Mit fingierten Rechnungen oder Bestellungen wollen Internetbetrüger Unternehmen und Onlineshops übers Ohr hauen. Der Schaden geht schnell in die Zehntausende. Doch die Betroffenen können mit guten Prozessstrukturen und überlegter Kommunikation vorbeugen.

Von Markus Montz

kompakt

• Cyberkriminelle versuchen, Unternehmensbuchhaltungen mit fingierten Zahlungsanweisungen aus der Chefetage hinters Licht zu führen.
• In einer Variante täuschen sie Änderungen von Kontoverbindungen vor. Onlinehändler wollen sie durch fehlerhafte Rückabwicklungen von Lastschriften abzocken.
• Gegen die Maschen hilft, die Angriffsfläche durch gute interne Strukturen zu verringern sowie alle Mitarbeiter über die Methoden aufzuklären.

Der Absender klingt vertraut, der Mailinhalt plausibel: Wegen eines kurzfristigen Beschlusses von ganz oben solle die Buchhaltung schnell einen höheren Betrag überweisen, damit ein gerade eingefädelter Deal nicht platzt. Doch was nach Post aus der Geschäftsleitung oder vom langjährigen Geschäftspartner aussieht, soll Buchhaltungen und manchmal sogar die Unternehmensinhaber dazu verleiten, Geld an ein Konto von Betrügern zu schicken – wo es dann meist auf Nimmerwiedersehen verschwindet.

An anderer Stelle sind derzeit Händler betroffen. Sie reagieren redlich und seriös auf Stornierungen, überweisen per Lastschrift eingegangenes Geld zurück und sehen sich plötzlich mit hohen Verlusten konfrontiert. Wir stellen drei Maschen vor, die sich gegen Unternehmen und Händler richten und von denen uns Leser berichtet haben. Dazu geben wir Tipps, wie sich die betroffenen Mitarbeiter, aber auch Unternehmensführungen oder Inhaber von Kleinunternehmen präventiv gegen die Betrugsversuche wappnen können – und wie sie den Tätern das Leben zumindest ein wenig schwerer machen können, wenn sie hereingefallen sind.

CEO-Betrug

Frieda K. arbeitet in der Kreditorenbuchhaltung eines mittelständischen Unternehmens. In ihren Aufgabenbereich fällt, das Geld für offene Rechnungen an Empfänger auf der ganzen Welt zu überweisen. An einem Freitagnachmittag erhält sie eine überraschende Mail, scheinbar direkt aus der Geschäftsführung: Sie solle noch vor dem Wochenende einen mittleren fünfstelligen Betrag an einen neuen Geschäftspartner überweisen. Die Sache sei eilig und Frieda K. müsse den Vorgang unbedingt vertraulich behandeln. Andernfalls könne ein wichtiges Erweiterungsprojekt des Betriebes platzen.

Die in Wahrheit nicht aus ihrem Unternehmen stammende Mail ist namentlich an Frieda K. adressiert und gibt als Absendernamen die Geschäftsführerin an. Auch die Anrede ist an Frieda K. gerichtet, weitere Empfänger gibt es nicht. Der Text ist knapp, aber fehlerfrei. Der Verwendungszweck klingt plausibel, es geht um die Anschaffung von Maschinen. Das Konto befindet sich zwar ebenso wie der Geschäftspartner in der Volksrepublik China. Es wäre jedoch nicht das erste Mal, dass Rechnungen von dort kommen und Überweisungen dorthin gehen.

Auf die Freigabe durch ihren direkten Vorgesetzten und das übliche Vier-Augen-Prinzip solle sie ausnahmsweise verzichten, schreibt die vorgebliche Geschäftsführerin noch. Man werde ihre Mithilfe aber bei der nächsten Gehaltsrunde berücksichtigen. Bei Rückfragen solle Frieda K. ihr auf die Mail antworten, da sie wegen einer Dienstreise telefonisch nicht erreichbar sei.

Frieda K. hat die Daten bereits in eine Überweisungsvorlage eingegeben, da wird sie misstrauisch. Sie greift zum Telefon und ruft ihren Chef an. Nach einer halben Stunde folgt die Rückmeldung: Sie solle die Überweisung auf keinen Fall ausführen und die Mail an die IT-Sicherheit weiterleiten. Die echte Geschäftsführerin sei aus allen Wolken gefallen. Die Mail müsse eine hervorragend gemachte Fälschung sein. Das vermeintliche Projekt gebe es ebenso wenig wie den chinesischen Geschäftspartner.

Gezielte Angriffe

Nicht immer handeln die Mitwirkenden so umsichtig wie in unserem Beispiel. Mitunter haben die Täter mit diesem „CEO-Betrug“ Erfolg. In zwei spektakulären Fällen haben ein deutsches und ein österreichisches mittelständisches Unternehmen vor einigen Jahren jeweils zweistellige Millionenbeträge verloren.

Der Name der Betrugsmasche leitet sich von der englischen Abkürzung CEO für „Chief Executive Officer“ ab. Dieser im englischsprachigen Raum verbreitete Titel entspricht in etwa einem Geschäftsführer oder Vorstandsvorsitzenden.

Die Masche trifft nicht nur Unternehmen. Polizeibehörden warnen vor ähnlichen Mails, die an Vereine aus Sport, Wirtschaft und Gesellschaft gehen, ebenso an Hochschulen und andere Bildungsträger. Den Ausgangspunkt bildet stets ein handwerklich gut gemachtes Social Engineering. Das bedeutet, dass beim eigentlichen Angriff niemand in die Firmensysteme eindringt, sondern dass die Täter ihre Opfer psychologisch raffiniert zu selbstschädigendem Verhalten verleiten – während diese glauben, das Richtige zu tun.

Dabei suchen sich die Täter ihre Opfer bewusst aus. Sie verfügen über Detailinformationen zum Unternehmen und kennen häufig auch die interne Aufgabenverteilung. Die Täter verschicken mit diesem Wissen gezielte Phishingmails an relevante Personen, in selteneren Fällen rufen sie auch an oder nutzen die Briefpost – präzise wie mit einem Wurfspieß, weshalb man auch von „Spearphishing“ spricht.

Die Schreiben geben vor, vom oberen Management, aus der Vereinsführung oder aus dem Präsidentenbüro zu stammen. Sie sollen betroffene Mitarbeiter aus Buchhaltungen respektive Kassenwarte überrumpeln, kurzum: Personen, die Überweisungen im Auftrag ihrer Institution ausführen dürfen.

Sofort, dringend überweisen!

Auch das inhaltliche Schema, mit dem die Täter Frieda K. hinters Licht führen wollten, ist typisch. Der Absender und die Interna zur Betriebserweiterung sollten ihr ein Gefühl von Authentizität geben, obwohl die Mail ungewöhnlich war und die Handlungsanweisung gegen interne Regeln und Konventionen verstieß.

Der dringliche Charakter des Schreibens und die in Aussicht gestellte Gehaltserhöhung hatten das Ziel, Frieda K. zu schnellem Handeln zu verleiten und auf Rückfragen verzichten. Alternativ hätte die Mail auch Drohungen oder Schmeicheleien enthalten können. Eine Antwort auf die Mail wäre bei den Tätern gelandet, die mit weiteren Interna oder emotionalem Druck zurückgeschrieben hätten.

Hätte Frieda K. die gefälschten Anweisungen befolgt und den Betrag ohne die sonst übliche Prüfung überwiesen, wäre er auf einem von den Betrügern kontrollierten Konto gelandet. Im Fall von Frieda K. befand sich das Konto in Übersee, außerhalb der Reichweite deutscher Ermittler. Doch auch bei einem Konto in Deutschland hätten die Täter die Beute rasch weiter ins Ausland überwiesen und so den Verbleib verschleiert.

Wohlinformierte Täter

Die Täter operieren in gut organisierten Banden und spähen Firmen professionell gezielt aus. Dabei nutzen sie zunächst alles, was sie frei zugänglich finden. Bereits die Websites vieler Firmen bieten einen mehr oder minder großen Fundus: Inhaber und einzelne Mitglieder der Geschäftsleitung sind immer namentlich genannt. Man findet sie im juristisch obligatorischen Impressum, oft aber auch in Unternehmensporträts. Ebenso präsentieren viele Firmen ihre Geschäftsfelder samt Geschäftspartnern auf der Homepage. Für bestimmte Geschäftsbereiche verantwortliche Manager oder Ansprechpartner für Kunden erhalten häufig eine eigene Bühne.

Oftmals ergattern die Täter jedoch auch Informationen, die für die Außendarstellung des Unternehmens nicht erforderlich sind. Dazu gehören beispielsweise Organigramme oder andere Hinweise auf Namen von Mitarbeitern, die Zahlungen ausführen – eine wahre Goldgrube für Kriminelle, denn selbst wenn die Mailadresse fehlt, können sie diese aus dem Schema erschließen. Wenn man den Vertriebsleiter unter max.mustermann@angriffsziel.de erreicht und weiß, dass die Buchhalterin Frieda K. heißt, ist frieda.k@angriffsziel.de naheliegend.

Je nach Organisationsform der Firma gewinnen Täter außerdem Wissen aus den Einträgen im Handelsregister sowie den Unternehmensabschlüssen im Bundesanzeiger. Diese verraten zum Beispiel Geschäftsmodelle oder Bilanzvolumina, aus denen die Täter realistische Summen für einzelne Aufträge ableiten.

Eine weitere Fundgrube stellen die Social-Media-Auftritte dar. Manche Unternehmen plaudern dort erstaunlich zwanglos über ihre Prozesse und ihre Beschäftigten – oder die Mitarbeiter selbst berichten auf ihrem privaten Twitter- oder Instagram-Account über ihre Firma, ihre Kollegen und deren Tätigkeiten.

Noch ergiebiger sind für die Täter allerdings Zugänge zu echten Interna. Bei vielen (oftmals unerkannten) Angriffen auf die IT-Systeme von Unternehmen schnorcheln die Hacker als Hauptziel oder Beifang alle Informationen ab, die sie bekommen können. Diese verwenden sie dann entweder selbst oder verkaufen sie an spezialisierte Banden.

Zur Beute gehören Mails, Geschäftsprozesse und Planungsunterlagen samt Namen und Zuständigkeiten. Vieles davon gibt zusätzlich Aufschluss über externe Geschäfts- und Ansprechpartner. Diese Unternehmen und Personen geraten nun ebenfalls ins Fadenkreuz. Denkbar ist außerdem ein Mitarbeiter, der bewusst oder unbewusst Interna weitergibt. Je detaillierter die Täter eine Organisation kennen, umso gezielter können sie einzelne Mitarbeiter attackieren.

