Die hartnä ckigsten Gerü chte über die Website-Sicherheit

Transkript

1 10Die hartnäckigsten Gerüchte über die Website-Sicherheit

2 Einleitung In vielen Unternehmen werden selbst die einfachsten Website-Sicherheitsmaßnahmen vernachlässigt. Ein Grund dafür sind weit verbreitete Gerüchte und Missverständnisse, die dazu führen, dass Gefahren, die jeder Website drohen, vielerorts schlicht nicht wahrgenommen werden. Um Ihr Unternehmen wirksam zu schützen, müssen Sie diese Missverständnisse ausräumen, der Realität ins Auge sehen und Ihre Abwehrmaßnahmen, Richtlinien und Prozeduren stärken, bis Sie mit Gewissheit sagen können: Mehr kann ich nicht tun. Und dann müssen Sie genauer hinsehen und mehr tun. Doch beginnen wir am Anfang: Was sind diese Gerüchte und was steckt dahinter?

3 Gerücht Nr. 1 Hacker? Die interessieren sich doch nicht für mich! Viele Website-Betreiber glauben, dass ihre Website ein so kleiner Fisch im Internet-Ozean ist, dass kein Hacker sie auch nur ansehen würde. Hacker werfen ihre Netze heute aber sehr weit aus.

4 Gehen Sie davon aus, dass Hacker Ihre Website immer im Visier haben Wenn Sie davon ausgehen, dass Hacker Ihre Website ununterbrochen mithilfe von Skripten auf Schwachstellen abklopfen, sind Sie der Wahrheit am nächsten. Vielleicht gibt es auf Ihrer Website wirklich nichts zu stehlen. Es ist allerdings auch möglich, dass Ihre SQL-Datenbank der reinste Leckerbissen für Kriminelle ist, die sich auf Identitätsdiebstahl spezialisiert haben. Ihre SQL-Datenbank könnte zum Identitätsdiebstahl missbraucht werden Jeder Angriff birgt die Gefahr, dass ein Hacker Änderungen an Ihrer Website vornimmt, ohne dass Sie das bemerken. Zudem nutzen Internetkriminelle nun auch das sogenannte Spear-Phishing. Dazu beschaffen sie sich vertrauliche Daten und nutzen diese dann in gefälschten, aber sehr echt wirkenden s, in denen sie sich beispielsweise als Kollege des Opfers oder Mitarbeiter seiner Bank ausgeben. Mit diesen s versuchen sie, das Opfer zur Preisgabe von persönlichen Daten, Betriebsgeheimnissen oder anderen vertraulichen Informationen zu bewegen. Hackern ist es egal, wie groß Ihr Unternehmen ist Unabhängig davon, ob und was es auf Ihrer Website zu stehlen gibt, sollten Sie vor allem eines beherzigen: Hackern ist es egal, wie groß Ihr Unternehmen ist. Sie haben Ihre Website im Visier.

5 Gerücht Nr. 2 Sicherheitsrisiken lassen sich quantifizieren Die Verantwortlichen vieler Unternehmen glauben, dass alle Risiken sich irgendwie abschätzen lassen. Im Bereich Website-Sicherheit ist das schlicht falsch. Wie können Sie beispielsweise abschätzen, was eine gehackte Website oder ein ernsthaft infiziertes Netzwerk Sie kosten würde?

6 Unternehmen messen? Wie beziffern Sie den Schaden, der entstehen würde, wenn Betriebsgeheimnisse oder vertrauliche Kundendaten in die falschen Hände fielen? Wie können Sie die Auswirkungen eines solchen Vorfalls beziffern oder abschätzen, wie lange Ihr Unternehmen brauchen würde, um sich davon zu erholen? Und welcher langfristige Schaden würde entstehen, wenn Kunden nach einem Datenleck lieber bei Ihren Mitbewerbern einkaufen? Woran können Sie erkennen, wie sicher Ihr Unternehmen ist? Natürlich müssen Sie wenigstens ungefähr wissen, wie sicher Ihr Unternehmen ist. Deshalb empfiehlt es sich, Sicherheitsmaßnahmen systematisch Schritt für Schritt zu implementieren. So gewinnen Sie einen detaillierten Einblick in Ihre Sicherheitsinfrastruktur und können gezielt die Strategien und Systeme auswählen, die die Anforderungen Ihres Unternehmens am besten erfüllen.

