Sie sind hier: Home » Markt » Hintergrund

Sicherung einer Webanwendung


eBay, Amazon & Co sollten Web-Anwendungen umfassender absichern: Netzwerk-Firewalls und SSL-Verschlüsselung reichen nicht aus
Web Application Firewalls schieben Online-Datendieben einen Riegel vor


(26.03.08) - Internetauktionen und Webshops sind in, bergen aber auch viele Gefahren. So sorgte jetzt eine Schlagzeile für Panik bei der eBay-Fangemeinde: Die Verbraucherinitiative "Falle Internet" fand heraus, dass das Online-Auktionshaus eBay nur unzureichend gegen Hacker-Attacken wie Cross-Site-Scripting (XSS) abgesichert ist.

"Doch dies ist leider kein Einzelfall. Nach Angaben von Gartner sind vier von fünf Webapplikationen angreifbar", warnt Daniel Estermann, Geschäftsführer Deutschland beim Schweizer Sicherheitsexperten Visonys. "Bei Webanwendungen reichen herkömmliche Firewalls oder Intrusion Detection-Systeme zur Absicherung einfach nicht aus. Da müssen viele Internetunternehmen nachrüsten."

Da es die Hacker und Datendiebe vermehrt auf unsichere Onlineanwendungen abgesehen haben, hat die Zahl der Angriffe mittlerweile bedrohliche Ausmaße angenommen. Estermann erläutert: "Eine leistungsstarke Web Application Firewall (WAF) kann hier Abhilfe schaffen, da sie zahlreiche Sicherheitsprobleme von Webanwendungen sowohl gezielter als auch effizienter und sicherer löst."

Die Sicherung einer Webanwendung beginnt - so Visonys - bei der gezielten Auswahl von Standardkomponenten wie Web Server, Betriebssystem, Bibliotheken und Anwendungsherstellern sowie bei der guten Programmierung der Webanwendung. Das Open Web Application Security Project (OWASP: www.owasp.org) gibt hilfreiche Tipps für die Verantwortlichen von Webanwendungen und zeigt, worauf es bei der Programmierung ankommt.

Für einen proaktiven Schutz mit einem positiven Sicherheitsmodell reicht aber die vermeintlich sichere Programmierung aus zwei Gründen nicht aus: Erstens kommt der Programmcode der Web-Anwendung viel zu spät zum Einsatz. Sobald ein Angreifer eine Schwachstelle in einer anderen Schicht ausnutzen kann, ist der Programmierer der Webanwendung machtlos. Im Gegensatz zum Unternehmen, das die Webanwendung anbietet und alle Ebenen sichern muss, reicht dem Angreifer eine Schwachstelle auf einer Ebene, um das System zu durchbrechen. Um aktuellen Bedrohungen gerecht zu werden, müsste die Webanwendung demnach pausenlos und immer wieder überarbeitet werden. Das ist aber weder effizient noch finanzierbar.

Vorgelagerte Sicherheitsmaßnahmen wie Web Application Firewalls kümmern sich dagegen fokussiert und dediziert um die Minimierung der Risikobedrohung für Webanwendungen. Nur so bleiben diese generell und effizient über längere Zeit vor unerwünschten und bösartigen Angriffen verschont. Regelmäßige Security Assessments mit Penetration Tests und Prüfungen aller Patch-Levels sowie Konfigurationen sind trotz WAF sinnvoll und können beim Einsatz einer WAF wesentlich effizienter durchgeführt werden. Dabei sollte darauf geachtet werden, dass nicht nur automatische Scanner, sondern auch ausgefeilte manuelle Angriffstechniken mögliche Schwachstellen aufspüren.

Auf Grund der Resultate lassen sich die Vorkehrungen zur Sicherung der Webanwendung dann gezielt optimieren. So entsteht der gewünschte ganzheitliche Security-Prozess - vom Schutzbedarf über die Implementierung bis zur Verifikation.

"Durch die Kombination von vorgelagerten Sicherheitsfunktionen in einer Web Application Firewall und die ständige Applikationsentwicklung werden die Risiken für Angriffe also gering gehalten. Dies ist nicht nur für den Anbieter der jeweiligen Website, sondern auch für die vielen Millionen Internetuser extrem wichtig. Denn nur mit einem umfassenden Sicherheitsschild behält das Internet als vertrauliches und verlässliche Kommunikations-, Geschäfts- und Handelswerkzeug seine Glaubwürdigkeit", fügt Estermann hinzu.

