Datenschutz. Bandlaufwerke, externe Festplatten oder Speichermedien wie CDs oder USB-Sticks sollten als zusätzliche Sicherungskopie eingesetzt werden, um die Datensicherheit zu erhöhen. Insbesondere mobile Geräte wie Smartphones, Tablets und Laptops sollten mit einem Passwort geschützt werden und wichtige Daten sollten hier nur verschlüsselt gespeichert werden, da diese Geräte besonders häufig verlorengehen oder gestohlen werden bzw. leicht zu hacken sind.

11 Tipps zur Datensicherung 9 Tipps zur Datensicherung 1 Stellen Sie hohe Anforderungen an Kunden-Passwörter: Lassen Sie Ihre Kunden Passwörter bilden, die Groß- und Kleinbuchstaben, Sonderzeichen sowie Zahlen kombinieren und länger als 8 Stellen sind. So vermeiden Sie, dass Kundenkonten mit nur geringem Aufwand gehackt werden können. Allgemein gilt: Standards, die vor einigen Jahren noch zeitgemäß waren sind durch gestiegene Rechnerleistung oder sogenannte Bot-Netzwerke leichter zu knacken. 2 Speichern Sie personenbezogene und nicht personenbezogene Daten in separaten Datenvorhaltungssystemen: Falls vom Nutzer nicht anders gestattet, dürfen personenbezogene Kundendaten nur zur Erfüllung und Verwaltung eines Vertragsverhältnisses, wie die Abwicklung des Einkaufsvorgangs, gespeichert und genutzt werden. Nicht personenbezogene und damit anonymisierte Daten dürfen in aggregierter Form auch für andere Zwecke, wie Marktforschung, verwendet werden. 3 Benennen Sie einen konkreten Ansprechpartner in Datenschutzfragen für Ihre Kunden: Dieser Datenschutzbeauftragte kann zeitnah auf Fragen und Bedenken von Kunden reagieren. 4 Lassen Sie Ihre Website und Ihren Shop zertifizieren: Berater und Zertifizierungsstellen entdecken Sicherheitslücken oft früher als die eigenen Mitarbeiter. Auch externe IT-Dienstleister wie Callcenter, Zahlungsabwickler oder Hostingpartner, die Zugriff auf Kundendaten erhalten, sollten vor Vertragsschluss durch Sachverständige überprüft werden. 5 Schaffen Sie klare Regeln für die Zugriffsrechte auf Daten: Das gilt für digitale Speichermedien gleichermaßen wie für Aktenordner. Diese Regeln müssen dokumentiert und eingehalten werden. 6 Nutzen Sie die frei verfügbaren Informationsangebote bezüglich Datenschutz und Datensicherheit. Ein Ansatzpunkt ist beispielsweise der BSI-Grundschutzkatalog des Bundesamtes für Sicherheit in der Informationstechnik. Dieser ist unter grundschutz/kataloge/kataloge.html abrufbar. 7 Schärfen Sie die Aufmerksamkeit und das Verantwortungsbewusstsein Ihrer Mitarbeiter. Die Gewährleistung technischer Sicherheitsstandards muss einhergehen mit individuellem Verantwortungsbewusstsein der involvierten Mitarbeiter.

12 10 Weitere rechtliche Aspekte Weitere rechtliche Aspekte der Website-Gestaltung Die zentrale Vorschrift im Internetrecht ist das Telemediengesetz ( gesetze-im-internet.de/tmg/), das umgangssprachlich daher auch Internetgesetz genannt wird. Es legt beispielsweise fest, welche Angaben in einem Impressum zu finden sein müssen je nach Rechtsform und Art des Anbieters sind unterschiedliche Angaben erforderlich. Außerdem werden zum Beispiel die Haftung für Internetseiten mit gesetzeswidrigen Inhalten oder der Datenschutz beim Betrieb von Internetseiten und zur Herausgabe von Daten geregelt. Häufige Verstöße gegen das Telemediengesetz betreffen z. B. das Impressum, das Urheberrecht, Links auf rechtswidrige Seiten oder die nicht autorisierte Verwendung von Marken und Logos. Jeder Internetseitenbetreiber muss sich daher mit diesem Gesetz auseinandersetzen und dazu im besten Fall auch rechtliche Beratung in Anspruch nehmen, um nicht in die Gefahr zu kommen, hohe Strafen zahlen zu müssen.

13 Fazit 11 Fazit Die sichere Gestaltung von Websites bezieht sich sowohl auf die Sicherheit der Datenübertragung und -speicherung, als auch auf die Beachtung von rechtlichen Vorschriften. Die Sicherheit dient nicht nur dem Interesse der Internetnutzer, sondern liegt auch im Interesse eines Unternehmens. Da auf diesen Gebieten viele unterschiedliche und vor allem auch sich wandelnde Gefahren bestehen, ist es für Unternehmen essentiell, sich mit der Thematik konsequent und fortwährend auseinander zu setzen, klare Verantwortlichkeiten zu definieren, schriftlich fixierte Konzepte zu erstellen und möglicherweise rechtliche Beratung in Anspruch zu nehmen sowie Online- Shops von unabhängigen Dritten überprüfen zu lassen. So gerüstet steht einer beiderseitig vorteilhaften Geschäftsbeziehung von Unternehmen und Kunden im Internet nichts entgegen.

