Wie Cyberkriminelle Unternehmen und Händler um Geld prellen

Mit fingierten Rechnungen oder Bestellungen wollen Internetbetrüger Unternehmen und Onlineshops übers Ohr hauen. Der Schaden geht schnell in die Zehntausende. Doch die Betroffenen können mit guten Prozessstrukturen und überlegter Kommunikation vorbeugen.

Von Markus Montz

kompakt

  • Cyberkriminelle versuchen, Unternehmensbuchhaltungen mit fingierten Zahlungsanweisungen aus der Chefetage hinters Licht zu führen.
  • In einer Variante täuschen sie Änderungen von Kontoverbindungen vor. Onlinehändler wollen sie durch fehlerhafte Rückabwicklungen von Lastschriften abzocken.
  • Gegen die Maschen hilft, die Angriffsfläche durch gute interne Strukturen zu verringern sowie alle Mitarbeiter über die Methoden aufzuklären.

Der Absender klingt vertraut, der Mailinhalt plausibel: Wegen eines kurzfristigen Beschlusses von ganz oben solle die Buchhaltung schnell einen höheren Betrag überweisen, damit ein gerade eingefädelter Deal nicht platzt. Doch was nach Post aus der Geschäftsleitung oder vom langjährigen Geschäftspartner aussieht, soll Buchhaltungen und manchmal sogar die Unternehmensinhaber dazu verleiten, Geld an ein Konto von Betrügern zu schicken – wo es dann meist auf Nimmerwiedersehen verschwindet.

An anderer Stelle sind derzeit Händler betroffen. Sie reagieren redlich und seriös auf Stornierungen, überweisen per Lastschrift eingegangenes Geld zurück und sehen sich plötzlich mit hohen Verlusten konfrontiert. Wir stellen drei Maschen vor, die sich gegen Unternehmen und Händler richten und von denen uns Leser berichtet haben. Dazu geben wir Tipps, wie sich die betroffenen Mitarbeiter, aber auch Unternehmensführungen oder Inhaber von Kleinunternehmen präventiv gegen die Betrugsversuche wappnen können – und wie sie den Tätern das Leben zumindest ein wenig schwerer machen können, wenn sie hereingefallen sind.

CEO-Betrug

Frieda K. arbeitet in der Kreditorenbuchhaltung eines mittelständischen Unternehmens. In ihren Aufgabenbereich fällt, das Geld für offene Rechnungen an Empfänger auf der ganzen Welt zu überweisen. An einem Freitagnachmittag erhält sie eine überraschende Mail, scheinbar direkt aus der Geschäftsführung: Sie solle noch vor dem Wochenende einen mittleren fünfstelligen Betrag an einen neuen Geschäftspartner überweisen. Die Sache sei eilig und Frieda K. müsse den Vorgang unbedingt vertraulich behandeln. Andernfalls könne ein wichtiges Erweiterungsprojekt des Betriebes platzen.

Die in Wahrheit nicht aus ihrem Unternehmen stammende Mail ist namentlich an Frieda K. adressiert und gibt als Absendernamen die Geschäftsführerin an. Auch die Anrede ist an Frieda K. gerichtet, weitere Empfänger gibt es nicht. Der Text ist knapp, aber fehlerfrei. Der Verwendungszweck klingt plausibel, es geht um die Anschaffung von Maschinen. Das Konto befindet sich zwar ebenso wie der Geschäftspartner in der Volksrepublik China. Es wäre jedoch nicht das erste Mal, dass Rechnungen von dort kommen und Überweisungen dorthin gehen.

Die Betrüger geben sich als Geschäftsleitung aus und schicken der Buchhaltung eine vorgetäuschte Zahlungsanweisung.
Die Betrüger geben sich als Geschäftsleitung aus und schicken der Buchhaltung eine vorgetäuschte Zahlungsanweisung.

Auf die Freigabe durch ihren direkten Vorgesetzten und das übliche Vier-Augen-Prinzip solle sie ausnahmsweise verzichten, schreibt die vorgebliche Geschäftsführerin noch. Man werde ihre Mithilfe aber bei der nächsten Gehaltsrunde berücksichtigen. Bei Rückfragen solle Frieda K. ihr auf die Mail antworten, da sie wegen einer Dienstreise telefonisch nicht erreichbar sei.

Frieda K. hat die Daten bereits in eine Überweisungsvorlage eingegeben, da wird sie misstrauisch. Sie greift zum Telefon und ruft ihren Chef an. Nach einer halben Stunde folgt die Rückmeldung: Sie solle die Überweisung auf keinen Fall ausführen und die Mail an die IT-Sicherheit weiterleiten. Die echte Geschäftsführerin sei aus allen Wolken gefallen. Die Mail müsse eine hervorragend gemachte Fälschung sein. Das vermeintliche Projekt gebe es ebenso wenig wie den chinesischen Geschäftspartner.

Gezielte Angriffe

Nicht immer handeln die Mitwirkenden so umsichtig wie in unserem Beispiel. Mitunter haben die Täter mit diesem „CEO-Betrug“ Erfolg. In zwei spektakulären Fällen haben ein deutsches und ein österreichisches mittelständisches Unternehmen vor einigen Jahren jeweils zweistellige Millionenbeträge verloren.

Der Name der Betrugsmasche leitet sich von der englischen Abkürzung CEO für „Chief Executive Officer“ ab. Dieser im englischsprachigen Raum verbreitete Titel entspricht in etwa einem Geschäftsführer oder Vorstandsvorsitzenden.

Die Masche trifft nicht nur Unternehmen. Polizeibehörden warnen vor ähnlichen Mails, die an Vereine aus Sport, Wirtschaft und Gesellschaft gehen, ebenso an Hochschulen und andere Bildungsträger. Den Ausgangspunkt bildet stets ein handwerklich gut gemachtes Social Engineering. Das bedeutet, dass beim eigentlichen Angriff niemand in die Firmensysteme eindringt, sondern dass die Täter ihre Opfer psychologisch raffiniert zu selbstschädigendem Verhalten verleiten – während diese glauben, das Richtige zu tun.

Dabei suchen sich die Täter ihre Opfer bewusst aus. Sie verfügen über Detailinformationen zum Unternehmen und kennen häufig auch die interne Aufgabenverteilung. Die Täter verschicken mit diesem Wissen gezielte Phishingmails an relevante Personen, in selteneren Fällen rufen sie auch an oder nutzen die Briefpost – präzise wie mit einem Wurfspieß, weshalb man auch von „Spearphishing“ spricht.

Die Schreiben geben vor, vom oberen Management, aus der Vereinsführung oder aus dem Präsidentenbüro zu stammen. Sie sollen betroffene Mitarbeiter aus Buchhaltungen respektive Kassenwarte überrumpeln, kurzum: Personen, die Überweisungen im Auftrag ihrer Institution ausführen dürfen.

Sofort, dringend überweisen!

Auch das inhaltliche Schema, mit dem die Täter Frieda K. hinters Licht führen wollten, ist typisch. Der Absender und die Interna zur Betriebserweiterung sollten ihr ein Gefühl von Authentizität geben, obwohl die Mail ungewöhnlich war und die Handlungsanweisung gegen interne Regeln und Konventionen verstieß.

Der dringliche Charakter des Schreibens und die in Aussicht gestellte Gehaltserhöhung hatten das Ziel, Frieda K. zu schnellem Handeln zu verleiten und auf Rückfragen verzichten. Alternativ hätte die Mail auch Drohungen oder Schmeicheleien enthalten können. Eine Antwort auf die Mail wäre bei den Tätern gelandet, die mit weiteren Interna oder emotionalem Druck zurückgeschrieben hätten.

Hätte Frieda K. die gefälschten Anweisungen befolgt und den Betrag ohne die sonst übliche Prüfung überwiesen, wäre er auf einem von den Betrügern kontrollierten Konto gelandet. Im Fall von Frieda K. befand sich das Konto in Übersee, außerhalb der Reichweite deutscher Ermittler. Doch auch bei einem Konto in Deutschland hätten die Täter die Beute rasch weiter ins Ausland überwiesen und so den Verbleib verschleiert.

Wohlinformierte Täter

Die Täter operieren in gut organisierten Banden und spähen Firmen professionell gezielt aus. Dabei nutzen sie zunächst alles, was sie frei zugänglich finden. Bereits die Websites vieler Firmen bieten einen mehr oder minder großen Fundus: Inhaber und einzelne Mitglieder der Geschäftsleitung sind immer namentlich genannt. Man findet sie im juristisch obligatorischen Impressum, oft aber auch in Unternehmensporträts. Ebenso präsentieren viele Firmen ihre Geschäftsfelder samt Geschäftspartnern auf der Homepage. Für bestimmte Geschäftsbereiche verantwortliche Manager oder Ansprechpartner für Kunden erhalten häufig eine eigene Bühne.

Oftmals ergattern die Täter jedoch auch Informationen, die für die Außendarstellung des Unternehmens nicht erforderlich sind. Dazu gehören beispielsweise Organigramme oder andere Hinweise auf Namen von Mitarbeitern, die Zahlungen ausführen – eine wahre Goldgrube für Kriminelle, denn selbst wenn die Mailadresse fehlt, können sie diese aus dem Schema erschließen. Wenn man den Vertriebsleiter unter max.mustermann@angriffsziel.de erreicht und weiß, dass die Buchhalterin Frieda K. heißt, ist frieda.k@angriffsziel.de naheliegend.

Je nach Organisationsform der Firma gewinnen Täter außerdem Wissen aus den Einträgen im Handelsregister sowie den Unternehmensabschlüssen im Bundesanzeiger. Diese verraten zum Beispiel Geschäftsmodelle oder Bilanzvolumina, aus denen die Täter realistische Summen für einzelne Aufträge ableiten.

Eine weitere Fundgrube stellen die Social-Media-Auftritte dar. Manche Unternehmen plaudern dort erstaunlich zwanglos über ihre Prozesse und ihre Beschäftigten – oder die Mitarbeiter selbst berichten auf ihrem privaten Twitter- oder Instagram-Account über ihre Firma, ihre Kollegen und deren Tätigkeiten.

Noch ergiebiger sind für die Täter allerdings Zugänge zu echten Interna. Bei vielen (oftmals unerkannten) Angriffen auf die IT-Systeme von Unternehmen schnorcheln die Hacker als Hauptziel oder Beifang alle Informationen ab, die sie bekommen können. Diese verwenden sie dann entweder selbst oder verkaufen sie an spezialisierte Banden.

Zur Beute gehören Mails, Geschäftsprozesse und Planungsunterlagen samt Namen und Zuständigkeiten. Vieles davon gibt zusätzlich Aufschluss über externe Geschäfts- und Ansprechpartner. Diese Unternehmen und Personen geraten nun ebenfalls ins Fadenkreuz. Denkbar ist außerdem ein Mitarbeiter, der bewusst oder unbewusst Interna weitergibt. Je detaillierter die Täter eine Organisation kennen, umso gezielter können sie einzelne Mitarbeiter attackieren.

Aus der lobenden Erwähnung der Buchhaltung können auch Betrüger Schlüsse ziehen.
Aus der lobenden Erwähnung der Buchhaltung können auch Betrüger Schlüsse ziehen.

Gegenmaßnahmen im Unternehmen

Vor diesem Hintergrund müssen kleine wie große Unternehmen das Angriffspotenzial erfassen und minimieren. Dabei kommt es nicht nur auf eine gute IT-Sicherheitsstrategie an, um unbemerkte Einbrüche in das Unternehmensnetzwerk zu verhindern, sondern auch auf eine überlegte Kommunikation.

Nach außen hin müssen Unternehmen sorgfältig abwägen, wie umfangreich sie sich darstellen. Ein Beispiel: Oft gilt es als Zeichen der Wertschätzung, möglichst das gesamte Team mit Namen, Funktion und womöglich Kontaktdaten zu präsentieren. Doch das birgt zugleich das Risiko, dass Kriminelle dieses Wissen ausnutzen.

Intern sollten Unternehmen ihre Mitarbeiter über denkbare Betrugsmaschen aufklären und für Angriffe sensibilisieren – insbesondere für den Fall, dass sie ungewöhnliche, vermeintlich interne Anweisungen erhalten. Dabei helfen robuste Prozesse ohne Ausnahmen (auch keine informellen), um Zahlungen an Kunden oder Lieferanten auf Authentizität zu prüfen und Überweisungen freizugeben. Für regelwidrige Aufforderungen brauchen Mitarbeiter ein verlässliches Meldeverfahren, kompetente Ansprechpartner und die Gewissheit, dass ihnen bei Fehlalarmen keine Konsequenzen drohen.

Dabei müssen Unternehmen sämtliche Mitarbeiter auf ein gesundes Misstrauen verpflichten und ihnen verdeutlichen, dass Angreifer bereits aus der vermeintlich harmlosen Außenkommunikation viele interne Informationen gewinnen. Ebenso sollte es zur Unternehmenskultur gehören, die eigenen Security-Maßnahmen nicht als unfehlbar zu betrachten, sprich: Jedes Unternehmen muss davon ausgehen, dass die Täter bei Social-Engineering-Angriffen Informationen besitzen, die sie durch Einbrüche ins eigene Netz oder die Systeme von Geschäftspartnern erlangt haben. Anders ausgedrückt: Eine Mail oder ein Anruf sind noch lange nicht authentisch, wenn sie vermeintliche Insider-Informationen enthalten.

Tipps für Mitarbeiter

Die Beschäftigten selbst müssen sich ausnahmslos an die Verfahrensvorgaben halten, insbesondere für Buchhaltung und Zahlungen, und dürfen auch unter Druck nicht von den Regeln und Prüfmechanismen abweichen. Gerade solche Mails wie die an Frieda K. oder auch Anrufe bedürfen einer sorgfältigen Prüfung – nach dem alten Grundsatz „Vertrauen ist gut, Kontrolle ist besser“. Selbst wenn der angezeigte Name in einer Mail stimmt, kann die eigentliche Mailadresse abweichen. Bei Anrufen kann man die Anrufernummer technisch leicht fälschen, bald wohl auch die Stimme. Bei ungewöhnlichen Nachrichten zieht man daher Kollegen und Vorgesetzte hinzu, am besten auch die IT-Sicherheitsabteilung.

Sämtliche Mitarbeiter müssen Mails grundsätzlich mit Vorsicht behandeln. Links können auf präparierte Websites führen, Anhänge Schadcode enthalten. Beides öffnet Angreifern womöglich die Tür in die Unternehmenssysteme und liefert ihnen die Munition, die sie für Spearphishing gegen das eigene Unternehmen oder Geschäftspartner brauchen; von anderen Bedrohungen wie Ransomware oder dem Diebstahl von Geschäftsgeheimnissen ganz zu schweigen.

Genau wie die Unternehmen selbst sollten Mitarbeiter keine Interna mit Dritten teilen. Das betrifft besonders den digitalen Raum: Informationen über die Tätigkeit von Kollegen oder Strukturen im Unternehmen gehören nicht auf Instagram & Co. Aber auch das persönliche Gespräch auf Messen oder in Meetings kann kritisch werden, wenn es sich um Details zu Hierarchien, Prozessen und Sicherheitsmaßnahmen dreht.

Egal ob der Betrugsversuch glückt oder nicht: Unternehmen sollten bereits beim Verdacht Beweise wie Mails sichern, den Fall dokumentieren und Anzeige bei der Polizei erstatten. Die Wahrscheinlichkeit, dass diese die Täter ermittelt, mag gering erscheinen. Ohne Anzeige ist sie jedoch null. Außerdem lohnt es sich, den Vorfall intern zu kommunizieren und Mitarbeiter wie Geschäftspartner zu warnen – vielleicht nehmen die Betrüger schon den nächsten Kollegen ins Visier. Wenn Dritte in die Systeme eingedrungen sind und sensible Informationen entwendet haben, sind Unternehmen in vielen Fällen außerdem nach DSGVO verpflichtet, mögliche Geschädigte wie zum Beispiel Geschäftspartner zu informieren. Ohnehin ist das ein Gebot der IT-Sicherheit, damit sich auch Dritte gegen mögliche Angriffe wappnen können.

Variante: Rechnungsbetrug

Verwandt mit dem CEO-Betrug ist der Invoice- oder Rechnungsbetrug. Auch bei dieser Masche haben sich die Täter Insiderwissen über Geschäftsbeziehungen eines Unternehmens besorgt. Sie kennen die zuständigen Mitarbeiter aus der Buchhaltung oder wissen, dass der Inhaber selbst die Rechnungen von seinen Lieferanten und Dienstleistern begleicht.

In einem c’t bekannten Fall erhielt der Buchhalter eines mittelständischen Unternehmens eine Mail. Der Absender schien der Vertriebsleiter eines langjährigen Lieferanten aus Japan zu sein. Die Mailadresse der Firma wich zwar von der bekannten ab, las sich aber plausibel.

Freundlich fragte der „Vertriebsleiter“ im üblichen nicht ganz korrekten Englisch, ob es noch offene Rechnungen gebe und wenn ja, welche. Es sei wichtig und dringend: Man habe ein Problem mit dem bisherigen Konto und ein neues eröffnet. Nun wolle man sichergehen, dass kein Geld an die alte Verbindung fließe.

Der Buchhalter schöpfte keinen Verdacht und übermittelte ihm die Rechnungsnummern von zwei Lieferungen (eine davon bereits überwiesen) samt der hohen vierstelligen Rechnungsbeträge. Auf zusätzliche Rückfrage nannte der Buchhalter auch das Überweisungsdatum der einen und die Zahlungsfrist der anderen Rechnung.

Artig bedankte sich der vorgebliche japanische Vertriebsleiter und nannte die neue Bankverbindung, „ein Konto unserer Zweigstelle in Australien“. Die noch offene sowie alle zukünftigen Zahlungen solle man dorthin überweisen. Der Buchhalter tat, wie ihm geheißen, und änderte die Bankverbindung in den eigenen Systemen. Offenbar schien alles geklappt zu haben, denn nach der Überweisung zum vereinbarten Termin meldete sich der „Vertriebsleiter“ erneut und bedankte sich für den Zahlungseingang.

Der Buchhalter war beruhigt, bis ihn zwei Tage später die tatsächlichen Kollegen des japanischen Unternehmens anschrieben und höflich an die noch ausstehende Zahlung erinnerten. Die habe er doch auf das neue Konto überwiesen, ließ er wissen. Nachdem ihm die Japaner jedoch versichert hatten, dass es kein neues Konto gebe und die erste Zahlung regulär eingegangen sei, dämmerte ihm, dass er einem Schwindel aufgesessen war.

Parallelen und Prävention

Die Muster gleichen denen des CEO-Betruges: Mit Insiderwissen und bekannten Namen zielen die Täter auf Firmenangehörige mit Zahlungsbefugnis oder Selbstständige. Sie gaukeln aber keinen neuen Geschäftspartner vor, sondern eine Kontoänderung bei einem bestehenden Kontakt. Die Interna besorgen sich die Täter genau wie beim CEO-Betrug. Der Angriff erfolgt meistens per Mail, kann aber auch telefonisch oder postalisch ablaufen.

Die Polizei warnt außerdem, dass Täter alternativ zu angeblichen Kontoänderungen auch immer häufiger versuchen, den Opfern komplett erfundene Rechnungen unterzuschieben. Bei der Prävention gibt es in beiden Fällen von klar definierten Prozessen bis zur internen und externen Kommunikation kaum Unterschiede zum CEO-Betrug – bis auf einen: Um einen Rechnungsbetrug bei einer Zahlung auszuschließen, benötigen Unternehmen in diesem Fall fest vorgegebene Wege, um Kontoänderungen bei regelmäßigen Lieferanten und anderen Geschäftspartnern zu verifizieren. Insbesondere sollte man nicht direkt auf eine verdächtige Mail reagieren, sondern die Kontaktdaten aus vorangegangener Korrespondenz nutzen und am besten anrufen – und dafür gleichbleibende Ansprechpartner vereinbaren.

Die Täter bahnen einen Rechnungsbetrug an und fragen gezielt nach weiteren offenen Posten – oft deutlich eleganter als in diesem Fall.
Die Täter bahnen einen Rechnungsbetrug an und fragen gezielt nach weiteren offenen Posten – oft deutlich eleganter als in diesem Fall.

Überschreitet eine Rechnung einen Schwellwert, helfen zusätzliche formelle Wege, um die Kontoverbindung zu bestätigen. Denkbar ist zum Beispiel, sich mit dem Geschäftspartner in einer Videokonferenz zu treffen. Die Zahlung bestätigt man anschließend per Mail, einschließlich der Namen der Banken und den letzten vier Ziffern der Kontonummer. Wie beim CEO-Betrug gilt auch hier: Bereits den Versuch sollte ein Unternehmen sorgfältig dokumentieren und bei der Polizei anzeigen. (mon@ct.de)

Lastschrift-Betrug gegen kleine Händler

Derzeit versuchen Kriminelle gezielt, kleine, meist inhabergeführte Onlineshops mit Lastschriftzahlungen übers Ohr zu hauen. Zunächst bestellen sie im Namen beliebiger Personen samt passender Mailadressen einen größeren Posten für mehrere tausend Euro. In einem c’t bekannten, zur Anonymisierung leicht abgewandelten Beispiel orderten sie bei einem Sportartikelhändler mehrere hundert Bälle.

Als Zahlungsart wählen die Täter SEPA-Lastschrift. Das Konto des „Kunden“ befindet sich häufig im EU-Ausland; im vorliegenden Beispiel wies die IBAN auf die italienische Dépendance der französischen Business-Digitalbank Olinda („Qonto“). Da es sich um betrügerisch eröffnete Konten handeln dürfte, sind aber auch deutsche Konten denkbar, beispielsweise bei N26 [1].

Wenig später schicken die Täter eine Mail. Als vorgeblicher „Kunde“ schreiben sie, dass ihnen ein Zahlendreher unterlaufen sei. Daher würden sie um eine Bestellungs- und Rechnungskorrektur bitten, in unserem Beispiel von 150 auf 15 Stück – eine typische Größe für eine Trainingsgruppe.

Im Kalkül der Täter erstattet der Händler die Differenz nun zurück, entweder per Banküberweisung oder über seinen Zahlungsabwickler (Payment Service Provider, PSP). Erfolg haben sie aber auch, wenn der Händler misstrauisch wird, den Auftrag storniert und den kompletten Betrag zurücküberweist. Sobald das Geld nämlich auf dem von den Tätern kontrollierten Konto landet, buchen sie die Lastschrift ebenfalls zurück (Rücklastschrift). Der Händler kann dies ebenso wenig umkehren wie die Überweisung und hat nun einen Schaden in Höhe des Überweisungsbetrages.

Bei der Masche nutzen die Täter die Regeln für das Lastschriftverfahren aus: Kunden können eine Lastschrift ohne Angabe von Gründen acht Wochen lang bei ihrer Bank widerrufen; die Bank holt das Geld ohne weitere Nachfrage zurück. Der Händler muss eine berechtigte Forderung dann auf dem Rechtsweg geltend machen. Weder sein PSP noch seine Bank können den Inhaber des betrügerisch genutzten Kontos ermitteln; das dürfen nur Strafverfolgungsbehörden auf eine Anzeige hin. Da die Täter das Konto in diesem Fall jedoch unter falscher Flagge und dazu im EU-Ausland führen, kann man sie und das Geld kaum noch ausfindig machen.