Gegenmaßnahmen im Unternehmen

Vor diesem Hintergrund müssen kleine wie große Unternehmen das Angriffspotenzial erfassen und minimieren. Dabei kommt es nicht nur auf eine gute IT-Sicherheitsstrategie an, um unbemerkte Einbrüche in das Unternehmensnetzwerk zu verhindern, sondern auch auf eine überlegte Kommunikation.

Nach außen hin müssen Unternehmen sorgfältig abwägen, wie umfangreich sie sich darstellen. Ein Beispiel: Oft gilt es als Zeichen der Wertschätzung, möglichst das gesamte Team mit Namen, Funktion und womöglich Kontaktdaten zu präsentieren. Doch das birgt zugleich das Risiko, dass Kriminelle dieses Wissen ausnutzen.

Intern sollten Unternehmen ihre Mitarbeiter über denkbare Betrugsmaschen aufklären und für Angriffe sensibilisieren – insbesondere für den Fall, dass sie ungewöhnliche, vermeintlich interne Anweisungen erhalten. Dabei helfen robuste Prozesse ohne Ausnahmen (auch keine informellen), um Zahlungen an Kunden oder Lieferanten auf Authentizität zu prüfen und Überweisungen freizugeben. Für regelwidrige Aufforderungen brauchen Mitarbeiter ein verlässliches Meldeverfahren, kompetente Ansprechpartner und die Gewissheit, dass ihnen bei Fehlalarmen keine Konsequenzen drohen.

Dabei müssen Unternehmen sämtliche Mitarbeiter auf ein gesundes Misstrauen verpflichten und ihnen verdeutlichen, dass Angreifer bereits aus der vermeintlich harmlosen Außenkommunikation viele interne Informationen gewinnen. Ebenso sollte es zur Unternehmenskultur gehören, die eigenen Security-Maßnahmen nicht als unfehlbar zu betrachten, sprich: Jedes Unternehmen muss davon ausgehen, dass die Täter bei Social-Engineering-Angriffen Informationen besitzen, die sie durch Einbrüche ins eigene Netz oder die Systeme von Geschäftspartnern erlangt haben. Anders ausgedrückt: Eine Mail oder ein Anruf sind noch lange nicht authentisch, wenn sie vermeintliche Insider-Informationen enthalten.

Tipps für Mitarbeiter

Die Beschäftigten selbst müssen sich ausnahmslos an die Verfahrensvorgaben halten, insbesondere für Buchhaltung und Zahlungen, und dürfen auch unter Druck nicht von den Regeln und Prüfmechanismen abweichen. Gerade solche Mails wie die an Frieda K. oder auch Anrufe bedürfen einer sorgfältigen Prüfung – nach dem alten Grundsatz „Vertrauen ist gut, Kontrolle ist besser“. Selbst wenn der angezeigte Name in einer Mail stimmt, kann die eigentliche Mailadresse abweichen. Bei Anrufen kann man die Anrufernummer technisch leicht fälschen, bald wohl auch die Stimme. Bei ungewöhnlichen Nachrichten zieht man daher Kollegen und Vorgesetzte hinzu, am besten auch die IT-Sicherheitsabteilung.

Sämtliche Mitarbeiter müssen Mails grundsätzlich mit Vorsicht behandeln. Links können auf präparierte Websites führen, Anhänge Schadcode enthalten. Beides öffnet Angreifern womöglich die Tür in die Unternehmenssysteme und liefert ihnen die Munition, die sie für Spearphishing gegen das eigene Unternehmen oder Geschäftspartner brauchen; von anderen Bedrohungen wie Ransomware oder dem Diebstahl von Geschäftsgeheimnissen ganz zu schweigen.

Genau wie die Unternehmen selbst sollten Mitarbeiter keine Interna mit Dritten teilen. Das betrifft besonders den digitalen Raum: Informationen über die Tätigkeit von Kollegen oder Strukturen im Unternehmen gehören nicht auf Instagram & Co. Aber auch das persönliche Gespräch auf Messen oder in Meetings kann kritisch werden, wenn es sich um Details zu Hierarchien, Prozessen und Sicherheitsmaßnahmen dreht.

Egal ob der Betrugsversuch glückt oder nicht: Unternehmen sollten bereits beim Verdacht Beweise wie Mails sichern, den Fall dokumentieren und Anzeige bei der Polizei erstatten. Die Wahrscheinlichkeit, dass diese die Täter ermittelt, mag gering erscheinen. Ohne Anzeige ist sie jedoch null. Außerdem lohnt es sich, den Vorfall intern zu kommunizieren und Mitarbeiter wie Geschäftspartner zu warnen – vielleicht nehmen die Betrüger schon den nächsten Kollegen ins Visier. Wenn Dritte in die Systeme eingedrungen sind und sensible Informationen entwendet haben, sind Unternehmen in vielen Fällen außerdem nach DSGVO verpflichtet, mögliche Geschädigte wie zum Beispiel Geschäftspartner zu informieren. Ohnehin ist das ein Gebot der IT-Sicherheit, damit sich auch Dritte gegen mögliche Angriffe wappnen können.

Variante: Rechnungsbetrug

Verwandt mit dem CEO-Betrug ist der Invoice- oder Rechnungsbetrug. Auch bei dieser Masche haben sich die Täter Insiderwissen über Geschäftsbeziehungen eines Unternehmens besorgt. Sie kennen die zuständigen Mitarbeiter aus der Buchhaltung oder wissen, dass der Inhaber selbst die Rechnungen von seinen Lieferanten und Dienstleistern begleicht.

In einem c’t bekannten Fall erhielt der Buchhalter eines mittelständischen Unternehmens eine Mail. Der Absender schien der Vertriebsleiter eines langjährigen Lieferanten aus Japan zu sein. Die Mailadresse der Firma wich zwar von der bekannten ab, las sich aber plausibel.

Freundlich fragte der „Vertriebsleiter“ im üblichen nicht ganz korrekten Englisch, ob es noch offene Rechnungen gebe und wenn ja, welche. Es sei wichtig und dringend: Man habe ein Problem mit dem bisherigen Konto und ein neues eröffnet. Nun wolle man sichergehen, dass kein Geld an die alte Verbindung fließe.

Der Buchhalter schöpfte keinen Verdacht und übermittelte ihm die Rechnungsnummern von zwei Lieferungen (eine davon bereits überwiesen) samt der hohen vierstelligen Rechnungsbeträge. Auf zusätzliche Rückfrage nannte der Buchhalter auch das Überweisungsdatum der einen und die Zahlungsfrist der anderen Rechnung.

Artig bedankte sich der vorgebliche japanische Vertriebsleiter und nannte die neue Bankverbindung, „ein Konto unserer Zweigstelle in Australien“. Die noch offene sowie alle zukünftigen Zahlungen solle man dorthin überweisen. Der Buchhalter tat, wie ihm geheißen, und änderte die Bankverbindung in den eigenen Systemen. Offenbar schien alles geklappt zu haben, denn nach der Überweisung zum vereinbarten Termin meldete sich der „Vertriebsleiter“ erneut und bedankte sich für den Zahlungseingang.

Der Buchhalter war beruhigt, bis ihn zwei Tage später die tatsächlichen Kollegen des japanischen Unternehmens anschrieben und höflich an die noch ausstehende Zahlung erinnerten. Die habe er doch auf das neue Konto überwiesen, ließ er wissen. Nachdem ihm die Japaner jedoch versichert hatten, dass es kein neues Konto gebe und die erste Zahlung regulär eingegangen sei, dämmerte ihm, dass er einem Schwindel aufgesessen war.

Parallelen und Prävention

Die Muster gleichen denen des CEO-Betruges: Mit Insiderwissen und bekannten Namen zielen die Täter auf Firmenangehörige mit Zahlungsbefugnis oder Selbstständige. Sie gaukeln aber keinen neuen Geschäftspartner vor, sondern eine Kontoänderung bei einem bestehenden Kontakt. Die Interna besorgen sich die Täter genau wie beim CEO-Betrug. Der Angriff erfolgt meistens per Mail, kann aber auch telefonisch oder postalisch ablaufen.

Die Polizei warnt außerdem, dass Täter alternativ zu angeblichen Kontoänderungen auch immer häufiger versuchen, den Opfern komplett erfundene Rechnungen unterzuschieben. Bei der Prävention gibt es in beiden Fällen von klar definierten Prozessen bis zur internen und externen Kommunikation kaum Unterschiede zum CEO-Betrug – bis auf einen: Um einen Rechnungsbetrug bei einer Zahlung auszuschließen, benötigen Unternehmen in diesem Fall fest vorgegebene Wege, um Kontoänderungen bei regelmäßigen Lieferanten und anderen Geschäftspartnern zu verifizieren. Insbesondere sollte man nicht direkt auf eine verdächtige Mail reagieren, sondern die Kontaktdaten aus vorangegangener Korrespondenz nutzen und am besten anrufen – und dafür gleichbleibende Ansprechpartner vereinbaren.

Überschreitet eine Rechnung einen Schwellwert, helfen zusätzliche formelle Wege, um die Kontoverbindung zu bestätigen. Denkbar ist zum Beispiel, sich mit dem Geschäftspartner in einer Videokonferenz zu treffen. Die Zahlung bestätigt man anschließend per Mail, einschließlich der Namen der Banken und den letzten vier Ziffern der Kontonummer. Wie beim CEO-Betrug gilt auch hier: Bereits den Versuch sollte ein Unternehmen sorgfältig dokumentieren und bei der Polizei anzeigen. (mon@ct.de)

Lastschrift-Betrug gegen kleine Händler

Derzeit versuchen Kriminelle gezielt, kleine, meist inhabergeführte Onlineshops mit Lastschriftzahlungen übers Ohr zu hauen. Zunächst bestellen sie im Namen beliebiger Personen samt passender Mailadressen einen größeren Posten für mehrere tausend Euro. In einem c’t bekannten, zur Anonymisierung leicht abgewandelten Beispiel orderten sie bei einem Sportartikelhändler mehrere hundert Bälle.

Als Zahlungsart wählen die Täter SEPA-Lastschrift. Das Konto des „Kunden“ befindet sich häufig im EU-Ausland; im vorliegenden Beispiel wies die IBAN auf die italienische Dépendance der französischen Business-Digitalbank Olinda („Qonto“). Da es sich um betrügerisch eröffnete Konten handeln dürfte, sind aber auch deutsche Konten denkbar, beispielsweise bei N26 [1].