14 4 Thema Quellen Bundesdatenschutzgesetz, i.d.v. vom , [ Bundeskriminalamt (2011): Cybercrime Bundeslagebild 2010, [ JahresberichteUndLagebilder/Cybercrime/cybercrime node.html? nnn=true] Bundesnetzagentur, 2012, [ Veroeffentlichungen/Zertifizierungsdiensteanbieter/ ZertifizierungsDiensteAnbietr_node.html#doc157728bodyText1] Eckstein, Aline/Klees, Maria/Stüber, Eva (2012): Vertrauensbildende Maßnahmen im E-Commerce auf dem Prüfstand Zur Wirkung von Gütesiegeln, Zahlungsverfahren und Kundenbewertungen im Online-Handel, [ vertrauensbildende_massnahmen_im e-commerce_auf.php] Hudetz, Kai/Hotz, Adrian/Strothmann, Sonja (2011): Von Multi-Channel zu Cross-Channel Konsumentenverhalten im Wandel, [ von_multi-channel_zu_cross-channel_-_ php] Netzwerk Elektronischer Geschäftsverkehr (2011): Netz- und Informationssicherheit in Unternehmen 2011, [ Klees, Maria/Duscha, Andreas (2012): Identitätsmissbrauch im Online-Handel Status Quo in Deutschland, [ identitaetsmissbrauch_im_online-handel_-_status_ php] Rodenkirchen, Sonja/Krüger, Malte (2011): Der Internetzahlungsverkehr aus Sicht der Verbraucher Ergebnisse der Umfrage IZV10, [ der_internet-zahlungsverkehr_aus sicht_der.php] Telemediengesetz, i.d.v. vom , [

15 Das Verbundprojekt 13 Das Verbundprojekt Sichere E-Geschäftsprozesse in KMU und Handwerk Das Verbundprojekt Sichere E-Geschäftsprozesse in KMU und Handwerk des Netzwerks Elektronischer Geschäftsverkehr wurde vom Bundesministerium für Wirtschaft und Technologie (BMWi) unterstützt und sollte helfen, in kleinen und mittleren Unternehmen mit verträglichem Aufwand die Sicherheitskultur zu verbessern. Es widmete sich von 2007 bis 2011 der Vielfalt der Themen und Fragestellungen der ITund Informationssicherheit. Im Verbund mit Partnern aus der Forschung, der Wirtschaft und der Politik informierte und sensibilisierte das Projekt aktuell zu den jeweiligen Anforderungen der Sicherheit. Alle Materialien des Verbundprojekts werden kostenfrei auf der Online-Plattform unter zum Download zur Verfügung gestellt. Das Gesamtprojekt setzte sich insbesondere aus den nachfolgenden Tätigkeiten zusammen: Kompakte IT-Sicherheitstipps zu unterschiedlichen Themen, z. B. Networking und WLAN-Sicherheit Informationsbroschüren und Checklisten für Einsteiger, z. B. Datensicherung und Mobile Business Branchenspezifische Handlungsanleitungen für die Praxis Sichere Geschäftsprozesse: Umsetzung in Unternehmen Unternehmerstammtische zur ITund Informationssicherheit in ganz Deutschland Jährliche zielgruppenspezifische Studie Netz- und Informationssicherheit in Unternehmen Online-Ratgeber IT-Sicherheit Fragen zum Verbundprojekt und dessen Angeboten beantworten Dagmar Lange (Konsortialführung), SAGeG, unter 0371/ oder per ihk.de und Maria Klees (Öffentlichkeitsarbeit), E-Commerce-Center Handel, unter 0221/ oder per ecc-handel.de. Sebastian Spooren Aline Eckstein Andreas Gabriel Ekkehard Diedrich Dagmar Lange (Konsortialführung)

16 Das Netzwerk Elektronischer Geschäftsverkehr E-Business für Mittelstand und Handwerk Das Netzwerk Elektronischer Geschäftsverkehr (NEG) ist eine Förderinitiative des Bundesministeriums für Wirtschaft und Technologie. Seit 1998 unter stützt es kleine und mittlere Unter nehmen bei der Einführung und Nutzung von E-Business-Lösungen. Beratung vor Ort Mit seinen 28 bundesweit ver teilten Kom pe tenz - zentren infor miert das NEG kostenlos, neutral und praxisorientiert auch vor Ort im Unter - nehmen. Es unterstützt Mittelstand und Handwerk durch Beratungen, Informations veranstaltungen und Publikationen für die Praxis. Das Netzwerk im Internet Auf können Unternehmen neben Veranstaltungsterminen und den Ansprechpart nern in Ihrer Region auch alle Publikationen des NEG einsehen: Handlungsleitfäden, Checklisten, Studien und Praxisbeispiele geben Hilfen für die eigene Umsetzung von E-Business-Lösungen. Fragen zum Netzwerk und dessen Angeboten beantwortet Markus Ermert, Projektträger im DLR unter 02203/ oder per markus.ermert@dlr.de. Das Netzwerk bietet vertiefende Informationen zu Kundenbezie hung und Marketing, Netz-und Informationssicherheit, Kauf männischer Software und RFID sowie E-Billing. Das Projekt Femme digitale fördert zudem die IT-Kompetenz von Frauen im Handwerk. Der NEG Website Award zeichnet jedes Jahr herausragen de Internetauftritte von kleinen und mittleren Unter nehmen aus. Informationen zu Nutzung und Interesse an E-Business-Lösungen in Mittelstand und Handwerk bietet die jährliche Studie Elektro nischer Geschäftsverkehr in Mittelstand und Handwerk.