7 Gerücht Nr. 3 Für die Sicherheitsmaßnahmen ist der CISO verantwortlich. Der Chief Information Security Officer (CISO) ist für die Ausarbeitung einer unternehmensweiten Strategie und die Umsetzung geeigneter Maßnahmen verantwortlich, um die materiellen und immateriellen Werte eines Unternehmens angemessen zu schützen. Doch sollte er oder sie wirklich ganz allein für die Ausarbeitung und Implementierung sämtlicher Sicherheitsmaßnahmen verantwortlich sein?

8 Diese Verantwortung sollte nicht auf einer einzigen Person lasten Die Sicherheitsstrategie und die einzelnen Maßnahmen sollten an den spezifischen Anforderungen des Unternehmens ausgerichtet sein. In den meisten Unternehmen bedeutet das, dass verschiedene Personen und Abteilungen im ganzen Unternehmen in den Prozess eingebunden werden müssen. Die Informationssicherheit ist kein rein technisches Problem mehr Neben der unmittelbaren Abwehr von Bedrohungen wirkt sie sich auch auf das Mitarbeitermanagement, die Definition von Arbeitsprozessen, rechtliche Fragen, das Risikomanagement, die Öffentlichkeitsarbeit, die physische Sicherheit, organisatorische Änderungen u. a. m. aus. Das Risikomanagement gehört unbedingt dazu Angesichts der komplexen Bedrohungslage ist offensichtlich, dass das Risikomanagement ein unverzichtbarer Bestandteil der Informationssicherheit ist. Zur Bewertung der einzelnen Risiken müssen zahlreiche Stakeholder aus allen Unternehmensbereichen herangezogen werden. Die Rolle des CISO sollte eher die eines zentralen Kontaktpunktes sein, bei dem die Fäden zusammenlaufen.

9 Gerücht Nr. 4 SSL ist defekt. Mancherorts kursiert das Gerücht, dass die Protokolle Transport Layer Security (TLS) und Secure Sockets Layer (SSL) defekt seien. Viele SSL-Gegner glauben, dass SSL durch ein völlig neues System ersetzt werden sollte. Manche wollen sogar Zertifizierungsstellen (CA) abschaffen. 4

10 Vorfälle aufgrund unzureichender Sicherheitsmaßnahmen bei Anwendern Die Vorteile, die SSL seit langer Zeit bietet, werden bei dieser Argumentation völlig außer Acht gelassen. SSL-Zertifikate gelten allgemein als das zuverlässigste und am weitesten einsetzbare Verschlüsselungsverfahren der Welt. Warum also die Forderungen nach einem völlig neuen System? In letzter Zeit machten mehrere Sicherheitsverstöße Schlagzeilen, in denen auch SSL eine Rolle spielte. Dabei leisteten jedoch meist unzureichende interne Sicherheitsmaßnahmen beim Anwender den Angreifern Vorschub und nicht Probleme mit SSL. SSL funktioniert und ist ein unverzichtbarer Bestandteil jeder umfassenden Sicherheitsstrategie SSL-Zertifikate sind seit fast 20 Jahren die zuverlässigste, bewährteste und in großem Umfang einsetzbare Methode zum Schutz von Online-Transaktionen. SSL ist nach wie vor ein unverzichtbarer Bestandteil jeder umfassenden Strategie für die Website-Sicherheit.

11 Gerücht Nr. 5 Ich speichere keine Kreditkartendaten, also brauche ich kein SSL. Ihr Geschäft und Ihre Kunden sind nicht automatisch gegen alle Angriffe gefeit, nur weil Sie keine Kreditkartendaten speichern. Internetkriminelle haben auch andere Ziele im Auge und können Ihrem Unternehmen und seinem guten Ruf auf vielfältige Art schaden.

12 Sie benötigen eine umfassende Sicherheitsstrategie Nur so können Sie Hackern den Zugang zu Ihrer Website verwehren. Unter anderem sollten Sie alle Bereiche Ihrer Website, in denen Kunden Daten eingeben, mit den stärksten verfügbaren Maßnahmen schützen. Außerdem sollten Sie natürlich strenge Richtlinien für Anmeldedaten einführen. Sichere Bereiche Dies sind interaktive und individuell angepasste Portale auf Ihrer Website, in denen Kunden auf vertrauliche Daten zugreifen können. Sie können eine zusätzliche Sicherheitsebene einführen, indem Sie nur Anwendern mit einem elektronischen Zertifikat Zugang zu diesem Bereich gewähren. Anmeldedaten Für die Anmeldung auf Ihrer Website sollten Sie nur Kennwörter mit mindestens 10 Zeichen zulassen, die eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Weisen Sie Ihre Kunden auch darauf hin, dass sie dieselben Anmeldedaten auf keinen Fall für verschiedene Websites benutzen sollten. Persönliche Daten Wenn Sie persönliche Daten wie Name, -Adresse, Telefonnummer und Postanschrift erfassen, wird Identitätsdiebstahl zu einer ernst zu nehmenden Bedrohung für Ihre Kunden. Mit dem Schutz dieser Daten schützen Sie jedoch nicht nur Ihre Kunden, sondern auch den guten Ruf Ihres Unternehmens. Denken Sie auch daran, dass immer mehr Verbraucher beim Online-Kauf auf die Sicherheit achten und Websites ohne SSL-Zertifikat meiden. Selbst wenn Sie auf Ihrer Website nichts verkaufen, wissen Ihre Kunden den Schutz ihrer persönlichen Daten zu schätzen.