Den Tätern hilft bei der Masche, dass viele Händler ihren Kunden mit einem Vertrauensvorschuss begegnen und ihnen bei Fehlern kulant entgegenkommen. Zudem sind in kleinen Onlineshops keine Zahlungsverkehrsexperten tätig. Generell stehen Händler beim Lastschriftverfahren nämlich vor einem Dilemma: Es ist bei deutschen Kunden als sichere Bezahlmethode sehr beliebt und für den Händler sehr preisgünstig. Durch die Möglichkeit der Rücklastschrift besteht aber ein erhöhtes Betrugsrisiko.

Experten raten daher, dass ein Händler Lastschriften mit hohem Volumen nicht an unbekannte Kunden zurücküberweisen sollte – auch nicht teilweise. Stattdessen teilt er dem Kunden per Mail mit, dass der Shop die Bestellung vollständig storniert habe. Der Kunde möge bitte selbst eine Rücklastschrift bei seiner Bank veranlassen. Um Schäden von vornherein zu begrenzen, kann der Händler mit seinem PSP außerdem eine Obergrenze für Lastschriften vereinbaren. Wenn der Zahlungsbetrag darüber liegt, bekommen Kunden an der Onlinekasse nur noch andere Zahlungsarten angeboten.

Onlinehändler schätzen an der SEPA-Lastschrift den günstigen Preis und fürchten das erhöhte Betrugsrisiko.
Onlinehändler schätzen an der SEPA-Lastschrift den günstigen Preis und fürchten das erhöhte Betrugsrisiko.

Im Regelfall kann ein Händler nämlich nicht hoffen, den Schaden aus einer betrügerischen Lastschrift vom PSP ersetzt zu bekommen. Normalerweise schließt er dies in seinen AGB aus, weshalb man auch von „nicht abgesicherten“ Lastschriften spricht. Einige PSP, etwa Ratepay und Klarna, bieten zwar sogenannte „abgesicherte“ Lastschriften an und übernehmen das Ausfallrisiko. Das lassen sie sich vom Händler aber mit höheren Entgelten bezahlen.

Auch die Wahl des PSPs spielt eine Rolle. Einige machen es den Tätern leichter als andere. Das beginnt bei der Aufklärung über Risiken bestimmter Zahlungsmethoden wie der SEPA-Lastschrift sowie Empfehlungen zum Ablauf von Rückerstattungen. Leitfäden für Händler sollten verständlich sein, der Support die eigene Sprache sprechen und mit den landestypischen Zahlungsmethoden vertraut sein – SEPA-Lastschrift ist zwar ein europäisches Verfahren, aber vor allem in Deutschland gebräuchlich. Auch eine automatische Betrugserkennung sowie konkrete Hilfestellungen in konkreten Rückerstattungsfällen sind hilfreich.

Ein c’t bekannter Fall betraf den irisch-amerikanischen Dienst Stripe: Obwohl der Händler einen Betrugsversuch erkannte, kam es zu einem Missverständnis, als er den Betrugserkennungs-Ratgeber konsultierte. Er überwies daraufhin die Lastschrift zurück und verlor sein Geld; der ohnehin nur englischsprachige Chat-Support von Stripe lehnte eine Erstattung unter Verweis auf die Nutzungsbedingungen ab.

  1. Literatur
  2. Markus Montz, Vom Bankentester zum Geldwäscher, Wie Cyberkriminelle arglose Jobsucher rekrutieren, c’t 3/2023, S. 126



Wie Cyberkriminelle arglose Jobsucher rekrutieren

Internetbetrüger nutzen oft Konten von Strohleuten, um Geld aus Vorkasse-Überweisungen zu waschen. Wir erklären, wie die Täter mithilfe ahnungsloser Opfer solche Konten eröffnen, welche finanziellen und strafrechtlichen Folgen drohen und wie man sich dagegen schützt.

Von Markus Montz

kompakt

  • Internet-Betrüger ködern Arbeitssuchende auf Jobportalen und verleiten sie dazu, bei angeblichen Produkttests „Testkonten“ bei Banken wie N26 zu eröffnen.
  • In Wahrheit handelt es sich um echte Girokonten, die auf den Namen der Opfer laufen, während die Täter damit Geld aus Betrugsgeschäften waschen.
  • Handeln die Opfer nicht, droht ihnen eine Anklage wegen Geldwäsche und sie haften zivilrechtlich für die Schäden, die Dritten dadurch entstehen.

Die Anzeigen auf einigen Jobportalen klingen verlockend: einfacher Nebenjob von zu Hause, keine Vorkenntnisse und schnelle Einarbeitung. Es reichen ein Computer, ein Smartphone und eine stabile Internetverbindung. Doch was nach leicht verdientem Geld aussieht, entpuppt sich als böse Falle, wenn die zukünftigen Opfer im Auftrag angeblicher Marktforschungsagenturen Konten bei N26 und anderen Banken eröffnen sollen. Während sie selbst nie Zugriff auf diese Konten haben, verschieben die Täter damit Geld aus krummen Geschäften auf eBay Kleinanzeigen oder in Fake-Shops [1, 2] – bis im schlimmsten Fall die Polizei auf der Matte steht.

Eine Leserin von c’t ist auf den Trick hereingefallen. Sie hat aber nicht nur schnell und überlegt gehandelt und dadurch Schlimmeres verhindert, sondern uns den Fall auch minutiös geschildert. Anhand ihres Beispiels zeigen wir, wie raffiniert die Täter vorgehen, um ihre wahren Absichten zu verschleiern – und wie sie dabei die Unkenntnis selbst vorsichtiger Opfer ausnutzen. Wir erklären außerdem, an welchen Anzeichen man einen kriminellen Hintergrund erkennt und wie man Schaden abwendet, wenn man doch auf den Trick hereingefallen ist.

Unmoralische Angebote

Franziska E. suchte einen Minijob, den sie bequem von zu Hause erledigen konnte. Auf der Website der Jobbörse Indeed stieß sie auf ein passendes Angebot: Für die „Datenerhebung im Homeoffice“ bei Firma A. sollten Bewerber laut Stellenbeschreibung einfache Marktforschungstätigkeiten im Internet erledigen. Vorkenntnisse und eine lange Einweisung seien nicht erforderlich, man brauche lediglich einen Computer, ein Smartphone und eine Internetverbindung.

Mit Jobangeboten für einfache Tätigkeiten aus dem Homeoffice ködern die Täter die Opfer, die später die Bankkonten für sie eröffnen.
Mit Jobangeboten für einfache Tätigkeiten aus dem Homeoffice ködern die Täter die Opfer, die später die Bankkonten für sie eröffnen.

Zur Sicherheit googelte Franziska E. den Firmennamen und stieß auf ein norddeutsches Unternehmen, das mit SEO-Optimierung und Social-Media-Marketing warb. Das Impressum wirkte vollständig, die angegebene Adresse war auf Google Maps zu finden. Auf Franziska E. wirkte das seriös, also klickte sie auf „Schnellbewerbung“. Dabei füllen Nutzer auf Stellenbörsen wie Indeed einige Felder aus; die Börse leitet den Inhalt dann weiter.

Kurz darauf meldete sich ein angeblicher Vertreter von Firma A. per Mail und wollte unter anderem wissen, ob Franziska E. Facebook, Twitter, Instagram und N26 kenne. Die ersten drei Fragen bejahte sie, bei der Digitalbank N26 musste sie passen. Für die Firma schien das aber kein Problem zu sein: Franziska E. bekam umgehend einen ersten Probeauftrag, der bereits mit 50 Euro vergütet werden sollte. Der Arbeitsvertrag würde nach den ersten Einsätzen folgen. Anschließend einigte man sich auf einen ersten Arbeitstermin. Die Firma A. schickte Franziska E. einen Link zu einem Livechat auf der Firmenhomepage, bei dem sie sich zum vereinbarten Zeitpunkt melden sollte. Franziska E. stutzte zwar kurz, weil der Link zu einer anderen Homepage als der gegoogelten führte, hielt diese dann aber für eine Mitarbeiterseite.

Warnsignale

Die Masche ist in diesem frühen Stadium schwer zu erkennen. Ein Indiz ist aber das Schema der Stellenausschreibungen: Es handelt sich stets um „einfache“ Tätigkeiten, die keine Vorerfahrung erfordern und vollständig digital im Homeoffice stattfinden sollen. Bei Franziska E. hieß das Ganze „Homeoffice/Datenerhebung“, andere Beispiele sind „Kundendienstmitarbeiter/in“ oder „Financial Controller“. Meist geht es um Mini- oder Teilzeitjobs. Stutzig machen sollte außerdem, wenn das Unternehmen beim Arbeitnehmer ein Smartphone oder Tablet sowie eine funktionierende und stabile Internetverbindung voraussetzt.

Prüfen Sie daher stets die angegebene Homepage, so wie es auch Franziska E. tat. Beginnen Sie mit dem Impressum: Gewerbliche Internetauftritte müssen ihre Anschrift, Umsatzsteuer-ID und, je nach Unternehmensform, Handelsregisternummer vermerken. Letztere und die Anschrift gleichen Sie auf handelsregister.de ab (ct.de/y6cu). Betrüger setzen allerdings häufig Links zu seriösen Unternehmen oder kopieren Namen und Adressen von anderen Homepages. Auch eine professionell aussehende Fake-Homepage inklusive Livechat kann man mit Baukästen in wenigen Stunden zusammenklicken.

Googeln Sie zusätzlich den Unternehmensnamen und schauen Sie, ob es weitere Unternehmen mit ähnlichen Namen gibt: Betrüger arbeiten gerne mit leicht angepassten Bezeichnungen und URLs, die seriösen Angeboten ähneln. Manchmal ahmen sie sogar das Design der Homepage nach. Auch die Homepage selbst liefert mögliche Hinweise: Wollen die Unternehmensbeschreibung und die angebotene Tätigkeit nicht recht zueinander passen, seien Sie skeptisch.

Erkundigen Sie sich noch vor der Bewerbung beim Unternehmen nach Inhalten der Tätigkeit – mit einer Bewerbung fließen ja bereits Ihre persönlichen Daten. Fragen Sie bei allgemeinen Angaben wie „Marktforschung“, um welche Branchen es geht und ob das Unternehmen Referenzen besitzt. Ein seriöses Unternehmen antwortet sachlich und konkret, andernfalls brechen Sie den Kontakt ab.

Haben Sie einen vollständig online durchgeführten Bewerbungsprozess begonnen, sollten Sie alle unklaren Namen und Begriffe recherchieren. Geht es darum, Marktforschung oder Produkttests zu Finanzinstituten oder Identifikationsverfahren durchzuführen, brechen Sie ab. Abbrechen sollten Sie auch, wenn man im Bewerbungsverlauf eine Ausweiskopie von Ihnen haben will: So etwas ist auf keinen Fall seriös und kann Ihnen weitere Schwierigkeiten bringen [1].

Kommt ohne echtes Auswahlverfahren bereits eine Zusage, ist das ebenfalls kein gutes Zeichen. Manchmal versuchen die Betrüger, zusätzlich durch einen Arbeitsvertrag Vertrauen zu schaffen. Doch auch der kann gefälscht sein. Probeaufträge, bei denen der Arbeitsvertrag lediglich in Aussicht steht, sind noch verdächtiger. Ansonsten gilt dasselbe wie vor der Bewerbung: Gibt es Ungereimtheiten, Verdachtsmomente oder kommt Ihr Gegenüber erst nach der Zusage mit der eigentlichen Jobbeschreibung heraus, brechen Sie ab. Das gilt auch für Jobs, bei denen man Sie lediglich über Mail, Livechats oder Messenger wie WhatsApp begleiten will, aber ein telefonisch erreichbarer Ansprechpartner fehlt. Melden Sie solche Anzeigen bei der Jobbörse, damit sie diesen nachgeht.

Ein unseriöser Job

Wie vereinbart meldete sich Franziska E. pünktlich im Livechat an. Der Operator erklärte ihr nun erstmals ihre Aufgabe: Man teste „in erster Linie den Live-Support und Identifikationsservice von Banken“ in deren Auftrag. Dazu müsse sie sich mit den Zugangsdaten, die er ihr übermitteln würde, in der App einer Bank registrieren und „eine Videoverifikation durchführen“. Sie würde aber lediglich ein Testkonto eröffnen, das anschließend wieder gelöscht werde, log der Operator weiter.

Anschließend bat er Franziska E., die Daten aus der Bewerbung abzugleichen und eventuelle Zweitnamen entsprechend ihrem Personalausweis anzugeben. Den solle sie überdies bereithalten. Der Auftrag sei „bei der N26 Bank“, sie solle aber nichts von einem Job oder einer Marktforschung erwähnen, „da der Mitarbeiter sich so verhalten soll, als wären Sie ein echter Kunde“. Frage man sie nach dem Grund der Verifizierung, solle sie sagen, dass es sich um „ein Girokonto bei der N26 Bank“ handele. Während des Probeauftrags müsse sie im Livechat bleiben, wo man ihr wichtige Daten und Links zusenden würde. Außerdem solle sie sich Notizen zum Mitarbeiter, dem Ablauf und der Nutzerführung in der App machen.

Nachdem Franziska E. die N26-App installiert hatte, bekam sie vom Operator Zugangsdaten in Form einer Mailadresse, einer Handynummer und eines Passworts zugesandt, mit denen sie sich registrieren sollte. Diese Daten solle sie auf Nachfrage auch dem Mitarbeiter im Videochat mitteilen, so der Operator. Alle anderen Felder füllte Franziska E. mit ihren persönlichen Daten aus. Zum Abschluss sandte ihr der Operator den Link, mit dem sie die Mailadresse bestätigen sollte – wie von N26 vorgegeben auf demselben Gerät, auf dem sie sich registriert hatte.

Es folgte die eigentliche Kontoeröffnung: Als Kontotyp gab der Operator das kostenlose Business-Modell „Standard“ mit virtueller Karte vor, das nur auf Kundenwunsch eine Plastikkarte umfasst. Für den erneuten Login schickte der Operator Franziska E. über den Chat den erforderlichen „SMS Code“, der zuvor auf seinem Handy landete. Danach absolvierte sie das Video-Ident-Verfahren. Die per Mail versandte sechsstellige Bestätigungs-TAN zum Abschluss des Video-Idents bekam sie gleichfalls vom Operator des Livechats – außerdem gab er ihr den vierstelligen „Bestätigungscode“ vor, mit dem man Änderungen im Konto bestätigt.

Zum Abschluss sollte Franziska E. ihre Bewertung abgeben, anschließend informierte man sie über ihre Einstellung – und schlug gleich einen nächsten Termin für den Folgetag vor. Das Konto werde man im Übrigen nach spätestens 72 Stunden schließen. Nun wurde Franziska E. misstrauisch und bat um die Zugangsdaten, um selbst Hand anlegen zu können. Außerdem forderte sie den Operator auf, ihre persönlichen Daten zu löschen.

Geschickt briefen die Täter ihre Opfer im Chat oder Messenger. Die wiederum merken oft nichts von dem kriminellen Hintergrund.
Geschickt briefen die Täter ihre Opfer im Chat oder Messenger. Die wiederum merken oft nichts von dem kriminellen Hintergrund.

Straf- und zivilrechte Aspekte

Franziska E.s Bedenken waren berechtigt: Sie hatte den Tätern geholfen, ein echtes N26-Girokonto zu eröffnen. Obwohl es auf ihren Namen und ihre Identität lief, hatte sie keinen Zugriff auf das Konto – den besaßen nur die Täter, während sie nicht einmal die IBAN kannte. Geschickt hatten die Täter das Sicherheitsverfahren von N26 ausgetrickst, indem sie Franziska E. überall dort vorschickten, wo N26 Identitäten prüft.

Unser Rat ist daher derselbe wie im Bewerbungsprozess: Brechen Sie spätestens dann den Kontakt ab, wenn Sie bei einer vollkommen unbekannten Agentur Marktforschung oder einen Produkttest für eine Bank durchführen sollen. Das gilt umso mehr, wenn Sie dabei ein Konto eröffnen; insbesondere, aber nicht nur bei N26. Wir haben bereits von ähnlichen Versuchen bei anderen Banken gehört, auch solchen im EU-Ausland.

Stoppen Sie als Betroffener den Prozess nicht, können Sie sowohl straf- als auch zivilrechtlich belangt werden. Die Täter nutzen die Konten in aller Regel, um darüber Geld aus Betrugsgeschäften zu waschen. Im einfachsten Fall eröffnen oder kapern sie Nutzerkonten auf eBay Kleinanzeigen, stellen dort Verkaufsangebote ein und verleiten Interessenten dazu, ihnen Geld auf das für die Betrüger eröffnete Konto zu überweisen.

Während diese Interessenten nie die Ware bekommen, überweisen die Täter das Geld auf Konten im Ausland weiter. Fliegt der Schwindel auf, wenden sich die Strafverfolgungsbehörden zunächst unter dem Verdacht der Geldwäsche an den Kontoinhaber. Damit nicht genug, können die Opfer zivilrechtliche Ansprüche gegen ihn geltend machen. Dabei geht es schnell um viele tausend Euro [1].

Schwachstelle N26

N26 ist im Vergleich zu anderen deutschen Banken – auch anderen Digital- sowie Direktbanken – relativ häufig von Identitätsmissbrauch betroffen. Aus Sicht vieler Experten haben die internen Strukturen der Bank zur Abwehr krimineller Aktivität nicht Schritt mit dem Kundenwachstum gehalten. Das Bundesamt für Finanzdienstleistungsaufsicht (Bafin) hat die Bank daher im Mai 2019 erstmals öffentlich wegen Mängeln in der Prävention von Geldwäsche und Terrorismusfinanzierung gerügt und mit einer Geldbuße belegt. Zwei Jahre später bekam N26 zur Kontrolle zusätzlich einen Sonderbeauftragten der Bafin ins Haus geschickt, seit November 2021 darf die Bank maximal 50.000 Neukunden im Monat aufnehmen.

c’t hat N26 nach einer direkten Kontaktmöglichkeit für Opfer der Masche gefragt. N26 antwortete, dass man sich in solchen Fällen „grundsätzlich zunächst an die Strafverfolgungsbehörden wenden“ solle; N26 kooperiere dann mit diesen. Gleichzeitig nehme man Meldungen von potenziell betrügerischen Konten „außerordentlich ernst“ und folge dabei strengen regulatorischen Vorgaben. Außerdem überarbeite man „im Austausch mit den Behörden laufend [die] Prozesse zur Bearbeitung von Hinweisen Dritter“ und behandle Hinweise auf potenzielle Betrugsfälle „mit hoher Priorität“. Gemessen an den wenig hilfreichen und unstrukturiert wirkenden Reaktionen, die Franziska E. auf ihre Kontaktversuche erhielt, scheint N26 die Überarbeitung allerdings noch nicht gänzlich abgeschlossen zu haben.

Schadensbegrenzung

Franziska E. wandte sich direkt an N26, um Schlimmeres zu verhindern. Dort stand ihr aber lediglich ein Livechat zur Verfügung. Ob es bei N26 ein Konto auf ihren Namen und ihre Anschrift gebe, wollte sie dort wissen; sie sei Opfer eines Identitätsdiebstahls geworden. Mitarbeiter „S.“ riet ihr knapp, sich an die Polizei zu wenden. Erst als Franziska E. im zweiten Anlauf konkret darauf hinwies, dass mit ihrer Identität und einer fiktiven Mailadresse ein Girokonto eröffnet worden sei, bat Mitarbeiter „V.“ sie um eben jene Mailadresse. Weitere Auskünfte bekam sie nicht.

Bei der Polizei ihres Wohnortes ließ man Franziska E. auf Nachfrage zunächst wissen, dass man nichts machen könne, solange ihr kein Schaden entstanden sei. Daraufhin wandte sie sich an heise online und c’t. Auf unseren Rat hin fuhr Franziska E. unverzüglich zur nächsten Polizeiwache und erstattete wegen des Identitätsdiebstahls und -missbrauchs Anzeige. Fünf Tage darauf beschwerten sich die Täter in einer letzten Mail, dass sie entgegen der „Richtlinien“ Kontakt zur Bank aufgenommen habe – und bestätigten damit indirekt, dass N26 das Konto geschlossen hatte.

Nutzen Sie am besten die Onlinewache, um Anzeige zu erstatten: Sie können Screenshots und Dateien hochladen und bekommen am Ende eine Vorgangsnummer, genau wie auf dem Revier.
Nutzen Sie am besten die Onlinewache, um Anzeige zu erstatten: Sie können Screenshots und Dateien hochladen und bekommen am Ende eine Vorgangsnummer, genau wie auf dem Revier.

Haben Sie festgestellt, dass Sie selbst oder jemand anderes Opfer dieser Masche geworden sein könnte, handeln Sie schnell. Andernfalls drohen besagte straf- und zivilrechtliche Konsequenzen. Sichern Sie alle Daten wie Telefonnummern und Mailadressen sowie alle Chatverläufe und Mails. Machen Sie Screenshots von Stellenanzeigen, Homepages und Livechats. Mit diesem Material bringen Sie den Identitätsdiebstahl zur Anzeige.

Sie haben das Recht auf eine Anzeige, und zwar auch dann, wenn ein materieller Schaden noch nicht eingetreten ist. Die Behörden veranlassen dann, dass die Bank das Konto schließt. Sie müssen nicht einmal eine Polizeidienststelle aufsuchen, sondern können die Onlinewache Ihres Bundeslandes nutzen; Ihre Rechte können Sie in der sogenannten „Opferfibel“ nachlesen (Links unter ct.de/y6cu). Ab dem Zeitpunkt der Anzeige sind sie vor Ansprüchen dritter Geschädigter sowie Strafverfolgung weitgehend geschützt.

Geben Sie zu Protokoll, dass Sie über den Ausgang des Verfahrens informiert werden möchten, und stellen Sie außerdem Strafantrag. Normalerweise bietet die Polizei Ihnen beides an. Sie können dies aber noch bis zu drei Monate nach der Anzeige tun. Zum einen informieren Sie Polizei und Staatsanwaltschaft dann über den weiteren Verlauf und Abschluss des Verfahrens. Zum anderen kann ein Rechtsanwalt über den Strafantrag optional Akteneinsicht verlangen.

Zusätzlich sollten Sie Mailadressen beim Mailprovider (beispielsweise Hotmail) und die Stellenanzeige bei der Jobbörse melden. Sie können außerdem versuchen, über eine WhoIs-Abfrage (bei DE-Homepages über die Denic, ct.de/y6cu) den Nameserver/Provider einer Website herauszufinden und sie diesem anzuzeigen. Auch wenn die Täter wahrscheinlich schnell eine neue Homepage und Stellenanzeige online haben, kann man ihnen so zumindest ein paar Steine in den Weg legen. (mon@ct.de)

  1. Literatur
  2. Markus Montz, Perfektes Schauspiel, Wie Betrüger mit Fakt und Fiktion Gebrauchtkäufer abzocken, c’t 21/2022, S. 132
  3. Nick Akinci, Niemals ausgeliefert, Fake-Shops erkennen und vermeiden, c’t 2/2023, S. 150

Handelsregister, Onlinewache, Opferfibel: ct.de/y6cu



Sicherheitslücken im WordPress-Design

Sicherheitslücken im WordPress-Design

In diesem Abschnitt finden Sie die neuesten Sicherheitslücken in WordPress-Designs, die offengelegt werden sollen. Sie sehen die gleichen Informationen wie oben für anfällige Plugins, und es gelten die gleichen Ratschläge. Wenn ein Sicherheitsupdate vorhanden ist, installieren Sie es sofort. Wenn eine Schwachstelle in einem Design, das Sie aktiv verwenden, nicht gepatcht wird, müssen Sie ein alternatives Design finden. Deaktiviere und lösche dauerhaft ungepatchte Themes und solche, die im WordPress.org-Theme-Repository „geschlossen“ wurden. Wenn Sie ein anfälliges Design installiert haben, das Sie nicht aktiv verwenden, löschen Sie es einfach.