Wenig später schicken die Täter eine Mail. Als vorgeblicher „Kunde“ schreiben sie, dass ihnen ein Zahlendreher unterlaufen sei. Daher würden sie um eine Bestellungs- und Rechnungskorrektur bitten, in unserem Beispiel von 150 auf 15 Stück – eine typische Größe für eine Trainingsgruppe.

Im Kalkül der Täter erstattet der Händler die Differenz nun zurück, entweder per Banküberweisung oder über seinen Zahlungsabwickler (Payment Service Provider, PSP). Erfolg haben sie aber auch, wenn der Händler misstrauisch wird, den Auftrag storniert und den kompletten Betrag zurücküberweist. Sobald das Geld nämlich auf dem von den Tätern kontrollierten Konto landet, buchen sie die Lastschrift ebenfalls zurück (Rücklastschrift). Der Händler kann dies ebenso wenig umkehren wie die Überweisung und hat nun einen Schaden in Höhe des Überweisungsbetrages.

Bei der Masche nutzen die Täter die Regeln für das Lastschriftverfahren aus: Kunden können eine Lastschrift ohne Angabe von Gründen acht Wochen lang bei ihrer Bank widerrufen; die Bank holt das Geld ohne weitere Nachfrage zurück. Der Händler muss eine berechtigte Forderung dann auf dem Rechtsweg geltend machen. Weder sein PSP noch seine Bank können den Inhaber des betrügerisch genutzten Kontos ermitteln; das dürfen nur Strafverfolgungsbehörden auf eine Anzeige hin. Da die Täter das Konto in diesem Fall jedoch unter falscher Flagge und dazu im EU-Ausland führen, kann man sie und das Geld kaum noch ausfindig machen.

Den Tätern hilft bei der Masche, dass viele Händler ihren Kunden mit einem Vertrauensvorschuss begegnen und ihnen bei Fehlern kulant entgegenkommen. Zudem sind in kleinen Onlineshops keine Zahlungsverkehrsexperten tätig. Generell stehen Händler beim Lastschriftverfahren nämlich vor einem Dilemma: Es ist bei deutschen Kunden als sichere Bezahlmethode sehr beliebt und für den Händler sehr preisgünstig. Durch die Möglichkeit der Rücklastschrift besteht aber ein erhöhtes Betrugsrisiko.

Experten raten daher, dass ein Händler Lastschriften mit hohem Volumen nicht an unbekannte Kunden zurücküberweisen sollte – auch nicht teilweise. Stattdessen teilt er dem Kunden per Mail mit, dass der Shop die Bestellung vollständig storniert habe. Der Kunde möge bitte selbst eine Rücklastschrift bei seiner Bank veranlassen. Um Schäden von vornherein zu begrenzen, kann der Händler mit seinem PSP außerdem eine Obergrenze für Lastschriften vereinbaren. Wenn der Zahlungsbetrag darüber liegt, bekommen Kunden an der Onlinekasse nur noch andere Zahlungsarten angeboten.

Im Regelfall kann ein Händler nämlich nicht hoffen, den Schaden aus einer betrügerischen Lastschrift vom PSP ersetzt zu bekommen. Normalerweise schließt er dies in seinen AGB aus, weshalb man auch von „nicht abgesicherten“ Lastschriften spricht. Einige PSP, etwa Ratepay und Klarna, bieten zwar sogenannte „abgesicherte“ Lastschriften an und übernehmen das Ausfallrisiko. Das lassen sie sich vom Händler aber mit höheren Entgelten bezahlen.

Auch die Wahl des PSPs spielt eine Rolle. Einige machen es den Tätern leichter als andere. Das beginnt bei der Aufklärung über Risiken bestimmter Zahlungsmethoden wie der SEPA-Lastschrift sowie Empfehlungen zum Ablauf von Rückerstattungen. Leitfäden für Händler sollten verständlich sein, der Support die eigene Sprache sprechen und mit den landestypischen Zahlungsmethoden vertraut sein – SEPA-Lastschrift ist zwar ein europäisches Verfahren, aber vor allem in Deutschland gebräuchlich. Auch eine automatische Betrugserkennung sowie konkrete Hilfestellungen in konkreten Rückerstattungsfällen sind hilfreich.

Ein c’t bekannter Fall betraf den irisch-amerikanischen Dienst Stripe: Obwohl der Händler einen Betrugsversuch erkannte, kam es zu einem Missverständnis, als er den Betrugserkennungs-Ratgeber konsultierte. Er überwies daraufhin die Lastschrift zurück und verlor sein Geld; der ohnehin nur englischsprachige Chat-Support von Stripe lehnte eine Erstattung unter Verweis auf die Nutzungsbedingungen ab.

1. Literatur
2. Markus Montz, Vom Bankentester zum Geldwäscher, Wie Cyberkriminelle arglose Jobsucher rekrutieren, c’t 3/2023, S. 126

Internetbetrüger nutzen oft Konten von Strohleuten, um Geld aus Vorkasse-Überweisungen zu waschen. Wir erklären, wie die Täter mithilfe ahnungsloser Opfer solche Konten eröffnen, welche finanziellen und strafrechtlichen Folgen drohen und wie man sich dagegen schützt.

Von Markus Montz

kompakt

• Internet-Betrüger ködern Arbeitssuchende auf Jobportalen und verleiten sie dazu, bei angeblichen Produkttests „Testkonten“ bei Banken wie N26 zu eröffnen.
• In Wahrheit handelt es sich um echte Girokonten, die auf den Namen der Opfer laufen, während die Täter damit Geld aus Betrugsgeschäften waschen.
• Handeln die Opfer nicht, droht ihnen eine Anklage wegen Geldwäsche und sie haften zivilrechtlich für die Schäden, die Dritten dadurch entstehen.

Die Anzeigen auf einigen Jobportalen klingen verlockend: einfacher Nebenjob von zu Hause, keine Vorkenntnisse und schnelle Einarbeitung. Es reichen ein Computer, ein Smartphone und eine stabile Internetverbindung. Doch was nach leicht verdientem Geld aussieht, entpuppt sich als böse Falle, wenn die zukünftigen Opfer im Auftrag angeblicher Marktforschungsagenturen Konten bei N26 und anderen Banken eröffnen sollen. Während sie selbst nie Zugriff auf diese Konten haben, verschieben die Täter damit Geld aus krummen Geschäften auf eBay Kleinanzeigen oder in Fake-Shops [1, 2] – bis im schlimmsten Fall die Polizei auf der Matte steht.

Eine Leserin von c’t ist auf den Trick hereingefallen. Sie hat aber nicht nur schnell und überlegt gehandelt und dadurch Schlimmeres verhindert, sondern uns den Fall auch minutiös geschildert. Anhand ihres Beispiels zeigen wir, wie raffiniert die Täter vorgehen, um ihre wahren Absichten zu verschleiern – und wie sie dabei die Unkenntnis selbst vorsichtiger Opfer ausnutzen. Wir erklären außerdem, an welchen Anzeichen man einen kriminellen Hintergrund erkennt und wie man Schaden abwendet, wenn man doch auf den Trick hereingefallen ist.

Unmoralische Angebote

Franziska E. suchte einen Minijob, den sie bequem von zu Hause erledigen konnte. Auf der Website der Jobbörse Indeed stieß sie auf ein passendes Angebot: Für die „Datenerhebung im Homeoffice“ bei Firma A. sollten Bewerber laut Stellenbeschreibung einfache Marktforschungstätigkeiten im Internet erledigen. Vorkenntnisse und eine lange Einweisung seien nicht erforderlich, man brauche lediglich einen Computer, ein Smartphone und eine Internetverbindung.

Zur Sicherheit googelte Franziska E. den Firmennamen und stieß auf ein norddeutsches Unternehmen, das mit SEO-Optimierung und Social-Media-Marketing warb. Das Impressum wirkte vollständig, die angegebene Adresse war auf Google Maps zu finden. Auf Franziska E. wirkte das seriös, also klickte sie auf „Schnellbewerbung“. Dabei füllen Nutzer auf Stellenbörsen wie Indeed einige Felder aus; die Börse leitet den Inhalt dann weiter.

Kurz darauf meldete sich ein angeblicher Vertreter von Firma A. per Mail und wollte unter anderem wissen, ob Franziska E. Facebook, Twitter, Instagram und N26 kenne. Die ersten drei Fragen bejahte sie, bei der Digitalbank N26 musste sie passen. Für die Firma schien das aber kein Problem zu sein: Franziska E. bekam umgehend einen ersten Probeauftrag, der bereits mit 50 Euro vergütet werden sollte. Der Arbeitsvertrag würde nach den ersten Einsätzen folgen. Anschließend einigte man sich auf einen ersten Arbeitstermin. Die Firma A. schickte Franziska E. einen Link zu einem Livechat auf der Firmenhomepage, bei dem sie sich zum vereinbarten Zeitpunkt melden sollte. Franziska E. stutzte zwar kurz, weil der Link zu einer anderen Homepage als der gegoogelten führte, hielt diese dann aber für eine Mitarbeiterseite.

Warnsignale

Die Masche ist in diesem frühen Stadium schwer zu erkennen. Ein Indiz ist aber das Schema der Stellenausschreibungen: Es handelt sich stets um „einfache“ Tätigkeiten, die keine Vorerfahrung erfordern und vollständig digital im Homeoffice stattfinden sollen. Bei Franziska E. hieß das Ganze „Homeoffice/Datenerhebung“, andere Beispiele sind „Kundendienstmitarbeiter/in“ oder „Financial Controller“. Meist geht es um Mini- oder Teilzeitjobs. Stutzig machen sollte außerdem, wenn das Unternehmen beim Arbeitnehmer ein Smartphone oder Tablet sowie eine funktionierende und stabile Internetverbindung voraussetzt.

Prüfen Sie daher stets die angegebene Homepage, so wie es auch Franziska E. tat. Beginnen Sie mit dem Impressum: Gewerbliche Internetauftritte müssen ihre Anschrift, Umsatzsteuer-ID und, je nach Unternehmensform, Handelsregisternummer vermerken. Letztere und die Anschrift gleichen Sie auf handelsregister.de ab (ct.de/y6cu). Betrüger setzen allerdings häufig Links zu seriösen Unternehmen oder kopieren Namen und Adressen von anderen Homepages. Auch eine professionell aussehende Fake-Homepage inklusive Livechat kann man mit Baukästen in wenigen Stunden zusammenklicken.

