Was uns das Jahr 2023 über die Sicherheit im E-Commerce gelehrt hat

In der Geschäftswelt gibt es ein altes Sprichwort: „Was uns bis hierher gebracht hat, wird uns nicht weiterbringen.“ Um wettbewerbsfähig zu bleiben, müssen Unternehmen sich ständig anpassen und weiterentwickeln. Dasselbe gilt für die IT-Sicherheit. Cyberbedrohungen nehmen an Komplexität und Umfang zu, während Angreifer nach neuen Wegen suchen, wertvolle Daten zu kompromittieren.

Cyberkriminelle nehmen zunehmend den Einzelhandel ins Visier

Laut einer ausführlichen Analyse des Magazins Tech Radar gehört der Einzelhandel heute zu den bevorzugten Zielen von Cyberkriminellen. Eine Analyse der Angriffe auf Einzelhandelsunternehmen in diesem Jahr hat eine Reihe zentraler Gefahren aufgezeigt, darunter Datendiebstahl, kompromittierte Konten, Reputationsschäden und Ausfallzeiten.

Es gibt weit verbreitete Bedrohungen wie digitales Skimming und schädliche Bots, während andere, etwa Account-Takeover-Angriffe (ATO) und der Missbrauch der Geschäftslogik, immer häufiger auftreten. Welche Lehren können wir aus dem Jahr 2023 ziehen? Und wie können Händler auf eine sich wandelnde Bedrohungslage reagieren?

Account Takeover

Eine der größten Bedrohungen für alle Einzelhandelsunternehmen in diesem Jahr waren Account-Takeover-Angriffe (ATO), bei denen Cyberkriminelle automatisierte Bots einsetzen, um Online-Konten zu kompromittieren, indem sie gestohlene Passwörter und Benutzernamen testen. Für Kunden kann ein erfolgreicher ATO-Angriff schwerwiegende finanzielle Folgen haben, für Unternehmen kann er Reputationsrisiken und Umsatzeinbußen nach sich ziehen.

ATO-Angriffe sind eine ganzjährige Bedrohung und machen fast jeden sechsten Anmeldeversuch aus. Besonders stark verbreitet ist die schädliche Aktivität in der Urlaubs- und Weihnachtszeit. In diesem Jahr stieg das Volumen schädlicher Anmeldeversuche am Black Friday um unglaubliche 85 % und übertraf damit sogar den Anstieg von 66 % im Vorjahr. Und nicht nur der Black Friday ist ein Problem: Die Zahl der ATO-Angriffe stieg zwischen Oktober 2023 und November 2023 um 82 %. Diese Zahlen unterstreichen, wie wichtig es für E-Commerce-Plattformen und Unternehmen ist, über Schutzmaßnahmen zu verfügen, um schädlichen automatisierten Datenverkehr zu erkennen und abzuwehren, der an ATO-Angriffen beteiligt sein könnte.

Missbrauch der Geschäftslogik

Die Geschäftslogik bezeichnet die Regeln oder Algorithmen, die bestimmen, wie eine Anwendung oder ein Programm arbeitet und mit einer Datenbank interagiert. Man kann sie sich als den Entscheidungsprozess einer Anwendung oder API vorstellen – die „Wenn-dann“-Szenarien, die darauf ausgelegt sind, den ROI zu maximieren. So könnte ein Händler beispielsweise festlegen, dass ein Kunde, „wenn“ er Waren im Wert von mehr als 200 £ bestellt, „dann“ einen Rabatt von 20 % erhält. Solche bedingte Logik ermöglicht es, Geschäftsentscheidungen zu automatisieren und effizienter zu gestalten.

In den letzten 12 Monaten des Jahres 2023 haben sich die Angriffe auf die Geschäftslogik von Einzelhandels-Websites fast verdoppelt, von 26 % auf 43 %. Angriffe auf die Geschäftslogik können genutzt werden, um Geld oder sensible Daten zu stehlen, Betrug zu begehen oder einfach Chaos zu verursachen, indem eine geschäftskritische Anwendung zum Absturz gebracht wird. Sie werden bei Hackern immer beliebter, weil sie keine technische Schwachstelle ausnutzen, sondern eine bestehende Funktion der Anwendung oder des Systems missbrauchen. Daher werden sie von herkömmlichen Sicherheitstools häufig nicht erkannt.

Wenn ein Händler es beispielsweise einem Kunden erlaubt, digitale Geschenkkarten an einen anderen Kunden zu senden, könnten Hacker eine fehlerhafte Logik im System ausnutzen, um sich selbst Gutscheine im Wert von Tausenden von Euro von einem anderen Konto „zu schenken“. Ein solcher Angriff könnte sowohl für den Verbraucher als auch für das Unternehmen ernste Folgen haben.

Gewonnene Erkenntnisse

Um diese beiden Problemfelder – ganz zu schweigen von den vielen weiteren Bedrohungen, denen Händler ausgesetzt sind – anzugehen, ist die Beteiligung beider Seiten erforderlich. Für Verbraucher ist es wichtig, auf eine gute Passworthygiene zu achten (zum Beispiel Passwörter nicht auf verschiedenen Websites wiederzuverwenden), um die Wahrscheinlichkeit zu verringern, Opfer eines ATO-Angriffs zu werden. Unternehmen benötigen ihrerseits eine koordinierte und umfassende Verteidigungsstrategie mit einer Reihe von Funktionen, die alle Zugangspunkte abdecken kann, einschließlich Websites, mobiler Apps und APIs. Das bedeutet, über eine einfache Bot-Management-Lösung hinauszugehen und Tools wie Angriffsanalyse, Client-seitigen Schutz und Runtime Application Self-Protection (RASP) einzubeziehen.

Darüber hinaus muss die Verantwortung für die Sicherheit innerhalb der Organisation breiter verteilt werden. Um den Missbrauch der Geschäftslogik zu bekämpfen, müssen Entwickler und Product Owner Sicherheitsmaßnahmen von Anfang an und in jeder Phase des Prozesses konzipieren und integrieren, um potenzielle Risiken zu minimieren. Dies sollte durch regelmäßige Audits und Code-Reviews ergänzt werden, um mögliche Probleme zu erkennen, die anfangs möglicherweise übersehen wurden. Die Identifizierung von Schwachstellen in der Geschäftslogik ist kein „einmaliger“ Prozess – Software-Updates erfolgen fortlaufend, und jedes davon kann eine neue Schwachstelle in die Logik der Anwendung einbringen.

Was erwartet uns in der aktuellen Lage?

Aufgrund der sich ständig verändernden Bedrohungslage erfordert die IT-Sicherheit eine kontinuierliche Anpassung. Neue Bedrohungen können über Nacht entstehen und für Unternehmen zu kritischen Problemen werden. Im Jahr 2023 gehörten ATO-Angriffe und der Missbrauch der Geschäftslogik zu den größten Bedrohungen für Händler. Mit der zunehmenden Verbreitung generativer KI könnte diese Technologie Cyberkriminellen helfen, ihre Angriffe anzupassen. Daher könnte das Jahr 2024 einen überraschenden Anstieg des Angriffsvolumens erleben, insbesondere im Bereich der Geschäftslogik, da Angreifer KI-Systeme darauf trainieren, solche Schwachstellen aufzuspüren und auszunutzen.