Real Estate Directory

Product image for Real Estate Directory.ThemeReal Estate DirectoryTheme Slugreal-estate-directoryDownloads3,569VulnerabilityAuthenticated Arbitrary Plugin ActivationPatched in Version1.0.6Severity ScoreMediumCVE2023-28532The vulnerability has been patched, so you should update to version 1.0.6.

NewsMag

Product image for NewsMag.ThemeNewsMagTheme SlugnewsmagDownloads338,702VulnerabilityReflected Cross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28493The vulnerability has not been patched. You should switch themes.

Mediciti Lite

Product image for Mediciti Lite.ThemeMediciti LiteTheme Slugmediciti-liteDownloads20,184VulnerabilityReflected Cross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28418The vulnerability has not been patched. You should switch themes.

Chankhe

Product image for Chankhe.ThemeChankheTheme SlugchankheDownloads3,083VulnerabilityAuthenticated Arbitrary Plugin ActivationPatched in VersionNo FixSeverity ScoreMediumCVE2023-28416The vulnerability has not been patched. You should switch themes.



WordPress-Plugin-Schwachstellen mit Patches

WordPress-Plugin-Schwachstellen mit Patches

In diesem Abschnitt finden Sie die zuletzt offenbarten Schwachstellen von WordPress-Plugins, die mit einer neuen Version ihrer Autoren und Betreuer behoben wurden. Bitte wenden Sie die Updates an, wenn Sie davon betroffen sind!

Diese Schwachstellen wurden dank unserer Freunde bei Patchstack offengelegt und für ihren Schweregrad bewertet. Jede Plugin-Auflistung enthält die Art der Schwachstelle mit ihrer CVE-Nummer und CVSS-Schweregradbewertung mit Links zu weiteren technischen Details. Sie sehen auch die Anzahl der aktiven Websites, die das Plug-in verwenden, sowie die Version der Plug-in-Version, die die Schwachstelle behebt. Wir beginnen mit den beliebtesten Plugins, die das größte Angriffsziel für Angreifer darstellen.

UpdraftPlus PRO

Product image for UpdraftPlus WordPress Backup Plugin.PluginUpdraftPlus WordPress Backup PluginPlugin SlugupdraftplusInstallations3,000,000+VulnerabilityBroken Access ControlPatched in Version2.23.3Severity ScoreHighThe vulnerability has been patched, so you should update to version 2.23.3.

UpdraftPlus

Product image for UpdraftPlus WordPress Backup Plugin.PluginUpdraftPlus WordPress Backup PluginPlugin SlugupdraftplusInstallations3,000,000+VulnerabilityBroken Access ControlPatched in Version1.23.3Severity ScoreHighThe vulnerability has been patched, so you should update to version 1.23.3.

Slider, Gallery, and Carousel by MetaSlider – Responsive WordPress Plugin

Product image for Slider, Gallery, and Carousel by MetaSlider – Responsive WordPress Slideshows.PluginSlider, Gallery, and Carousel by MetaSlider – Responsive WordPress SlideshowsPlugin Slugml-sliderInstallations700,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.28.1Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.28.1.

Easy Table of Contents

Product image for Easy Table of Contents.PluginEasy Table of ContentsPlugin Slugeasy-table-of-contentsInstallations400,000+VulnerabilityBroken Access ControlPatched in Version2.0.46Severity ScoreMediumCVE2023-25469The vulnerability has been patched, so you should update to version 2.0.46.

Happy Addons for Elementor

Product image for Happy Addons for Elementor.PluginHappy Addons for ElementorPlugin Slughappy-elementor-addonsInstallations300,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.8.0Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.8.0.

Squirrly SEO (Peaks)

Product image for SEO Plugin by Squirrly SEO.PluginSEO Plugin by Squirrly SEOPlugin Slugsquirrly-seoInstallations200,000+VulnerabilityBroken Access ControlPatched in Version12.1.21Severity ScoreMediumCVE2022-44626The vulnerability has been patched, so you should update to version 12.1.21.

Squirrly SEO (Peaks)

Product image for SEO Plugin by Squirrly SEO.PluginSEO Plugin by Squirrly SEOPlugin Slugsquirrly-seoInstallations200,000+VulnerabilityReflected Cross Site Scripting (XSS)Patched in Version12.1.21Severity ScoreHighCVE2022-45065The vulnerability has been patched, so you should update to version 12.1.21.

WP Mail Logging

Product image for WP Mail Logging.PluginWP Mail LoggingPlugin Slugwp-mail-loggingInstallations200,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.11.0Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.11.0.

WPML

PluginWPML – WordPress Multilingual Plugin SlugwpmlVulnerabilityCross Site Scripting (XSS)Patched in Version4.6.1Severity ScoreHighThe vulnerability has been patched, so you should update to version 4.6.1.

WordPress Ping Optimizer

Product image for WordPress Ping Optimizer.PluginWordPress Ping OptimizerPlugin Slugwordpress-ping-optimizerInstallations70,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.35.1.3.0Severity ScoreMediumCVE2022-30705The vulnerability has been patched, so you should update to version 2.35.1.3.0.

Bookly

Product image for WordPress Online Booking and Scheduling Plugin – Bookly.PluginWordPress Online Booking and Scheduling Plugin – BooklyPlugin Slugbookly-responsive-appointment-booking-toolInstallations60,000+VulnerabilityUnauthenticated Stored Cross-Site Scripting via Name vulnerabilityPatched in Version21.5.1Severity ScoreHighCVE2023-1172The vulnerability has been patched, so you should update to version 21.5.1.

User Registration

Product image for User Registration – Custom Registration Form, Login Form And User Profile For WordPress.PluginUser Registration – Custom Registration Form, Login Form And User Profile For WordPressPlugin Sluguser-registrationInstallations60,000+VulnerabilityAuthenticated PHP Object InjectionPatched in Version2.3.3Severity ScoreHighCVE2023-27459The vulnerability has been patched, so you should update to version 2.3.3.

Exclusive Addons for Elementor

Product image for Exclusive Addons for Elementor.PluginExclusive Addons for ElementorPlugin Slugexclusive-addons-for-elementorInstallations40,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.6.2Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.6.2.

Ecwid Ecommerce Shopping Cart

Product image for Ecwid Ecommerce Shopping Cart.PluginEcwid Ecommerce Shopping CartPlugin Slugecwid-shopping-cartInstallations30,000+VulnerabilityCross Site Scripting (XSS)Patched in Version6.11.5Severity ScoreMediumCVE2023-24408The vulnerability has been patched, so you should update to version 6.11.5.

Subscribe2 – Form, Email Subscribers & Newsletters

Product image for Subscribe2 – Form, Email Subscribers & Newsletters.PluginSubscribe2 – Form, Email Subscribers & NewslettersPlugin Slugsubscribe2Installations30,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version10.38Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 10.38.

WP User Frontend – Registration, User Profile, Membership, Content Restriction, User Directory, and Frontend Post Submission Plugin

Product image for WP User Frontend – Registration, User Profile, Membership, Content Restriction, User Directory, and Frontend Post Submission Plugin.PluginWP User Frontend – Registration, User Profile, Membership, Content Restriction, User Directory, and Frontend Post Submission PluginPlugin Slugwp-user-frontendInstallations30,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.6.1Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.6.1.

Advanced Product Labels for WooCommerce

Product image for Advanced Product Labels for WooCommerce.PluginAdvanced Product Labels for WooCommercePlugin Slugadvanced-product-labels-for-woocommerceInstallations20,000+VulnerabilityBroken Access ControlPatched in Version1.2.4.1Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.2.4.1.

Branda

Product image for Branda – White Label WordPress, Custom Login Page Customizer.PluginBranda – White Label WordPress, Custom Login Page CustomizerPlugin Slugbranda-white-labelingInstallations20,000+VulnerabilityAuthenticated (Administrator+) Stored Cross-Site ScriptingPatched in Version3.4.9Severity ScoreMediumThe vulnerability has been patched, so you should update to version 3.4.9.

Dashboard Welcome for Elementor

Product image for Dashboard Welcome for Elementor.PluginDashboard Welcome for ElementorPlugin Slugdashboard-welcome-for-elementorInstallations20,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.0.7Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.0.7.

Load More Products for WooCommerce

Product image for Load More Products for WooCommerce.PluginLoad More Products for WooCommercePlugin Slugload-more-products-for-woocommerceInstallations20,000+VulnerabilityBroken Access ControlPatched in Version1.1.9.8Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.1.9.8.

Min and Max Quantity for WooCommerce

Product image for Min and Max Quantity for WooCommerce.PluginMin and Max Quantity for WooCommercePlugin Slugminmax-quantity-for-woocommerceInstallations20,000+VulnerabilityBroken Access ControlPatched in Version1.3.2.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.3.2.7.

Product image for Product Gallery Slider for WooCommerce.PluginProduct Gallery Slider for WooCommercePlugin Slugwoo-product-gallery-sliderInstallations20,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.2.7Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.2.7.

WP Simple Shopping Cart

Product image for WordPress Simple Shopping Cart.PluginWordPress Simple Shopping CartPlugin Slugwordpress-simple-paypal-shopping-cartInstallations20,000+VulnerabilitySensitive Data ExposurePatched in Version4.6.4Severity ScoreMediumCVE2023-1431The vulnerability has been patched, so you should update to version 4.6.4.

Store Locator WordPress

Product image for Store Locator WordPress.PluginStore Locator WordPressPlugin Slugagile-store-locatorInstallations10,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.4.10Severity ScoreMediumCVE2023-27618The vulnerability has been patched, so you should update to version 1.4.10.

Contact Form 7 – PayPal & Stripe Add-on

Product image for Contact Form 7 – PayPal & Stripe Add-on.PluginContact Form 7 – PayPal & Stripe Add-onPlugin Slugcontact-form-7-paypal-add-onInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.9.4Severity ScoreMediumCVE2023-24405The vulnerability has been patched, so you should update to version 1.9.4.

Contact Form Email

Product image for Contact Form Email.PluginContact Form EmailPlugin Slugcontact-form-to-emailInstallations10,000+VulnerabilityMissing Authorization Leading To Feedback SubmissionPatched in Version1.3.32Severity ScoreMediumCVE2023-28494The vulnerability has been patched, so you should update to version 1.3.32.

eCommerce Product Catalog

Product image for eCommerce Product Catalog Plugin for WordPress.PlugineCommerce Product Catalog Plugin for WordPressPlugin Slugecommerce-product-catalogInstallations10,000+VulnerabilityAuthenticated (Administrator+) Stored Cross-Site ScriptingPatched in Version3.3.9Severity ScoreMediumCVE2023-1470The vulnerability has been patched, so you should update to version 3.3.9.

Hotel Booking Lite

Product image for Hotel Booking Lite.PluginHotel Booking LitePlugin Slugmotopress-hotel-booking-liteInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version4.7.0Severity ScoreMediumCVE2023-28498The vulnerability has been patched, so you should update to version 4.7.0.

Product image for Slideshow Gallery LITE.PluginSlideshow Gallery LITEPlugin Slugslideshow-galleryInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.7.7Severity ScoreMediumCVE2023-28497The vulnerability has been patched, so you should update to version 1.7.7.

Product image for Slideshow Gallery LITE.PluginSlideshow Gallery LITEPlugin Slugslideshow-galleryInstallations10,000+VulnerabilitySQL InjectionPatched in Version1.7.7Severity ScoreMediumCVE2023-28491The vulnerability has been patched, so you should update to version 1.7.7.

Woostify Sites Library

Product image for Woostify Sites Library.PluginWoostify Sites LibraryPlugin Slugwoostify-sites-libraryInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.4.4Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.4.4.

WP Dark Mode – Best Dark Mode & Social Sharing Plugin for WordPress

Product image for WP Dark Mode – Best Dark Mode & Social Sharing Plugin for WordPress.PluginWP Dark Mode – Best Dark Mode & Social Sharing Plugin for WordPressPlugin Slugwp-dark-modeInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.0.5Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.0.5.

WP VR – 360 Panorama and Virtual Tour Builder For WordPress

Product image for WP VR – 360 Panorama and Virtual Tour Builder For WordPress.PluginWP VR – 360 Panorama and Virtual Tour Builder For WordPressPlugin SlugwpvrInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version8.2.6Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 8.2.6.

Fluid Checkout for WooCommerce – Lite

Product image for Fluid Checkout for WooCommerce – Lite.PluginFluid Checkout for WooCommerce – LitePlugin Slugfluid-checkoutInstallations9,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.3.2Severity ScoreMediumThe vulnerability has been patched, so you should update to version 2.3.2.

Event Manager for WooCommerce

Product image for Event Manager and Tickets Selling Plugin for WooCommerce.PluginEvent Manager and Tickets Selling Plugin for WooCommercePlugin Slugmage-eventpressInstallations9,000+VulnerabilityCross Site Scripting (XSS)Patched in Version3.8.7Severity ScoreMediumCVE2023-28422The vulnerability has been patched, so you should update to version 3.8.7.

Event Manager and Tickets Selling Plugin for WooCommerce

Product image for Event Manager and Tickets Selling Plugin for WooCommerce.PluginEvent Manager and Tickets Selling Plugin for WooCommercePlugin Slugmage-eventpressInstallations9,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.7.8Severity ScoreMediumCVE2022-47164The vulnerability has been patched, so you should update to version 3.7.8.

Team Member – Team with Slider

Product image for Team Member – Team with Slider.PluginTeam Member – Team with SliderPlugin Slugteam-showcase-supremeInstallations9,000+VulnerabilityCross Site Scripting (XSS)Patched in Version4.5Severity ScoreMediumCVE2023-23647The vulnerability has been patched, so you should update to version 4.5.

SMTP2GO

Product image for SMTP2GO – Email Made Easy.PluginSMTP2GO – Email Made EasyPlugin Slugsmtp2goInstallations8,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.5.0Severity ScoreMediumCVE2023-28496The vulnerability has been patched, so you should update to version 1.5.0.

ProfileGrid

Product image for ProfileGrid – User Profiles, Memberships, Groups and Communities.PluginProfileGrid – User Profiles, Memberships, Groups and CommunitiesPlugin Slugprofilegrid-user-profiles-groups-and-communitiesInstallations7,000+VulnerabilityBroken Access ControlPatched in Version5.0.4Severity ScoreMediumCVE2022-36352The vulnerability has been patched, so you should update to version 5.0.4.

Brands for WooCommerce

Product image for Brands for WooCommerce.PluginBrands for WooCommercePlugin Slugbrands-for-woocommerceInstallations6,000+VulnerabilityBroken Access ControlPatched in Version3.7.0.6Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.7.0.6.

Contact Form 7 Redirect & Thank You Page

PluginContact Form 7 Redirect & Thank You PagePlugin Slugcf7-redirect-thank-you-pageInstallations6,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.0.4Severity ScoreMediumCVE2023-24395The vulnerability has been patched, so you should update to version 1.0.4.

Product image for Boostify Header Footer Builder for Elementor.PluginBoostify Header Footer Builder for ElementorPlugin Slugboostify-header-footer-builderInstallations5,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.9Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.9.

Modern Footnotes

Product image for Modern Footnotes.PluginModern FootnotesPlugin Slugmodern-footnotesInstallations5,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.4.16Severity ScoreMediumCVE2023-28423The vulnerability has been patched, so you should update to version 1.4.16.

Open Graphite

Product image for Open Graphite.PluginOpen GraphitePlugin Slugopen-graphiteInstallations5,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.6.1Severity ScoreHighCVE2022-47439The vulnerability has been patched, so you should update to version 1.6.1.

W4 Post List

Product image for W4 Post List.PluginW4 Post ListPlugin Slugw4-post-listInstallations5,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.4.3Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.4.3.

Grid List View for WooCommerce

Product image for Grid/List View for WooCommerce.PluginGrid/List View for WooCommercePlugin Sluggridlist-view-for-woocommerceInstallations4,000+VulnerabilityBroken Access ControlPatched in Version1.1.3.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.1.3.7.

Cart Notices for WooCommerce

Product image for Cart Notices for WooCommerce.PluginCart Notices for WooCommercePlugin Slugcart-notices-for-woocommerceInstallations3,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Click to top

Product image for Click to top.PluginClick to topPlugin Slugclick-to-topInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.20Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.20.

Force First and Last Name as Display Name

Product image for Force First and Last Name as Display Name.PluginForce First and Last Name as Display NamePlugin Slugforce-first-lastInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.1Severity ScoreMediumCVE2023-28419The vulnerability has been patched, so you should update to version 1.2.1.

Product image for Gallery Box.PluginGallery BoxPlugin Sluggallery-boxInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.7.31Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.7.31.

Magical Posts Display – Elementor & Gutenberg Posts Blocks

Product image for Magical Posts Display – Elementor Advanced Posts widgets.PluginMagical Posts Display – Elementor Advanced Posts widgetsPlugin Slugmagical-posts-displayInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.16Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.16.

wePOS – Point Of Sale (POS) for WooCommerce

Product image for wePOS – Point Of Sale (POS) for WooCommerce.PluginwePOS – Point Of Sale (POS) for WooCommercePlugin SlugweposInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.6Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.6.

WP Email Capture

Product image for WordPress Email Marketing Plugin – WP Email Capture.PluginWordPress Email Marketing Plugin – WP Email CapturePlugin Slugwp-email-captureInstallations3,000+VulnerabilitySensitive Data ExposurePatched in Version3.11Severity ScoreMediumCVE2023-28421The vulnerability has been patched, so you should update to version 3.11.

Cart Lift – Abandoned Cart Recovery for WooCommerce and EDD

Product image for Cart Lift – Abandoned Cart Recovery for WooCommerce and EDD.PluginCart Lift – Abandoned Cart Recovery for WooCommerce and EDDPlugin Slugcart-liftInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.1.4Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.1.4.

WP Markdown Editor (Formerly Dark Mode)

Product image for WP Markdown Editor (Formerly Dark Mode).PluginWP Markdown Editor (Formerly Dark Mode)Plugin Slugdark-modeInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version4.1.3Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 4.1.3.

GS Testimonial Slider

Product image for GS Testimonial Slider.PluginGS Testimonial SliderPlugin Sluggs-testimonialInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.9.8Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.9.8.

Product Tabs Manager for WooCommerce

Product image for Product Tabs Manager for WooCommerce.PluginProduct Tabs Manager for WooCommercePlugin Slugproduct-tabs-manager-for-woocommerceInstallations2,000+VulnerabilityBroken Access ControlPatched in Version1.1.5.8Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.1.5.8.

Product Watermark for WooCommerce

Product image for Product Watermark for WooCommerce.PluginProduct Watermark for WooCommercePlugin Slugproduct-watermark-for-woocommerceInstallations2,000+VulnerabilityBroken Access ControlPatched in Version1.3.5.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.3.5.7.

Stylish Cost Calculator

Product image for Stylish Cost Calculator.PluginStylish Cost CalculatorPlugin Slugstylish-cost-calculatorInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version7.3.7Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 7.3.7.

Terms and Conditions Popup for WooCommerce

Product image for Terms and Conditions Popup for WooCommerce.PluginTerms and Conditions Popup for WooCommercePlugin Slugterms-and-conditions-popup-for-woocommerceInstallations2,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Webinar and Video Conference with Jitsi Meet

Product image for Webinar and Video Conference with Jitsi Meet.PluginWebinar and Video Conference with Jitsi MeetPlugin Slugwebinar-and-video-conference-with-jitsi-meetInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.0.0Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.0.0.

Wiremo – Product Reviews for WooCommerce

Product image for Wiremo – Product Reviews for WooCommerce.PluginWiremo – Product Reviews for WooCommercePlugin Slugwoo-reviews-by-wiremoInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.4.97Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.4.97.

Wp Edit Password Protected – Create Member/User Only Page & Design Password Protected Form

Product image for Wp Edit Password Protected – Create Member/User Only Page & Design Password Protected Form.PluginWp Edit Password Protected – Create Member/User Only Page & Design Password Protected FormPlugin Slugwp-edit-password-protectedInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.4Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.4.

Products Suggestions for WooCommerce

Product image for Products Suggestions for WooCommerce.PluginProducts Suggestions for WooCommercePlugin Slugcart-products-suggestions-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version 3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Calendar Event Multi View

Product image for Calendar Event Multi View.PluginCalendar Event Multi ViewPlugin Slugcp-multi-view-calendarInstallations1,000+VulnerabilityMissing Authorization Leading To Feedback SubmissionPatched in Version1.4.11Severity ScoreMediumCVE2023-28492The vulnerability has been patched, so you should update to version 1.4.11.

HT Feed

Product image for HT Feed.PluginHT FeedPlugin Slught-instagramInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.8Severity ScoreMediumCVE2023-23804The vulnerability has been patched, so you should update to version 1.2.8.

Dynamics 365 Integration

Product image for Dynamics 365 Integration.PluginDynamics 365 IntegrationPlugin Slugintegration-dynamicsInstallations1,000+VulnerabilityBroken Access ControlPatched in Version1.3.13Severity ScoreMediumCVE2023-28417The vulnerability has been patched, so you should update to version 1.3.13.

Open RDW kenteken voertuiginformatie

Product image for Open RDW kenteken voertuiginformatie.PluginOpen RDW kenteken voertuiginformatiePlugin Slugopen-rdw-kenteken-voertuiginformatieInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in Version2.1.0Severity ScoreHighCVE2022-47431The vulnerability has been patched, so you should update to version 2.1.0.

Pagination Styler for WooCommerce

Product image for Pagination Styler for WooCommerce.PluginPagination Styler for WooCommercePlugin Slugpagination-styler-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Products Compare for WooCommerce

Product image for Products Compare for WooCommerce.PluginProducts Compare for WooCommercePlugin Slugproducts-compare-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.8Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.8.

Sales Report for WooCommerce

Product image for Sales Report for WooCommerce.PluginSales Report for WooCommercePlugin Slugsales-report-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Sequential Order Numbers for WooCommerce

Product image for Sequential Order Numbers for WooCommerce.PluginSequential Order Numbers for WooCommercePlugin Slugsequential-order-numbers-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Sheets To WP Table Live Sync

Product image for Sheets To WP Table Live Sync.PluginSheets To WP Table Live SyncPlugin Slugsheets-to-wp-table-live-syncInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.12.15Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.12.15.

Userlike – WordPress Live Chat plugin

Product image for Userlike – WordPress Live Chat plugin.PluginUserlike – WordPress Live Chat pluginPlugin SluguserlikeInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in Version2.3Severity ScoreMediumCVE2023-23734The vulnerability has been patched, so you should update to version 2.3.

WordPress WP Express Checkout

Product image for WP Express Checkout (Accept PayPal Payments Easily).PluginWP Express Checkout (Accept PayPal Payments Easily)Plugin Slugwp-express-checkoutInstallations1,000+VulnerabilityAuthenticated (Admin+) Stored Cross-Site ScriptingPatched in Version2.2.9Severity ScoreMediumCVE2023-1469The vulnerability has been patched, so you should update to version 2.2.9.

