Secure Blogging: Die dunklen Seiten der Internet-Tagebücher

Auch die weitere Verbreitung von RSS-Feeds als topaktuelle Newsangebote könnte sich zum Problemfall entwickeln, etwa wenn es gelingt, manipulierten RSS-Code in ein derartiges Serviceangebot einzuschleusen. Die Gefahren von Hacking und Phishing via RSS-Feed lassen sich anhand folgendem Szenario verdeutlichen: Setzt beispielsweise eine Bank RSS-Feeds ein und deren Server wird gehackt, könnten Unbefugte eine Nachricht absetzen und die Kunden auf eine Phishing-Seite lotsen. „Das Prinzip ist damit analog dem Phishing via E-Mail, allerdings fast noch tückischer, denn die Kunden haben sich für das RSS der Bank eingeschrieben und glauben, dass diese Nachricht wirklich von der Bank übermittelt wurde“, sagt Gernot Hacker.

Grundsätzlich seien zudem beim RSS-Reader Stempel und Sicherheitszertifikate fälschbar, ergänzt Sicherheitsexperte Stefan Strobel von Cirosec. Erste Lösungsanbieter sind bereits auf dem Markt präsent. So offeriert das amerikanische Unternehmen Reactivity, ein Anbieter von Geräten für XML-Infrastrukturen, mit „Secure RSS“ eine spezifische Verschlüsselungstechnologie. Der Hersteller verschlüsselt direkt am Gateway, der Nutzer kann nur nach entsprechender Identifizierung auf die RSS-Feeds zugreifen. Dass ein wirkungsvolles Identitäten-Management Not tut, zeigt die Tatsache, dass einzelne Betreiber gelegentlich darüber klagen, dass bereits registrierte Beiträge wieder, wie von Geisterhand entfernt, von der Blogging-Plattform verschwinden.

Die Möglichkeiten zur Manipulation und das Einschleusen von Schädlingen via Weblogs sind also vielfältig, wenngleich sie technisch gesehen kaum etwas Neues bieten. Die zentrale Schwachstelle ist und bleibt der Mensch selbst. Wirkungsvollen Schutz bietet eine aktive „Rund-um-die-Uhr“-Betreuung, aus Kosten- und Kapazitätsgründen für die meisten Unternehmen allerdings kaum umsetzbar. Nach Auffassung Maxim Schipkas von Messagelabs springen in diese Marktnische schon bald die ersten Anbieter von spezifisch auf das Corporate Blogging zugeschnittenen Managed Security Sevices.