13 6 anbieten, sind im Grunde alle gleich. Gerücht Nr. 6 Die Zertifikate, die Nein, das sind sie nicht. Es gibt verschiedene Arten von Zertifikaten, die nicht alle gleich vertrauenswürdig sind.

14 Domänenvalidierung DV Dies ist die günstigste Methode zum Schutz einer Website. Das Unternehmen, das die Website betreibt, wird allerdings weder authentifiziert noch überprüft. Unternehmensvalidierung ov Vor der Ausstellung eines Zertifikats mit Unternehmensvalidierung überprüft die Zertifizierungsstelle anhand eines etablierten und akzeptierten manuellen Verfahrens, ob der Antragsteller im Auftrag eines seriösen Unternehmens handelt und ob dieses Unternehmen tatsächlich der Inhaber der Website ist. Bei dieser Überprüfung werden jedoch nicht die strengsten vom CA/Browser Forum* definierten Kriterien benutzt. Extended Validation (EV) EV Ein Zertifikat mit EV wird nur ausgestellt, wenn die strengsten Kriterien des CA/Browser Forums* in einer sorgfältigen Untersuchung erfüllt wurden. Zertifikate dieser Art bieten das höchste Maß an Sicherheit und schaffen das größte Kundenvertrauen. Bei der Anzeige einer Website mit einem solchen Zertifikat wird die Adressleiste ganz oder teilweise grün gefärbt, um den Besuchern zu signalisieren, dass alles im grünen Bereich ist. * Das CA/Browser Forum ist eine unabhängige Normungsorganisation, die verlangt, dass die Legitimität und Integrität eines Unternehmens bzw. einer Organisation gründlich überprüft werden, bevor ein Zertifikat ausgestellt wird.

15 Entscheiden Sie sich für ein SSL-Zertifikat mit EV von einer weltweit anerkannten Zertifizierungsstelle Schützen Sie Ihre Website mit einem SSL-Zertifikat mit EV, das von einer weltweit anerkannten Zertifizierungsstelle wie Thawte ausgestellt wurde. Damit signalisieren Sie den Besuchern Ihrer Website, dass diese sicher ist und von einem seriösen, legitimen Unternehmen betrieben wird. Vor der Ausstellung vieler anderer Zertifikate wird dagegen nur die Domäne und weder der Besitzer noch der Betreiber der Website überprüft. Zeigen Sie ein Vertrauenssiegel an Vertrauensmarken bzw. -siegel sind ein weiteres wichtiges Zeichen dafür, dass der Einkauf auf einer Website sicher ist. Das Thawte Trusted Site-Siegel verschafft Ihrer Website sofortige Glaubwürdigkeit im Internet, da es den Kunden visuell vermittelt, dass die Identität Ihrer Website überprüft wurde und die Website mit SSL gesichert ist.

16 Gerücht Nr. 7 Gefährliche Websites sehen schon zwielichtig aus. Meine Website ist sicher. Egal, wie viel Zeit, Geld und Technik sie aufwenden Ihre Website wird nie 100-prozentig sicher sein. Der erste Eindruck trügt leider all zu oft: Viele Websites sehen zwar sicher aus, sind es aber nicht.