WordPress GamiPress – Youtube integration

Product image for GamiPress – Youtube integration.PluginGamiPress – Youtube integrationPlugin Sluggamipress-youtube-integrationInstallations700+VulnerabilityAuthenticated (Contributor+) Stored Cross-Site Scripting via ShortcodePatched in Version1.0.8Severity ScoreMediumThe vulnerability has been patched, so you should update to version 1.0.8.

Branded Social Images

Product image for Branded Social Images – Open Graph Images with logo and extra text layer.PluginBranded Social Images – Open Graph Images with logo and extra text layerPlugin Slugbranded-social-imagesInstallations600+VulnerabilityBroken Access ControlPatched in Version1.1.1Severity ScoreMediumCVE2023-28536The vulnerability has been patched, so you should update to version 1.1.1.

Enhanced Plugin Admin

Product image for Enhanced Plugin Admin.PluginEnhanced Plugin AdminPlugin Slugenhanced-plugin-adminInstallations200+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.17Severity ScoreMediumCVE2023-28618The vulnerability has been patched, so you should update to version 1.17.

WordPress Auto Rename Media On Upload

Product image for Auto Rename Media On Upload.PluginAuto Rename Media On UploadPlugin Slugauto-rename-media-on-uploadInstallations100+VulnerabilityAuthenticated (Administrator+) Stored Cross-Site ScriptingPatched in Version1.1.0Severity ScoreMediumThe vulnerability has been patched, so you should update to version 1.1.0.

WSB Brands

Product image for WSB Brands.PluginWSB BrandsPlugin Slugwsb-brandsInstallations100+VulnerabilityCross Site Scripting (XSS)Patched in Version1.2Severity ScoreMediumCVE2022-47437The vulnerability has been patched, so you should update to version 1.2.

WordPress Amazon S3 Plugin

PluginWordPress Amazon S3 PluginPlugin Slugwp-s3Installations10+VulnerabilityCross Site Scripting (XSS)Patched in Version1.6Severity ScoreHighThe vulnerability has been patched, so you should update to version 1.6.

Cyberus Key

Product image for Cyberus Key.PluginCyberus KeyPlugin Slugcyberus-keyVulnerabilityCross Site Scripting (XSS)Patched in Version1.1Severity ScoreMediumCVE2023-28620The vulnerability has been patched, so you should update to version 1.1.

WordPress Drag and Drop Multiple File Upload PRO – Contact Form 7 Standard

PluginDrag and Drop Multiple File Upload PROPlugin Slugdrag-n-drop-upload-cf7-proVulnerabilityCross Site Scripting (XSS)Patched in Version2.11.1Severity ScoreHighThe vulnerability has been patched, so you should update to version 2.11.1.

WordPress WooCommerce Multiple Customer Addresses & Shipping

PluginWooCommerce Multiple Customer Addresses & ShippingPlugin Slugwoocommerce-multiple-customer-addressesVulnerabilityInsecure Direct Object References (IDOR)Patched in Version21.7Severity ScoreMediumCVE2023-0865The vulnerability has been patched, so you should update to version 21.7.

WordPress Plugin Vulnerabilities – No Known Fix

This section contains plugin vulnerabilities with no known fix. Until a patch is available, you are advised to deactivate the plugin, at minimum, immediately. If there is a high risk of active exploits or the plugin remains unpatched for weeks, you are advised to delete the plugin. You should also delete persistently unpatched plugins the WordPress.org repository has locked and marked “Closed” so they can no longer be downloaded and installed.

Slide Anything

Product image for Slide Anything – Responsive Content / HTML Slider and Carousel.PluginSlide Anything – Responsive Content / HTML Slider and CarouselPlugin Slugslide-anythingInstallations100,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28499The vulnerability has not been patched. You should deactivate the plugin.

Custom Field Template

Product image for Custom Field Template.PluginCustom Field TemplatePlugin Slugcustom-field-templateInstallations50,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-22695The vulnerability has not been patched. You should deactivate the plugin.

Website Monetization by MageNet

Product image for Website Monetization by MageNet.PluginWebsite Monetization by MageNetPlugin Slugwebsite-monetization-by-magenetInstallations40,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-22673The vulnerability has not been patched. You should deactivate the plugin.

Read More Without Refresh

Product image for Read More Without Refresh.PluginRead More Without RefreshPlugin Slugread-more-without-refreshInstallations20,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23793The vulnerability has not been patched. You should deactivate the plugin.

WP Shortcode by MyThemeShop

Product image for WP Shortcode by MyThemeShop.PluginWP Shortcode by MyThemeShopPlugin Slugwp-shortcodeInstallations20,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28495The vulnerability has not been patched. You should deactivate the plugin.

PB SEO Friendly Images plugin

Product image for PB SEO Friendly Images.PluginPB SEO Friendly ImagesPlugin Slugpb-seo-friendly-imagesInstallations10,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47434The vulnerability has not been patched. You should deactivate the plugin.

Import External Images

Product image for Import External Images.PluginImport External ImagesPlugin Slugimport-external-imagesInstallations8,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-46866The vulnerability has not been patched. You should deactivate the plugin.

Disqus Conditional Load

Product image for Disqus Conditional Load.PluginDisqus Conditional LoadPlugin Slugdisqus-conditional-loadInstallations7,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23732The vulnerability has not been patched. You should deactivate the plugin.

ConvertBox Auto Embed WordPress plugin

PluginConvertBox Auto Embed WordPress pluginPlugin Slugconvertbox-auto-embedInstallations6,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23664The vulnerability has not been patched. You should deactivate the plugin.

Weather Station

Product image for Weather Station.PluginWeather StationPlugin Sluglive-weather-stationInstallations4,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-25478The vulnerability has not been patched. You should deactivate the plugin.

Simple Mobile URL Redirect

Product image for Simple Mobile URL Redirect.PluginSimple Mobile URL RedirectPlugin Slugsimple-mobile-url-redirectInstallations4,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23897The vulnerability has not been patched. You should deactivate the plugin.

WordPress Mortgage Calculator Estatik

Product image for WordPress Mortgage Calculator Estatik.PluginWordPress Mortgage Calculator EstatikPlugin Slugestatik-mortgage-calculatorInstallations3,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreHighCVE2023-28490The vulnerability has not been patched. You should deactivate the plugin.

Update Image Tag Alt Attribute

Product image for Update Image Tag Alt Attribute.PluginUpdate Image Tag Alt AttributePlugin Slugupdate-alt-attributeInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

Return and Warranty Management System for WooCommerce

Product image for Return and Warranty Management System for WooCommerce.PluginReturn and Warranty Management System for WooCommercePlugin Slugwc-return-warrrantyInstallations3,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreHighCVE2023-22710The vulnerability has not been patched. You should deactivate the plugin.

WP Job Portal – A Complete Job Board

Product image for WP Job Portal – A Complete Job Board.PluginWP Job Portal – A Complete Job BoardPlugin Slugwp-job-portalInstallations3,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28534The vulnerability has not been patched. You should deactivate the plugin.

Bangladeshi Payment Gateways

Product image for Bangladeshi Payment Gateways – Make Payment Using QR Code.PluginBangladeshi Payment Gateways – Make Payment Using QR CodePlugin Slugbangladeshi-payment-gatewaysInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

Custom Options Plus

Product image for Custom Options Plus.PluginCustom Options PlusPlugin Slugcustom-options-plusInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28420The vulnerability has not been patched. You should deactivate the plugin.

Google XML Sitemap for Mobile

PluginGoogle XML Sitemap for MobilePlugin Sluggoogle-mobile-sitemapInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23869The vulnerability has not been patched. You should deactivate the plugin.

Lazy Social Comments

Product image for Lazy Social Comments.PluginLazy Social CommentsPlugin Sluglazy-facebook-commentsInstallations2,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23733The vulnerability has not been patched. You should deactivate the plugin.

BuddyPress Builder for Elementor – BuddyBuilder

Product image for BuddyPress Builder for Elementor – BuddyBuilder.PluginBuddyPress Builder for Elementor – BuddyBuilderPlugin Slugstax-buddy-builderInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

Vertical scroll recent post

Product image for Vertical scroll recent post.PluginVertical scroll recent postPlugin Slugvertical-scroll-recent-postInstallations2,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23862The vulnerability has not been patched. You should deactivate the plugin.

Product Category Slider for WooCommerce

Product image for Product Category Slider for WooCommerce.PluginProduct Category Slider for WooCommercePlugin Slugwoo-category-slider-by-plugineverInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

WP Content Filter – Censor All Offensive Content From Your Site

Product image for WP Content Filter – Censor All Offensive Content From Your Site.PluginWP Content Filter – Censor All Offensive Content From Your SitePlugin Slugwp-content-filterInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23883The vulnerability has not been patched. You should deactivate the plugin.

BigContact Contact Page

Product image for BigContact Contact Page.PluginBigContact Contact PagePlugin SlugbigcontactInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-22694The vulnerability has not been patched. You should deactivate the plugin.

Bulk Resize Media

Product image for Bulk Resize Media.PluginBulk Resize MediaPlugin Slugbulk-resize-mediaInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-46865The vulnerability has not been patched. You should deactivate the plugin.

JS Job Manager

Product image for JS Job Manager.PluginJS Job ManagerPlugin Slugjs-jobsInstallations1,000+VulnerabilityBroken Access ControlPatched in VersionNo FixSeverity ScoreMediumCVE2023-28689The vulnerability has not been patched. You should deactivate the plugin.

Kanban Boards for WordPress

Product image for Kanban Boards for WordPress.PluginKanban Boards for WordPressPlugin SlugkanbanInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23884The vulnerability has not been patched. You should deactivate the plugin.

Post Grid, Slider & Carousel Ultimate – with Shortcode, Gutenberg Block & Elementor Widget

Product image for Post Grid, Slider & Carousel Ultimate – with Shortcode, Gutenberg Block & Elementor Widget.PluginPost Grid, Slider & Carousel Ultimate – with Shortcode, Gutenberg Block & Elementor WidgetPlugin Slugpost-grid-carousel-ultimateInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

PT Addons for Elementor Lite

Product image for PT Addons for Elementor Lite.PluginPT Addons for Elementor LitePlugin Slugpt-elementor-addons-liteInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

Elementor Addons, Widgets and Enhancements – Stax

Product image for Elementor Addons, Widgets and Enhancements – Stax.PluginElementor Addons, Widgets and Enhancements – StaxPlugin Slugstax-addons-for-elementorInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

Surbma | GDPR Proof Cookie Consent & Notice Bar

Product image for Surbma | GDPR Proof Cookie Consent & Notice Bar.PluginSurbma | GDPR Proof Cookie Consent & Notice BarPlugin Slugsurbma-gdpr-proof-google-analyticsInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23894The vulnerability has not been patched. You should deactivate the plugin.

Challan – PDF Invoice & Packing Slip for WooCommerce

Product image for Challan – PDF Invoice & Packing Slip for WooCommerce.PluginChallan – PDF Invoice & Packing Slip for WooCommercePlugin Slugwebappick-pdf-invoice-for-woocommerceInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

TreePress – Easy Family Trees & Ancestor Profiles

Product image for TreePress – Easy Family Trees & Ancestor Profiles.PluginTreePress – Easy Family Trees & Ancestor ProfilesPlugin SlugtreepressInstallations900+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23863The vulnerability has not been patched. You should deactivate the plugin.

VigilanTor

PluginVigilanTorPlugin SlugvigilantorInstallations900+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28695The vulnerability has not been patched. You should deactivate the plugin.

Backup Bank: WordPress Backup Plugin

Product image for Backup Bank: WordPress Backup Plugin.PluginBackup Bank: WordPress Backup PluginPlugin Slugwp-backup-bankInstallations700+VulnerabilityBroken Access ControlPatched in VersionNo FixSeverity ScoreMediumCVE2023-28165The vulnerability has not been patched. You should deactivate the plugin.

Be POPIA Compliant

PluginBe POPIA CompliantPlugin Slugbe-popia-compliantInstallations100+VulnerabilitySQL InjectionPatched in VersionNo FixSeverity ScoreHighCVE2022-47445The vulnerability has not been patched. You should deactivate the plugin.

Simple Custom Author Profiles

Product image for Simple Custom Author Profiles.PluginSimple Custom Author ProfilesPlugin Slugsimple-custom-author-profilesVulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-24372The vulnerability has not been patched. You should deactivate the plugin.

WordPress WP Popup Banners

PluginWP Popup BannersPlugin Slugwp-popup-bannersVulnerabilityAuthenticated (Subscriber+) SQL InjectionPatched in VersionNo FixSeverity ScoreHighCVE2023-1471The vulnerability has not been patched and the plugin is closed. You should uninstall and delete the plugin.

WP Simple Events

Product image for WP Simple Events.PluginWP Simple EventsPlugin Slugwp-simple-eventsVulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-24376The vulnerability has not been patched. You should deactivate the plugin.

W



E-Commerce-Security

entwickler.de – entwickler.de Deine Wissensplattform

[…]Weiterlesen…

von  Steffen Ritter

Eine Forsa-Umfrage [1] zeigt: Über 70 Prozent der Unternehmen sehen sich nicht durch Cyberkriminelle gefährdet. Gerade das E-Commerce-Umfeld ist für Kriminelle jedoch besonders interessant – und damit einem hohen Risiko ausgesetzt. Aber wie erkennen Betreiber Handlungsbedarf, wie stellen sie sich am besten auf – und wieso ist IT-Security nicht nur ein technisches, sondern auch ein betriebswirtschaftliches Thema?

Ein E-Commerce-Projekt ins Leben rufen – nie war das einfacher als heute. Eine Fülle freier wie kommerzieller Software und vielfältige Hosted-SaaS-Lösungen, Onlinemarktplätze und Zahlungsdienstleister machen es möglich. Hinzu kommt das breite Angebot an freien Entwicklern, E-Commerce-Dienstleistern und Dokumentationsressourcen für die Umsetzung in Eigenregie. Segen auf der einen und Fluch auf der anderen Seite, denn: Mit diesem Boom sind die Webportale vermehrt auch in den Fokus von Cyberkriminellen geraten. Fast täglich gibt es Meldungen über gehackte Onlineshops, und sowohl das Bundeskriminalamt (BKA) als auch private Studien stellen fest: Cybercrime nimmt drastisch zu. Was viele nicht bedenken, ist, dass nicht nur klassische Onlineshops von diesen Risiken betroffen sind. Bei solchen Angriffen geht es vor allem um den Diebstahl von persönlichen Daten. Daher sind auch immer komplexer werdende Webapplikationen mit umfangreichen geschlossenen Bereichen für Kunden, Mitglieder oder Partner beliebtes Ziel von Angriffen. Denn auch solche Lösungen müssen, um ihre Zwecke zu erfüllen, einen entsprechenden Umfang an persönlichen Daten speichern.

Laut einer Forsa-Umfrage im Auftrag des Gesamtverbands der Deutschen Versicherungswirtschaft e. V. (GDV) im April 2020 bei kleinen und mittleren Unternehmen sind zwar knapp 70 Prozent der befragten Unternehmen der Meinung, dass das Risiko, Opfer einer solchen Attacke zu werden, in Deutschland hoch ist. Erstaunlicherweise sind jedoch ebenso über 70 Prozent der Befragten der Meinung, dass es sie nicht treffen wird, weil sie zu klein oder zu uninteressant sind. Gerade diese Sorglosigkeit ist leichtsinnig. Betreiber von Webplattformen aller Art sollten sich der Auswirkungen bewusst sein, die sowohl erfolgreiche als auch nicht erfolgreich abgeschlossene Angriffe auf das eigene Geschäft haben können. Mit diesem Wissen können sie die richtigen Maßnahmen ergreifen, um sich und ihre Kunden zu schützen, ohne dabei tiefergehendes Technologie-Know-how zu benötigen.

https://phpconference.com/session-qualification/ipc-php/?layout=contentareafeed&widgetversion=1&utmtrackerversion=1&seriesId=vRYNCmGQh2xZuzqrE

Mögliche Folgen eines Cyberangriffs

Hohe Kosten: Die aktuelle Rechtslage verpflichtet Unternehmen in vielen Fällen, Cybersecurityvorfälle zu melden. Eine IT-forensische Untersuchung des Vorfalls durch entsprechende Sachverständige ist häufig nicht abzuwenden und mit Kosten für das Unternehmen verbunden. Kam es beispielsweise zu Datenverlust personenbezogener Daten, müssen alle Betroffenen informiert werden. Je nach Größe des Unternehmens und Auswirkungen des Sicherheitsvorfalls können so weitere Kosten für Marketingmaßnahmen oder Krisenkommunikation entstehen.

Umsatzverlust: Ein Hack wirkt sich oft direkt auf den Umsatz aus. Das beginnt schon damit, dass ein Onlineshop durch einen Angriff gegebenenfalls nicht mehr erreichbar oder voll funktional ist. Auch kann es sein, dass er wegen forensischer Untersuchungen abgeschaltet werden muss. Doch das ist noch nicht alles: Durch Zugriffsmöglichkeiten auf die Interna könnten Angreifer beispielsweise Bestellungen, Preise oder den Zahlungsstatus manipulieren. Das verursacht Verzögerungen im Betriebsablauf durch notwendige Kontroll- und Korrekturarbeiten nach Inkonsistenzen der Daten, zum Beispiel zwischen Onlineplattform und Lager oder Enterprise-Resource-Planning-(ERP-)System . Im Ergebnis kommt es zu Lieferschwierigkeiten bei „echten Kunden“ – und das führt am Ende zu Unzufriedenheit und Vertrauensverlust beim Kunden sowie weiterem Umsatzverlust.

Imageschaden: Vielleicht noch bedeutender als direkt messbare Umsatzverluste ist die langfristige Schädigung der Kundenbeziehung. Selbst wenn der Angriff keine direkten finanziellen oder persönlichen Auswirkungen auf die Kunden hatte, erschüttert er das Vertrauen in den Betreiber und seine Plattform – und beeinflusst somit die Kundenbindung. Besonders gravierend ist die Lage, wenn sensible Daten gestohlen wurden – seien sie persönlicher Natur oder Kreditkartendaten. Bei der großen Auswahl an Shops und Dienstleistern im Internet und dem damit verbundenen Tiefpreisgefüge ist die Wahl am Ende häufig eine Sympathieentscheidung – eine negative Sicherheitshistorie ist also massiv geschäftsschädigend. Einige Hackerangriffe zielen sogar genau darauf ab. Beim sogenannten Defacing werden Websiteinhalte mit Fehlinformationen manipuliert, um Anbieter zu diffamieren oder sie in juristische Schwierigkeiten zu bringen.

Zivilrechtliche Konsequenzen

Schadenersatzansprüche: Ein Schadenersatzanspruch (vgl. § 823 BGB [2]) in Deutschland ergibt sich aus der Vorsätzlichkeit oder der Fahrlässigkeit einer Handlung, die mittelbar zum Schaden eines Dritten führt. Gemäß IT-Sicherheitsgesetz aus Juli 2015 [3] sind Betreiber von Onlinepräsenzen dazu verpflichtet, alle technisch möglichen und wirtschaftlich zumutbaren Anstrengungen technischer wie organisatorischer Art zu unternehmen, um ihre Plattformen gegenüber Angriffen zu sichern (vgl. § 13 TMG Abs. 7 [4]). Gemäß Rechtsprechung handelt grob fahrlässig, wer seinen Sorgfaltspflichten in besonderem Maße nicht nachkommt. Die IT-Security-Studie 2019 von eco – Verband der Internetwirtschaft e. V. [5] hat aufgezeigt, dass 72 Prozent der Webdienste kleiner und mittlerer Unternehmen nicht sicher konfiguriert sind. Eine ordentliche und sichere Konfiguration ist aber im Rahmen der technischen Möglichkeiten und auch wirtschaftlich zumutbar.

Dies impliziert in den meisten Fällen eine Schadenshaftungspflicht für den Plattformbetreiber, was auch im Versicherungskontext relevant ist, denn viele Versicherungen schließen grobe Fahrlässigkeit von ihrer Leistungspflicht aus. Üblicherweise sind Schadenersatzforderungen von Kreditkartenunternehmen bzw. Zahlungsanbietern zu erwarten, wenn Daten abhandengekommen sind, die Zahlungsmittelmissbrauch erlauben, sowie von vertraglichen Partnerunternehmen wie Lieferanten, Versanddienstleistern, Hostingpartnern oder Markeninhabern, wenn diesen durch den Angriff Schäden entstanden sind.

Unterlassungsansprüche und Abmahnungen: Wenn ein Betreiber mit seiner Webpräsenz gegen rechtliche Bestimmungen verstößt oder Schutzrechte Dritter verletzt, haben Betroffene das Recht, ihn darauf aufmerksam zu machen und Unterlassung zu fordern – allgemein als Abmahnung bekannt. Das Gesetz gegen unlauteren Wettbewerb [6] definiert Verstöße gegen Rechtsvorschriften als unlauter, was Marktteilnehmern regelmäßig das Recht zur Abmahnung einräumt.

Ein Unterlassungsanspruch dürfte sich also unter den gleichen Maßgaben ergeben wie im Bereich Schadenersatz. Hinzu kommen die möglichen Verletzungen weiterer Ansprüche, beispielsweise durch das Gesetz gegen unlauteren Wettbewerb (UWG), Telemediengesetz (TMG) [7], die Datenschutz-Grundverordnung (DSGVO) [8], Preisangabenverordnung (PAngV) [9], das Urheberrechtsgesetz (UrhG) [10] und weitere, wenn die Angreifer die Inhalte der Webseite dahingehend bewusst verändert haben.

Vertragsstrafen: Lieferanten, Versanddienstleister, IT-Dienstleister, Hostingprovider, Markeninhaber oder Zahlungsdienstanbieter – Partner und Dienstleister sind in den meisten Fällen essenziell für das Geschäftsmodell hinter der Onlineplattform. Sind diese durch einen Angriff auf ein Portal ebenso beeinflusst worden, kann dies neben den Schadenersatzansprüchen auch zu Vertragsstrafen führen – oder zur Auflösung der Zusammenarbeit.

Bußgelder und Ordnungsgelder: Die beiden wohl bekanntesten Gesetze/Verordnungen im Bereich Web sind die DSVGO und das TMG.

  • DSGVO – Datenschutz-Grundverordnung: Seit 2018 gilt europaweit die Datenschutz-Grundverordnung der Europäischen Union, die die besondere Schutzbedürftigkeit im Umgang von personenbezogenen Daten regelt. Als Shopbetreiber ist es unausweichlich, während des Bestellprozesses personenbezogene Daten zu erfassen. Werden diese aber missbräuchlich verwendet, etwa weil ein unzureichender Schutz besteht, ist ein Bußgeld in Höhe von bis zu 4 Prozent des Jahresumsatzes zu erwarten.
  • TMG – Telemediengesetz: Im Telemediengesetz sind beispielsweise die Impressumspflicht oder Bestimmungen gegen Spam geregelt, aber eben auch die Pflicht, zumutbare Anstrengungen zu unternehmen, sein Angebot sicher zu betreiben. Eine Zuwiderhandlung ist als Ordnungswidrigkeit eingestuft, die mit einem Ordnungsgeld in Höhe von bis zu 50 000 Euro geahndet werden kann (vgl. § 16 TMG).

