Internet, Homepages, Webshops Ihre Sicherheit. Gefahren aus dem Weg gehen.

Transkript

1 Internet, Homepages, Webshops Ihre Sicherheit. Gefahren aus dem Weg gehen.

2 Ronny Seffner UNIX-Administration Netzwerke / Protokolle Hosting Datensicherheitsanalysen Fachkraft für Datenschutz

3 Begriffe des modernen Internet Cloud Computing das hatten wir schon vor 20 Jahren Mainframes, Server Hosting / Housing im Rechenzentrum veränderter Angriffsvektor durch größere Komplexität und Verbreitung Web 2.0 interaktiv und kollaborativ Inhalte dynamisch, personalisiert und zum Mitmachen Verantwortung für Datensicherheit und Datenschutz

4 Begriffe des modernen Internet Datensicherheit und Datenschutz der Gesetzgeber sieht im Datenschutz nur personenbezogene Daten Datenschutz ohne Datensicherheit nicht zu gewährleisten Störerhaftung Störer ist, wer auf beliebige Weise mit der Verbreitung rechtlich zu beanstandender Inhalte zu tun hat.

5 Risiken beim Betrieb eines Webangebotes Gefährdungsszenario gezielte Störung durch z.b. Konkurrenten zufälliges Opfer von z.b. script kiddies Kollateralschaden eines drittgerichteten Angriffes Störung durch Unwissenheit (fachlich und juristisch) Folgenspektrum bis zur Zerstörung einer Marke oder Unternehmensinsolvenz Angebot manipuliert, gestört oder nicht verfügbar Datenabfluss z.b. Konkurrenz übernimmt Kunden / Knowhow wirtschaftlich durch z.b. Schadensersatz, Strafen

6 Gefahren ein Ausschnitt des Erlebten das SPAM-Postamt der Häufigkeitssieger Schadenspotential Verfügbarkeit : Serverabschaltung durch den Provider Kommunikation : eingeschränkter bis kein Mailversand mehr durch Sperrung und Blacklisting Störerhaftung Ursachen Accountmissbrauch : Malware, schwache Kennwörter, Achtung Multihosting! Webmailer / Kontakformulare Platzierung von Schadcode durch Sicherheitslücken in Anwendungen

7 Gefahren ein Ausschnitt des Erlebten die Drohne der Server oder Webspace als Teil eines Botnetzes Schadenspotential Leistung : langsame Auslieferung der Inhalte, Einschränkung gleichzeitiger Besucher Verfügbarkeit : Abschaltung durch den Provider Störerhaftung Ursachen Zugang / Zugriff : schwacher Schutz Code : Fehler im Serveranwendungen oder häufiger in CMS oder Webshop

8 Gefahren ein Ausschnitt des Erlebten Domainumleitung eine Form des Identitätsdiebstahls Schadenspotential Verfügbarkeit : Ihr Angebot ist unsichtbar, der Feind nutzt Ihre SEO Leistung Ranking : fremder Inhalt bricht Ihr SEO, die Suchmaschine bestraft das sofort Ursachen Versäumnisse beim Registrar, Domainumzug Zugang / Zugriff : schwacher Schutz Code : Fehler im Serveranwendungen oder häufiger in CMS oder Webshop

9 Gefahren ein Ausschnitt des Erlebten der Störer sitzt innen Unkenntnis, Nachlässigkeit Wer kann denn alles ran, an Ihr Webangebot? Wer prüft und kontrolliert diesen Personenkreis? Haben diese das nötige Fachwissen und agieren mit ausreichend Sorgsamkeit? Schadenspotential Kommunikationsstörung : keine Mail von/zu relevanten Adressaten durch unzureichende Mail- und DNS-Konfiguration Accountmissbrauch : durch Fremde wegen Zugriffsinformationsabfluss bei Dritten (Webdesigner, Admins) Ursachen mangelhafter Zugangs- und Zugriffsschutz mangelhafte Fachkompetenz

10 Die messbaren Folgen Ursachensuche fast nur mit Forensik : ab wenigen hundert Euro, nach oben offen Behebung bei bekannter Ursache : von oft sehr preiswert bis in den vierstelligen Bereich bei Verzicht auf Ursachenkenntnis : regelmäßig nur durch Neuinstallation, vierstellig Beeinträchtigung oder Ausfall der Kommunikationsinfrastruktur bis Bekanntwerden : maximal 2 Tage bis vollständige Beseitigung : ca. 2 weitere Tage Totalausfall bei Domainverlust, Verzicht auf Backup, Servercrash ohne SLA : mehrere Tage Wiedergewinnung des Rankings : Monate

11 Was braucht man also für ein eigenes Webangebot? Provider oder Hoster für die technische Plattform kann vor verteilten Angriffen, die durch reine Masse eine Lahmlegung bezwecken, schützen sorgt für Verfügbarkeit des Servers sichert das Betriebssystem und die Serverdienste (Web, FTP, Mail, usw.) Agentur für die Angebotsplattform Konfiguriert, gestaltet und pflegt das CMS / Shopsystem wirkt auf die Einhaltung juristischer Aspekte hin eine unabhängige, regelmäßige Prüfung

12 oder anders gesagt, wie wird es sicher? Ihre Idee Fachleute, die die Voraussetzungen dafür schaffen, pflegen und weiterentwickeln sichere Konfiguration (BSI Grundschutz), Updates Impressum, ggf. Datenschutzbestimmungen und AGB Verständnis für Risiken und Sorgsamkeit im Umgang mit dem System und Zugängen (Verschlüsselung) regelmäßige Datensicherung (u.a. für Forensik) Moderation im Web 2.0 Monitoring der Vitalzeichen ihrer Angebotsplattform ein wiederkehrendes Audit, welches das Sicherheitsniveau belegt