Googeln Sie zusätzlich den Unternehmensnamen und schauen Sie, ob es weitere Unternehmen mit ähnlichen Namen gibt: Betrüger arbeiten gerne mit leicht angepassten Bezeichnungen und URLs, die seriösen Angeboten ähneln. Manchmal ahmen sie sogar das Design der Homepage nach. Auch die Homepage selbst liefert mögliche Hinweise: Wollen die Unternehmensbeschreibung und die angebotene Tätigkeit nicht recht zueinander passen, seien Sie skeptisch.

Erkundigen Sie sich noch vor der Bewerbung beim Unternehmen nach Inhalten der Tätigkeit – mit einer Bewerbung fließen ja bereits Ihre persönlichen Daten. Fragen Sie bei allgemeinen Angaben wie „Marktforschung“, um welche Branchen es geht und ob das Unternehmen Referenzen besitzt. Ein seriöses Unternehmen antwortet sachlich und konkret, andernfalls brechen Sie den Kontakt ab.

Haben Sie einen vollständig online durchgeführten Bewerbungsprozess begonnen, sollten Sie alle unklaren Namen und Begriffe recherchieren. Geht es darum, Marktforschung oder Produkttests zu Finanzinstituten oder Identifikationsverfahren durchzuführen, brechen Sie ab. Abbrechen sollten Sie auch, wenn man im Bewerbungsverlauf eine Ausweiskopie von Ihnen haben will: So etwas ist auf keinen Fall seriös und kann Ihnen weitere Schwierigkeiten bringen [1].

Kommt ohne echtes Auswahlverfahren bereits eine Zusage, ist das ebenfalls kein gutes Zeichen. Manchmal versuchen die Betrüger, zusätzlich durch einen Arbeitsvertrag Vertrauen zu schaffen. Doch auch der kann gefälscht sein. Probeaufträge, bei denen der Arbeitsvertrag lediglich in Aussicht steht, sind noch verdächtiger. Ansonsten gilt dasselbe wie vor der Bewerbung: Gibt es Ungereimtheiten, Verdachtsmomente oder kommt Ihr Gegenüber erst nach der Zusage mit der eigentlichen Jobbeschreibung heraus, brechen Sie ab. Das gilt auch für Jobs, bei denen man Sie lediglich über Mail, Livechats oder Messenger wie WhatsApp begleiten will, aber ein telefonisch erreichbarer Ansprechpartner fehlt. Melden Sie solche Anzeigen bei der Jobbörse, damit sie diesen nachgeht.

Ein unseriöser Job

Wie vereinbart meldete sich Franziska E. pünktlich im Livechat an. Der Operator erklärte ihr nun erstmals ihre Aufgabe: Man teste „in erster Linie den Live-Support und Identifikationsservice von Banken“ in deren Auftrag. Dazu müsse sie sich mit den Zugangsdaten, die er ihr übermitteln würde, in der App einer Bank registrieren und „eine Videoverifikation durchführen“. Sie würde aber lediglich ein Testkonto eröffnen, das anschließend wieder gelöscht werde, log der Operator weiter.

Anschließend bat er Franziska E., die Daten aus der Bewerbung abzugleichen und eventuelle Zweitnamen entsprechend ihrem Personalausweis anzugeben. Den solle sie überdies bereithalten. Der Auftrag sei „bei der N26 Bank“, sie solle aber nichts von einem Job oder einer Marktforschung erwähnen, „da der Mitarbeiter sich so verhalten soll, als wären Sie ein echter Kunde“. Frage man sie nach dem Grund der Verifizierung, solle sie sagen, dass es sich um „ein Girokonto bei der N26 Bank“ handele. Während des Probeauftrags müsse sie im Livechat bleiben, wo man ihr wichtige Daten und Links zusenden würde. Außerdem solle sie sich Notizen zum Mitarbeiter, dem Ablauf und der Nutzerführung in der App machen.

Nachdem Franziska E. die N26-App installiert hatte, bekam sie vom Operator Zugangsdaten in Form einer Mailadresse, einer Handynummer und eines Passworts zugesandt, mit denen sie sich registrieren sollte. Diese Daten solle sie auf Nachfrage auch dem Mitarbeiter im Videochat mitteilen, so der Operator. Alle anderen Felder füllte Franziska E. mit ihren persönlichen Daten aus. Zum Abschluss sandte ihr der Operator den Link, mit dem sie die Mailadresse bestätigen sollte – wie von N26 vorgegeben auf demselben Gerät, auf dem sie sich registriert hatte.

Es folgte die eigentliche Kontoeröffnung: Als Kontotyp gab der Operator das kostenlose Business-Modell „Standard“ mit virtueller Karte vor, das nur auf Kundenwunsch eine Plastikkarte umfasst. Für den erneuten Login schickte der Operator Franziska E. über den Chat den erforderlichen „SMS Code“, der zuvor auf seinem Handy landete. Danach absolvierte sie das Video-Ident-Verfahren. Die per Mail versandte sechsstellige Bestätigungs-TAN zum Abschluss des Video-Idents bekam sie gleichfalls vom Operator des Livechats – außerdem gab er ihr den vierstelligen „Bestätigungscode“ vor, mit dem man Änderungen im Konto bestätigt.

Zum Abschluss sollte Franziska E. ihre Bewertung abgeben, anschließend informierte man sie über ihre Einstellung – und schlug gleich einen nächsten Termin für den Folgetag vor. Das Konto werde man im Übrigen nach spätestens 72 Stunden schließen. Nun wurde Franziska E. misstrauisch und bat um die Zugangsdaten, um selbst Hand anlegen zu können. Außerdem forderte sie den Operator auf, ihre persönlichen Daten zu löschen.

Straf- und zivilrechte Aspekte

Franziska E.s Bedenken waren berechtigt: Sie hatte den Tätern geholfen, ein echtes N26-Girokonto zu eröffnen. Obwohl es auf ihren Namen und ihre Identität lief, hatte sie keinen Zugriff auf das Konto – den besaßen nur die Täter, während sie nicht einmal die IBAN kannte. Geschickt hatten die Täter das Sicherheitsverfahren von N26 ausgetrickst, indem sie Franziska E. überall dort vorschickten, wo N26 Identitäten prüft.

Unser Rat ist daher derselbe wie im Bewerbungsprozess: Brechen Sie spätestens dann den Kontakt ab, wenn Sie bei einer vollkommen unbekannten Agentur Marktforschung oder einen Produkttest für eine Bank durchführen sollen. Das gilt umso mehr, wenn Sie dabei ein Konto eröffnen; insbesondere, aber nicht nur bei N26. Wir haben bereits von ähnlichen Versuchen bei anderen Banken gehört, auch solchen im EU-Ausland.

Stoppen Sie als Betroffener den Prozess nicht, können Sie sowohl straf- als auch zivilrechtlich belangt werden. Die Täter nutzen die Konten in aller Regel, um darüber Geld aus Betrugsgeschäften zu waschen. Im einfachsten Fall eröffnen oder kapern sie Nutzerkonten auf eBay Kleinanzeigen, stellen dort Verkaufsangebote ein und verleiten Interessenten dazu, ihnen Geld auf das für die Betrüger eröffnete Konto zu überweisen.

Während diese Interessenten nie die Ware bekommen, überweisen die Täter das Geld auf Konten im Ausland weiter. Fliegt der Schwindel auf, wenden sich die Strafverfolgungsbehörden zunächst unter dem Verdacht der Geldwäsche an den Kontoinhaber. Damit nicht genug, können die Opfer zivilrechtliche Ansprüche gegen ihn geltend machen. Dabei geht es schnell um viele tausend Euro [1].

Schwachstelle N26

N26 ist im Vergleich zu anderen deutschen Banken – auch anderen Digital- sowie Direktbanken – relativ häufig von Identitätsmissbrauch betroffen. Aus Sicht vieler Experten haben die internen Strukturen der Bank zur Abwehr krimineller Aktivität nicht Schritt mit dem Kundenwachstum gehalten. Das Bundesamt für Finanzdienstleistungsaufsicht (Bafin) hat die Bank daher im Mai 2019 erstmals öffentlich wegen Mängeln in der Prävention von Geldwäsche und Terrorismusfinanzierung gerügt und mit einer Geldbuße belegt. Zwei Jahre später bekam N26 zur Kontrolle zusätzlich einen Sonderbeauftragten der Bafin ins Haus geschickt, seit November 2021 darf die Bank maximal 50.000 Neukunden im Monat aufnehmen.

c’t hat N26 nach einer direkten Kontaktmöglichkeit für Opfer der Masche gefragt. N26 antwortete, dass man sich in solchen Fällen „grundsätzlich zunächst an die Strafverfolgungsbehörden wenden“ solle; N26 kooperiere dann mit diesen. Gleichzeitig nehme man Meldungen von potenziell betrügerischen Konten „außerordentlich ernst“ und folge dabei strengen regulatorischen Vorgaben. Außerdem überarbeite man „im Austausch mit den Behörden laufend [die] Prozesse zur Bearbeitung von Hinweisen Dritter“ und behandle Hinweise auf potenzielle Betrugsfälle „mit hoher Priorität“. Gemessen an den wenig hilfreichen und unstrukturiert wirkenden Reaktionen, die Franziska E. auf ihre Kontaktversuche erhielt, scheint N26 die Überarbeitung allerdings noch nicht gänzlich abgeschlossen zu haben.

Schadensbegrenzung

Franziska E. wandte sich direkt an N26, um Schlimmeres zu verhindern. Dort stand ihr aber lediglich ein Livechat zur Verfügung. Ob es bei N26 ein Konto auf ihren Namen und ihre Anschrift gebe, wollte sie dort wissen; sie sei Opfer eines Identitätsdiebstahls geworden. Mitarbeiter „S.“ riet ihr knapp, sich an die Polizei zu wenden. Erst als Franziska E. im zweiten Anlauf konkret darauf hinwies, dass mit ihrer Identität und einer fiktiven Mailadresse ein Girokonto eröffnet worden sei, bat Mitarbeiter „V.“ sie um eben jene Mailadresse. Weitere Auskünfte bekam sie nicht.

Bei der Polizei ihres Wohnortes ließ man Franziska E. auf Nachfrage zunächst wissen, dass man nichts machen könne, solange ihr kein Schaden entstanden sei. Daraufhin wandte sie sich an heise online und c’t. Auf unseren Rat hin fuhr Franziska E. unverzüglich zur nächsten Polizeiwache und erstattete wegen des Identitätsdiebstahls und -missbrauchs Anzeige. Fünf Tage darauf beschwerten sich die Täter in einer letzten Mail, dass sie entgegen der „Richtlinien“ Kontakt zur Bank aufgenommen habe – und bestätigten damit indirekt, dass N26 das Konto geschlossen hatte.