Nachgelagerte Angriffe: Die Dunkelziffer der nicht erkannten Hacks wird auf schwindelerregende Höhen geschätzt. In vielen Fällen ist ein Webportal gar nicht das primäre Ziel des Angriffs und der Angriff nur die erste Stufe eines mehrphasigen Plans. Mit den gewonnenen Daten wie zum Beispiel Benutzernamen/Passwörtern (Mitarbeiter verwenden häufig dieselben Log-in-Daten bei verschiedenen Systemen), internen Dokumenten, Anbindungen an interne Systeme wie ERP, Warenwirtschaft o. ä. werden Angriffe auf weitere Bereiche interner Netzwerke überhaupt erst ermöglicht oder bieten die Grundlage für Spear-Phishing-Attacken mittels Social Engineering.

Wie lässt sich ein E-Commerce-Projekt sicher umsetzen?

Wenngleich die möglichen Risiken abschreckend klingen mögen, so ist es mit entsprechender Sorgfalt kein Problem, sich in diesem Bereich geschäftlich, juristisch wie technisch sicher zu betätigen. Millionen von erfolgreichen und sicheren Webdiensten zeigen dies ganz klar: Mit Vorbereitung, Weitblick und verantwortungsvollem Umgang mit der Thematik lässt sich das Risiko drastisch minimieren und die juristischen Folgen lassen sich reduzieren.

Schritt 1: Überblick über Risiken, Gefahren und Status quo schaffen: Über welche Daten verfügt ein Shop oder Webportal, wo sind Schwachstellen, wen könnte ein Angriff betreffen und welche Pflichten hat der Betreiber? Eine Übersicht bezogen auf das konkrete Projekt hilft, Schwachstellen, Risiken und Handlungsbedarf zu erkennen und Maßnahmen einzuleiten. Eine Dokumentation der Systemlandschaft unter Sicherheitsaspekten und eine Schulung des Teams kann oft einen großen Teil der Risiken kontrollierbar machen. Viele Angriffsvektoren werden dabei auch ohne identifizierbaren Handlungsbedarf erfasst, dafür wird allen Beteiligten vor Augen geführt, was für den zukünftigen Betrieb, aber auch die Weiterentwicklung hilfreich ist.

Folgende Fragestellungen helfen E-Commerce-Betreibern dabei, einzuordnen, wie sie hinsichtlich Security aktuell aufgestellt sind und wo Handlungsbedarf besteht:

  • Werden bei unserem Dienst regelmäßige Updates durchgeführt? Wer führt diese in welchen Intervallen durch? Bestehen Wartungsverträge und Service Level Agreements (SLAs)?
  • Wie ist die Lösung gehostet? Welche SLAs liegen dort vor und welche Vereinbarungen existieren dort für Sicherheitsupdates, Back-ups und Ähnliches?
  • Teilt sich unsere Plattform einen Server mit anderen Projekten (intern im Haus oder auch extern im Sinne von Shared Hosting)?
  • Ist unser Portal mit automatischen Schnittstellen an andere Dienste angebunden, egal ob eingehend oder ausgehend, und wurde diese Verbindung unter IT-Sicherheitsaspekten geplant und umgesetzt? Sind die Datenquellen vertrauenswürdig oder können sie manipuliert werden?
  • Habe ich das Gefühl, dass meine Mitarbeiter/Kollegen wie auch beauftragte Dienstleister sich der Sicherheitsrisiken, Abwehrmaßnahmen und Folgen bewusst sind (Security Awareness) und sich regelmäßig weiterbilden?
  • Ist aus einem Provisorium eine Dauerlösung geworden oder eine längst abgekündigte Lösung nicht ersetzt worden?
  • Wurden Änderungen oder Erweiterungen kurzfristig bis überstürzt umgesetzt, um zum Beispiel einen Produktlaunch zu unterstützen oder dem unerwarteten Ansturm aufgrund einer Marketingmaßnahme gerecht zu werden?

Darüber hinaus können sowohl E-Commerce- als auch Cybersecurityexperten ein Projekt technologisch analysieren und schnell einschätzen, wo es steht – und dann entsprechende Handlungsempfehlungen aussprechen oder selbst handeln. Hier seien exemplarisch die beiden großen Verfahren des Penetrationstests (als Black-Box-Test), aber auch das Begutachten der eingesetzten Komponenten, von Architekturkonzepten und Implementierungen (White-Box-Test) genannt.

Schritt 2: Juristische Beratung: Es empfiehlt sich generell eine juristische Beratung, die branchen- und dienstleistungsspezifisch aufzeigt, welche Gesetze, Verordnungen und berufsrechtliche Regularien im konkreten Tätigkeitsbereich anzuwenden sind und welche konkreten Anforderungen sich daraus für ein Onlineangebot ergeben. Diese Anforderungen kann ein Technologiedienstleister dann in der Entwicklung berücksichtigen. Es ist wichtig zu verstehen, dass der Betreiber selbst dafür verantwortlich ist, dass sein Onlineangebot rechtskonform umgesetzt wird – und selbstverständlich auch über die ganze Lebensspanne des Angebots konform bleibt. Dies muss auch sich verändernde Inhalte oder Rechtslagen berücksichtigen. Der Technologiedienstleister ist (meist) allein für die Umsetzung zuständig und kann weder eine juristische Beratung durchführen noch für die Rechtssicherheit eines Onlineangebots haften.

Schritt 3: Wahl der passenden Dienstleister: Im Optimalfall kennen Technologiepartner und Dienstleister die Risiken und Aspekte der IT-Sicherheit und beziehen diese bereits von der Planung an in Projekte ein. Nicht immer liegt dieses Themenfeld jedoch in der Expertise der Dienstleister. E-Commerce- und Cybersecurityspezialisten können in diesem Fall potenzielle Schwachstellen oder Handlungsbedarf an bestehenden Projekten identifizieren oder in Form von Beratung den Dienstleister wie Anbieter unterstützen.

Zu Beginn eines E-Commerce-Projekts oder eines Relaunchs bietet es sich an, Security by Design einzuführen und in der Ausschreibung zu berücksichtigen – sowohl als Leistungsgegenstand als auch als Auswahlkriterium für den Dienstleister.

Schritt 4: Plan für den Ernstfall: Absolute Sicherheit gibt es nicht. Ein Unternehmen kann sich auf einen Hackerangriff vorbereiten, um im Ernstfall zum einen schnell reagieren zu können und zum anderen möglichst gut abgesichert zu sein. Ein solcher Plan wird am besten von Juristen, IT-Security-Spezialisten, dem technologischen Shopdienstleister und den Betriebsverantwortlichen in der Organisation gemeinsam entwickelt. Zusätzlich bietet beispielsweise die deutsche Versicherungswirtschaft sogenannte Cybersecurityversicherungen an, mit denen ein Anbieter das verbleibende Risiko und somit die geschäftliche Existenz absichern kann.

Cybersecurity: Jetzt angehen und in Zukunft profitieren

Die Augen vor den Gefahren verschließen und hoffen, dass alles gutgeht, scheint gemäß der Forsa-Umfrage en vogue zu sein. Wer allerdings online langfristig erfolgreich sein will, sollte Verantwortung übernehmen und seine Risiken abschätzen. Damit schützt ein Betreiber ebenso sich wie auch die eigenen Kunden und Partner. Die drastische Zunahme von Cybercrime und die inzwischen einfache Verfügbarkeit von Angriffshilfsmitteln verstärkt die Dringlichkeit des Handlungsbedarfs auf Seiten der Betreiber. Die eco-Studie zeigt auf, dass dieses Bewusstsein im Mittelstand ankommt – aber erst langsam. Den Herausforderungen müssen sich Betreiber von Webplattformen nicht alleine stellen: Mit Partnern, die die Problemstellungen und Risiken kennen und wissen, welche Cybersecurityfragen relevant sind, lässt sich jedes E-Commerce-Projekt sicher planen, umsetzen oder optimieren – am besten, bevor ein Schaden eingetreten ist.

ritter_steffen_sw.tif_fmt1.jpgSteffen Ritter arbeitet als E-Commerce Consultant und Software Architect bei AOE GmbH in Wiesbaden. In dieser Funktion berät er Kunden und erstellt Konzepte in den Bereichen Integrationen, Systemarchitekturen, Identity Management und IT-Security im Web in Digitalisierungs- und E-Commerce-Projekten. AOE entwickelt seit 20 Jahren erfolgreiche E-Commerce-Projekte und unterstützt seine Kunden im IT-Security-Umfeld besonders im Web-Application-Security-Bereich durch Analysen, Beratung, Konzepte, Penetrationstests und ähnliches wie auch bei der Konzeptionierung von OAuth-gestütztem IDM und SSO und deren Implementierung.

Links & Literatur

[1] https://www.gdv.de/resource/blob/61466/0456901217b39a5893bc6829b8d7d156/report-cyberrisiken-im-mittelstand-2020-data.pdf

[2] § 823 BGB: https://www.gesetze-im-internet.de/bgb/__823.html

[3] IT-Sicherheitsgesetz 2015: https://www.bgbl.de/xaver/bgbl/start.xav?startbk=Bundesanzeiger_BGBl&jumpTo=bgbl115s1324.pdf

[4] § 13 TMG Abs. 7: https://www.gesetze-im-internet.de/tmg/__13.html

[5] eco-Studie: https://www.eco.de/presse/immer-mehr-unternehmen-planen-fuer-den-it-notfall

[6] Gesetz gegen den unlauteren Wettbewerb: https://www.gesetze-im-internet.de/uwg_2004/index.html

[7] Telemediengesetz: https://www.gesetze-im-internet.de/tmg/index.html

[8] DSVGO im Original: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679

[9] Preisangabenverordnung: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679

[10] Gesetz über Urheberrecht und verwandte Schutzrechte: https://www.gesetze-im-internet.de/urhg/index.html



ClamAV-Open-Source-Malware-Detektion

20 Jahre ClamAV: Open-Source-Malware-Detektion

20 Jahre nach der ersten Veröffentlichung des wohl bekanntesten quelloffenen Malware-Scanners legt Cisco zum Jubiläum die Version 1.0 auf. Das Antivirenprogramm ist beliebt, geht einige Wege jedoch anders als die Konkurrenz.

Von Ralf Spenneberg

-tract

  • ClamAV ist einer der beliebtesten Open-Source-Malware-Scanner. Als Framework bildet er die Grundlage vieler freier und kommerzieller Sicherheitslösungen, denn Engine und Regeln sind unter der GPL verfügbar.
  • Im Unterschied zu anderen Antivirenprogrammen nutzt ClamAV keine Verhaltensüberwachung, sondern legt den Fokus auf die Prüfung von E-Mails – dafür hält es Signaturdatenbanken bereit.
  • Mit eigenen Signaturen und YARA-Regeln können Administratoren die Erkennung von ClamAV weiter ausbauen.

Es war ein langer Weg zur großen Eins, die Cisco dem nun 20 Jahre alten ClamAV Ende des Jahres 2022 verlieh. Dabei ist die Zahl mehr ein Symbol als ein Indikator für maßgebliche Neuerungen. Die hat das Programm auch gar nicht nötig, denn die Aufgabe, für die es entwickelt wurde, erledigt es gut – und bildet dabei gleichzeitig Grundlage und Pflichtkomponente für viele modernere Securitylösungen.

Ursprünglich wurde der Malware-Scanner ClamAV für die Analyse von E-Mails auf E-Mail-Gateways entwickelt. Heute ist es ein Framework, das in beliebige Applikationen integriert werden kann. Im Unterschied zu vielen kommerziellen Produkten ist es aber nicht zur Endpoint Security, also der Absicherung eines Arbeitsplatzrechners, gedacht, denn ClamAV nutzt keine Verhaltensüberwachung. Es beobachtet laufende Prozesse und deren Ausführung also nicht. Deshalb ist ClamAV in den Augen vieler Anwender nicht mit modernen Virenscannern unter Windows vergleichbar. Für E-Mails oder das Erkennen von Phishing-URLs ist so ein Werkzeug jedoch immer noch sehr sinnvoll.

ClamAV agiert als ein signaturbasierter Scanner. Die Signaturen können unterschiedlichster Natur sein, sie können aus Hashes, URLs oder dem E-Mail-Inhalt bestehen, aber auch aus YARA-Regeln, Bytecode, Metadaten von Containern oder PE-Zertifikaten. Hash- und inhaltsbasierte Signaturen können Admins dabei auch selbst erzeugen, zum Beispiel mit dem Werkzeug Sigtool, das die einfache Generierung eigener Signaturen aus Schaddateien erlaubt. Für komplexe Prüfungen, die nicht mit einfachen Signaturen lösbar sind, eignen sich Entwickler-Bytecode-Signaturen. Sie bestehen aus ausführbarem Code, der fast beliebige Eigenschaften in einer Datei prüfen kann. Die von VirusTotal entwickelten YARA-Regeln stellen zusätzlich eine generische Möglichkeit zur Beschreibung von Malware dar.

Wie ClamAV zu Cisco stieß

In den ersten Jahren noch ohne kommerziellen Hintergrund entwickelt, ging das Projekt ClamAV 2007 in den Besitz der Firma Sourcefire über, die die Entwickler übernahm. Sourcefire wurde von Martin Roesch, dem Erfinder des Intrusion-Detection-Systems Snort, gegründet. Sourcefire hat ClamAV anschließend in seine kommerzielle IPS-Lösung integriert (AMP – Advanced Malware Protection).

Die ClamAV-Entwickler gingen im Vulnerability Research Team von Sourcefire auf, das sich auch um die von Snort bereitgestellten Regeln kümmerte. 2013 wurde Sourcefire dann von Cisco gekauft. Das ClamAV-Projekt blieb allerdings weiter quelloffen. Mittlerweile hat Cisco das Vulnerability Research Team in sein Talos-Team aufgenommen, das sowohl für die Betreuung von ClamAV als auch für Snort zuständig ist. ClamAV ist weiterhin eine der Komponenten in den kommerziellen IT-Security-Produkten von Cisco, beispielsweise Firepower.

Fokus auf die E-Mails

Um E-Mails und deren Anhänge effizient analysieren zu können, kann ClamAV eine Vielzahl von Archiven und Dateiformaten automatisch extrahieren und scannen. Dazu gehören Formate von ZIP, RAR, 7zip, arj und tar über DMG, IMG, ISO9660, PKG, HFS+ und GPT bis hin zu OLE2, OOXML, CAB und CHM. Eine vollständige Liste findet sich in der Dokumentation. Noch 2022 hat Splunk die Effizienz von ClamAV in der Erkennung von Malware in unterschiedlichen Dateitypen getestet, wobei speziell die Erkennung in Word-Dokumenten und Windows-Bibliotheken sehr gut abschnitt. Insgesamt hat ClamAV etwa 60 Prozent von 400 000 Virussamples von MalwareBazaar erkannt. Vergleichende Ergebnisse kommerzieller Antiviruslösungen gibt es von Splunk allerdings nicht.

Für die Integration von ClamAV in einen Mailserver nutzte man in der Vergangenheit häufig Werkzeuge wie Amavis oder Amavisd-new. Diese haben die E-Mails zunächst zerlegt, Archive extrahiert und dann die einzelnen Dateien gescannt. Das war nötig, weil viele Virenscanner die Anhänge ansonsten nicht verarbeiten konnten. Da ClamAV das mittlerweile aber auch selbst kann, ist eine solche ressourcenaufwendige Zerlegung heute nicht mehr notwendig. Mit ClamAV-Milter existiert daher auch eine direkte Integration in MTAs über die Milter-Schnittstelle.

Viele Mailserver integrieren ClamAV direkt, beispielsweise über genau diese Milter-Schnittstelle. Der Filter Amavisd-new hat seit 2018 keine Weiterentwicklung mehr erfahren. Er war in der Vergangenheit in Kombination mit SpamAssassin der bevorzugte Filter in Open-Source-Mail-Gateways. Als moderne Alternative nutzen Administratoren heute häufig den Dienst Rspamd, der neben einer gegenüber SpamAssassin verbesserten Spamerkennung auch ClamAV nutzen kann. Zusätzlich bietet er Module für DKIM-Signaturen, DMARC und weitere Authentifizierungsmöglichkeiten.

Clamd für weniger Ballast

ClamAV wird über die Kommandozeile mit dem Befehl clamscan aufgerufen und lädt dann die sehr umfangreiche Signaturdatenbanken des Scanners. Insgesamt handelt es sich um fast 1 GByte an Signaturen, die bei jedem Start von clamscan geladen und geparst werden müssen, was viel Arbeitsspeicher und CPU-Ressourcen benötigt. Damit das nicht bei jedem Aufruf erforderlich ist, bietet ClamAV eine daemonisierte Version, den Clamd. Der wird als Dienst gestartet und über einen Socket angesprochen. Das kann ein lokaler UNIX-Socket oder ein TCP-Socket sein. Der Befehl clamdscan scannt nun eine beliebige Datei und kommuniziert mit dem Dienst Clamd über einen Socket.

Unter Linux kann ClamAV auch als On-Access-Scanner eingesetzt werden. Hier werden die Dateien bei jedem Zugriff geprüft. Das ist auf Fileservern wie Samba oder Nextcloud interessant. Während der Clamd diese Aufgabe früher selbst übernommen hat, setzen moderne Implementierungen ab Version 0.102.0 dafür einen zusätzlichen Dienst namens Clamonacc ein. Daneben wird ein einigermaßen moderner Linux-Kernel ab Version 3.8 benötigt, der die FANOTIFY-API bereitstellt, über die der Zugriff auf schädliche Dateien verhindert wird. Ohne die API kann auch der On-Access-Scan genutzt werden. Dann kommt es allerdings nur zu einer Protokollierung der gefundenen Dateien und nicht zur Blockade der Zugriffe.

Umwege zur Signatur

Für die Erkennung neuer Viren benötigt ClamAV, wie alle anderen Virenscanner auch, regelmäßige Updates seiner Signaturdatenbank. Die Datenbank wird in drei Dateien vorgehalten: bytecode.cvd, daily.cvd und main.cvd. Bereits bei seiner ursprünglichen Veröffentlichung 2002 führten die Popularität von ClamAV und die daraus resultierenden Downloads zu einem DoS auf den anbietenden Servern. Die Popularität hat in den letzten Jahren nicht nachgelassen, sondern eher zugenommen. Das führte dann im März 2021 zu einer Änderung der Download-Politik im Content Delivery Network von Cisco. Der direkte und vollständige Download der Signaturdatenbanken ist nun nicht mehr erlaubt. Stattdessen muss man Werkzeuge wie Freshclam oder cvdupdate nutzen. Während Freshclam die Datenbank auf dem lokalen System aktualisiert, ist cvdupdate für die Aktualisierung der Datenbank auf einem Spiegelserver verantwortlich. Da cvdupdate im Gegensatz zu Freshclam mehr Daten aus dem Internet laden muss, eignet sich Freshclam besonders für kleine Umgebungen. Beide Werkzeuge prüfen mithilfe von DNS TXT Records zunächst, ob ein Update bereitsteht. Nur wenn die DNS TXT Records ein Update andeuten (siehe Listing), laden sie differenzielle Updates der Datenbank.

Listing: DNS TXT Records weisen auf ein notwendiges Update hin

host -t txt current.cvd.clamav.net.
current.cvd.clamav.net descriptive text "0.103.7:62:26768:1672646400:1:90:49192:333"

Die einzelnen Werte werden durch Doppelpunkte getrennt und kodieren die folgenden Informationen: 
Letzte unterstützte ClamAV Version: 0.103.7
Version der neuesten main.cvd: 62
Version der neuesten daily.cvd: 26768
Zeitstempel der letzten Aktualisierung: 1672646400
Soll eine Versionswarnung erfolgen: 1
Function-Level (f-level): 90
Version der neuesten safebrowsing.cvd: 49192
Version der neuesten bytecode.cvd: 333

Die Virusdatenbank wird täglich aktualisiert, üblicherweise einmal, manchmal zweimal. Die Werkzeuge cvdupdate und Freshclam können aber stündlich oder häufiger aufgerufen werden, da sie die DNS-Einträge prüfen. Wenn viele Clients aktualisiert werden müssen, kann Freshclam die Updates über einen cachenden Proxy laden oder – speziell in einem vom Internet getrennten Netz – auch über einen lokalen Spiegelserver bereitstellen. Die Homepage von ClamAV beschreibt die Einrichtung eines Spiegelservers mit cvdupdate (siehe ix.de/zn4q). Wenn man die Datenbanken via Freshclam aktualisiert, können statt CVD- auch CLD-Dateien lokal gespeichert sein. CVD-Dateien sind dabei schlicht komprimierte Versionen der CLD-Dateien. Um die täglichen Aktualisierungen zu integrieren, verwendet Freshclam die CLD-Dateien und löscht dann die daily.cvd.

Beim ersten Aufruf lädt Freshclam die vollständigen Datenbanken. Unternimmt Freshclam zu viele Versuche, wird der Client gesperrt (Abb. 1).
Beim ersten Aufruf lädt Freshclam die vollständigen Datenbanken. Unternimmt Freshclam zu viele Versuche, wird der Client gesperrt (Abb. 1).

Die Datenbank safebrowsing.cvd wird seit 2019 allerdings nicht mehr von ClamAV unterstützt und auch nicht zum Download angeboten. Zugriffe auf diese Datenbank beantwortet das Content Delivery Network mit dem HTTP-Code 403. Grund dafür ist eine Lizenz- und API-Änderung durch Google. Damit Freshclam die Bandbreitenlimitierungen respektiert und die Datenbank nicht mehr lädt, sollte mindestens die Version 0.103.2 eingesetzt werden.

YARA-Anbindung

ClamAV kann mit gewissen Einschränkungen auch YARA-Regeln nutzen. YARA ist ein Projekt von VirusTotal. Es handelt sich um einen eigenen Scanner, der in einer einfachen Sprache geschriebene Regeln unterstützt. Für den berühmten EICAR-Test-Virus könnte die Regel in Abbildung 2 benutzt werden.

Mit YARA-Regeln kann ein Administrator einfach eigene Signaturen erzeugen (Abb. 2).
Mit YARA-Regeln kann ein Administrator einfach eigene Signaturen erzeugen (Abb. 2).

Viele kommerzielle Malware-Scanner werten YARA-Regeln aus. Ein Administrator kann damit einfach vorhandene Scanner um eigene Regeln ergänzen. In der Community stellen viele Sicherheitsforscher ihre eigenen YARA-Regeln bereit und auch ClamAV-Regeln werden in der Community angeboten. Unter ix.de/zn4q findet man ein Skript, das das Laden dieser inoffiziellen Communityregeln vereinfacht.

Da viele kommerzielle Hersteller ClamAV in ihren Produkten einsetzen, wird das Produkt mit Long-Term Support angeboten. Die LTS-Versionen werden für wenigstens drei Jahre ab ihrer ursprünglichen Veröffentlichung betreut. Aktuell gelten zwei Versionen als LTS: Version 0.103 und die Jubiläumsausgabe 1.0. Weitere Versionen gelten als Feature Release, die für mindestens 4 Monate gepflegt werden – dazu gehören die Versionen 0.104 und 0.105. (kki@ix.de)

  1. Quellen
  2. Die Studie von Splunk und weitere Ressourcen zu ClamAV finden sich unter ix.de/zn4q.



2FA einführen – aber wie?

2FA einführen – aber wie?

