von Rainer Seidlitz
Datensicherheit wird vor allem durch Organisation und Transparenz gewährleistet. Daher sollte am Anfang eines jeden Projekts eine Aufschlüsselung der Informationswerte stehen. Das bedeutet, dass sämtliche Belange eines Shops, alle beteiligten Personen, Unternehmen und Applikationen zu definieren sind.
Dabei helfen folgende Leitfragen:
• Welche Systeme werden für welche Zwecke eingesetzt?
• Wer ist für welche Verfahren verantwortlich (Prozessverantwortlichkeit, Betriebsverantwortung, Pflege und Entwicklung)?
• Welche Daten werden in den jeweiligen Systemen erhoben und wer ist davon betroffen (zum Beispiel Kundendaten, Vertragsdaten)?
• An welche (internen oder externen) Empfänger werden die Daten gegebenenfalls übermittelt? Besteht eine Auftragsdatenverarbeitung gemäß § 11 Bundesdatenschutzgesetz (BDSG)? Falls ja, sind daran Vereinbarungen und Kontrollen in Bezug auf die technischen und organisatorischen Maßnahmen gemäß § 9 BDSG zu knüpfen?
• Wann werden Daten gelöscht? / Wie lange müssen Daten archiviert werden?
• Welche internen oder externen Personen haben Zugriff auf Daten, wie werden diese Zugriffe überwacht und die Berechtigungen aktuell gehalten?
Hinter all diesen Überlegungen steht auch die Frage, wie sicher ein Shop überhaupt gestaltet werden soll und kann. So ist die Definition von Schutzzielen und Schutzbedarf, welche in allen Aktionen gelebt und von sämtlichen Mitarbeitern sowie Partnern erfüllt werden, ausschlaggebend für den Umgang mit dem Thema Sicherheit. Steht fest, wie dieser Standard aussieht und welche Informationswerte zu schützen sind, muss eine Risikoeinschätzung stattfinden. Die Analyse der einzelnen Prozesse zeigt hierbei Risiken und Schwachstellen auf, die in der Folge systematisch klassifiziert werden. Dazu werden Faktoren wie die Häufigkeit, die Auswirkung und die Erkennbarkeit des Ereignisfalls bewertet. Sind alle Risiken beurteilt, können diese den bereits getroffenen technischen und organisatorischen Maßnahmen gegenübergestellt werden. Damit lassen sich Defizite in der Organisation und Umsetzung unmittelbar erkennen. Da der Sicherheitsfaktor von Online-Shops durchaus stark von finanziellen Mitteln beeinflusst wird, können Betreiber durch eine Risikoanalyse bestimmte Schwachstellen akzeptieren, sofern Kunden in ihren Persönlichkeitsrechten nicht unmittelbar betroffen sind und deren mögliche Folgen kalkulieren. Selbst ein Betreiber mit hohem Budget ist nicht vor Fehlern gefeit und kann von den Ergebnissen der Analyse profitieren.
Online-Projekte sicher managen
Erfahrungen haben gezeigt, dass heute weniger die technische Infrastruktur eines Shop-Systems ausschlaggebend für Sicherheitsmängel ist, sondern viel häufiger Zuständigkeitslücken, Unkenntnis und personelles Fehlverhalten zu Fehlern und teils auch gravierenden Sicherheitslücken führen. Besonders anfällig für Regelungslücken ist die Einbindung externer Partner in die Organisation. In vielen Fällen findet nur ein rein fachliches Briefing in Form eines Lastenheftes statt; konkrete Sicherheitsanforderungen an die Technik und Applikation werden nicht beschrieben, selbst wenn solche innerhalb der eigenen Organisation vorhanden sein sollten.
Unabhängig von einer internen oder externen Verantwortung muss geklärt sein, wer für den sicheren Betrieb der Systeme zuständig ist. Dazu gehören etwa die Härtung von Webservern und das Patchen von Systemen in Bezug auf Sicherheitslücken. Dazu müssen die Verantwortlichen die entsprechenden Informationsquellen abfragen, wie beispielsweise die Fachnewsletter der Hersteller, um auf dem Stand der Technik zu bleiben. Es empfiehlt sich, solche Patches vorab in einem Testsystem auszuprobieren, um eventuelle Auswirkungen auf das Shopsystem analysieren zu können. Im Bereich der Shop-Programmierung stellt sich die Frage nach den zugrundeliegenden Programmierrichtlinien, deren Anwendung technische Mängel, wie Cross-Site-Scripting oder SQL-Injection verhindern soll. Diese müssen geeignet in den Entwicklungsprozess eingebunden werden. Zudem ist zu klären, wer in welcher Weise die Einhaltung der vereinbarten Standards prüft und wie die Ergebnisse der Prüfungen zu dokumentieren sind.