Haben Sie festgestellt, dass Sie selbst oder jemand anderes Opfer dieser Masche geworden sein könnte, handeln Sie schnell. Andernfalls drohen besagte straf- und zivilrechtliche Konsequenzen. Sichern Sie alle Daten wie Telefonnummern und Mailadressen sowie alle Chatverläufe und Mails. Machen Sie Screenshots von Stellenanzeigen, Homepages und Livechats. Mit diesem Material bringen Sie den Identitätsdiebstahl zur Anzeige.

Sie haben das Recht auf eine Anzeige, und zwar auch dann, wenn ein materieller Schaden noch nicht eingetreten ist. Die Behörden veranlassen dann, dass die Bank das Konto schließt. Sie müssen nicht einmal eine Polizeidienststelle aufsuchen, sondern können die Onlinewache Ihres Bundeslandes nutzen; Ihre Rechte können Sie in der sogenannten „Opferfibel“ nachlesen (Links unter ct.de/y6cu). Ab dem Zeitpunkt der Anzeige sind sie vor Ansprüchen dritter Geschädigter sowie Strafverfolgung weitgehend geschützt.

Geben Sie zu Protokoll, dass Sie über den Ausgang des Verfahrens informiert werden möchten, und stellen Sie außerdem Strafantrag. Normalerweise bietet die Polizei Ihnen beides an. Sie können dies aber noch bis zu drei Monate nach der Anzeige tun. Zum einen informieren Sie Polizei und Staatsanwaltschaft dann über den weiteren Verlauf und Abschluss des Verfahrens. Zum anderen kann ein Rechtsanwalt über den Strafantrag optional Akteneinsicht verlangen.

Zusätzlich sollten Sie Mailadressen beim Mailprovider (beispielsweise Hotmail) und die Stellenanzeige bei der Jobbörse melden. Sie können außerdem versuchen, über eine WhoIs-Abfrage (bei DE-Homepages über die Denic, ct.de/y6cu) den Nameserver/Provider einer Website herauszufinden und sie diesem anzuzeigen. Auch wenn die Täter wahrscheinlich schnell eine neue Homepage und Stellenanzeige online haben, kann man ihnen so zumindest ein paar Steine in den Weg legen. (mon@ct.de)

1. Literatur
2. Markus Montz, Perfektes Schauspiel, Wie Betrüger mit Fakt und Fiktion Gebrauchtkäufer abzocken, c’t 21/2022, S. 132
3. Nick Akinci, Niemals ausgeliefert, Fake-Shops erkennen und vermeiden, c’t 2/2023, S. 150

Handelsregister, Onlinewache, Opferfibel: ct.de/y6cu

Sicherheitslücken im WordPress-Design

In diesem Abschnitt finden Sie die neuesten Sicherheitslücken in WordPress-Designs, die offengelegt werden sollen. Sie sehen die gleichen Informationen wie oben für anfällige Plugins, und es gelten die gleichen Ratschläge. Wenn ein Sicherheitsupdate vorhanden ist, installieren Sie es sofort. Wenn eine Schwachstelle in einem Design, das Sie aktiv verwenden, nicht gepatcht wird, müssen Sie ein alternatives Design finden. Deaktiviere und lösche dauerhaft ungepatchte Themes und solche, die im WordPress.org-Theme-Repository „geschlossen“ wurden. Wenn Sie ein anfälliges Design installiert haben, das Sie nicht aktiv verwenden, löschen Sie es einfach.

Real Estate Directory

ThemeReal Estate DirectoryTheme Slugreal-estate-directoryDownloads3,569VulnerabilityAuthenticated Arbitrary Plugin ActivationPatched in Version1.0.6Severity ScoreMediumCVE2023-28532The vulnerability has been patched, so you should update to version 1.0.6.

NewsMag

ThemeNewsMagTheme SlugnewsmagDownloads338,702VulnerabilityReflected Cross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28493The vulnerability has not been patched. You should switch themes.

Mediciti Lite

ThemeMediciti LiteTheme Slugmediciti-liteDownloads20,184VulnerabilityReflected Cross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28418The vulnerability has not been patched. You should switch themes.

Chankhe

ThemeChankheTheme SlugchankheDownloads3,083VulnerabilityAuthenticated Arbitrary Plugin ActivationPatched in VersionNo FixSeverity ScoreMediumCVE2023-28416The vulnerability has not been patched. You should switch themes.

WordPress-Plugin-Schwachstellen mit Patches

In diesem Abschnitt finden Sie die zuletzt offenbarten Schwachstellen von WordPress-Plugins, die mit einer neuen Version ihrer Autoren und Betreuer behoben wurden. Bitte wenden Sie die Updates an, wenn Sie davon betroffen sind!

Diese Schwachstellen wurden dank unserer Freunde bei Patchstack offengelegt und für ihren Schweregrad bewertet. Jede Plugin-Auflistung enthält die Art der Schwachstelle mit ihrer CVE-Nummer und CVSS-Schweregradbewertung mit Links zu weiteren technischen Details. Sie sehen auch die Anzahl der aktiven Websites, die das Plug-in verwenden, sowie die Version der Plug-in-Version, die die Schwachstelle behebt. Wir beginnen mit den beliebtesten Plugins, die das größte Angriffsziel für Angreifer darstellen.

UpdraftPlus PRO

PluginUpdraftPlus WordPress Backup PluginPlugin SlugupdraftplusInstallations3,000,000+VulnerabilityBroken Access ControlPatched in Version2.23.3Severity ScoreHighThe vulnerability has been patched, so you should update to version 2.23.3.

UpdraftPlus

PluginUpdraftPlus WordPress Backup PluginPlugin SlugupdraftplusInstallations3,000,000+VulnerabilityBroken Access ControlPatched in Version1.23.3Severity ScoreHighThe vulnerability has been patched, so you should update to version 1.23.3.

Slider, Gallery, and Carousel by MetaSlider – Responsive WordPress Plugin

PluginSlider, Gallery, and Carousel by MetaSlider – Responsive WordPress SlideshowsPlugin Slugml-sliderInstallations700,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.28.1Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.28.1.

Easy Table of Contents

PluginEasy Table of ContentsPlugin Slugeasy-table-of-contentsInstallations400,000+VulnerabilityBroken Access ControlPatched in Version2.0.46Severity ScoreMediumCVE2023-25469The vulnerability has been patched, so you should update to version 2.0.46.

Happy Addons for Elementor

PluginHappy Addons for ElementorPlugin Slughappy-elementor-addonsInstallations300,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.8.0Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.8.0.

Squirrly SEO (Peaks)

PluginSEO Plugin by Squirrly SEOPlugin Slugsquirrly-seoInstallations200,000+VulnerabilityBroken Access ControlPatched in Version12.1.21Severity ScoreMediumCVE2022-44626The vulnerability has been patched, so you should update to version 12.1.21.

Squirrly SEO (Peaks)

PluginSEO Plugin by Squirrly SEOPlugin Slugsquirrly-seoInstallations200,000+VulnerabilityReflected Cross Site Scripting (XSS)Patched in Version12.1.21Severity ScoreHighCVE2022-45065The vulnerability has been patched, so you should update to version 12.1.21.

WP Mail Logging

PluginWP Mail LoggingPlugin Slugwp-mail-loggingInstallations200,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.11.0Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.11.0.

WPML

PluginWPML – WordPress Multilingual Plugin SlugwpmlVulnerabilityCross Site Scripting (XSS)Patched in Version4.6.1Severity ScoreHighThe vulnerability has been patched, so you should update to version 4.6.1.

WordPress Ping Optimizer

PluginWordPress Ping OptimizerPlugin Slugwordpress-ping-optimizerInstallations70,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.35.1.3.0Severity ScoreMediumCVE2022-30705The vulnerability has been patched, so you should update to version 2.35.1.3.0.

Bookly

PluginWordPress Online Booking and Scheduling Plugin – BooklyPlugin Slugbookly-responsive-appointment-booking-toolInstallations60,000+VulnerabilityUnauthenticated Stored Cross-Site Scripting via Name vulnerabilityPatched in Version21.5.1Severity ScoreHighCVE2023-1172The vulnerability has been patched, so you should update to version 21.5.1.

User Registration

PluginUser Registration – Custom Registration Form, Login Form And User Profile For WordPressPlugin Sluguser-registrationInstallations60,000+VulnerabilityAuthenticated PHP Object InjectionPatched in Version2.3.3Severity ScoreHighCVE2023-27459The vulnerability has been patched, so you should update to version 2.3.3.

Exclusive Addons for Elementor

PluginExclusive Addons for ElementorPlugin Slugexclusive-addons-for-elementorInstallations40,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.6.2Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.6.2.

Ecwid Ecommerce Shopping Cart

PluginEcwid Ecommerce Shopping CartPlugin Slugecwid-shopping-cartInstallations30,000+VulnerabilityCross Site Scripting (XSS)Patched in Version6.11.5Severity ScoreMediumCVE2023-24408The vulnerability has been patched, so you should update to version 6.11.5.

Subscribe2 – Form, Email Subscribers & Newsletters

PluginSubscribe2 – Form, Email Subscribers & NewslettersPlugin Slugsubscribe2Installations30,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version10.38Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 10.38.

WP User Frontend – Registration, User Profile, Membership, Content Restriction, User Directory, and Frontend Post Submission Plugin

PluginWP User Frontend – Registration, User Profile, Membership, Content Restriction, User Directory, and Frontend Post Submission PluginPlugin Slugwp-user-frontendInstallations30,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.6.1Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.6.1.

Advanced Product Labels for WooCommerce

PluginAdvanced Product Labels for WooCommercePlugin Slugadvanced-product-labels-for-woocommerceInstallations20,000+VulnerabilityBroken Access ControlPatched in Version1.2.4.1Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.2.4.1.

Branda

PluginBranda – White Label WordPress, Custom Login Page CustomizerPlugin Slugbranda-white-labelingInstallations20,000+VulnerabilityAuthenticated (Administrator+) Stored Cross-Site ScriptingPatched in Version3.4.9Severity ScoreMediumThe vulnerability has been patched, so you should update to version 3.4.9.

Dashboard Welcome for Elementor

PluginDashboard Welcome for ElementorPlugin Slugdashboard-welcome-for-elementorInstallations20,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.0.7Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.0.7.

Load More Products for WooCommerce

PluginLoad More Products for WooCommercePlugin Slugload-more-products-for-woocommerceInstallations20,000+VulnerabilityBroken Access ControlPatched in Version1.1.9.8Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.1.9.8.

