Onlinehandel: Datenpannen und Hacks passieren jeden Tag

Jedes Jahr werden in Deutschland hunderttausende Unternehmen von Hackern angegriffen. Und nicht immer können sie sich erfolgreich verteidigen. Dabei kann eine gelungene Strategie im Bereich Cybersecurity mehr sein als nur der bloße Schutz der eigenen Daten.

Für viele Kunden und Kundinnen großer Vergleichsportale war es ein böses Erwachen im Mai 2022, als bekannt wurde, dass ihre persönlichen Daten frei einsehbar im Internet standen. Und das über Jahre hinweg. Die großen Player in Sachen Preisvergleich haben sich eine gewaltige Datenpanne geleistet und mehr als eine Million Datensätze nicht ausreichend geschützt. So gelangten teilweise kritische Personendaten von mehr als 700.000 Usern unverschlüsselt ins Netz.

Der Fehler war jedoch weder bei den Marktplätzen noch bei den Vergleichsportalen zu suchen. Vielmehr hatte eine Firma im Hintergrund die Schnittstellen, also die kleinen Software-Anwendungen, die als Brücken zwischen beiden Plattformen dienen, nicht ausreichend gesichert. Dadurch war es möglich, ohne große Mühe, Daten auszulesen. darunter Adressen, Bestellverläufe und auch Bankverbindungen.

Wie groß die Herausforderung im Datenschutz wirklich ist, zeigt die Website “haveibeenpwned.com”, die es ermöglicht, anhand von E-Mail-Adressen oder Handynummern herauszufinden, ob die eigenen Daten durch Datenlecks und Hacks bereits im Internet zu finden sind. Dort sind fast 12 Milliarden Datensätze aus der ganzen Welt hinterlegt. Oder anders gesagt: auf jeden Menschen auf dem gesamten Planeten kommen 1,6 Accounts, die Opfer von Datenpannen und Angriffen aufgrund ungenügender Cybersecurity wurden.

Gibt es den absoluten Schutz?

Laut dem Digitalverband Bitkom waren gut 86 Prozent aller Unternehmen in der Bundesrepublik Deutschland schon einmal von Cyberangriffen betroffen. Und das allein im Jahr 2020. Der jährliche Schaden dieser Angriffe wird von Bitkom auf mehr als 220 Millionen Euro geschätzt. Und dabei geht der Verband von einer nicht unerheblichen Dunkelziffer von Fällen aus. Denn: nur wer einen Angriff auch als solchen erkennt, kann diesen überhaupt melden. Ein wirksamer Schutz gegen die Gefahren des Internets ist daher nicht nur ein Luxus, den sich Unternehmen gönnen, sondern eine Pflicht. Doch gibt es wirklich einen umfangreichen und absoluten Schutz?

2015 griff das Hackerkollektiv mit dem Namen „Fancy Bear“ den Deutschen Bundestag an. Gesteuert durch den russischen Militärgeheimdienst GRU erbeuteten sie sensible Daten aus den Bereichen Finanzen, Geheimdienste und Rüstung. 2016 wiederholten Hacker diesen Trick sogar noch einmal und blamierten damit die Datenschutzexpert*innen der Bundesregierung. Und das, obwohl dort die Cybersecurity massiv ausgebaut wurde, um genau dies zu verhindern. Die Lehre daraus ist: Ist ein Ziel nur verlockend genug, werden Wege zum Umgehen der Sicherheit gefunden werden.

Hackern das Leben schwer(er) machen

Das heißt jedoch nicht, dass Unternehmen es Hackern nicht so schwer wie möglich machen können. Schon eine aufmerksame IT-Abteilung innerhalb eines Unternehmens kann viele Probleme lösen, bevor sie entstehen. Denn meist schließen Softwareanbieter bekannte Sicherheitslücken zügig und zuverlässig. Sofern die eigenen Geräte, vom Computer im Büro bis zum Scanner im Lager, regelmäßig gewartet und upgedatet werden, können viele Angriffswege bereits vor einer Attacke geschlossen werden. Die Einführung und konsequente Nutzung einer Zwei-Wege-Authentifizierung schützt zudem vor Einfallstoren, die durch individuelle Accounts von Mitarbeiter*innen entstehen.

Darüber hinaus ist es wichtig, die eigene Infrastruktur umfangreich zu schützen. Das bedeutet, dass nur Software- und Hardwareanbieter genutzt werden sollten, die eine passende Zertifizierung vorweisen können. Beim Umgang mit Kreditkartendaten ist das zum Beispiel der PC-DSS, also der Payment Card Industry Data Security Standard. Dieser verlangt von zertifizierten Unternehmen, sich quartalsweise von externen Dienstleistern auf etwaige Schwachpunkte prüfen zu lassen. Onlinehändler sollten hier also auf jeden Fall darauf achten, dass ihre Partner für die Zahlungsabwicklung diese Zertifizierung vorweisen.

Zudem müssen Server gegen sogenannte DDoS-Angriffe besonders gesichert sein. Ziel dieser Attacken ist es, Server mit unzähligen einzelnen Anfragen zu überlasten und so lahmzulegen. Für Onlinehändler kann dies schnell teure Konsequenzen haben, wenn der eigene Shop über Stunden hinweg nicht mehr erreichbar ist. Wie sicher der eigene Shop ist, kann mit einem Test des TÜV überprüft werden.

Der Faktor Mensch entscheidet bei der Cybersecurity

Das größte Einfallstor für Hacker und das größte Problem für die Data-Security ist jedoch nicht die Technik, sondern der Mensch hinter der Technik. Über das sogenannte Social-Engineering passieren die meisten Einbrüche in sichere Systeme. Egal ob es eine E-Mail mit einem Anhang ist, die die Personalabteilung besser nicht öffnet, oder ein Anruf von einem vermeintlichen Techniker, der nur kurz ein Passwort braucht: Die Kreativität der Hacker ist in diesem Bereich enorm – und es gibt dagegen nur einen Schutz: Ausbildung.

Unternehmen müssen ihre Mitarbeiter*innen umfangreich schulen und kontinuierlich weiterbilden, um sie gegen Manipulationen zu schützen. Dadurch entstehen nicht nur technische Firewalls, sondern auch natürliche Brandmauern, die kostbare Firmendaten schützen und das Vertrauen der Kundschaft erhalten. Die Fähigkeit, mit sensiblen Daten richtig und sicher umzugehen, wird immer mehr zu einem Marketing-Versprechen und kann sogar die Wahrnehmung eines Unternehmens in der Öffentlichkeit verbessern. Datenschutz und umfangreiche Cybersecurity werden dadurch für Händler zu mehr als nur lästigen Pflichten – sie werden zu einer Chance!