Betreiber von Server und Webseiten investieren zu wenig in Sicherheit

Nach einem Datenklau durch Hacker werden die Anwender oft von ihren Providern allein gelassen. Auch ein Passwortwechsel bringt nichts, wenn die Sicherheitslücke nicht geschlossen wird. Betreiber von Servern und Webseiten investieren zu wenig in Sicherheit, warnen Experten.

Der milliardenfache Diebstahl von Benutzerkennungen im Internet hat die Öffentlichkeit aufgeschreckt und eine Diskussion über Verantwortung entfacht. Da sich der Benutzer von einem derartigen Diebstahl nicht schützen kann, müssen hier die Betreiber von Servern und Webseiten in die Verantwortung genommen werden (mehr hier).

Unzureichend geschützte Server und Webseiten bieten vielfältige Angriffsmöglichkeiten und Einfalltore: Hacker brauchen nur zu prüfen, ob und welche Sicherheitslücken auf den Servern und Webseiten existieren. Ausgenutzt werden für Angriffe alte Software-Versionen und insbesondere die noch nicht erkannten Sicherheitslücken (Zero-Day-Vulnerabilities).

Bei einem Angriff über diese Sicherheitslücken können alle bei den Providern gespeicherten Kundendaten wie Passwörter, Adressen, Kontoinformationen etc. einfach ausgelesen werden.

Ein Passwortwechsel ist indes so lange kontraproduktiv, wie die ausgenutzten Sicherheitslücken der Server und Webseiten nicht gepatcht sind. Die Passwörter können jederzeit erneut ausgelesen werden. Bekannte Sicherheitslücken können jederzeit in Datenbanken eingesehen und die Diebstahl-Angriffe nachgestellt werden.

Um Server und Webseiten zu schützen, müssen die Sicherheitslücken nach einem Security Testing Process (mit anschließendem Patch) geschlossen werden. Erst dann sind sie gegen Angriffe und damit auch gegen Passwort-Diebstahl geschützt.

Hartmut Pohl, Sprecher des Präsidiumsarbeitskreises Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI):

„Eine Verantwortungszuweisung allein an die Anwender ist bei allen Datendiebstählen völlig falsch. Die Betreiber von Servern und Webseiten wissen, dass sie seit Jahren viel zu wenig in Sicherheit investieren. Allerdings kann es Sicherheit nicht kostenlos geben, Hier müssen Anbieter investieren, um vertrauenswürdige Server und Webseiten anzubieten.“

Bei diesen Sicherheitsmaßnahmen gegen den aktuell diskutierten Identitätsdiebstahl und generell gegen Datendiebstahl seien also allein die Provider in der Pflicht. Hier könne der Anwender nichts beitragen, so Pohl.

Ausdrücklich weist der Arbeitskreis aber auf die vielen anderen Angriffe hin, gegen die sich der Anwender selbst schützen kann: durch Nutzung eines möglichst langen, nicht aus dem persönlichen Bereich stammenden, ‚künstlichen‘ Passworts (alphabetische Zeichen, Ziffern, Sonderzeichen), das auch angemessen häufig gewechselt wird. Darüber hinaus muss von Provider-Seite die 2-Faktor-Authentifizierung angeboten und vom Anwender genutzt werden. Stand der Technik ist die Verschlüsselung aller wichtigen Daten – auf jeden Fall der Passwörter; diese Erfordernis ist seit dem Sony Play Station Hack im April 2011 weltweit bekannt.

Kommentare

Dieser Artikel hat 2 Kommentare. Wie lautet Ihrer?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

  1. Hans Kolpak sagt:

    Geht’s noch? Nur Rechner ohne Netzanschluss sind „sicher“! Seit 1997 programmiere ich Internetseiten und seit 2006 vermiete ich Webspace an Kunden.

    Das ganze Netz existiert doch nur, weil es offene Standards gibt. Ohne die gäbe es weder Kommunikation noch Hacker.

    Wenn zwei Menschen zweierlei Sprachen nutzen, können sie sich nur nonverbal verständigen. Und wenn zwei die „gleiche Sprache sprechen“ besteht auch die Möglichkeit zu lügen. Wo ist das Problem? Was also soll dieser Artikel bedeuten? Das ist alles nur heisse Luft.

    Hans Kolpak
    Goldige Zeiten

  2. Leopold sagt:

    Es ist halt wie immer. Sicherheit ist das Problem der User. Dann müssen die eben täglich das Passwort ändern. An der Betreiberseite ließe sich sich wirksamere Sicherheit installieren, aber das kostet Geld!