17 Hacker sind ständig auf der Suche nach Einfallstoren und werden immer wieder fündig Zwischen der Entdeckung einer Schwachstelle und der Veröffentlichung einer gepatchten Version durch den entsprechenden Softwareanbieter ist Ihr System Angreifern nahezu schutzlos ausgeliefert. Geben Sie sich keiner Illusion hin: Hacker haben Ihre Website bereits untersucht und wissen, welche Software Sie verwenden. Sobald eine Zero-Day-Schwachstelle in dieser Software entdeckt wird, sind sie zum Zuschlagen bereit. Keine Software ist perfekt Selbst die einfachste Website kommt nicht ohne Software aus und jede Software enthält Fehler. Deshalb sollten Sie wissen, welche Software Ihre Website nutzt, und sich über Probleme, neue Versionen und Patches auf dem Laufenden halten. Je mehr Hindernisse Sie Hackern in den Weg legen, desto sicherer ist Ihre Website Absolute Website-Sicherheit gibt es nicht, doch das sollte Sie nicht davon abhalten, alle Maßnahmen zu ergreifen, um Ihre Website so sicher wie möglich zu machen. Internetkriminelle sind Opportunisten. Je besser Sie Ihre Website verteidigen, desto wahrscheinlicher wird es, dass Hacker sich eine leichtere Beute suchen.

18 8 Gerücht Nr. 8 Ich brauche SSL nicht auf allen Webseiten. Viele Unternehmen und Organisationen nutzen SSL/TLS zwar, um den Datenaustausch während des Authentifizierungsprozesses zu verschlüsseln, wenn ein Anwender sich auf ihrer Website anmeldet. Im weiteren Verlauf der Anwendersitzung werden Daten jedoch unverschlüsselt übertragen. Von dieser Praxis ist abzuraten, denn angesichts der sich ständig zuspitzenden Bedrohungslage reicht dieser teilweise Schutz nicht mehr aus.

19 Mehr und längere Anwendersitzungen Immer mehr Menschen sind für immer längere Zeit bei ihren diversen Internet-Konten angemeldet. Internetkriminelle nutzen diesen Trend mit sogenannten Session-Sidejacking-Angriffen aus. Dabei fangen sie die HTTP-Pakete ab, die unverschlüsselt übertragen werden, nachdem ein Anwender sich angemeldet hat. Dadurch gelangen sie in den Besitz von (ebenfalls unverschlüsselten) Sitzungs-Cookies. Diese enthalten gewöhnlich Anwenderinformationen wie den Benutzernamen, das Kennwort und andere Daten über die aktuelle Sitzung. Jedes Unternehmen, das den Schutz seiner Kunden ernst nimmt, sollte Always-On SSL implementieren Sie brauchen lückenlosen Schutz für alle Webseiten, die Ihre Besucher aufrufen. Always-On SSL ist ein kostengünstiges Sicherheitsprinzip, das Website-Besucher während ihres gesamten Aufenthalts auf Ihrer Website schützt. Für Google, Microsoft, PayPal, Symantec, Facebook, Twitter und andere führende Unternehmen gehört es zu den Best Practices. Jedes Unternehmen, das den Schutz seiner Kunden und seines guten Rufs ernst nimmt, sollte diesem Beispiel folgen und Always-On SSL mit SSL-Zertifikaten einer renommierten Zertifizierungsstelle implementieren.

20 Gerücht Nr. 9 Meine Systeme sind sicher, denn ich habe hervorragende Antivirensoftware in meinem Netzwerk installiert. Es gab eine Zeit, zu der hervorragende Antivirensoftware allein ein Netzwerk schützen konnte. Diese Zeit ist jedoch vorbei. Die Bedrohungslage hat sich zugespitzt. Inzwischen gibt es zahlreiche Malware-Varianten, die nicht mit auf Signaturen basierender Antivirensoftware erkannt und abgewehrt werden können.

21 Auch die beste Antivirensoftware kann Sie nicht vor allen Angriffen schützen Auch hier findet der ewige Wettlauf zwischen Angreifern und Verteidigern statt: Hacker denken sich ständig neue und immer raffiniertere Angriffsmethoden aus, während die Anbieter von Sicherheitslösungen, IT-Administratoren und Anwender ihre Sicherheitsmaßnahmen kontinuierlich weiterentwickeln, um diese Angriffe abzuwehren. Hacker sind bereit, jede Schwachstelle in Ihrem System, Netzwerk oder sogar im Anwenderverhalten auszunutzen. Antivirensoftware allein reicht nicht mehr aus Mit Brute-Force-Angriffen nutzen sie gezielt verschiedene Schwachstellen in unterschiedlichen Systemen aus und wechseln dabei ständig die Taktik. Auch die beste Antivirensoftware kann nur einen Teil dieser Angriffe abwehren. Wer sich ausschließlich auf Antivirensoftware verlässt, muss daher zunehmend mit teuren Systemausfällen, aufwendigen Wiederherstellungsmaßnahmen und erheblichen Datenverlusten rechnen. Moderne Unternehmen brauchen ein umfassendes Abwehrsystem Für Internetkriminelle kann ein erfolgreicher Angriff sehr lukrativ sein. Deshalb scheuen sie nicht mehr davor zurück, erhebliche Ressourcen einzusetzen und beachtliche Sachkenntnisse zu erwerben. Es ist davon auszugehen, dass sie in puncto Beharrlichkeit und Tücke mindestens ebenso viel zugelegt haben. Aus all diesen Gründen reicht Antivirensoftware allein heute nicht mehr aus. Moderne Unternehmen und Organisationen benötigen ein umfassendes Abwehrsystem, das alle verfügbaren Sicherheitstechniken miteinander kombiniert.