Min and Max Quantity for WooCommerce

PluginMin and Max Quantity for WooCommercePlugin Slugminmax-quantity-for-woocommerceInstallations20,000+VulnerabilityBroken Access ControlPatched in Version1.3.2.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.3.2.7.

Product Gallery Slider for WooCommerce

PluginProduct Gallery Slider for WooCommercePlugin Slugwoo-product-gallery-sliderInstallations20,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.2.7Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.2.7.

WP Simple Shopping Cart

PluginWordPress Simple Shopping CartPlugin Slugwordpress-simple-paypal-shopping-cartInstallations20,000+VulnerabilitySensitive Data ExposurePatched in Version4.6.4Severity ScoreMediumCVE2023-1431The vulnerability has been patched, so you should update to version 4.6.4.

Store Locator WordPress

PluginStore Locator WordPressPlugin Slugagile-store-locatorInstallations10,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.4.10Severity ScoreMediumCVE2023-27618The vulnerability has been patched, so you should update to version 1.4.10.

Contact Form 7 – PayPal & Stripe Add-on

PluginContact Form 7 – PayPal & Stripe Add-onPlugin Slugcontact-form-7-paypal-add-onInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.9.4Severity ScoreMediumCVE2023-24405The vulnerability has been patched, so you should update to version 1.9.4.

Contact Form Email

PluginContact Form EmailPlugin Slugcontact-form-to-emailInstallations10,000+VulnerabilityMissing Authorization Leading To Feedback SubmissionPatched in Version1.3.32Severity ScoreMediumCVE2023-28494The vulnerability has been patched, so you should update to version 1.3.32.

eCommerce Product Catalog

PlugineCommerce Product Catalog Plugin for WordPressPlugin Slugecommerce-product-catalogInstallations10,000+VulnerabilityAuthenticated (Administrator+) Stored Cross-Site ScriptingPatched in Version3.3.9Severity ScoreMediumCVE2023-1470The vulnerability has been patched, so you should update to version 3.3.9.

Hotel Booking Lite

PluginHotel Booking LitePlugin Slugmotopress-hotel-booking-liteInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version4.7.0Severity ScoreMediumCVE2023-28498The vulnerability has been patched, so you should update to version 4.7.0.

Slideshow Gallery LITE

PluginSlideshow Gallery LITEPlugin Slugslideshow-galleryInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.7.7Severity ScoreMediumCVE2023-28497The vulnerability has been patched, so you should update to version 1.7.7.

Slideshow Gallery LITE

PluginSlideshow Gallery LITEPlugin Slugslideshow-galleryInstallations10,000+VulnerabilitySQL InjectionPatched in Version1.7.7Severity ScoreMediumCVE2023-28491The vulnerability has been patched, so you should update to version 1.7.7.

Woostify Sites Library

PluginWoostify Sites LibraryPlugin Slugwoostify-sites-libraryInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.4.4Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.4.4.

WP Dark Mode – Best Dark Mode & Social Sharing Plugin for WordPress

PluginWP Dark Mode – Best Dark Mode & Social Sharing Plugin for WordPressPlugin Slugwp-dark-modeInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.0.5Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.0.5.

WP VR – 360 Panorama and Virtual Tour Builder For WordPress

PluginWP VR – 360 Panorama and Virtual Tour Builder For WordPressPlugin SlugwpvrInstallations10,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version8.2.6Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 8.2.6.

Fluid Checkout for WooCommerce – Lite

PluginFluid Checkout for WooCommerce – LitePlugin Slugfluid-checkoutInstallations9,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.3.2Severity ScoreMediumThe vulnerability has been patched, so you should update to version 2.3.2.

Event Manager for WooCommerce

PluginEvent Manager and Tickets Selling Plugin for WooCommercePlugin Slugmage-eventpressInstallations9,000+VulnerabilityCross Site Scripting (XSS)Patched in Version3.8.7Severity ScoreMediumCVE2023-28422The vulnerability has been patched, so you should update to version 3.8.7.

Event Manager and Tickets Selling Plugin for WooCommerce

PluginEvent Manager and Tickets Selling Plugin for WooCommercePlugin Slugmage-eventpressInstallations9,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.7.8Severity ScoreMediumCVE2022-47164The vulnerability has been patched, so you should update to version 3.7.8.

Team Member – Team with Slider

PluginTeam Member – Team with SliderPlugin Slugteam-showcase-supremeInstallations9,000+VulnerabilityCross Site Scripting (XSS)Patched in Version4.5Severity ScoreMediumCVE2023-23647The vulnerability has been patched, so you should update to version 4.5.

SMTP2GO

PluginSMTP2GO – Email Made EasyPlugin Slugsmtp2goInstallations8,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.5.0Severity ScoreMediumCVE2023-28496The vulnerability has been patched, so you should update to version 1.5.0.

ProfileGrid

PluginProfileGrid – User Profiles, Memberships, Groups and CommunitiesPlugin Slugprofilegrid-user-profiles-groups-and-communitiesInstallations7,000+VulnerabilityBroken Access ControlPatched in Version5.0.4Severity ScoreMediumCVE2022-36352The vulnerability has been patched, so you should update to version 5.0.4.

Brands for WooCommerce

PluginBrands for WooCommercePlugin Slugbrands-for-woocommerceInstallations6,000+VulnerabilityBroken Access ControlPatched in Version3.7.0.6Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.7.0.6.

Contact Form 7 Redirect & Thank You Page

PluginContact Form 7 Redirect & Thank You PagePlugin Slugcf7-redirect-thank-you-pageInstallations6,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.0.4Severity ScoreMediumCVE2023-24395The vulnerability has been patched, so you should update to version 1.0.4.

Boostify Header Footer Builder for Elementor

PluginBoostify Header Footer Builder for ElementorPlugin Slugboostify-header-footer-builderInstallations5,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.9Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.9.

Modern Footnotes

PluginModern FootnotesPlugin Slugmodern-footnotesInstallations5,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.4.16Severity ScoreMediumCVE2023-28423The vulnerability has been patched, so you should update to version 1.4.16.

Open Graphite

PluginOpen GraphitePlugin Slugopen-graphiteInstallations5,000+VulnerabilityCross Site Scripting (XSS)Patched in Version1.6.1Severity ScoreHighCVE2022-47439The vulnerability has been patched, so you should update to version 1.6.1.

W4 Post List

PluginW4 Post ListPlugin Slugw4-post-listInstallations5,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.4.3Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.4.3.

Grid List View for WooCommerce

PluginGrid/List View for WooCommercePlugin Sluggridlist-view-for-woocommerceInstallations4,000+VulnerabilityBroken Access ControlPatched in Version1.1.3.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.1.3.7.

Cart Notices for WooCommerce

PluginCart Notices for WooCommercePlugin Slugcart-notices-for-woocommerceInstallations3,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Click to top

PluginClick to topPlugin Slugclick-to-topInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.20Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.20.

Force First and Last Name as Display Name

PluginForce First and Last Name as Display NamePlugin Slugforce-first-lastInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.1Severity ScoreMediumCVE2023-28419The vulnerability has been patched, so you should update to version 1.2.1.

Gallery Box

PluginGallery BoxPlugin Sluggallery-boxInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.7.31Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.7.31.

Magical Posts Display – Elementor & Gutenberg Posts Blocks

PluginMagical Posts Display – Elementor Advanced Posts widgetsPlugin Slugmagical-posts-displayInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.16Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.16.

wePOS – Point Of Sale (POS) for WooCommerce

PluginwePOS – Point Of Sale (POS) for WooCommercePlugin SlugweposInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.6Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.6.

WP Email Capture

PluginWordPress Email Marketing Plugin – WP Email CapturePlugin Slugwp-email-captureInstallations3,000+VulnerabilitySensitive Data ExposurePatched in Version3.11Severity ScoreMediumCVE2023-28421The vulnerability has been patched, so you should update to version 3.11.

Cart Lift – Abandoned Cart Recovery for WooCommerce and EDD

PluginCart Lift – Abandoned Cart Recovery for WooCommerce and EDDPlugin Slugcart-liftInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version3.1.4Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 3.1.4.

WP Markdown Editor (Formerly Dark Mode)

PluginWP Markdown Editor (Formerly Dark Mode)Plugin Slugdark-modeInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version4.1.3Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 4.1.3.

GS Testimonial Slider

PluginGS Testimonial SliderPlugin Sluggs-testimonialInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.9.8Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.9.8.

Product Tabs Manager for WooCommerce

PluginProduct Tabs Manager for WooCommercePlugin Slugproduct-tabs-manager-for-woocommerceInstallations2,000+VulnerabilityBroken Access ControlPatched in Version1.1.5.8Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.1.5.8.

Product Watermark for WooCommerce

PluginProduct Watermark for WooCommercePlugin Slugproduct-watermark-for-woocommerceInstallations2,000+VulnerabilityBroken Access ControlPatched in Version1.3.5.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 1.3.5.7.

Stylish Cost Calculator

PluginStylish Cost CalculatorPlugin Slugstylish-cost-calculatorInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version7.3.7Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 7.3.7.

Terms and Conditions Popup for WooCommerce

PluginTerms and Conditions Popup for WooCommercePlugin Slugterms-and-conditions-popup-for-woocommerceInstallations2,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Webinar and Video Conference with Jitsi Meet

PluginWebinar and Video Conference with Jitsi MeetPlugin Slugwebinar-and-video-conference-with-jitsi-meetInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.0.0Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.0.0.

Wiremo – Product Reviews for WooCommerce

PluginWiremo – Product Reviews for WooCommercePlugin Slugwoo-reviews-by-wiremoInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.4.97Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.4.97.

Wp Edit Password Protected – Create Member/User Only Page & Design Password Protected Form

PluginWp Edit Password Protected – Create Member/User Only Page & Design Password Protected FormPlugin Slugwp-edit-password-protectedInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.4Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 1.2.4.

Products Suggestions for WooCommerce

PluginProducts Suggestions for WooCommercePlugin Slugcart-products-suggestions-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version 3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Calendar Event Multi View

PluginCalendar Event Multi ViewPlugin Slugcp-multi-view-calendarInstallations1,000+VulnerabilityMissing Authorization Leading To Feedback SubmissionPatched in Version1.4.11Severity ScoreMediumCVE2023-28492The vulnerability has been patched, so you should update to version 1.4.11.

HT Feed

PluginHT FeedPlugin Slught-instagramInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.2.8Severity ScoreMediumCVE2023-23804The vulnerability has been patched, so you should update to version 1.2.8.

