Sicherheitsaspekte im E-Commerce

Transkript

1 Sicherheitsaspekte im E-Commerce Dortmund, Oktober 2004 Prof. Dr. Heinz-Michael Winkels, Fachbereich Wirtschaft FH Dortmund Emil-Figge-Str. 44, D44227-Dortmund, TEL.: (0231) , FAX: (0231)

2 Inhalt Seite Gefährdungspotenziale 3 Hindernisse für die Verbreitung von ecommerce 7 Allgemeine Sicherheitsmaßnahmen 9 Sicherheitsmanagement 13 Literaturverzeichnis 15 Internet-Links 16 2

3 Gefährdungspotenziale beim Elektronischen Handel Sicherheits-Ziele Authentifikation (authentication) Sender und Empfänger wissen, mit wem sie kommunizieren Autorisierung (authorisation) Darf derjenige das, was er tun will? Integrität (integrity) Es kommt das an, was gesendet wurde Vertraulichkeit (privacy) Es können nur berechtigte Empfänger lesen Unabstreitbarkeit (non-repudation) Es kann nachgewiesen werden, dass jemand etwas gesendet hat Quelle: 3

4 ... Gefährdungspotenziale beim Elektronischen Handel Keine Vertraulichkeit Nichtautorisierte Personen können geheime Daten abfangen und für sich nutzen Bsp.: durch Abtastung der elektromagnetischen Abstrahlungen von Bildschrimen oder Telefonleitungen Keine Verläßlichkeit Veränderung der Daten ist möglich Einspeisen von Viren Keine Identität Rechner im Netz täuscht falsche Identität vor unautorisierte Nutzung Keine Verbindlichkeit Übertragungen können bestritten werden 4

5 ... Gefährdungspotenziale beim Elektronischen Handel Ohne direkte Abwehrmöglichkeit: Fehler und Ausfall aufgrund von menschlichem Versagen (Fahrlässigkeiten) mangelhaften Systemen Systemveralterung Naturkatastrophen Mit Abwehrmöglichkeit: Fehlendes Bewusstsein und mangelnde Information Viren Würmer Trojanische Pferde Kein Schutz gegen aktive Inhalte Ungeschützte Kommunikation Fehlende Identifikation 5

6 ... Gefährdungspotenziale beim Elektronischen Handel 6

7 Hindernisse für eine Ausweitung des E-Commerce Mangelnde Vertraulichkeit in Bezug auf Kundendaten Es werden überflüssige Daten abgefragt Daten weitergegeben oder Daten werden verkauft, Unzureichende Sicherung von Kundendaten unsichere Speicherung Unsichere Weitergabe an andere EDV-Systeme Vortäuschung falscher Identitäten Spoofing ( Wolf im Schafspelz ) Zahlungsverfahren über das Internet Es gibt diverse Verfahren zur Zahlungsabwicklung vielversprechende Verfahren wie Cybercash oder ecash wurden bereits wieder eingestellt bis optimale Lösung gefunden wird müssen Händler auch andere Zahlungsverfahren als Übergangslösung anbieten. Missbrauch von kostenpflichtigen Einwahlnummern 7

8 ... Hindernisse für eine Ausweitung des E-Commerce Der Erfolg von E-Commerce-Unternehmungen hängt von der Gewährleistung von Daten- und Verbraucherschutz ab. Daher sollten Internet-Händler ihre Internet-Angebote folgendermaßen gestalten minimale Risiken für die Benutzer einfache Bedienbarkeit. keine Verwendung unnötiger Cookies Falls doch Kunden über Inhalt und Zweck der Cookies aufklären. möglichst keine aktiven Inhalte auf Unternehmens-Seiten, Seriöse E-Commerce-Anbieter sollten für die Übermittlung aller personenbezogenen Daten die Möglichkeit anbieten, diese zu verschlüsseln. 8

9 Allgemeine Sicherheitsmaßnahmen Gegen Angriffe auf das Computersystem Virenschutz Firewalls Intrusion Detection Systeme System Abkoppelungen (Air Gaps) Gegen Angriffe auf den Datenverkehr Verschlüsselungsverfahren Anonymisiertechniken 9

10 ... Allgemeine Sicherheitsmaßnahmen Sicherheitsmechanismen auf Hardware-Basis Zugriffskontrollen Chipkarten Biometrische Verfahren Hardware-Firewalls Einschränkung der Zugangsports Intrusion Detection Systeme System-Abkoppelungen (Air Gaps) 10

11 ... Allgemeine Sicherheitsmaßnahmen Standardisierungen auf Software-Basis Sicheres http mit https SSL - Secure Socket Layer Zahlungsprotokolle für das Internet (Zahlungsverkehr) STT - Secure Transaction Technology SEPP - Secure Electronic Payment Protocol SET - Secure Electronic Transfer Sicherungsstandard des Electronic Banking HBCI - Homebanking Computer Interface Sicherheitsprotokolle für den Systemzugriff SSH (Remote Control) 11

12 ... Allgemeine Sicherheitsmaßnahmen Vermeidung von Mono-Kulturen Unternehmens-Netzwerke nicht an jeder Stelle mit derselben Standardsoftware ausstatten so kann nicht jeder einzelne Server und jeder PC von einem Virus befallen werden wird dennoch anfällige Software genutzt, auf Sicherheitspatches achten! Identifikation Unternehmen sollten ihre Kunden Plausibilitätsprüfungen unterziehen: Gibt es den Kunden überhaupt? Stimmt die Adresse? Schutz vor Web-Dialern: 0190-Nummern etc. sollten gesperrt werden Aktive Inhalte sollten deaktiviert werden Es sollten keine Programme installiert werden, die angeblich kostenlosen oder schnellere Verbindungen zu Webseiten mit dubiosen Inhalten versprechen. 12

13 Sicherheitsmanagement kann nicht ausschließlich mit technischen Sicherheitsmaßnahmen erreicht werden. Wichtig ist, dass der Sicherheits-Gedanke (Security Policy) in die Gesamtheit eines Unternehmens eingebettet ist, dazu gehört ein fundiertes smanagement, sinnvolle Umsetzung und Erfolgskontrolle von smaßnahmen In kleineren Betrieben kann ein sbeauftragter ausreichen In großen Unternehmen kümmert sich sinnvollerweise ein Team um die vielfältigen Aufgaben der. 13

14 ... Sicherheitsmanagement Probleme des Sicherheitsmanagements Unternehmer / Manager scheinen sich der Sicherheitsproblematik nicht ausreichend bewußt zu sein Sicherheit kostet Zeit und Geld 73 % der deutschen IT-Manager geben Zeitmangel als die größte Hürde für eine effektive Sicherheitspolitik an Ein direkter Nutzen ist nicht erkennbar Sicherheitslösungen sind kompliziert und schwer zu verstehen Entwickler haben oftmals ein geringes Sicherheits- bzw. Risiko-Bewußtsein Kein Projekt / Produkt wird so realisiert, wie es geplant wird Zeitdruck verhindert strukturelle Sicherheitsanalysen und -konzepte Für Kunden ist die Sicherheitsproblematik größtenteils unverständlich und unbequem Der Mehrwert Sicherheit ist schwer vermittelbar, noch schwerer verkaufbar PC des Kunden ist das schwächste Glied in der Kette und ist schwer zu schützen 14

15 Literaturverzeichnis Franz-Joachim Kauffels: E-Business: Mitp-Verlag, Landsberg,

16 Internet-Links