Es ist nicht die Technik, die bei einer 2FA-Einführung zur Herausforderung wird. Es sind die Forderungen verschiedener Stakeholder und die Auswirkungen an vielen Stellen der Unternehmens-IT.

Von Christian Zander

-tract

  • Technisch sind Unternehmensanwendungen meist schnell für den zweiten Faktor fit gemacht, die Hürden lauern in der Projektumsetzung.
  • Stakeholder wie CISOs, Auditoren oder der Helpdesk haben ganz unterschiedliche Anforderungen; für Nutzer soll es vor allem einfach sein.
  • Adaptive Authentication, Self-Service-Portale und umfangreiche Systemintegration erhöhen die Akzeptanz und sind schon bei der Anforderungsanalyse zu beachten.
  • Ein schrittweises Rollout, begleitet von Feedbackschleifen und Monitoring, erlaubt das Gegensteuern bei Bedarf und führt am ehesten zum Erfolg.

Richtig implementiert, hat Zwei-Faktor-Authentifizierung für Unternehmensanwendungen nur Vorteile. 2FA erhöht die Sicherheit im Unternehmen, verbessert langfristig aber auch die User Experience: Auch für User ist es vorteilhaft, wenn nicht mehr alles an der Qualität der Benutzerpasswörter und der „Passworthygiene“ des Einzelnen hängt.

Selbst wenn ein zweiter Faktor Fehler und Nachlässigkeiten nicht ausschließt, nehmen durch ihn doch die Auswirkungen erfolgreicher Passwortangriffe ab. Der jüngste DBIR-Bericht von Verizon (siehe ix.de/z7p8) aus dem Jahr 2022 zeigt, dass Credentials mit circa 50 Prozent und Phishingangriffe allgemein zu etwa 20 Prozent immer noch die wichtigsten Einfallstore für Angriffe sind.

Ein weiterer Vorteil von 2FA ist, dass es den Unternehmen hilft, Complianceregelungen umzusetzen. Hier helfen die Features der Zwei-Faktor-Authentifizierungswerkzeuge wie Policies, Adaptive Authentication und Reportings, die rechtlichen Risiken für Führungskräfte, Vorstandsmitglieder und die Unternehmen zu reduzieren.

Technisch ist die Einführung der Zwei-Faktor-Authentifizierung keine Zauberei mehr. Wenn Applikationen gut vorbereitet sind, kann eine neue Anwendung innerhalb von 30 Minuten mit 2FA und SSO (Single Sign-on) an Bord genommen werden. Entscheidend ist aber, dass die Umsetzung den Erwartungen aller Beteiligten entspricht, denn am Ende wollen alle nur, dass es funktioniert.

Die Auditoren wollen alle relevanten Informationen sehen und nachvollziehen können. Die User wollen eine einfache Handhabung, die nicht (zu sehr) nervt, wie erwartet funktioniert und sich schnell anpassen lässt, wenn es später doch mal hakt. Der Helpdesk und die IT-Leitung erwarten wenig Aufwand bei Betrieb und Updates, zudem Reports, die beim Debugging alle notwendigen Informationen liefern. Zu guter Letzt wollen CISOs, CEOs und Betriebsräte, dass alles ohne Sicherheits- oder Complianceverletzungen abläuft. Das alles muss jedem, der ein solches Projekt startet, von Anfang an klar und während des Verlaufs immer präsent sein: von der Planung, der Anforderungsanalyse, der Auswahl des Systems bis zur Umsetzung.

Vorab sind vor allem folgende Fragen zu klären: Müssen Zugriffe auf User-Level und global eingestellt werden können? Wird Application-Level-Authentifizierung benötigt oder soll es sogar bis auf Session-Level gehen? Finden verschiedene Faktoren Berücksichtigung? Sind die (Geo-)Location, Gruppendefinitionen oder Authentifizierungstypen relevant? Soll ein gutes Dashboard das Mittel der Wahl sein, um das System zu konfigurieren, oder soll eine API die Regeln einspielen?

Wissen, haben, sein

Der Prozess der Authentifizierung besteht im Überprüfen mehrerer Parameter. Sie beruhen auf Wissen, Besitz und Präsenz. Wissen bezieht sich auf Credentials wie Passwörter oder PINs, die ausschließlich der autorisierte User kennt. Das ist die First Level Authentication. Besitz bezieht sich auf etwas, das der Anwender bei sich trägt. Dies kann ein Mobiltelefon, ein Hardwaretoken, eine Smartcard oder ein USB-Key sein. Präsenz bezieht sich auf biometrische Faktoren, die dazu verwendet werden, den Nutzer zu identifizieren: der Fingerabdruck, die Iris oder das Gesicht.

Genau genommen kann man schon bei einer Authentifizierungs-App von MFA sprechen, denn sie verwendet mehr als zwei Faktoren. User melden sich mit ihren Credentials an (Wissen), erhalten ein Authentifizierungsanfrage auf ihr Mobiltelefon (Besitz) und müssen es und die App entsperren (Präsenz) und die Authentifizierung bestätigen.

Neben diesen drei Standardparametern können weitere Parameter mit ins Rennen gehen, um die Sicherheit zu erhöhen. Einer davon wäre der Zeitpunkt, zu dem ein User etwas tut. Log-ins könnten etwa nur von 9 bis 17 Uhr möglich sein, für hochkritische Bereiche wie Tresore oder KRITIS-relevante Zugänge könnten festgelegte Öffnungszeiten existieren. Der Ort wäre ein weiteres Beispiel. Ist es erlaubt, von Amerika aus auf geschützte Daten zuzugreifen, oder nur wenn die Kollegen in Deutschland oder sogar im Firmengebäude sind? Dafür wird die IP-Adresse verwendet und falls möglich die Geo-Location. Beim mobilen Arbeiten sind allzu strenge standortbasierte Policies aber hinderlich. Wenn Mitarbeiter plötzlich nicht mehr auf Applikationen zugreifen können, nur weil sie geraden in Schottland sind, ist das schwierig.

Gute Lösungen bringen weitere smarte Authentication-Parameter ins Spiel, die unplausibles Verhalten erkennen. Wenn ein Benutzer gerade in Peru war und sich 15 Minuten später in Rom befindet, ist das unlogisch und sollte zu einem Request Denied führen. Mit einer Prise KI oder maschinellem Lernen lassen sich auch das typische Verhalten, Fehlerraten, Anzahl von Zugriffsversuchen, Geschwindigkeit der Zugriffsversuche und ungewöhnliche Orte und Zeiten als Zugangsparameter verwalten. Damit lässt sich der Zugang bei untypischem Verhalten des Users und hohem Risiko-Score (vorübergehend) verwehren.

Ein weiterer Punkt ist die Flexibilität: Es sollte möglich sein, unkritische Bereiche mit nur einem Faktor erreichbar zu machen und erst beim Zugriff auf sensible Informationen mehrere abzufragen. Der erste Faktor könnte auch genügen, wenn etwa ein Request erstens aus einem gesicherten Netzwerk, zweitens von einem bekannten und gesunden Gerät und dazu drittens zu einer gewöhnlichen Zeit kommt.

Erweiterter Anmeldeprozess

Der Anmeldeprozess verändert sich durch die Einführung eines zweiten Faktors nicht, er wird nur erweitert. Leicht vereinfacht zeigt Abbildung 1 die Anmeldung ohne 2FA. Es gibt ein User Interface, an dem sich die Benutzer anmelden. Sie holen sich ein Token ab und benutzen es künftig dafür, auf Datenobjekte zuzugreifen. Genügt das Token nicht den Anforderungen, die das geschützte Objekt stellt, bekommt das User Interface ein Access Denied zurück und ist dafür verantwortlich, sinnvoll damit umzugehen. Bei 2FA läuft es nicht viel anders ab (siehe Abbildung 2). Noch während das Token angefragt wird, stellt die Software fest, dass Zwei-Faktor-Authentifizierung gefragt ist. Nun holt man sich den zweiten Faktor aus einer Authentication-Datenbank und startet die Challenge beim Anwender. Er muss die Challenge annehmen und beantworten, dann prüft die Applikation die Antwort und gibt das Token frei. Der Rest erfolgt dann wie vorher.

Bei der einfachen tokenbasierten Authentifizierung fragt das User Interface ein Token bei einem Kontrollpunkt an (Abb. 1).
Bei der einfachen tokenbasierten Authentifizierung fragt das User Interface ein Token bei einem Kontrollpunkt an (Abb. 1).
Kommt ein zweiter Faktor ins Spiel, wird das Authentifizierungsverfahren erweitert. Aber auch hier wird ein Token überreicht. Der prinzipielle Ablauf bleibt gleich (Abb. 2).
Kommt ein zweiter Faktor ins Spiel, wird das Authentifizierungsverfahren erweitert. Aber auch hier wird ein Token überreicht. Der prinzipielle Ablauf bleibt gleich (Abb. 2).

Self-Service kommt gut an

Sicherheit darf nicht nerven, sonst finden Mitarbeiter einen Weg darum herum. Optimalerweise macht sie sogar Spaß. Wichtig ist es, den Usern die Wahl zu lassen und ihnen etwas Hilfe zur Selbsthilfe anzubieten – die zusätzlich den Aufwand im Helpdesk reduziert. Ein Self-Service kann es Nutzern erlauben, ihre Authentifizierungswerkzeuge auszuwählen, zu aktualisieren oder bei Verlust oder beim Austausch eines Gerätes zu sperren.

Wird ein Token gesperrt, ist es sinnvoll, alle aktiven Sessions zu sperren, alle dem Device zugeordneten Services zu unterbinden und ihm seine Zugriffsrechte zu entziehen. Wenn möglich, ist ein automatisches Remote Wipe eine gute Option.

Mit Self-Service Registration (SSR) können sich Nutzer selbst registrieren. Sollte ein Self-Service zum Passwort-Reset noch nicht verfügbar sein, bietet es sich an, auch diesen mit im Projekt einzuführen und bei der Auswahl der Tools zu berücksichtigen.

Ein Aktivitätenplan sollte das Problem verlorener oder vergessener Authentifizierungstoken adressieren und potenzielle Sicherheitsprobleme thematisieren. Zum Beispiel sollte man niemals denselben Kanal für die Recovery verwenden, über den eine Anfrage zu einem vergessenen Passwort eingeht. Dieser muss immer als kompromittiert gelten. SMS als Recovery-Kanal wird zunehmend unsicher, denn Hacker finden auf Social Media möglicherweise genügend Informationen, um beim Mobilfunkanbieter eine Kopie der SIM und damit auch alle Mobile-Authentifizierungstoken zu erhalten.

Third-Party-Integration – mehr ist mehr

Als ich kürzlich bei einem großen deutschen Anbieter Ersatzteile bestellte, wurde ich gefragt, ob ich mich auch registrieren wolle. Na klar – dann muss ich nicht immer alle meine Daten eingeben und kann gegebenenfalls später schneller Ersatzteile bestellen. Gesagt, getan. Der Registrierungsprozess ging voran: E-Mail-Adresse und ein sicheres Passwort, klar. Zwei-Faktor-Authentifizierung? Aber gern. Und dann kam es: Das ginge nur mit „ihrem“ Zwei-Faktor-Authentifizierungstool. Schade. Ich habe es erst gar nicht in Erwägung gezogen. Dass Banken ihre eigenen Tools verwenden, ist lästig, aber noch verständlich, doch für das Bestellen von Ersatzteilen gilt das mit Sicherheit nicht.

Mitarbeiter von Unternehmen greifen schon lange nicht mehr nur auf die interne Office- und Betriebssystemwelt zu, sondern nutzen viele Dienste und Anwendungen von Drittanbietern oder aus der Cloud. Auch diese sollen den Policies entsprechen und so sicher wie möglich sein. Privat verwenden Benutzer ebenfalls etliche Applikationen. Die Akzeptanz wird erhöht, wenn das Zwei-Faktor-Authentifizierungswerkzeug in der Lage ist, sich auch mit diesen zu verbinden. Die Administration wird damit einfacher. Es gibt weniger Stellen zur Verwaltung von Sicherheitsaspekten und idealerweise lässt sich das Ganze in ein vorhandenes Enterprise Service Management integrieren.

Im Zusammenspiel mit Single-Sign-on (SSO) gibt es allerdings einige Fallstricke, die zu beachten sind. Das Alignment der Gruppen, die beispielsweise im Active Directory (AD) zu finden sind, mit den Berechtigungen in den Produkten sollte man gründlich testen. Effekte wie „und plötzlich hatte ich auf alles Zugriff“ können sehr unerfreulich sein. Bei Applikationen, die sensible oder kritische Daten beherbergen, sollte bereits beim Testen immer jemand dabei sein und diesen Vorgang überwachen, um unerwünschten Datenabfluss oder bloß den Verdacht, dass dies geschehen könnte, zu vermeiden.

Wer schreibt, der bleibt: Logs, Reports und Dashboards

Insbesondere für das Einhalten von Complianceanforderungen und Richtlinien sind Dashboards, Reports und Logs wie Business- und Policy-Impact-Übersichten maßgeblich. Schon bei der Toolauswahl sollte klar sein, welche Informationen benötigt werden, um diesen Anforderungen gerecht zu werden.

Bei den Features des Dashboards sind zwei Fragen relevant: Erstens, welche Probleme können entstehen, wie sind sie erkennbar und wie relevant sind sie für das Business? Und zweitens, welche Informationen sind nötig, um für die Probleme Handlungsfelder zu erkennen, Auswirkungen zu ermessen und Risiken im Falle eines Problemeintritts abzuwägen? Nötig ist einerseits ein Helikopter-Überblick über den Zustand des Systems, andererseits aber auch die Möglichkeit, sich schnell und effektiv in die Details hineinzubohren.

Problembehebung bei Zwei-Faktor-Authentifizierung kann kompliziert werden. Policies, die sich gegenseitig ausschließen oder überlagern, dynamische Regeln und adaptive Authentifizierung müssen einfach sichtbar gemacht und schnell erkannt werden können. Risiko-Scores sollten ebenfalls deutlich gemacht und gegebenenfalls direkt administriert werden. Systemadministratoren brauchen Dashboards, die das massenhafte Konfigurieren und Ausrollen von Regeln ermöglichen und Probleme aufzeigen. Bestenfalls kann man die zugehörigen Helpdesk-Tickets, weitere Telemetriedaten und Statistiken anzeigen. Für das Ausrollen ist es sinnvoll, den Deployment-Fortschritt übersichtlich dargestellt zu bekommen.

Um die Akzeptanz zu messen, ist es wichtig, den tatsächlichen MFA-Einsatz im Blick zu behalten und zu verfolgen, wie häufig Nutzer die Authentifizierungsfaktoren verwenden und ob sie bestimmte Software möglicherweise nicht mehr so häufig wie vorher einsetzen. Das könnte ein Hinweis für Akzeptanzprobleme sein.

Schütze, was wichtig ist

Bei der Zwei-Faktor-Authentifizierung ist es ähnlich wie beim Identity and Access Management (IAM). Was soll geschützt werden? Alle Orte, an denen kritische und sensible Daten und Rechte liegen. Pragmatisch und leicht verständlich heißt das: Kritische Daten sind Daten, die, wenn sie verloren gehen oder in die falschen Hände geraten, unmittelbare und schwerwiegende Schäden für das Unternehmen nach sich ziehen könnten, während sensible Daten solche sind, deren Abhandenkommen mittelfristig Schäden verursachen könnte. Der Rest an Daten ist in dieser Hinsicht mehr oder weniger egal.

Die Einführung von 2FA betrifft das ganze Unternehmen: Das Sicherheitsteam, die IT-Abteilung, die Benutzer, die Personalabteilung und der Betriebs- oder Personalrat und nicht zuletzt die Unternehmensführung müssen dahinterstehen, damit das Projekt eine gute Chance auf Umsetzung hat.

Mitnehmen und überzeugen

Alle Nutzer müssen verstehen, dass die Zwei-Faktor-Authentifizierung dazu da ist, sie zu unterstützen. Mitarbeiter fürchten oft Veränderungen, neue Behinderungen und noch mehr Überwachung. Präsentationen, kurze Erklärvideos und Schulungen verringern die Vorbehalte. Auch Einladungen, an der Pilotgruppe teilzunehmen, und Mitarbeiter, die als Multiplikatoren und Botschafter der Sache fungieren, fördern die Akzeptanz.

Die Umstellung sollte mit den Adminkonten starten, das schlägt zwei Fliegen mit einer Klappe: Man schützt kritische Rechte zuerst und erbringt einen Konzeptnachweis. Von hier aus kann das Ausrollen beginnen, wobei es auch hier wichtig ist, das IAM im Auge zu behalten. Dabei fällt möglicherweise auf, wie viele Konten es gibt und dass sie zu mehr berechtigt sind, als sie sein müssten.

Als Nächstes ist die Pilotgruppe an der Reihe. Admins verstehen in der Regel die technischen Gegebenheiten und Notwendigkeiten schnell. Bei der Pilotgruppe, die Mitarbeiter aus allen Sicherheitsstufen und Unternehmensbereichen umfassen sollte, ist das anders. Wenn Zwei-Faktor-Authentifizierung nicht nur intern, sondern auch bei Geschäftspartnern und Auftragnehmern zum Einsatz kommen soll, ist auch hier eine Pilotgruppe sinnvoll.

Langsam und stetig voran

Bei der schrittweisen Umstellung – eine Applikation nach der anderen, ein Bereich nach dem anderen – sollte man jede Anwendung testen, auch wenn anscheinend keine Probleme zu erwarten sind. Der Teufel steckt im Detail und Details machen alles kaputt. Es tauchen auch möglicherweise Applikationen auf, die keine Zwei-Faktor-Authentifizierung beherrschen. Solche älteren internen Programme oder Clients können eventuell nachgerüstet werden. Falls das nicht möglich ist, ist es Zeit, einen Change Request für diese Anwendungen zu stellen, um das Projekt dadurch nicht zu blockieren. Neue Mitarbeiter sollten ab diesem Zeitpunkt immer mit Zwei-Faktor-Authentifizierung ausgestattet sein.

Nicht überall hat man Netz, wer viel Bahn fährt, weiß das. In solchen Fällen ist es gut, alternative Authentifizierungsmethoden anzubieten, wie automatische Sprachanrufe oder die Aufforderung, eine Taste auf dem Telefon zu drücken. Wenn der Benutzer seine präferierte Methode im Self-Service-Portal auswählen kann, führt das zu mehr Akzeptanz. Die Wahl zu haben ist immer besser als der „Friss oder stirb“-Ansatz. Auch etwas Augenmaß beim Zwang zur Autorisierung schätzen die Nutzer. Zugriff auf kritische Daten sollte also öfter autorisiert werden als der auf den Speiseplan der Kantine.

Wenn die mobilen Geräte, die den zweiten Faktor bereitstellen, noch nicht verwaltet werden, ist jetzt ein guter Zeitpunkt, ein Mobile Device Management einzuführen. Das stellt sicher, dass die mobilen Geräte ohne Jailbreak bleiben und regelmäßig auf Malware untersucht werden.

Support braucht Kapazität

Fehlgeschlagene Anmeldungen, verzweifelte Benutzer und gesperrte Konten sind gerade zu Beginn der Einführung von Zwei-Faktor-Authentifizierung normal. Der Helpdesk muss genügend Zeit dafür haben, um den Benutzern in Ruhe und freundlich zu helfen. Es muss schnell gehen, denn wenn Benutzer nicht arbeiten können, sind sie in dieser Zeit nicht in der Lage, etwas zum Unternehmenserfolg beizutragen. Genervte Supportmitarbeiter, die unter Zeitdruck arbeiten und schlecht kommunizieren, werden dafür sorgen, dass die Akzeptanz von Zwei-Faktor-Authentifizierung sinkt, anstatt zu steigen.

Verlorene Hardware und Schlüssel sind Missgeschicke, für die es ein einfaches und von Vorwürfen freies Meldeverfahren braucht. Denn es ist wichtig, dass die Benutzer sofort Meldung erstatten, um die Geräte zu sperren und das Verhalten des Kontos auf verdächtige Aktivitäten zu überprüfen. Damit die Benutzer im Verlustfall trotzdem weiterarbeiten können, bis Ersatz zur Verfügung steht, ist es hilfreich, mehrere Anmeldemöglichkeiten bereitzustellen.

Begleiten, messen und monitoren

Während der Einführung sollte man permanent im Auge behalten, ob und wie sich die Zwei-Faktor-Authentifizierung auf die Produktivität und Sicherheit auswirkt. Dazu kann es notwendig sein, Richtlinien mehrfach anzupassen und den Einfluss dieser Veränderungen zu verfolgen.

Mitarbeiterbefragungen und Feedbackmeetings sind nützlich, um Erfahrungen zu sammeln und Verbesserungsvorschläge abzuleiten. Auch sie sollten mit der Pilotgruppe starten und so lange stattfinden, bis alles reibungslos läuft. Häufen sich in den Helpdesk-Tickets bestimmte Probleme, könnten diese mit Zwei-Faktor-Authentifizierung in Verbindung stehen, auch wenn es auf den ersten Blick nicht offensichtlich ist. Außerdem lässt sich erst nach einer ersten Implementierung wirklich kontrollieren, ob die Reports und Auditoranalysen den Anforderungen genügen. Software wird regelmäßig aktualisiert. Die Ansprüche an die Zwei-Faktor-Authentifizierung müssen in den Updateprozess einbezogen und getestet werden.

Alles ist auch Projektmarketing

Nicht erzählt ist wie nicht gemacht. Wenn sie nicht wissen, was passiert und was bereits getan ist, werden die Projektstakeholder unruhig und die User haben bereits wieder vergessen, dass da noch was auf sie zukommt. Berichte über Erfolge, aber auch über Dinge, die nicht funktioniert haben, erhöhen die Akzeptanz. Denn das, was nicht geklappt hat, hat meist ohnehin schon die Runde gemacht. Die Anwender sollten auch wissen, welche Applikationen womöglich ersetzt werden müssen, damit sie sich schon im Vorfeld damit anfreunden können. Auch nach dem Projekt ist Kommunikation wichtig, denn wer sich zu sicher fühlt, wird nachlässig. Regelmäßige Phishingübungen mit anschließenden Schulungen stärken das Security-Immunsystem des Unternehmens.

Security ist ein dauerhafter Prozess, das Sicherheitsbewusstsein der Mitarbeiterinnen und Mitarbeiter zu sensibilisieren und sie in das Wachstum der Firma miteinzubeziehen. Richtig eingesetzt, trägt auch das Projektmarketing ganz wesentlich dazu bei, das Unternehmen sicherer zu machen. (ulw@ix.de)

  1. Quellen
  2. Link zur erwähnten Securitystudie: ix.de/z7p8



Vier FIDO2-Token für den USB-Port

Vier FIDO2-Token für den USB-Port

Für eine Zwei-Faktor-Authentifizierung, die nicht an ein bestimmtes Endgerät wie ein Mobiltelefon oder einen PC gebunden sein soll, bieten sich USB- oder NFC-Token als Roaming-Devices an. Wir haben uns vier davon näher angesehen.

Von Jürgen Seeger

Auf dem Markt gibt es eine niedrig dreistellige Zahl von als Security Keys oder FIDO-Sticks bezeichneten Token. Für unsere Betrachtung haben wir OTP-Generatoren, bei denen man eine erzeugte PIN von einem Display abtippen muss, von vornherein aussortiert. Denn eine NFC- oder USB-Anbindung macht das Handling deutlich einfacher – dranhalten oder reinstecken reicht.