Dynamics 365 Integration

PluginDynamics 365 IntegrationPlugin Slugintegration-dynamicsInstallations1,000+VulnerabilityBroken Access ControlPatched in Version1.3.13Severity ScoreMediumCVE2023-28417The vulnerability has been patched, so you should update to version 1.3.13.

Open RDW kenteken voertuiginformatie

PluginOpen RDW kenteken voertuiginformatiePlugin Slugopen-rdw-kenteken-voertuiginformatieInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in Version2.1.0Severity ScoreHighCVE2022-47431The vulnerability has been patched, so you should update to version 2.1.0.

Pagination Styler for WooCommerce

PluginPagination Styler for WooCommercePlugin Slugpagination-styler-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Products Compare for WooCommerce

PluginProducts Compare for WooCommercePlugin Slugproducts-compare-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.8Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.8.

Sales Report for WooCommerce

PluginSales Report for WooCommercePlugin Slugsales-report-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Sequential Order Numbers for WooCommerce

PluginSequential Order Numbers for WooCommercePlugin Slugsequential-order-numbers-for-woocommerceInstallations1,000+VulnerabilityBroken Access ControlPatched in Version3.5.7.7Severity ScoreMediumCVE2022-45813The vulnerability has been patched, so you should update to version 3.5.7.7.

Sheets To WP Table Live Sync

PluginSheets To WP Table Live SyncPlugin Slugsheets-to-wp-table-live-syncInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version2.12.15Severity ScoreMediumCVE2022-47150The vulnerability has been patched, so you should update to version 2.12.15.

Userlike – WordPress Live Chat plugin

PluginUserlike – WordPress Live Chat pluginPlugin SluguserlikeInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in Version2.3Severity ScoreMediumCVE2023-23734The vulnerability has been patched, so you should update to version 2.3.

WordPress WP Express Checkout

PluginWP Express Checkout (Accept PayPal Payments Easily)Plugin Slugwp-express-checkoutInstallations1,000+VulnerabilityAuthenticated (Admin+) Stored Cross-Site ScriptingPatched in Version2.2.9Severity ScoreMediumCVE2023-1469The vulnerability has been patched, so you should update to version 2.2.9.

WordPress GamiPress – Youtube integration

PluginGamiPress – Youtube integrationPlugin Sluggamipress-youtube-integrationInstallations700+VulnerabilityAuthenticated (Contributor+) Stored Cross-Site Scripting via ShortcodePatched in Version1.0.8Severity ScoreMediumThe vulnerability has been patched, so you should update to version 1.0.8.

Branded Social Images

PluginBranded Social Images – Open Graph Images with logo and extra text layerPlugin Slugbranded-social-imagesInstallations600+VulnerabilityBroken Access ControlPatched in Version1.1.1Severity ScoreMediumCVE2023-28536The vulnerability has been patched, so you should update to version 1.1.1.

Enhanced Plugin Admin

PluginEnhanced Plugin AdminPlugin Slugenhanced-plugin-adminInstallations200+VulnerabilityCross Site Request Forgery (CSRF)Patched in Version1.17Severity ScoreMediumCVE2023-28618The vulnerability has been patched, so you should update to version 1.17.

WordPress Auto Rename Media On Upload

PluginAuto Rename Media On UploadPlugin Slugauto-rename-media-on-uploadInstallations100+VulnerabilityAuthenticated (Administrator+) Stored Cross-Site ScriptingPatched in Version1.1.0Severity ScoreMediumThe vulnerability has been patched, so you should update to version 1.1.0.

WSB Brands

PluginWSB BrandsPlugin Slugwsb-brandsInstallations100+VulnerabilityCross Site Scripting (XSS)Patched in Version1.2Severity ScoreMediumCVE2022-47437The vulnerability has been patched, so you should update to version 1.2.

WordPress Amazon S3 Plugin

PluginWordPress Amazon S3 PluginPlugin Slugwp-s3Installations10+VulnerabilityCross Site Scripting (XSS)Patched in Version1.6Severity ScoreHighThe vulnerability has been patched, so you should update to version 1.6.

Cyberus Key

PluginCyberus KeyPlugin Slugcyberus-keyVulnerabilityCross Site Scripting (XSS)Patched in Version1.1Severity ScoreMediumCVE2023-28620The vulnerability has been patched, so you should update to version 1.1.

WordPress Drag and Drop Multiple File Upload PRO – Contact Form 7 Standard

PluginDrag and Drop Multiple File Upload PROPlugin Slugdrag-n-drop-upload-cf7-proVulnerabilityCross Site Scripting (XSS)Patched in Version2.11.1Severity ScoreHighThe vulnerability has been patched, so you should update to version 2.11.1.

WordPress WooCommerce Multiple Customer Addresses & Shipping

PluginWooCommerce Multiple Customer Addresses & ShippingPlugin Slugwoocommerce-multiple-customer-addressesVulnerabilityInsecure Direct Object References (IDOR)Patched in Version21.7Severity ScoreMediumCVE2023-0865The vulnerability has been patched, so you should update to version 21.7.

WordPress Plugin Vulnerabilities – No Known Fix

This section contains plugin vulnerabilities with no known fix. Until a patch is available, you are advised to deactivate the plugin, at minimum, immediately. If there is a high risk of active exploits or the plugin remains unpatched for weeks, you are advised to delete the plugin. You should also delete persistently unpatched plugins the WordPress.org repository has locked and marked “Closed” so they can no longer be downloaded and installed.

Slide Anything

PluginSlide Anything – Responsive Content / HTML Slider and CarouselPlugin Slugslide-anythingInstallations100,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28499The vulnerability has not been patched. You should deactivate the plugin.

---

Custom Field Template

PluginCustom Field TemplatePlugin Slugcustom-field-templateInstallations50,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-22695The vulnerability has not been patched. You should deactivate the plugin.

---

Website Monetization by MageNet

PluginWebsite Monetization by MageNetPlugin Slugwebsite-monetization-by-magenetInstallations40,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-22673The vulnerability has not been patched. You should deactivate the plugin.

---

Read More Without Refresh

PluginRead More Without RefreshPlugin Slugread-more-without-refreshInstallations20,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23793The vulnerability has not been patched. You should deactivate the plugin.

---

WP Shortcode by MyThemeShop

PluginWP Shortcode by MyThemeShopPlugin Slugwp-shortcodeInstallations20,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28495The vulnerability has not been patched. You should deactivate the plugin.

---

PB SEO Friendly Images plugin

PluginPB SEO Friendly ImagesPlugin Slugpb-seo-friendly-imagesInstallations10,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47434The vulnerability has not been patched. You should deactivate the plugin.

---

Import External Images

PluginImport External ImagesPlugin Slugimport-external-imagesInstallations8,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-46866The vulnerability has not been patched. You should deactivate the plugin.

---

Disqus Conditional Load

PluginDisqus Conditional LoadPlugin Slugdisqus-conditional-loadInstallations7,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23732The vulnerability has not been patched. You should deactivate the plugin.

---

ConvertBox Auto Embed WordPress plugin

PluginConvertBox Auto Embed WordPress pluginPlugin Slugconvertbox-auto-embedInstallations6,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23664The vulnerability has not been patched. You should deactivate the plugin.

---

Weather Station

PluginWeather StationPlugin Sluglive-weather-stationInstallations4,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-25478The vulnerability has not been patched. You should deactivate the plugin.

---

Simple Mobile URL Redirect

PluginSimple Mobile URL RedirectPlugin Slugsimple-mobile-url-redirectInstallations4,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23897The vulnerability has not been patched. You should deactivate the plugin.

---

WordPress Mortgage Calculator Estatik

PluginWordPress Mortgage Calculator EstatikPlugin Slugestatik-mortgage-calculatorInstallations3,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreHighCVE2023-28490The vulnerability has not been patched. You should deactivate the plugin.

---

Update Image Tag Alt Attribute

PluginUpdate Image Tag Alt AttributePlugin Slugupdate-alt-attributeInstallations3,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

Return and Warranty Management System for WooCommerce

PluginReturn and Warranty Management System for WooCommercePlugin Slugwc-return-warrrantyInstallations3,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreHighCVE2023-22710The vulnerability has not been patched. You should deactivate the plugin.

---

WP Job Portal – A Complete Job Board

PluginWP Job Portal – A Complete Job BoardPlugin Slugwp-job-portalInstallations3,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28534The vulnerability has not been patched. You should deactivate the plugin.

---

Bangladeshi Payment Gateways

PluginBangladeshi Payment Gateways – Make Payment Using QR CodePlugin Slugbangladeshi-payment-gatewaysInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

Custom Options Plus

PluginCustom Options PlusPlugin Slugcustom-options-plusInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28420The vulnerability has not been patched. You should deactivate the plugin.

---

Google XML Sitemap for Mobile

PluginGoogle XML Sitemap for MobilePlugin Sluggoogle-mobile-sitemapInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23869The vulnerability has not been patched. You should deactivate the plugin.

---

Lazy Social Comments

PluginLazy Social CommentsPlugin Sluglazy-facebook-commentsInstallations2,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23733The vulnerability has not been patched. You should deactivate the plugin.

---

BuddyPress Builder for Elementor – BuddyBuilder

PluginBuddyPress Builder for Elementor – BuddyBuilderPlugin Slugstax-buddy-builderInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

Vertical scroll recent post

PluginVertical scroll recent postPlugin Slugvertical-scroll-recent-postInstallations2,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23862The vulnerability has not been patched. You should deactivate the plugin.

---

Product Category Slider for WooCommerce

PluginProduct Category Slider for WooCommercePlugin Slugwoo-category-slider-by-plugineverInstallations2,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

WP Content Filter – Censor All Offensive Content From Your Site

PluginWP Content Filter – Censor All Offensive Content From Your SitePlugin Slugwp-content-filterInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23883The vulnerability has not been patched. You should deactivate the plugin.

---

BigContact Contact Page

PluginBigContact Contact PagePlugin SlugbigcontactInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2023-22694The vulnerability has not been patched. You should deactivate the plugin.

---

Bulk Resize Media

PluginBulk Resize MediaPlugin Slugbulk-resize-mediaInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-46865The vulnerability has not been patched. You should deactivate the plugin.

---

JS Job Manager

PluginJS Job ManagerPlugin Slugjs-jobsInstallations1,000+VulnerabilityBroken Access ControlPatched in VersionNo FixSeverity ScoreMediumCVE2023-28689The vulnerability has not been patched. You should deactivate the plugin.