Hintergrund: Cross Site Scripting
Beim Cross Site Scripting geht es um die Manipulation von Benutzereingaben, die an eine Webanwendung übergeben werden können. Durch Ausnutzung von Sicherheitslücken in der Applikation kann ein Angreifer unter anderem schädliche Programmcodes in eine für den Anwender normalerweise korrekte Umgebung einbetten. Ziel ist zumeist das Ausspähen und die Manipulation von Benutzerdaten.

Eine XSS-Schwachstelle kann insbesondere in Kombination mit anderen Angriffen sehr wirkungsvoll sein – zum Beispiel lassen sich hierdurch erfolgreiche Phishing-Angriffe über den richtigen Applikationsserver abwickeln. XSS kann sogar zur vollständigen Kontrolle über die Webanwendung führen. Im Fall von eBay demonstrierte "Falle Internet" an einer Beispielauktion, dass Online-Kriminelle durch das Einbinden von Flash-Animationen in eine Artikelbeschreibung Einblick in alle Daten erhalten. Hierzu gehören persönliche Daten, sämtliche Handelsaktivitäten, alle beobachteten Artikel und auch persönliche Nachrichten. (Visonys: ra)

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Hinweisgebersystem für Korruption

    Zum 15. September 2020 wurde die "Bayerische Zentralstelle zur Bekämpfung von Betrug und Korruption im Gesundheitswesen" (ZKG) in Nürnberg gegründet. Ein Team aus Spezialstaatsanwälten um den Leitenden Oberstaatsanwalt Richard Findl nimmt seither bayernweit schwarze Schafe im Gesundheitssektor ins Visier. Bayerns Justizminister Georg Eisenreich sagte: "Es geht um die Abrechnung von nicht erbrachten Corona-Tests, um Pflegedienstbetrug, um Schmiergelder. Betrug und Korruption im Gesundheitswesen können viel Schaden anrichten - von enormen finanziellen Schäden bei Krankenkassen und Versicherungen bis hin zu Gesundheitsschäden bei Patienten. Dagegen muss der Staat entschlossen vorgehen. Wir haben deshalb vor einem Jahr unsere Ermittlungsstrukturen mit der ZKG nochmals verstärkt." Justizminister Eisenreich zog heute (17. November) eine erste Bilanz: "Unsere zentrale Ermittlungseinheit, die ZKG, hat 254 Verfahren von den drei Schwerpunkt-Staatsanwaltschaften in Bayern übernommen und binnen eines Jahres 197 Verfahren selbst eingeleitet. Beim Großteil der Verfahren geht es um Betrugstaten im Gesundheits- und Pflegebereich."

  • Fremdfinanzierung & Risikocheck

    Verschlechtert sich das Rating eines Unternehmens, ändert der Banker seinen Blickwinkel darauf. Das sorgt in der Regel für Emotionen bei Geschäftsführern und Gesellschaftern. Doch: Der Finanzierer braucht schlichtweg die Sicherheit, dass geliehenes Geld auch zurückbezahlt werden kann - selbst wenn es "hart auf hart" kommt. Und so liegt es quasi in der Natur des Bankers, durch die Risikobrille auf Unternehmensgeschicke zu blicken und Prozesse zu hinterfragen. Er will Entscheidungsprozesse des Managements beurteilen können: Wie werden Entscheidungen getroffen? Wer ist in die Entscheidungsfindung eingebunden? Zu welchem Zeitpunkt und wie erfolgt die Umsetzung einer Entscheidung? An dieser Stelle wird häufig missverstanden, welche Botschaften "richtig" für den Banker sind. Der vielfache Glaube, nur gute Nachrichten sind "bankable" ist nicht nur falsch, sondern auch gefährlich. Denn diese Botschaften sind in aller Regel nicht stimmig und beleuchten nur die positive Seite der Medaille - was mit der Risikosicht des Bankers kollidiert und so für Zweifel sorgt. Statt Risiken auszublenden und nur von positiven Perspektiven zu berichten, ist ein realistischer Blick nach vorne, die Beschreibung von Chancen und Risiken gleichermaßen und vor allem die Reaktion darauf gefragt.