In die engere Auswahl kamen vier solcher Keys – und zwar die aus der Kompatibilitätsliste von Microsoft (siehe ix.de/zm8b) –, deren Hersteller FIPS-zertifizierte Produkte im Portfolio haben. In den Federal Information Processing Standards (FIPS) sind die Anforderungen von US-Behörden an IT-Equipment veröffentlicht, FIPS 140-2 und der Nachfolger 140-3 behandeln die Sicherheit kryptografischer Module, getestet in einem fünfstufigen Prozess. US-Behörden betrachten Sicherheitsmodule ohne ein solches Zertifikat juristisch als unsicher, eine mit nicht FIPS-zertifizierten Tools verschlüsselte Nachricht gilt als unverschlüsselt. Die Tests sind recht langwierig, darum waren bei Redaktionsschluss noch nicht alle hier betrachteten Token FIPS-zertifiziert. Hinzugenommen haben wir den Titan Key von Google, weil dieser Konzern FIDO2 mit aus der Taufe gehoben hat.

So kamen in die Redaktion:

  • ePass FIDO NFC K9, ein USB-A- und NFC-Token von Feitian Technologies;
  • zwei Titan Security Keys von Google für USB-A- respektive USB-C-Ports sowie jeweils NFC;
  • SafeNet eToken FIDO von Thales;
  • YubiKey 5C und 5Ci FIPS für USB-A und USB-C von Yubico.

​Alle Keys bestehen aus einem ABS-Polycarbonat-Gehäude und einem Metallstecker. Keinem der Produkte lag mehr als eine Kurzanleitung bei – Manuals müssen die Anwender wie heute üblich von der Hersteller-Site herunterladen, Google bietet auch das nicht. Getestet wurden die Token an einem Windows-10- und einem Windows-11-Laptop mit Edge sowie einem Mac Mini unter macOS Catalina und Chrome, also sowohl aktueller Hard- und Software als auch Legacy-Equipment. Als Gegenstelle dienten Micosofts Azure-Cloud, ein Google-Konto, der WebAuth-Testserver webauthn.io, GitHub und eine Synology-NAS-Station DS220+ unter DSM 7.1.

Folgenlos Benutzername und Passwort vergessen

Microsoft Azure bietet ein passwortloses Log-in mit FIDO2-Schlüsseln an, dito die Testsite webauthn.io. Passwortlos bedeutet dabei nicht „ohne weiteres Zutun“. Wenn der USB-Key im Slot steckt, muss der Anmeldeprozess durch eine PIN sowie eine Berührung freigegeben werden. Allerdings muss man sich nicht mehr den Benutzernamen merken, es reicht ein Mausklick auf „Mit Sicherheitsschlüssel anmelden“. Registrieren kann man ein Securitytoken – sowie andere Verifizierungsoptionen – in den persönlichen Sicherheitseinstellungen der MS-Azure-Cloud.

​Der Ablauf stellt sich bei webauthn.io ähnlich dar. Bei GitHub und der Synology DS220+ kamen die Token als weiterer Faktor für eine Zwei-Faktor-Authentifizierung zum Einsatz, ebenso für das Google-Konto. Denn der Mitschöpfer von FIDO2 unterstützt zurzeit passwortloses Log-in nur mit der Google-App auf dem Smartphone, nicht mit Token.

​Feitian ePass FIDO NFC K9

Ein Key für alle Zwecke: Feitians ePass FIDO NFC K9 kann auch PIV-Chipkarten ersetzen und PGP-Schlüssel aufbewahren (Abb. 1)., FEITIAN Technologies Co., Ltd.
Ein Key für alle Zwecke: Feitians ePass FIDO NFC K9 kann auch PIV-Chipkarten ersetzen und PGP-Schlüssel aufbewahren (Abb. 1). FEITIAN Technologies Co., Ltd.

Das nach FIPS 140-2 und -3 zertifizierte ePass FIDO NFC K9 von Feitian braucht ebenso wie die anderen Kandidaten keine Treiber, es spielte ohne weiteres Zutun mit allen getesteten Gegenstellen zusammen. Laut Herstellerwerbung sind unendlich viele Schlüssel speicherbar, in einer Online-FAQ ist etwas realistischer von 128 Schlüsseln die Rede. Ein Sensor dient der Bestätigung durch einfache Berührung, es wird kein Fingerabdruck verifiziert. Diese Fähigkeit beherrschen nur die Feitian-Token mit dem Kürzel „Biopass“ im Produktnamen.

Feitian stellt für die weitere Konfiguration des Tokens seinen SK Manager für macOS und Windows zum Download zur Verfügung. Der SK Manager bietet Interfaces zu weiteren Securityprotokollen. So ermöglicht ein Smartcard-Modus Zugang zu Diensten, die eine PIV-Chipkarte (Personal Identification Verification) mit eigener PIN-Sicherung erfordern. Zudem lässt sich ein PGP-Schlüsselpaar auf dem Token speichern und auch wahlweise dort generieren, ebenso CERT-Zertifikate und in Verbindung mit dem SK Manager Einmalpasswörter.​​

Google Titan USB-A-Token

Formfaktor wie das Feitian-Token, aber völlig andere Firmware: Google Titan USB-A (Abb. 2)., Google Ireland Limited
Formfaktor wie das Feitian-Token, aber völlig andere Firmware: Google Titan USB-A (Abb. 2). Google Ireland Limited

Das Google-Token ist vom Feitian-Key äußerlich nur durch Farbe und Aufdruck zu unterscheiden, arbeitet aber mit einer gänzlich anderen Firmware. Es funktionierte erwartungsgemäß problemlos mit Google, ebenso als zweiter Faktor gegenüber Synology, GitHub und webauthn.io. Nur die Microsoft-Cloud mochte es nicht akzeptieren – die Google-Token stehen schließlich auch nicht auf der Redmonder Kompatibilitätsliste. Zur Kompatibilität verweist Google auf FIDO CTAP1, den Standard, der die Kommunikation zwischen Browser und Authenticator definiert, und die „fehlende U2F-Unterstützung“ von Microsoft. Hintergrund: Das Titan-Token unterstützt FIDO und U2F, jedoch nicht FIDO2, und die Microsoft-Site ist nicht abwärtskompatibel zu U2F.

​Thales SafeNet eToken FIDO

Sensitive Schlüsselringöse: Thales SafeNet eToken FIDO (Abb. 3)., Thales
Sensitive Schlüsselringöse: Thales SafeNet eToken FIDO (Abb. 3). Thales

​Von der deutschen Dependance der in Frankreich ansässigen Thales-Gruppe erhielten wir ein Demo-Kit ihrer Securitytools, ausprobiert haben wir das SafeNet eToken FIDO mit USB-A-Stecker. Dieses Token verfügt über einen als Öse für ein Schlüsselbund ausgebildeten Touchsensor. Es arbeitete ohne weiteres Zutun mit allen Gegenstellen zusammen. Das Token kann laut Hersteller bis zu acht FIDO-Schlüssel verwalten. Eine zusammenhängende Anleitung war auf der Herstellerwebsite nicht zu finden, man muss sich die Informationen abschnittweise zusammensuchen.

​YubiKey 5Ci FIPS

Mit USB-C- und Lightning-Anschluss: YubiKey 5CI FIPS (Abb. 4)., Yubico
Mit USB-C- und Lightning-Anschluss: YubiKey 5CI FIPS (Abb. 4). Yubico

​Vom in Schweden gegründeten und mittlerweile in Kalifornien ansässigen Sicherheitsspezialisten Yubico erhielten wir den YubiKey 5Ci FIPS, ein Token mit USB-C- und Lightning-Anschluss und – wie der Name nahelegt – mit FIPS-140-2-Validierung. Bei Registrierung und Log-in macht ein dezentes Blinken einer grünen LED des seitlich angebrachten Touchsensors darauf aufmerksam, dass eine Aktion erwartet wird.

Das Token funktionierte mit allen getesteten Gegenstellen, zudem ist es für eine Vielzahl von Protokollen einsetzbar, die sich mit dem Programm Yubi Authenticator auf Windows-, macOS- und Linux-PCs sowie unter Android und iOS konfigurieren lassen. Darüber kann man zum Beispiel eine PIV-Chipkarte ersetzen und OpenPGP-Schlüssel verwalten. Laut Hersteller passen Informationen für 32 Gegenstellen auf das Token. Ein umfangreiches englischsprachiges Online-Manual erklärt ausführlich alle Optionen. (js@ix.de)

Daten und Preise
Produkt Feitian ePass FIDO NFC K9 Google Titan USB-A-Token Thales SafeNet eToken FIDO USB-A YubiKey 5Ci FIPS
Anbieter FEITIAN Technologies Co., Ltd. Google Ltd. Thales Group Yubico
Web ftsafe.com google.com thalesgroup.com yubico.com
Maße (mm) 43,9 × 20,8 × 3,1 43,9 × 20,8 × 3,1 40 × 16 × 10 45 × 18 × 3,3
Gewicht (g) 6 6 6 10
Einzelpreis (inkl. MwSt.) 34,90 € 34,90 € 53,02 € 83,30 €

  1. Quellen
  2. Verweise auf die erwähnten Kompatibilitätslisten unter ix.de/zm8b



Das Passwort ist tot – es leben die Passkeys

Das Passwort ist tot – es leben die Passkeys

Passwörter sind vom Konzept her kaputt, da helfen auch starke Passwörter und klassische Mehr-Faktor-Authentifizierung (MFA) nicht. Stattdessen brauchen wir konzeptionell sichere Authentifizierungsverfahren wie Passkeys.

Von Jürgen Schmidt

-tract

  • Die Authentifizierung mit Passwörtern ist inhärent unsicher: Auch die klassische Mehr-Faktor-Authentifizierung lässt sich mit Phishing aushebeln.
  • Beim Passkey-Verfahren errechnet ein Authenticator für jede Domain einen eigenen Secret Key, mit dem er die Antwort auf eine Challenge des Servers signiert. Diese Antwort authentifiziert den Anwender.
  • Passkey und Secret Key verlassen nie den Hoheitsbereich des Users.
  • Der Authenticator kann ein externes Token oder im Betriebssystem integriert sein. Windows, macOS, Android und iOS bieten die Funktion bereits.

Das Grundproblem der Authentifizierung lösen Passwörter mit einem Geheimnis, dessen Besitz die Identität beweisen soll: Ich bin „ju“ und nur ich kenne das Geheimnis IM~qaaU0h!N5Z-:(UR~{H;8. Das ist noch nicht das Problem, sondern ein durchaus legitimes Konzept, mit dem sich prinzipiell bereits eine recht hohe Sicherheitsstufe erreichen ließe. Das Problem beginnt an der Stelle, an der ich IM~qaaU0h!N5Z-:(UR~{H;8 einem Dienst als Antwort auf dessen Anfrage „Wie lautet dein Passwort?“ sende, um meine Identität zu beweisen.

Ich überspringe hier absichtlich die Klagen über 123456 und ficken123 als Passwörter, die sich viel zu einfach knacken oder erraten lassen. Denn das lässt sich durch entsprechende Policies, Awareness-Schulungen und den Einsatz von Passwort-Safes noch einigermaßen in den Griff bekommen. Doch auch mein Superpasswort, das ich nirgends anders benutze, ist eigentlich schon in dem Moment kompromittiert, in dem ich es in ein Passworteingabefeld eintippe respektive kopiere und abschicke.

Abgephisht

Denn damit ist das Geheimnis nicht mehr geheim. Letztlich weiß ich nicht, wer da auf der Empfängerseite mein geheimes Passwort bekommt und was der oder die dann damit macht. Phishing ist einer der wichtigsten Angriffsvektoren – und eine Gefahr sowohl für Privatpersonen als auch für Unternehmen. Das zeigen nicht nur Statistiken. Professionelle Penetrationstester erklären mir regelmäßig: „Wenn sonst gar nichts geht – Phishing geht immer.“ Und das gilt vermehrt auch für Zwei-Faktor-Authentifizierung.

Denn was bringt es, wenn ich zwei voneinander unabhängige Identitätsnachweise habe und dann letztlich zwei Zeichenketten an den Phisher schicke? Also beispielsweise mein normales Passwort und den Einmalcode, den ich via SMS oder von einer TOTP-App wie dem Authenticator bekommen habe? So gut wie nichts. Denn der Phisher muss nur schnell genug sein, sich während des Gültigkeitszeitraums mit den abgephishten Credentials beim Server anzumelden – und er ist drin.

Echtzeit-Phishing

Wie leicht das geht, demonstriert das gern für Phishingtests eingesetzte Tool Evilginx2 eindrucksvoll. Es funktioniert ähnlich wie der beliebte HTTP-Cache und Reverse-Proxy nginx. Damit setzen Angreifer mit wenigen Handgriffen eine Phishingseite auf, die dem Original gleicht wie ein Ei dem anderen. Denn alle Inhalte stammen von der echten Seite. Und die gesamte Kommunikation reicht der böse Ginx in Echtzeit in beide Richtungen durch.

Evilginx2 setzt sich als Man in the Middle zwischen Anwender und Webseite und kann die Websession nach dem Anmelden trotz Zwei-Faktor-Authentifizierung übernehmen (Abb. 1).
Evilginx2 setzt sich als Man in the Middle zwischen Anwender und Webseite und kann die Websession nach dem Anmelden trotz Zwei-Faktor-Authentifizierung übernehmen (Abb. 1).

Allerdings nicht ganz direkt – zunächst protokolliert er alle Passwörter und auch das nach einer erfolgreichen 2FA ausgetauschte Session-Cookie. Da braucht es je nach dem von der Website eingesetzten Verfahren zum Session-Management etwas Anpassung – aber danach schreibt Evilginx2 dieses wichtige Token mit. Und damit hat der Phisher vollen Zugriff auf den Dienst. Da helfen weder SMS-PIN, TOTP noch Push-Authentication. Solange der Phisher die übertragenen Daten einfach weiterreichen und sich damit erfolgreich am Server anmelden kann, ist er drin.

Somit muss der Angreifer es nur noch schaffen, sein Opfer auf diese Phishingseite zu locken. Und dazu hat er beliebig viele Versuche und kann systematisch alle Mitarbeiter eines Unternehmens durchprobieren. Immer wieder. Irgendwann klickt eine oder einer auf den Link in der auf sie oder ihn zugeschnittenen Mail oder in dem als Waterhole zusammengezimmerten Forum. Natürlich kann man fordern, dass Anwender die URL einer Website prüfen müssen, bevor sie ihre Zugangsdaten eintippen. Aber immer öfter sieht man die URL gar nicht mehr – etwa auf Mobilgeräten oder bei Pop-up-Fenstern. Da hilft letztlich auch kein Awareness-Training, denn schon ein einziges unaufmerksames Opfer genügt. Wie die Pentester sagen: „Phishing geht immer.“

FIDO for the win

Um das zu ändern, hat die Alliance für Fast Identity Online (FIDO) ein konzeptionell besseres Authentifizierungsverfahren entworfen. Man hat dabei nach wie vor ein Geheimnis zum Nachweis der Identität – aber das gibt man nicht mehr Hinz und Kunz, sondern behält es immer unter seiner eigenen Kontrolle. FIDO ersetzt also das als Shared Secret fungierende Passwort, das man ständig durch die Gegend schickt, durch ein echtes Geheimnis – den Passkey.

Das ist keineswegs nur Wortklauberei, sondern ermöglicht den Einsatz moderner kryptografischer Verfahren, die viele Angriffe auf Passwörter praktisch unmöglich machen. Das Passkey-Konzept beruht auf asymmetrischer Kryptografie und einem Challenge-Response-Verfahren. Dazu benötigt man ein Stück Software, den sogenannten Authenticator, der den Authentifizierungsvorgang auf der Clientseite abwickelt. Er erzeugt für jeden Dienst ein eigenes Schlüsselpaar aus Public und Secret Key, indem er den geheimen Passkey mit dem Domain-Namen kryptografisch verknüpft (als Keyed-Hash Message Authentication Code, etwa HMAC-SHA256). Das bedeutet, dass der für Google verwendete Schlüssel ein anderer ist als der für Microsoft oder Heise. Somit kann man Nutzer nicht über ihre Anmelde-Credentials tracken.

Den Public Key hinterlegt der Nutzer bei der Registrierung auf dem Server; den geheimen Passkey bekommt der Dienstbetreiber jedoch nie zu sehen – und kann ihn sich folglich auch nicht mehr stehlen lassen. Für die Anmeldung schickt der Server eine Challenge an den Authenticator. Der signiert diese mit dem passenden geheimen Schlüssel und schickt dies als Antwort an den Server. Der Anwender muss diesen Vorgang lediglich autorisieren – etwa durch das Berühren eines Sensors auf dem Token (User Presence).

In fortgeschrittenen Szenarien muss er seine Berechtigung etwa durch Eingabe einer PIN, Gesichtserkennung oder Fingerabdruck gegenüber dem Authenticator nachweisen (User Verification, UV). Dieser übermittelt dem Server lediglich das Ergebnis des UV-Tests; keinesfalls gehen dabei PINs oder gar biometrische Daten über die Leitung. Die gelegentlich anzutreffende Aussage, man melde sich mit seinem Fingerabdruck oder Gesicht an, ist also falsch oder zumindest irreführend verkürzt. Die Authentifizierung beim Server erfolgt mit dem Passkey, den man mit seinen biometrischen Merkmalen lokal freischaltet.

Das Challenge-Response-Verfahren verhindert herkömmliches Phishing mit nachgemachten Seiten und auch Replay-Angriffe sind nicht mehr möglich. Aber auch Echtzeit-Phisher mit Tools wie Evilginx2 bleiben außen vor: Die könnten zwar einen Anwender auf die Phishingseite www.he1se.de locken. Aber weil die Authentifizierung jetzt Domain-abhängig erfolgt, hilft ihnen das, was sie dort ergaunern, nicht beim Zugriff auf den echten Server www.heise.de.

Die Bausteine

Das Ganze steht und fällt mit der Verfügbarkeit des Authenticators, der die ganzen Kryptooperationen abwickeln muss. Im ersten Schritt wurde er zusammen mit dem Passkey in einen externen Security Key in Form eines Tokens gepackt. Der Browser kommuniziert dann über das Client to Authenticator Protocol (CTAP) etwa via USB mit diesem Token. Neuere Token unterstützen teilweise auch NFC; Bluetooth hingegen hat sich dafür nicht bewährt. Der geheime Schlüssel lässt sich nicht auslesen und verlässt dieses Token nie. Muss er auch nicht, denn alle kryptografischen Operationen damit erledigt das Token selbst. Somit kann nicht einmal eine Schadsoftware auf dem PC den Passkey aus- oder mitlesen.

In der nächsten Stufe haben die Betriebssysteme diese Authenticator-Funktion direkt eingebaut. So können Windows-PCs, Macs, Android-Smartphones und iPhones mittlerweile direkt als Authenticator agieren – ganz ohne externe Token. Den Passkey speichern sie dabei wo möglich in ihrem sicheren, nicht auslesbarem Speicher (bei Apple die Secure Enclave, bei Windows möglichst im TPM). Lediglich Linux-Desktop-Systeme können da noch nichts vorweisen, hier müssen dann reine Softwarelösungen einspringen. So kann man gemäß FIDO-Spec einen Authenticator auch als Browsererweiterung realisieren. Google etwa hat das in einigen Versionen des Chrome-Browsers eingebaut.

Der eigentliche Anmeldevorgang findet zwischen Browser und dem Webserver des Dienstes statt; im FIDO-Sprech ist Letzterer die Relying Party. Die beiden kommunizieren dabei über das Protokoll WebAuthn. Praktisch alle modernen Browser beherrschen das mittlerweile; auf der Serverseite sieht das allerdings noch eher dünn aus. Doch das ändert sich gerade.

Der Authenticator errechnet für jede Domain aus dem Passkey einen eigenen Secret Key, mit dem er die Antwort auf eine Challenge des Servers signiert. Diese Antwort authentifiziert den Anwender (Abb. 2).
Der Authenticator errechnet für jede Domain aus dem Passkey einen eigenen Secret Key, mit dem er die Antwort auf eine Challenge des Servers signiert. Diese Antwort authentifiziert den Anwender (Abb. 2).

Abstufbare Sicherheit

Dieses Passkey-Konzept kann man in verschiedenen Szenarien und für unterschiedliche Sicherheitsanforderungen umsetzen. Ursprünglich hatte es die FIDO Alliance als Universal 2nd Factor (U2F) spezifiziert. Die Idee dabei war, dass man die geheimen Schlüssel zusammen mit der notwendigen Software für die Challenge-Response-Authentifizierung in ein externes Token packt, wo sie auch vor Trojaner-Angriffen sicher sind. Die ersten Umsetzungen waren folglich Hardwaretoken wie die von Yubico, Feitian, SoloKeys und vielen anderen.

Mit FIDO2 hat die FIDO das Konzept erweitert und verallgemeinert, um Passkeys auch als einzigen Faktor zu erlauben und damit direkt das Passwort zu ersetzen, statt es nur zu ergänzen. Die Idee dabei ist: Passkeys sind auch ohne Passwörter so sicher, dass sie als alleiniger Schutz für die meisten Anwendungsfälle vollkommen ausreichen. Der Einsatz als zweiter Faktor gemäß U2F ist aber nach wie vor möglich und Teil der Spezifikation von FIDO2. Prinzipiell kann bei FIDO2 der Authenticator übrigens auch den bei einem Dienst verwendeten Benutzernamen speichern. Damit reduziert sich das sichere Anmelden im Wesentlichen auf einen Klick und den Blick in die Kamera. Praktisch wird das jedoch bisher kaum genutzt.

Trotzdem setzte sich Passkey-Authentifizierung immer noch nicht auf breiter Front durch. Das Problem: Die für höchste Sicherheitsansprüche geforderte Versiegelung der Passkeys in nicht auslesbaren Speicherbereichen verhinderte Backups und die Nutzung eines Passkeys auf mehreren Geräten. Man meldete sich mit seinem Smartphone ganz toll und komfortabel ohne Passwort bei einem Shop an, konnte dann aber auf dem PC nicht darauf zugreifen – oder umgekehrt. Und wenn man den hinterlegten Authenticator verlor, hatte man sich ausgesperrt.

Synchron via Cloud

Das soll sich jetzt ändern. Mit einer 2022 gestarteten Initiative wollen FIDO, Apple, Google und Microsoft einen weiteren Stein aus dem Weg räumen: Die Passkeys sollen übertragbar werden. Beziehungsweise noch besser: Die Geräte eines Anwenders synchronisieren sich automatisch über die Cloud. Das ist wohlgemerkt optional. Ein Server kann auch weiterhin auf Passkeys bestehen, die fest an ein Gerät beziehungsweise Token gekoppelt und damit vor dem Zugriff durch Malware geschützt sind.

Am weitesten ist dabei aktuell Apple, wo die Cloud-Vision für Passkeys in iOS und macOS bereits weitgehend umgesetzt ist. So aktivierte ich kürzlich auf meinem iPhone endlich die Zwei-Faktor-Authentifizierung für meinen Bitwarden-Account. Ich klickte lediglich: „Ja, Passkey benutzen“, bestätigte meine Identität mit FaceID und der zweite Faktor war aktiv. Mit etwas flauem Gefühl versuchte ich dann, vom MacBook aus darauf zuzugreifen. Doch siehe da: Das klappte auf Anhieb. Ich bestätigte mit meinem Fingerabdruck, dass ich berechtigt bin, den Passkey zu nutzen (UV) – und schwups war ich drin. Apple hatte den Passkey bereits über die iCloud synchronisiert.

