Was kann ein Angriff auf meiner Website anrichten?

Kartendaten aus dem Bestellformular: British Airways, 2018

Zwischen dem 21. August und dem 5. September 2018 lief auf der Website von British Airways eingeschleuster Code, der jede Kartennummer kopierte, die Kunden bei der Buchung eingaben, und die Kopie an BAways.com schickte, eine Domain der Angreifer. Die Buchung lief dabei normal weiter. Am 5. September wies ein Dritter British Airways auf die Übertragung hin. Die britische Datenschutzbehörde ICO schätzte, dass die Daten von rund 429.000 Menschen betroffen sein konnten, und verhängte im Oktober 2020 ein Bußgeld von 20 Millionen Pfund, weil geeignete technische und organisatorische Maßnahmen zum Schutz der Daten gefehlt hatten. Die Prüfung erkennt diesen Weg an einem Feld für die Kartennummer im eigenen Formular statt im Rahmen des Zahlungsanbieters und an einer fehlenden oder zu offenen Content-Security-Policy.

Eine bekannte Lücke bleibt offen: Equifax, 2017

Am 7. März 2017 wurde eine kritische Lücke in Apache Struts bekannt, einer Software für Webanwendungen; am Tag darauf warnte das US-Heimatschutzministerium die Auskunftei Equifax. Deren Portal für Einsprüche von Verbrauchern lief weiter mit der verwundbaren Fassung. Am 13. Mai 2017 drangen Angreifer darüber ein, fanden eine Datei mit unverschlüsselten Zugangsdaten und fragten damit 48 Datenbanken ab. 76 Tage blieb das unbemerkt, weil das Gerät, das den Datenverkehr des Portals überwachen sollte, seit 19 Monaten mit abgelaufenem Zertifikat stillstand. Nach dem Bericht des US-Repräsentantenhauses waren 148 Millionen Menschen betroffen. Im Vergleich mit der US-Handelsbehörde FTC und weiteren Behörden sagte Equifax 2019 mindestens 575 und bis zu 700 Millionen Dollar zu. Die Prüfung erkennt diesen Weg an Bibliotheken mit bekannter Schwachstelle oder ohne Herstellerpflege und an Versionsnummern, die der Server jedem Besucher nennt.

Ein Vorlese-Werkzeug rechnet für Fremde: Browsealoud, 2018

Browsealoud liest Websites vor und wurde als Skript vom Server des Herstellers eingebunden, auch auf Websites britischer Behörden. Am 11. Februar 2018 wurde dieses Skript verändert. Laut dem britischen National Cyber Security Centre (NCSC) ließ jeder Besucher einer Website mit Browsealoud ohne sein Wissen ein Programm laufen, das für Fremde Kryptowährung schürfte; der Dienst wurde daraufhin vom Netz genommen. Das NCSC empfiehlt Betreibern, fremde Skripte mit Prüfsumme einzubinden (Subresource Integrity) oder selbst auszuliefern und mit einer Content-Security-Policy festzulegen, woher Skripte kommen dürfen. Laut NCSC haben mehrere unabhängige Forscher geschrieben, dass eine sauber festgelegte Policy diesen Angriff blockiert hätte. Die Prüfung erkennt diesen Weg an fremden Skripten ohne Prüfsumme und an einer Content-Security-Policy, die jedes Skript erlaubt.

Ein Dienst wechselt den Besitzer: polyfill.io, 2024

polyfill.io lieferte Ergänzungen für ältere Browser aus und war laut der Sicherheitsfirma Sansec in mehr als 100.000 Websites eingebunden. Im Februar 2024 kaufte ein Unternehmen aus China die Domain und das zugehörige Konto bei GitHub. Im Juni 2024 meldete Sansec, dass der Dienst auf Mobiltelefonen Schadcode auslieferte, der Besucher über eine gefälschte Google-Analytics-Adresse auf eine Seite für Sportwetten leitete; Verwalter ließ er aus, und aktiv wurde er nur zu bestimmten Stunden. Angegriffen hatte niemand die Websites selbst: Sie luden das Skript von einem Server, der jetzt jemand anderem gehörte. Die Prüfung erkennt diesen Weg an Skripten, die ohne Prüfsumme von fremden Servern kommen. Eine Prüfsumme passt nur zu Dateien, die sich nicht ändern; ein Dienst, der je Browser andere Inhalte liefert, gehört auf den eigenen Server oder von der Website entfernt.

Schadcode in Onlineshops: Magento in Deutschland, 2016 und 2017

Im September 2016 zählte das deutsche BSI weltweit knapp 6.000 Onlineshops auf der Software Magento, in die Angreifer über veraltete Versionen Schadcode eingeschleust hatten, darunter mehrere Hundert in Deutschland. Der Code spähte bei jeder Bestellung Zahlungsdaten und weitere Eingaben der Kunden aus und schickte sie an die Täter. Das CERT-Bund des BSI ließ die Betreiber über ihre Provider benachrichtigen. Bei vielen Shops blieb der Code trotzdem stehen, oder sie wurden erneut angegriffen; bis Januar 2017 stieg die Zahl bekannter betroffener Shops in Deutschland auf mindestens 1.000, und das BSI wandte sich mit einer Pressemitteilung an die Öffentlichkeit. Die Prüfung erkennt diesen Weg an Versionsnummern und Bibliotheken der Shop-Software mit bekannter Schwachstelle und an Feldern für die Kartennummer im eigenen Formular.

Besucher auf Betrugsseiten: WordPress-Websites seit 2017

Die Sicherheitsfirma Sucuri schätzt, dass eine einzige Kampagne, die sie Balada Injector nennt, seit 2017 mehr als eine Million WordPress-Websites befallen hat. Sie nutzt bekannte und neu entdeckte Lücken in Themes und Erweiterungen, dazu schwache Passwörter von Verwaltern und Zugangsdaten zur Datenbank. Eine befallene Website leitet ihre Besucher auf Betrugsseiten weiter: falsche technische Hilfe, angebliche Lotteriegewinne und Seiten, die mit einem vorgetäuschten Captcha die Erlaubnis für Benachrichtigungen erschleichen. Die Prüfung erkennt diesen Weg an Versionsnummern von Erweiterungen und Themes mit bekannter Lücke, an öffentlich genannten Versionen des Redaktionssystems und an einer Anmeldemaske, die offen antwortet.

Tipps aus der Praxis

• Ein Skimmer stört die Bestellung nicht. Bei British Airways lief jede Buchung normal weiter, und aufgefallen ist es einem Dritten. Rechnen Sie nicht damit, dass Kunden einen Angriff bemerken.
• Nehmen Sie eine Warnung Ihres Providers oder einer Behörde zu Ihrer Website ernst, auch wenn die Seite normal aussieht. Beim Magento-Skimming blieb der Code bei vielen Shops nach der ersten Benachrichtigung stehen.
• Wer ein Skript über einen fremden Dienst einbindet, vertraut jedem künftigen Besitzer dieser Domain. Sehen Sie einmal im Jahr nach, wem die Adressen gehören, von denen Ihre Seite Code lädt.
• Eine Überwachung, die nicht läuft, meldet nichts. Bei Equifax blieb der Angriff 76 Tage unbemerkt, weil ein Zertifikat abgelaufen war. Lassen Sie sich die Ablaufdaten Ihrer Zertifikate melden.