  • Mustererkennung beim E-Mail-Betrug

    4 Milliarden US-Dollar Jahresgesamtverlust in 2020: Der Bericht der vom FBI geführten Beschwerdestelle für Internetkriminalität offenbart erschreckende Zahlen. "Der E-Mail Betrug mit Phishing, Malware und Ransomware hat besonders stark zugenommen, wobei Cyberkriminelle die Corona-Krise für ihre E-Mail Betrugsmaschen ausnutzten. Pandemie-Themen wie Impfstoffe, Hilfen für Unternehmen oder neue COVID19-Varianten beflügelten ihre Kreativität und wurden für allgemeine Phishing- oder gezielte Social Engineering-Angriffe verwendet", macht IT-Sicherheitsexpertin Patrycja Schrenk, Geschäftsführerin der PSW Group, auf den jüngst erschienenen Bericht des Internet Crime Complaint Centers aufmerksam. Neben dem sogenannten Business E-Mail Compromise, in Deutschland als "Chefmasche" bezeichnet, verursachte E-Mail Account Compromise, eine Taktik, bei der E-Mail-Konten kompromittiert werden, um Zugang zu legitimen Postfächern zu erhalten, dabei die höchsten Verluste, die mit über 1,8 Milliarden US-Dollar beziffert. Tatsächlich sind diese beiden Angriffsarten sowie Phishing dem Bericht zufolge eine größere Bedrohung als Ransomware: Finanzielle Verluste waren - verglichen mit Ransomware-Angriffen - 64 Mal höher.

  • Pool der verfügbaren Kreditinstitute schrumpft

    ESG-Bedenken lassen die Finanzierungskosten für Mineralölunternehmen rapide ansteigen, da das Interesse an Investitionen in kohlenwasserstoffintensive Anlagen schwindet und die Fondsmandate immer restriktiver werden. Obwohl sich viele Ölunternehmen aus der Perspektive der Kreditvergabe in einer besseren Verfassung befinden als in den letzten Jahren, da ihre Bilanzen durch den Anstieg der Ölpreise im Jahr 2021 gestärkt wurden, wird es für sie immer schwieriger, Finanzmittel zu beschaffen. Denn der Pool an bereitwilligen Investoren schrumpft und die Banken beugen sich dem Druck, ihre Kreditvergabe dem Trend zur CO2-Reduktion anzupassen. Tullow Oil emittierte im April eine Anleihe mit einem Volumen von 1,8 Mrd. USD, die aufgrund ihres zweistelligen Kupons und der gleichzeitigen Vereinfachung der Kapitalstruktur vom Markt gut aufgenommen wurde. Die im letzten Monat von Ithaca, einem Unternehmen, das sich im Besitz von Delek befindet, aufgelegte Anleihe war jedoch eine andere Angelegenheit. Der Preis des Titels lag weit unter dem Marktpreis und wird immer noch leicht unter dem Emissionspreis gehandelt, trotz eines saftigen Kupons von 9 Prozent, einer gut ausgestatteten, kostengünstigen Vermögensbasis und einer beträchtlichen Cash-Generierung.

  • Betrug und Korruption im Gesundheitswesen

    Schmiergelder, gefakte Corona-Tests, falsche Abrechnungen: Zum Schutz des Gesundheitssystems hat der Minister bei der Generalstaatsanwaltschaft Nürnberg im vergangenen Jahr die "Bayerische Zentralstelle zur Bekämpfung von Betrug und Korruption im Gesundheitswesen" (ZKG) eingerichtet. Bayerns Justizminister Georg Eisenreich: "425 Milliarden Euro wurden nach Schätzungen vergangenes Jahr im deutschen Gesundheitssystem umgesetzt. Vor diesem großen Wirtschaftssektor machen Kriminelle nicht Halt. Betrug und Korruption im Gesundheitswesen können viel Schaden anrichten - von enormen finanziellen Schäden bei Krankenkassen und Versicherungen bis hin zu Gesundheitsschäden bei Patienten. Dem muss der Staat entschlossen entgegentreten. Deshalb setzt Bayern ab morgen zusätzlich auf eine neue Hinweisgeber-Plattform, um gezielt gegen die schwarzen Schafe der Branche vorzugehen." Justizminister Eisenreich: "Das Gesundheitssystem in Bayern ist sehr leistungsfähig. Den vielen im Gesundheits- und Pflegebereich Tätigen, die sich für die Gesundheit anderer mit großer Hilfsbereitschaft einsetzen, möchte ich herzlich danken."