Mittlerweile lassen sich Passkeys über die Cloud zwischen mehreren Geräten synchronisieren (Abb. 3).
Mittlerweile lassen sich Passkeys über die Cloud zwischen mehreren Geräten synchronisieren (Abb. 3).

Google hat das zumindest für Android 9+ und Chrome bereits ähnlich umgesetzt; dabei läuft die Synchronisierung über den Google Password Manager. Microsoft arbeitet auf Hochtouren daran, das ebenfalls noch dieses Jahr auf die Straße zu bekommen. Da wird es von beiden Herstellern im Lauf des Jahres noch größere Ankündigungen geben. Meine ursprüngliche Befürchtung, dass sich die Konzerne dabei selbst ebenfalls Zugriff auf die Passkeys der Anwender einräumen, hat sich übrigens nicht bestätigt: Apple synchronisiert die Passkeys Ende-zu-Ende-verschlüsselt. Das bedeutet in dem Kontext, dass für den Zugriff immer mindestens ein Geheimnis erforderlich ist, das nur der Anwender, nicht aber Apple im Zugriff hat. Google folgt offenbar diesem Beispiel, und wie es aussieht, wird auch Microsoft hier E2E-Technik einsetzen.

Schöne passwortlose Welt

Damit ist die Authentifizierung mit Passkeys endlich nicht nur viel sicherer, sondern auch komfortabler als mit Passwörtern. Man meldet sich bei einem Dienst an, bestätigt, dass man den Passkey benutzen will, und kann sich künftig auf all seinen Geräten dort anmelden. Dazu muss man lediglich das jeweilige Gerät entsperren können (UV mit PIN, Fingerabdruck oder Gesicht) und das erledigt dann den Rest. Passwort braucht man keines mehr. Aber ja, Sie haben recht: Das ist zu schön, um wahr zu sein.

Ich habe mir nämlich letztlich mit meinem 2FA-Experiment bei Bitwarden doch ins Knie geschossen. Denn ich konnte zwar von iPhone und Mac aus problemlos auf das Bitwarden-Konto zugreifen. Doch auf meinen Linux- und Windows-Rechnern war ich ausgesperrt. Für die musste ich dann doch noch einen TOTP-Authenticator registrieren.

Und das wird auch noch auf absehbare Zeit hässlich bleiben. Denn die Passkey-Konzepte der Hersteller spezifizieren lediglich eine Synchronisierung im eigenen Cloud-Kontext. Als Workaround können Roaming Authenticators dienen, bei denen etwa ein iPhone eine Cross-Device-Authentifizierung für einen PC durchführt; die Kommunikation zwischen PC und Smartphone erfolgt dabei via Bluetooth.

Echte Passkey-Brücken zwischen Microsofts Azure, Googles Cloud Platform und Apples iCloud gibt es bislang aber nicht. Dabei wären APIs, die es etwa Drittanbietern erlauben, den Passkey-Sync über Plattformgrenzen hinweg durchzuführen, überaus wünschenswert. Zumindest Google und Microsoft haben diesbezügliche Absichten bereits anklingen lassen. Bis das spezifiziert, umgesetzt und ausgerollt ist, wird allerdings noch einige Zeit vergehen.

Trotzdem glaube ich, dass der Einsatz von Passkeys dieses Jahr einen großen Schritt nach vorne machen wird. Das größte Potenzial sehe ich dabei im Endanwenderbereich, wo allein die drei großen FIDO-Protagonisten Google, Microsoft und Apple so viel bewegen können, dass viele Dienstbetreiber ebenfalls auf den Zug aufspringen werden. Für den Einsatz in Unternehmen fehlen aktuell noch Konzepte für das unternehmensweite Passkey-Management. Dort hoffe ich vor allem auf verstärkten Einsatz von Passkeys als zweiter Faktor, wo FIDO2-Hardwaretoken deutlich mehr Sicherheit bieten als SMS oder TOTP. (odi@ix.de)

  1. Quellen
  2. Weitere Informationen zu Passkeys und FIDO2 sowie Evilginx2: ix.de/zfnt



Zugangssicherheit-2FA, MFA und FIDO2

Zugangssicherheit: 2FA, MFA und FIDO2

Das Passwort hat eigentlich ausgedient, weil mit FIDO2 ein phishingresistentes Log-in-Verfahren existiert. Wie das funktioniert und warum das eher eine Lösung für übermorgen als für morgen ist.

Von Jürgen Seeger

-tract

  • Zwei-Faktor-Authentifizierung (2FA) erhöht die Sicherheit signifikant, ist für Onlinekäufe und Finanztransaktionen sogar vom Gesetzgeber vorgeschrieben.
  • Nicht alle 2FA-Verfahren sind sicher, so wurden Accounts, die durch eine per SMS gesendete PIN gesichert waren, Opfer von Phishingangriffen.
  • Phishingresistent ist FIDO2, ein Standard, der statt der Übermittlung von Passwörtern ein sicheres Public-Key-Verfahren definiert.

Sicherheit und Zugänglichkeit sind bekanntlich konkurrierende Anforderungen: Je sicherer, desto unbequemer. Logisch also, dass viele – wenn nicht die meisten – Benutzer schlampig mit ihren Passwörtern umgehen. Seien es die berühmt-berüchtigten Zettel unter der Tastatur, Trivial-Passwörter à la „12345678“, immerwährend gleiche Phrasen für verschiedene Zugänge oder der Vorname der Tochter. Daran haben bislang auch erzieherische Maßnahmen wie der Welt-Passwort-Tag – jedes Jahr am ersten Donnerstag im Mai – wenig geändert.

​Wer nationale Gedenktage mag, der kann am Änderere-dein-Passwort-Tag am 1. Februar alljährlich alle, so wirklich die Aufforderung, Passwörter ändern. Dabei ist das BSI von seinem Rat, man möge Passwörter häufig ändern, bereits 2020 abgerückt. Denn das führe nur zu einfachen und somit unsicheren Passwörtern. Hintergrund: Ist ein Bruce-Force-Angriff auf ein zehn Zeichen langes Passwort aus dem Ziffernraum von 0 bis 9 in 10 Sekunden erledigt, dauert dies bei gleicher Rechenleistung bei einem Zeichenraum von 96 (Klein- und Großbuchstaben, Ziffern, Sonderzeichen) über 2000 Jahre. Dabei ist das „Erraten“ von Passwörtern mittels automatisierten Ausprobierens oder Wörterbüchern nur eine Variante der Kompromittierung von Zugangsdaten. Sie können auch schlicht abgefangen oder via Social Engineering beziehungsweise Phishing ausspioniert werden. Hinzu kommt die Arbeitsbelastung auf der Serviceseite: Anrufe wegen vergessener Credentials, Mechanismen zum Übermitteln neuer Passwörter und so fort.

Langer Rede kurzer Sinn: Allein die Kombination von Accountnamen und Passwort ist weder sicher noch bequem oder effizient. Ein weiteres Kennwort oder Merkmal zu fordern ist zumindest aus der Sicherheitsperspektive betrachtet eine auf der Hand liegende Idee, also eine Zwei- oder Mehr-Faktor-Authentifizierung (2FA/MFA). Zudem sollte dieser zweite Faktor nicht dauerhaft kompromittierbar sein, weil er nur für ein Log-in oder für einen begrenzten Zeitraum gilt.

​Wenn es um Geld geht, ist 2FA vorgeschrieben

Das hat auch der deutsche Gesetzgeber erkannt und für den Zahlungsverkehr 2FA-Verfahren vorgeschrieben. Dabei wurden zum Teil offene Türen eingerannt, denn die Übermittlung einer Transaktionsnummer für Zahlungen ist seit Jahren nicht nur gängige Praxis der Kreditinstitute, sondern wurde schon am 14. September 2019 verpflichtend durch die EU-Zahlungsdiensterichtlinie PSD2. Jedenfalls ist seit dem 15. März 2021 2FA für alle Onlinezahlungen, also etwa auch beim Kauf im Webshop, obligatorisch, eine erste Stufe dieser Vorschrift galt schon seit dem 15. Januar 2021. Ob und inwieweit der durch die DSGVO vorgeschriebene Schutz persönlicher Daten durch den Stand der Technik zwingend eine 2FA-Zugangssicherung nach sich ziehen wird, ist derweil noch Zukunftsmusik.

​Zur konkreten Ausgestaltung des zweiten Faktors gibt es mehrere Möglichkeiten. Grob unterscheiden lassen sich Besitz eines Gerätes oder Merkmals, das Wissen um ein temporäres Geheimnis sowie Kombinationen davon. Biometrische Merkmale können durch einen Fingerabdruck- oder Iris-Scanner, Gesichts- oder Stimmerkennung verifiziert werden. Die diesen Verfahren inhärenten Risiken für den Anwender (Stichwort: abgeschnittener Finger) werden durch Lebenderkennung zu vermeiden versucht. Beim Faktor Besitz kann es sich um ein dediziertes Gerät handeln, das ein temporäres Passwort generiert. RSA stellte solch ein System unter dem Namen SecurID bereits 1986 vor; mittlerweile existieren zahlreiche Gerätchen, die zeitbasiert oder angestoßen durch zum Beispiel den Scan eines eigens dazu erzeugten QR-Codes ein Einmalpasswort generieren. Inzwischen sind diese Geräte oft durch das Mobiltelefon abgelöst worden, auf dem eine spezielle App läuft. Dass das zweite Merkmal nicht auf demselben Gerät, mit dem man sich einloggen will, erzeugt werden sollte, versteht sich von selbst (und wird auch vom BSI ausdrücklich empfohlen).

​Der Vollständigkeit halber sei erwähnt, dass als eine Kombination von Besitz und Wissen auch die Übermittlung des zweiten Passworts über einen separaten Kanal gelten kann, also über eine zweite E-Mail-Adresse oder via SMS. Beides gilt als nicht sehr sicher, denn diese Nachrichten können abgefangen werden. So hat vor einer Übermittlung durch SMS-Nachrichten das für die Sicherheit von US-Behörden zuständige National Institute for Standards and Technology (NIST) bereits 2016 gewarnt. Die weithin bekannt gewordenen 2FA-Hacks betrafen denn auch SMS als zweiten Faktor: 2018 wurde das Portal Reddit durch Abfangen einer SMS gehackt, 2021 die Kryptobörse Coinbase.

​Google hat 2019 auf einer Webkonferenz die Ergebnisse einer Langzeitstudie zum Thema Sicherheit von 2FA-Verfahren veröffentlicht. Diese unterschied zwischen automatisierten Bot-Attacken, ungezieltem und gezieltem Phishing sowie zwei Arten von 2FA: geräte- und wissensbasiert. Das Ergebnis der Studie ist eindeutig: Bot-Attacken wurden durch fast alle 2FA-Verfahren vollständig abgewehrt (siehe Abbildung 1). Am schlechtesten schnitt die Übermittlung des zweiten Kennworts via E-Mail ab, aber auch die half schon gegen drei Viertel der Bot-Angriffe. Gegen ungezieltes Phishing lag die Abwehrrate der gerätebasierten Verfahren nahe bei 100 Prozent. Sogar gegen Spear-Phishing, gezielte Angriffe auf einzelne Accounts, erwiesen sich die gerätebasierten Verfahren als signifikant erfolgreicher, mit Abstand am besten schnitten Security-Token ab (siehe dazu auch den Test von vier ausgewählten Token im Artikel „Vier FIDO2-Token für den USB-Port“ ab Seite 50).

Klarer Sieger im Abwehrspiel: Security-Token konnten alle Arten von Angriffen abwehren (Abb. 1)., Google
Klarer Sieger im Abwehrspiel: Security-Token konnten alle Arten von Angriffen abwehren (Abb. 1). Google

HOTP und TOTP

Zur Generierung von Einmalpasswörtern existieren zwei Verfahren, bezeichnet als HMAC-based One-time Password (HOTP) und Time-based One-time Password (TOTP). HOTP ist ereignisgesteuert, aus einem Server und Client bekannten gemeinsamen Geheimnis und einem bei der Registrierung synchronisierten Zähler wird auf beiden Seiten durch den Keyed-Hash Message Authentication Code ein Schlüssel erzeugt, der übereinstimmen muss. Der Zähler wird bei jeder Authentifizierung hochgezählt.

​Durch HOTP generierte Passwörter haben kein inhärentes Verfallsdatum. Der Client kann den Zähler bei einem fehlgeschlagenen Log-in hochsetzen. Um sich weiterhin mit dem Server abgleichen zu können, geht dieser nicht von einem fixen Zählerstand aus, sondern von einem Bereich, dem Validierungsfenster. Ist dieses zu groß, gibt das Angreifern die Gelegenheit zum Erraten des OTP. Ist es zu klein, müssen Client und Server erneut synchronisiert werden.

Beim neueren TOTP wird statt eines Zählers die Uhrzeit benutzt, die Gültigkeitsdauer des generierten Passworts ist implementierungsabhängig. Auch hier stehen sich Bequemlichkeit, also ein langer Zeitraum, und Sicherheit, eine kurze Gültigkeitsdauer, gegenüber. Laufen die Uhren auf Client und Server auseinander, steht eine neue Synchronisierung an.

​Das generierte Einmalpasswort kann im Klartext angezeigt, via Telefon oder Mail übermittelt oder als QR-Code präsentiert werden.

MFA hilft, ist aber kein Allheilmittel

2FA beziehungsweise MFA hilft also auf jeden Fall. Aber leider ist es kein Allheilmittel. Denn im ständigen Wettlauf zwischen Sicherheitsimplementierungen und Angreifern ist eine Schwachstelle im 2FA-Konzept aufgefallen: Was passiert eigentlich, wenn die den zweiten Faktor anfordernde Stelle nicht die ist, für die sie sich ausgibt? Es geht um eine Variante des Man-in-the-Middle-Angriffs (MITM), bei der eine zwischengeschaltete Stelle die Informationen abfängt, zwischen Client und Server hin- und herleitet und zwischenspeichert (siehe Abbildung 2). Es gibt dafür seit ein paar Jahren fertige MITM-Pakete wie Evilginx, Muraena oder Modlishka. Eine Suche nach „2fa bypass“ bei GitHub ergab beim Schreiben dieser Zeilen über 40 Treffer, in einer Veröffentlichung der Sicherheitsfirma Malwarebytes Labs ist von 1200 Toolkits zum Umgehen von 2FA-Verfahren die Rede.

Kommunikation abgefangen: Das MITM-Tool leitet auch den zweiten Faktor hin und her (Abb. 2).
Kommunikation abgefangen: Das MITM-Tool leitet auch den zweiten Faktor hin und her (Abb. 2).

​Man kann zwar den Erfolg von Phishingangriffen durch Schulungen und Aufmerksamkeitskampagnen unwahrscheinlicher machen. Also klarstellen, dass vor einem Mausklick das Ziel genau geprüft werden soll et cetera. Die grundsätzlichere Lösung besteht aber im Errichten einer Verbindung zwischen Client und Server, bei der sich beide Seiten ausweisen. Und genau das macht FIDO, aufgelöst Fast Identity Online, aktuell gilt FIDO Version 2 (FIDO2). Das „Fast“ hängt damit zusammen, dass man bei FIDO2 überhaupt kein Passwort mehr eingeben muss, sich also schnell einloggt und sich alle Debatten um sichere Passwörter erledigt haben. Damit hat sich das eingangs erwähnte Dilemma „je sicherer, desto unbequemer“ weitgehend in Wohlgefallen aufgelöst, FIDO ist sowohl sicher als auch bequem.

Public/Private Keys statt Passwörtern

Statt auf die Übermittlung von Passwörtern setzt FIDO2 auf ein Public-Private-Key-Verfahren. Dazu bedarf es eines Authenticator, Software mit Zugriff auf einen dedizierten Chip (Token), auf einem Mobiltelefon oder einem PC mit TPM-Baustein, derzeit unter Android und iOS beziehungsweise macOS und Windows 10/11. Dieser Authenticator identifiziert sich durch ein nicht extrahierbares Geheimnis, etwa eine Zahlenfolge, und ist gebunden an das Gerät. Aus einer Kombination dieser Zahlenfolge und der Internetadresse der Gegenstelle, des Servers, generiert er ein asymmetrisches Schlüsselpaar, bestehend aus privatem und öffentlichem Schlüssel.

​Bei der Registrierung speichert der Server des Dienstes den öffentlichen Schlüssel, nicht mehr wie bisher Accountname und Passwort. Der Server verwahrt also auch keine Geheimnisse mehr, die missbraucht werden können. Der private Key verlässt nicht den Authenticator und muss dort nicht einmal gespeichert sein, wahlweise kann das Schlüsselpaar bei jedem Kontakt zum Server neu erzeugt werden.

​Bei einem Log-in-Wunsch schickt der Server eine sogenannte Challenge, eine sich bei jedem Log-in ändernde Zeichenfolge, die der Authenticator mit dem privaten Schlüssel signiert und zurückschickt. Der Server überprüft mittels des bei der Registrierung hinterlegten öffentlichen Schlüssels die Gültigkeit der Signatur und gibt im positiven Fall dem Log-in-Wunsch statt. Dieser Vorgang wird bei jedem Log-in-Wunsch wiederholt, es wird für jeden Server ein jeweils eigenes Public-Private-Paar generiert. Da die Serveradresse in die Schlüsselerzeugung eingeht, ist eine Umleitung auf einen anderen Server nicht möglich. Damit ist der übliche Weg für Phishingattacken versperrt.

Das Übersenden der signierten Challenge muss vom Benutzer bestätigt werden, durch einen biometrischen Abgleich oder eine PIN. Nichts davon geht über die Leitung, diese Daten verwendet nur der Authenticator als Sendegenehmigung. Worin diese besteht, wird beim Registrierungsprozess festgelegt. Bliebe die Möglichkeit, dass ein Trojaner den Authenticator steuert. Das ist bei einem dedizierten Token, das etwa einen Fingerabdruck zum Senden der signierten Challenge fordert, allerdings schwer vorstellbar. FIDO2 kann als alleiniges, passwortfreies Authentifizierungsverfahren eingesetzt werden oder zusätzlich zum vorhandenen Log-in-Prozedere, im letzteren Fall ist die Abfrage einer Sendegenehmigung optional.

Zur Generierung des Schlüsselpaars kommt wie bei HOTP und TOTP Keyed-Hash Message Authentication Code (HMAC-SHA256) zum Einsatz, für das Signieren der Challenge das auf elliptischen Kurven beruhende ECDSA P-256. Dass optional auch das veraltete RSA weiterhin mitspielen darf, wird in Sicherheitskreisen kritisiert.

​FIDO2 wurde 2019 veröffentlicht und fasst die Standards FIDO und U2F (Universal Second Factor) zusammen. Definiert sind zwei APIs, WebAuthn auf Client- und Serverseite sowie CTAP, das Client-to-Authenticator Protocol zur Verbindung des Authenticators mit einem Webbrowser oder einem anderen Client. Für beide Standards ist der Code offengelegt und auf GitHub in verschiedenen Implementierungen und Programmiersprachen verfügbar, derzeit für Android, iOS, macOS und Windows 10/11 sowie die Browser Chrome, Edge, Firefox und Safari. Der Standard wird vom W3C und einer breiten Allianz von Behörden und Firmen unterstützt, von Apple und Amazon über Intel und Microsoft bis Visa und Yahoo. Auch das deutsche BSI und das US-Pendant NIST sind bereits seit 2015 Mitglied.

Mit FIDO2 gehen weder bei der Registrierung noch ... (Abb. 3a), ss
Mit FIDO2 gehen weder bei der Registrierung noch … (Abb. 3a) ss
... beim Log-in geheime Daten über die Leitung (Abb. 3b).
… beim Log-in geheime Daten über die Leitung (Abb. 3b).

​Genügend Gründe für einen baldigen Erfolg eigentlich. Wären da nicht die Beharrlichkeit von Benutzern und die notorische Sparsamkeit der Geschäftsführungen. Denn ein Log-in mit Benutzername und Passwort ist seit Jahren eingeübt und auch nicht langsamer als das passwortlose FIDO2-Verfahren, zumindest wenn man einen Passwortmanager nutzt. So ist bei einem Log-in via Webbrowser, der die Zugangsdaten gespeichert hat, häufig nicht einmal der Griff zur Tastatur nötig – zwei bestätigende Mausklicks reichen. Hinzu kommt die Angst vor Schlüsselverlust. Diese war in einer Untersuchung der Universität Bochum zur Akzeptanz von FIDO2-Token der von den Testpersonen meistgenannte Grund für ein Beharren auf den gewohnten Log-in-Verfahren. Hier kommt auch die Kostenfrage ins Spiel. Denn das Budgetargument ist nicht mit dem Verweis auf die relativ günstigen USB- oder NFC-Token vom Tisch, und auch nicht mit dem Hinweis auf die ohnehin vorhandenen Smartphones oder PCs mit Authenticator-Funktionalität. Die eigentlichen Belastungen entstehen im Ausrollen von FIDO2 nebst Verfahren zum Ersatz verlorener Token, und eine firmen- oder behördeninterne Akzeptanzkampagne dürfte dazukommen.

Passkeys – alles wird noch einfacher?

​Mit FIDO2 muss man jeden Dienst auf einem Gerät mit Authenticator-Funktionalität registrieren, oder ein entsprechendes Token dabei haben, ein sogenanntes Roaming-Device. Hier kommt die im Mai 2022 von Apple, Google und Microsoft vorgestellte FIDO2-Erweiterung Passkeys ins Spiel (siehe Artikel „Das Passwort ist tot – es leben die Passkeys“ ab Seite 46, Demo-Site: Passkeys.io). Bei diesem Verfahren wird das bei der Registrierung erzeugte Schlüsselpaar in der Hersteller-Cloud hinterlegt, der private Schlüssel verlässt also den Authenticator-Client. So kann man dann einfach einen weiteren Dienst integrieren oder ein verlorenes Token ersetzen. Vorausgesetzt, man kennt noch die Credentials für die Hersteller-Cloud. Also Benutzername, Passwort und irgendeinen zweiten Faktor. Den FIDO-Segen erhielt das Verfahren durch die Erweiterung Multi-Device FIDO Credentials.

So verlassen natürlich die privaten Schlüssel entgegen der ursprünglichen FIDO-Intention den Client, es liegen doch wieder sensible Daten in der Cloud. Immerhin haben sich kurze Zeit nach der Vorstellung von Passkey Apple und Google darauf verpflichtet, die privaten Schlüssel der Benutzer so zu speichern, dass die Konzerne darauf keinen Zugriff haben. Ende 2022 ist auch Microsoft mit diesem Versprechen nachgezogen.

​Für den Zugang zum Firmennetz ist Passkeys (noch?) keine Option. Hier wird man mit dem Ausrollen von FIDO2-Mechanismen zum Umgang mit verlorenen oder zerstörten Schlüsseln aufsetzen müssen. (js@ix.de)

  1. Quellen
  2. Verweise auf die Dokumente der FIDO-Allianz, den Code bei GitHub, den Usenix-Talk zur 2FA-Akzeptanz und die Google-Studie zur Wirksamkeit von 2FA-Maßnahmen sind unter ix.de/zy24 zu finden.