BSI: 1.000 deutsche Online-Shops verlieren Nutzerdaten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm. Aktuell liegen der Behörde Informationen vor, nach denen aktuell mindestens 1.000 deutsche Online-Shops von Online-Skimming betroffen sind.

Dabei nutzen Cyber-Kriminelle Sicherheitslücken in veralteten Versionen der Shop-Software, um schädlichen Programmcode einzuschleusen. Dieser späht dann beim Bestellvorgang die Zahlungsinformationen der Kunden aus und übermittelt sie an die Täter. Laut BSI, sollen vor allem Online-Shops betroffen sein, die die Shop-Software Magento einsetzen. Ein Fehler im Javascript-Handling habe es den Angreifern überhaupt erst ermöglicht, die Nutzerdaten abzugreifen.

Das BSI verweist auf den Twitter-Account des Computer Emergency Response Team für Bundesbehörden (CERT-Bund), das die hier veröffentlichte Liste der betroffenen Stores verlinkt hat.

Basierend auf einer von einem Entwickler von Sicherheitstools für Magento durchgeführten Analyse wurden bereits im September 2016 weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert, darunter auch mehrere hundert Shops deutscher Betreiber. CERT-Bund benachrichtigte daraufhin die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops. Aktuellen Erkenntnissen zufolge wurde diese Infektion von vielen Betreibern bis heute nicht entfernt oder die Server wurden erneut kompromittiert. Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen. Dies ermöglicht Cyber-Kriminellen, weiterhin Zahlungsdaten und andere bei Bestellungen eingegebene persönliche Daten von Kunden auszuspähen. Die Anzahl aktuell bekannter betroffener Online-Shops in Deutschland ist dadurch auf mindestens 1.000 angestiegen.

Das BSI habe in den vergangenen Tagen zahlreiche deutsche Betreiber unter den betroffenen Seiten identifiziert und anschließend kontaktiert. In ihrer Medienmitteilung weist die Behörde darauf hin, dass die Verpflichtung zur Absicherung von Systemen nicht nur für Unternehmen, sondern auch für alle anderen geschäftsmäßigen Betreiber von Websites gilt.