22 10 eine Firewall, Gerücht Nr. 10 Wir haben also sind wir vor Angriffen geschützt. Dieses Gerücht ist weit verbreitet, ist aber dennoch eher Wunschdenken.

23 Firewalls sollten als Übergangslösung betrachtet werden Mithilfe einer Firewall können viele potenziell schädliche Datenpakete blockiert werden. An Webserver gerichtete Anfragen muss eine Firewall jedoch passieren lassen, wenn der Webserver seine Funktion erfüllen soll. Eine speziell auf Webanwendungen zugeschnittene Firewall kann Ihren Webserver zwar vor bekannten Angriffsmethoden und ungewöhnlichen Anfragen schützen. Gegen Zero-Day-Angriffe, gültige Anfragen, die Ihre Daten manipulieren, und Angriffe, die gezielt Schwachstellen in Ihrer Geschäftslogik oder Ihrem Spezialcode ausnutzen, ist sie jedoch wirkungslos. Nachdem Sie einen solchen Angriff entdeckt haben, können Sie Ihre Firewall natürlich entsprechend anpassen. Das sollte jedoch immer nur eine Übergangslösung sein, die Ihren Webserver schützt, während Sie das eigentliche Problem beheben. Mit SQL-Injection-Angriffen lassen sich Firewalls umgehen SQL-Injection-Angriffe gehören zu den größten Bedrohungen der Website-Sicherheit und sind dafür bekannt, dass sie schwer zu erkennen sind. Die raffiniertesten dieser Angriffe können das normale Anmeldeverfahren von Firewalls umgehen und die SQL-Befehle des Hackers direkt in zuvor geschützte Datenbanken einschleusen. Damit kann von Website- Sicherheit keine Rede mehr sein. Unternehmen benötigen umfassende Sicherheitsmaßnahmen Wie also können Sie Ihre Website schützen? Indem Sie umfassende Sicherheitsmaßnahmen implementieren, die die unautorisierte Preisgabe von Daten verhindern und Sie umgehend auf alle Bedrohungen und Angriffe dieser Art aufmerksam machen. Neben Firewalls sind heute eine Reihe anderer Lösungen für die Abwehr von Angriffen an der Netzwerkgrenze verfügbar. Nutzen Sie eine effektive Kombination dieser Maßnahmen, um die Perimeter-Sicherheit zu einer wirkungsvollen Komponente Ihrer Sicherheitsstrategie auszubauen.

24 Warum Thawte? Schützen Sie Daten während der Übertragung mit einem SSL-Zertifikat von Thawte. Nicht alle SSL-Zertifikate sind gleich. Thawte konzentriert sich auf SSL, um Ihr Geschäft zu schützen. Millionen von Kunden in aller Welt vertrauen auf Online-Sicherheit von Thawte. Hier nur einige der vielen guten Gründe für einen Wechsel zu Thawte: renommierte digitale Zertifikate weltweite Reputation für kompromisslose Sicherheit SSL-Verschlüsselung mit bis zu 256 Bit Support der Spitzenklasse in mehreren Sprachen neue, günstigere Preise, die zu jedem Sicherheitsbudget passen Thawte Trusted Site-Siegel Mit den renommierten digitalen Zertifikaten von Thawte schützen Sie Ihr Unternehmen und bauen so bei Ihren Kunden Vertrauen auf. xxxxxxxxxxxxxxxxxxxxxxxxxxxx yyyyyyyyyyyyyyyyyyyyyyyyyyyy zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz Kaufen xxxxxxxxxxxxxxxxxxxxxxxxxxxx yyyyyyyyyyyyyyyyyyyyyyyyyyyy Testen zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz Weitere Informationen

25 Lesen Sie unser ausführliches Whitepaper, um sich umfassend zu informieren. Die 10 hartnäckigsten Gerüchte über die Website-Sicherheit Ein Leitfaden von Thawte Whitepaper 2014 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Whitepaper herunterladen