Der Online-Handel boomt. Eine oft unterschätzte Gefahr lauert jedoch in Logistik-Schnittstellen von E-Commerce-Plattformen. Hier gibt es häufig Schwachstellen, die gravierende Auswirkungen haben können. Was sollten Anbieter tun, um sich und ihre Kunden zu schützen?
Durch die Pandemie hat der Online-Handel kräftig an Fahrt aufgenommen. Immer mehr Anbieter verkaufen ihre Produkte im Internet – und immer mehr Verbraucher bestellen über digitale Kanäle. Damit die Waren auch beim Kunden ankommen, braucht man neben der E-Commerce-Plattform, auf der der Online-Shop läuft, eine gut funktionierende Logistik. Sie ist für die Lager- und Bestandsverwaltung zuständig, verpackt und verschickt die Produkte und kümmert sich um Umtausch und Retouren.
Autor: Als Business Consultant bringt Richard Werner den IT-Sicherheitsverantwortlichen größerer Unternehmenskunden die Strategie Trend Micros näher, speziell im Hinblick auf aktuelle Cyberbedrohungen. In dieser Rolle, die er seit Juni 2016 innehat, hält Werner zudem Vorträge und kommuniziert mit der Presse. Davor verantwortete er als Regional Solution Manager die Einführung insbesondere der Cloud- und Rechenzentrumslösungen in Deutschland, Österreich und der Schweiz. Werner, der seit 2000 im Unternehmen ist, hatte beim japanischen IT-Sicherheitsanbieter bereits verschiedene leitende Positionen im technischen Bereich inne, vorwiegend im Post- und Presales-Support: Er war unter anderem Leiter des Presales-Teams sowie Senior Sales Engineer.
Vor seiner Zeit bei Trend Micro sammelte Richard Werner Berufserfahrung in der Lebensmittel- und der Logistikbranche.
Nur die ganz großen E-Commerce-Anbieter wie Amazon & Co. betreiben ihre eigenen Logistik-Services. Die meisten Händler arbeiten in diesem Bereich mit Fulfillment-Dienstleistern zusammen. Diese docken ihre IT-Systeme per API (Application Programming Interface) an die E-Commerce-Plattform an, sodass für den Kunden ein nahtloser Prozess entsteht. Da über solche Schnittstellen personenbezogene Daten wie Name, Telefonnummer, Alter, Geburtstag und Adresse ausgetauscht werden, ist es wichtig, sie gut abzusichern. In der Praxis ist das leider oft nicht der Fall – das zeigt eine Studie des japanischen Cybersecurity-Anbieters Trend Micro.
Bei zahlreichen Fulfillment-Dienstleistern und E-Commerce-Plattformen entdeckten die Sicherheitsforscher unsicher implementierte APIs, die personenbezogene Daten gefährden. Cyberkriminelle könnten die Informationen abgreifen und zum Beispiel für Phishing-Angriffe oder SMS-Betrug nutzen. Auch für die Online-Händler sind solche Daten-Lecks riskant, denn bei einem Verstoß gegen die DSGVO drohen hohe Bußgelder. Noch gravierender kann der Reputationsverlust sein, der durch einen Datenschutzvorfall entsteht.
Wo lassen sich personenbezogene Daten abgreifen?
Eine häufige Schwachstelle sind URLs, auf die man ohne Authentifizierung zugreifen kann. Viele Online-Shops ermöglichen den Einkauf mittels Gast-Zugang. Kunden können dann direkt bestellen, ohne dass sie ein Nutzer-Konto anlegen müssen. Nach dem Kauf erhalten sie eine SMS oder E-Mail mit einer URL, über die sie die Bestelldetails und den Status abrufen können. Dafür genügt ein Klick, denn die URL-Parameter enthalten einen Authentifizierungs-Schlüssel. Einerseits ist das für die Kunden bequem, andererseits aber unsicher. Zwar suggeriert die Kombination aus einzigartiger URL und einer E-Mail-Adresse oder Handynummer Sicherheit. Tatsächlich bietet dies aber keinen ausreichenden Schutz.
Denn auch Unbefugte können die URL abfangen, die Webseite aufrufen und die personenbezogenen Daten des Kunden einsehen. Dieses Risiko besteht selbst dann, wenn die Daten über eine verschlüsselte SSL-Verbindung zwischen Client und Server übertragen werden. Denn es gibt zahlreiche Orte, wo sie im Klartext vorliegen: zum Beispiel in den Logfiles eines Webservers, eines Routers oder Proxys oder im Browser-Verlauf des Kunden.
Eine andere Schwachstelle sind Sessions und Cookies, die für die Authentifizierung eingesetzt werden und eine zu lange Lebensdauer haben. Sie ermöglichen es einem Nutzer oder Service, auf Daten zuzugreifen, ohne sich erneut anmelden zu müssen. Gelingt es einem Angreifer, gültige Cookies aufzuspüren und wurde die Session nicht terminiert, kann er diese aufrufen, eine Transaktion rekapitulieren und personenbezogene Daten einsehen.
Darauf sollten E-Commerce-Anbieter achten
Mit gängigen Security-Best Practices lassen sich solche Sicherheitslücken vermeiden. Wenn ein Cookie oder Session-Key-Wert die Authentifizierung zwischen einem Host und einem Server regelt, sollte der Key so kurz wie möglich gültig sein. Die Empfehlung liegt zwischen zwei bis maximal fünf Minuten, bei Risikodaten sogar weniger. URL-Parameter sind immer zu verschlüsseln. Um eine unnötige Exposition zu vermeiden, sollten außerdem stets nur die Daten übertragen werden, die für eine Transaktion unbedingt erforderlich sind. Grundsätzlich ist es empfehlenswert, direkten URL-Zugriff auf personenbezogene Daten zu vermeiden und stattdessen Mehrfaktor-Authentifizierung für E-Commerce-Plattformen einzuführen.
Ob die von den Sicherheitsforschern gefundenen API-Schwachstellen bereits ausgenutzt wurden, ist nicht bekannt. Die Studie will vielmehr ein Weckruf sein. Denn die Sicherheitslücken kommen häufig vor und lassen sich leicht ausnutzen. Daher ist es wichtig, sich der Risiken bewusst zu werden und sie zu adressieren. Online-Händler haben zwar keinen direkten Einfluss auf die Security-Implementierungen ihrer E-Commerce-Plattform und Logistik Services. Bei der Wahl der Partner und Lösungen sollten sie aber auf entsprechende Sicherheit achten. Denn wenn es zu einem Cybervorfall kommt, kann der Vertrauensverlust der Kunden das Geschäft nachhaltig schädigen.
