Neue Kriminalitätswelle: Angriff auf mittelständische Websites

Die Cyberkriminellen haben kleine und mittelständische Websites längst für sich entdeckt. Derartige Angriffe bilden mittlerweile einen Schwerpunkt krimineller Aktivitäten.

Neben der Verbreitung von Malware fokussieren sich die Angriffe auf den Identitätsdiebstahl. Das Prinzip dabei ist, dass Anwender häufig die gleichen Log-in-Daten bei vielen Online-Diensten nutzen. Das gestohlene Passwort aus dem Diskussionsforum funktioniert auch beim Bezahldienst.

Hinzu kommt, dass mittlerweile eine echte Wertschöpfungskette für gestohlene Daten existiert. Identitätsdaten sind zu einer handelbaren Ware im Internet geworden. Immer wieder finden Sicherheitsunternehmen „Handelsplattformen“ für persönliche Daten im Internet. Ein technisch versierter Hacker, der Kreditkartennummern ausspioniert, hat noch lange nicht das Know-how, die Nummern in Bargeld zu konvertieren. Das ermöglicht ihm nun der Handel im Internet.

Kleine Webshops, mittelständische Agenturen und andere Unternehmen sind für die Abwehr der heutigen Gefahren nicht gerüstet. Sie müssen sich im harten Wettbewerb unter anderem über den Preis definieren und können sich aufwendige Prozeduren, etwa einen Codereview, nicht leisten.

Diese neue Angriffsform bedroht durchaus das Wesen des Internets. Das Internet definiert sich dadurch, dass jeder gleichzeitig Anbieter und Abnehmer von Informationen und Dienstleistungen sein kann. Ein kleiner Einzelhändler kann sich im Internet derselben Technologien bedienen wie ein großer Warenhauskonzern.

Die meisten Innovationen sind von kleinen Firmen ausgegangen. Werden kleine Websites jetzt von Cyberangriffen bedroht, kann das Vertrauen in diese Websites sinken. Um dem zu begegnen, ist es wichtig, dass den kleinen Unternehmen Hilfsmittel in Form von Parsern und Testing-Tools zur Verfügung gestellt werden. Gefordert ist hier vor allem die Open-Source-Community.

Dennoch müssen auch kleinste Unternehmen mehr Verständnis für Sicherheit bekommen. Die meisten Angriffsmöglichkeiten mittels XSS- und SQL-Injection-Attacken basieren auf Flüchtigkeitsfehlern von Programmierern, die man auch heute schon abstellen kann.