Auch die fachliche Logik eines Webshops kann zu Sicherheitslücken führen. Hier sind die Projektleiter gefragt, die Online-Prozesse vorgeben. Sensibel sind insbesondere Prozesse, die Kundendaten unmittelbar betreffen. Die Absicherung des Online-Kundenkontos durch adäquate Passwortrichtlinien ist dabei ein Muss. Idealerweise gibt der Shopbetreiber starke Passwortrichtlinien vor und akzeptiert keine trivialen oder mit dem Benutzernamen identischen Nutzerpassworte. Brute-Force-Angriffe sollten erkannt und mit einer Sperrung der angreifenden IP-Adresse oder der Präsentation eines CAPTCHAs, einer aus einem Suchbild abzulesenden Zeichenfolge, blockiert werden. Daneben ist auch die Passwort-Vergessen-Funktion gegen Missbrauch zu schützen.
Bestehen auch im Notfall
Ausgehend von den initial ermittelten Risiken sollte eine Planung für eventuelle Notfälle abgeleitet und erstellt werden. Diese sollte Notfälle in Form von Szenarien beschreiben. Besonders berücksichtigt werden Ereignisse mit hohem Schadenspotenzial wie dem Ausfall von Systemen mit Einbußen im Umsatz durch Nicht-Erreichbarkeit, potenzieller Datenverlust oder externe Angriffe auf Kundendaten. Bei der Notfallbehandlung ist die unmittelbare Erkennung, Meldung und Aktion gefordert. Dazu können Überwachungstools und automatische Benachrichtigungssysteme dienen. Der Benachrichtigte muss über die entsprechenden Zugänge und Befugnisse verfügen, um den Notfall zu behandeln oder eine weitere Eskalation vorzunehmen. Abschließend ist der Notfall zu dokumentieren, um „Lessons Learned“ abzuleiten.
Sicherheit überprüfen
Grundsätzlich sollten alle getroffenen Maßnahmen von den System- und Prozessverantwortlichen regelmäßig überprüft werden. Ein großes Problem entsteht für Unternehmen, wenn Daten verloren gehen oder gelöscht werden. Ein funktionierender Backup-Prozess ist daher unbedingt zwingend zu implementieren. Hier muss überprüft werden, wie oft ein Backup stattfinden soll, ob die Wiederherstellung der Daten wirklich funktioniert und vor allem, wo die Daten gesichert werden. Ebenso muss die Gebäudetechnik wie unterbrechungsfreie Stromversorgung, Löschanlage oder Klimatechnik regelmäßig auf ihre Zuverlässigkeit überprüft werden. Auch alle weiteren Prozesse, egal ob physischer oder personeller Natur, müssen aktuell gehalten werden. Schnell geht der Überblick verloren. Auch Dienstleister sind in Kontrollen zu integrieren, da sie ein wichtiger Bestandteil der Strukturen sind. Es empfiehlt sich, Prozesse und Systeme sowie bestimmte Abläufe von externen Dienstleistern prüfen und zertifizieren zu lassen. Der geschulte Blick von außen erkennt schneller Schwachstellen und durch den Willen zur eigenen Qualitätskontrolle werden auch Mitarbeiter für das Thema Sicherheit sensibilisiert. Dabei gehen Zertifikate wie das S@fer-Shopping-Siegel vom TÜV Süd weit über die gesetzlichen Anforderungen hinaus und geben zusätzliche Anstöße, um Sicherheitsstrukturen zu verbessern. Ein Zertifikat kann zudem auch werbewirksam eingesetzt werden. Es vermittelt Kunden, dass der Shopbetreiber auf Sicherheit achtet und die vorhandenen Prozesse und Strukturen einen sensiblen und gerechten Umgang mit Daten gewährleisten können.
Fehler und Verstöße gegen Datenschutzrichtlinien stehen zurzeit stark im Fokus der Öffentlichkeit. Der Gesetzgeber hat erst Ende des vergangenen Jahres die Sanktionen verschärft. Daher sollten alle Shop-Betreiber dieses Thema mit dem nötigen Respekt und mit hoher Gründlichkeit angehen. Denn finanzielle Strafen und Imageverlust können schnell zum Bankrott eines Online-Shops führen.
Über den Autor:
Rainer Seidlitz ist der Leiter der strategischen Geschäftseinheit IT & Internet bei der TÜV Süd Management Service GmbH.