---

Kanban Boards for WordPress

PluginKanban Boards for WordPressPlugin SlugkanbanInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23884The vulnerability has not been patched. You should deactivate the plugin.

---

Post Grid, Slider & Carousel Ultimate – with Shortcode, Gutenberg Block & Elementor Widget

PluginPost Grid, Slider & Carousel Ultimate – with Shortcode, Gutenberg Block & Elementor WidgetPlugin Slugpost-grid-carousel-ultimateInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

PT Addons for Elementor Lite

PluginPT Addons for Elementor LitePlugin Slugpt-elementor-addons-liteInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

Elementor Addons, Widgets and Enhancements – Stax

PluginElementor Addons, Widgets and Enhancements – StaxPlugin Slugstax-addons-for-elementorInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

Surbma | GDPR Proof Cookie Consent & Notice Bar

PluginSurbma | GDPR Proof Cookie Consent & Notice BarPlugin Slugsurbma-gdpr-proof-google-analyticsInstallations1,000+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23894The vulnerability has not been patched. You should deactivate the plugin.

---

Challan – PDF Invoice & Packing Slip for WooCommerce

PluginChallan – PDF Invoice & Packing Slip for WooCommercePlugin Slugwebappick-pdf-invoice-for-woocommerceInstallations1,000+VulnerabilityCross Site Request Forgery (CSRF)Patched in VersionNo FixSeverity ScoreMediumCVE2022-47150The vulnerability has not been patched. You should deactivate the plugin.

---

TreePress – Easy Family Trees & Ancestor Profiles

PluginTreePress – Easy Family Trees & Ancestor ProfilesPlugin SlugtreepressInstallations900+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-23863The vulnerability has not been patched. You should deactivate the plugin.

---

VigilanTor

PluginVigilanTorPlugin SlugvigilantorInstallations900+VulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-28695The vulnerability has not been patched. You should deactivate the plugin.

---

Backup Bank: WordPress Backup Plugin

PluginBackup Bank: WordPress Backup PluginPlugin Slugwp-backup-bankInstallations700+VulnerabilityBroken Access ControlPatched in VersionNo FixSeverity ScoreMediumCVE2023-28165The vulnerability has not been patched. You should deactivate the plugin.

---

Be POPIA Compliant

PluginBe POPIA CompliantPlugin Slugbe-popia-compliantInstallations100+VulnerabilitySQL InjectionPatched in VersionNo FixSeverity ScoreHighCVE2022-47445The vulnerability has not been patched. You should deactivate the plugin.

---

Simple Custom Author Profiles

PluginSimple Custom Author ProfilesPlugin Slugsimple-custom-author-profilesVulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-24372The vulnerability has not been patched. You should deactivate the plugin.

---

WordPress WP Popup Banners

PluginWP Popup BannersPlugin Slugwp-popup-bannersVulnerabilityAuthenticated (Subscriber+) SQL InjectionPatched in VersionNo FixSeverity ScoreHighCVE2023-1471The vulnerability has not been patched and the plugin is closed. You should uninstall and delete the plugin.

---

WP Simple Events

PluginWP Simple EventsPlugin Slugwp-simple-eventsVulnerabilityCross Site Scripting (XSS)Patched in VersionNo FixSeverity ScoreMediumCVE2023-24376The vulnerability has not been patched. You should deactivate the plugin.

W

von  Markus Lemcke

Öffentliche Stellen des Bundes sind seit September 2016 gesetzlich dazu verpflichtet, barrierefreie Apps einzusetzen [1]. Progressive Web Apps haben dabei eine großen Vorteil gegenüber nativen Apps: Bei einer nativen App gibt es für drei unterschiedliche Betriebssysteme drei unterschiedliche Richtlinien. Wenn PWAs barrierefrei nach der EN 301 549 [2] entwickelt werden, kann eine App auf drei unterschiedlichen Betriebssystemen eingesetzt werden und die Barrierefreiheit ist auf allen dreien gleich gut.

Seit dem 1. Mai 2002 gibt es das Behindertengleichstellungsgesetz (BGG). Dieses Gesetz wurde im Jahr 2016 überarbeitet und wurde im September 2016 neu verabschiedet. Seit September 2016 sind öffentliche Stellen des Bundes nach § 12a Barrierefreie Informationstechnik Absatz 1 zur Barrierefreiheit bei Apps verpflichtet. Entsprechend haben auch die drei großen Unternehmen Google [3], Apple [4] und Microsoft [5] Richtlinien zur barrierefreien Appentwicklung veröffentlicht.

Bei der Überlegung, wie viele Menschen von barrierefreier Appentwicklung profitieren, stellt man fest, dass es nicht nur 7,8 Millionen schwerbehinderte Menschen [6] betrifft, denn auch einigen der 18,3 Millionen Senioren [7] können barrierefreie Apps das Leben erleichtern.

Vorteile von PWAs

Es gibt native Apps und Progressive Web Apps (PWAs). Als native Apps werden Anwendungen auf mobilen Endgeräten bezeichnet, die speziell für das Betriebssystem des jeweiligen Endgeräts konzipiert und entwickelt wurden. Sie werden meist über die App Stores, die an das Betriebssystem gekoppelt sind, als kostenfreie oder auch kostenpflichtige Anwendungen vertrieben. PWAs hingegen werden mit HTML, CSS und JavaScript entwickelt, sind somit plattformunabhängig und können auf Desktop- und Mobile-Betriebssystemen eingesetzt werden.

Richtlinien, die dafür sorgen, dass Apps von allen Menschen mit unterschiedlichen körperlichen Einschränkungen bedient werden können, haben so viele Prüfungskriterien, wie notwendig sind, um alle körperlichen Beeinträchtigungen zu berücksichtigen. Die Anzahl der Prüfungsschritte bei den Richtlinien von Google, Apple und Microsoft sind unterschiedlich. Das bedeutet, wenn bei einer Richtlinie Prüfungsschritte fehlen, werden Menschen mit bestimmten körperlichen Beeinträchtigungen ausgrenzt.

PWAs sind plattformunabhängig, sie können also auf allen Betriebssystemen eingesetzt werden. Wenn eine PWA nach der EN 301 549 barrierefrei entwickelt wird, ist sie auf allen Betriebssystemen für alle Menschen mit körperlichen Beeinträchtigungen barrierefrei [8].

https://phpconference.com/session-qualification/ipc-webentwicklung/?layout=contentareafeed&widgetversion=1&utmtrackerversion=1&seriesId=oLGXGfBxxeHKh6rMj

Um es auf den Punkt zu bringen: Die Entwicklung von barrierefreien PWAs sorgt dafür, dass alle Menschen mit unterschiedlichen körperlichen Beeinträchtigungen eine App auf jedem Betriebssystem bedienen können.

Richtlinie EN 301 549

Der Standard für Barrierefreiheit von Webinhalten, den das W3C 1999 eingeführt hat und der seitdem global angewendet wird, sind die Web Content Accessibility Guidelines (WCAG). Diese internationale Richtlinie wird kontinuierlich weiterentwickelt und erfuhr 2018 mit den WCAG 2.1 [9] ihre vorerst letzte Aktualisierung.

Die WCAG in ihrer aktuellen Fassung ist die Grundlage für die europäische Norm EN 301 549. Allerdings geht es in der EN 301 549 nicht nur um Barrierefreiheit im Web, sie beinhaltet ebenso Barrierefreiheit bei

• Hardware
• Nicht-Web-Dokumente
• Software
• Dokumentation und unterstützende Dienste

Die EN 301 549 ist also die erste Richtlinie, die der Komplexität des Themas digitale Barrierefreiheit Rechnung trägt und ist deswegen umfassender.

Um den Unterschied zwischen EN 301 549 und WCAG 2.1 deutlich zu machen, hier ein Beispiel: Wenn eine Webseite in Frankreich barrierefrei gemacht werden soll, dann kommt die EN 301 549 zur Anwendung. Bei einer Webseite in Amerika kommt hingegen die WCAG 2.1 zur Anwendung.

Die EN ist eine Richtlinie für Webprogrammierung. Deswegen ist es keine gute Idee, native Apps, die mit Java oder Swift entwickelt werden, nach der EN 301 549 barrierefrei zu entwickeln. PWAs nach der EN 301 549 barrierefrei zu machen, passt perfekt, weil diese mit HTML, CSS und JavaScript entwickelt werden.

Einzelne Kriterien der EN 301 549 umgesetzt

In den folgenden Abschnitten schauen wir uns anhand von praktischen Anwendungsbeispielen an, wie bestimmte Prüfungsschritte umgesetzt werden können.

Screenreadertauglichkeit

Ein Screenreader ist eine Vorlesefunktion für blinde Menschen. Da PWAs plattformunabhängig sind, gibt Tabelle 1 einen Überblick über Screenreader, die für unterschiedliche Betriebssysteme zur Verfügung stehen, und wie diese aktiviert werden können.

Screenreader	Betriebssystem	Menü
Sprachausgabe	Windows 11	Einstellungen | Barrierefrei-heit | Sprachausgabe [10]
NVDA	Windows 11	Downloadlink https://nvda.bhvd.de/
Talkback	Android 12	Einstellungen | Bedienungshilfen | Talkback [11]
Voice Over	IOS 15.5	Einstellungen | Bedienungshilfen | Voice Over
Voice Over	macOS 10.15	Systemeinstellungen | Bedienungshilfen | Voice Over [12]
Orca	Ubuntu 22.04	Einstellungen | Barrierefreiheit | Bildschirmleser [13]

Tabelle 1: Überblick über unterschiedliche Screenreader

Screenreadertauglichkeit bedeutet, dass eine App-Oberfläche so entwickelt ist, dass sie von Screenreadern vorgelesen werden kann. Um das responsive Webdesign besser verwirklichen zu können, können Div-Container als Schaltflächen verwendet werden. Warum dies wichtig ist, wird im Abschnitt „Motorische Einschränkungen“ erklärt. Damit der Screenreader weiß, dass der Div-Container eine Schaltfläche ist, muss das role-Attribut [14] den Wert button bekommen. Um einen Text festzulegen, der von Screenreadern vorgelesen wird, muss das Attribut aria-label verwendet und ihm ein Wert zugewiesen werden. Hier ein HTML-Beispiel:

<div role="button" aria-label="Quiz starten">START</div>

Mit den Attributen role und aria-label wird der Div-Container zur screenreadertauglichen, responsiven Schalfläche.

PWAs können nicht nur in mobilen Betriebssystemen, Android und IOS, sondern auch auf Desktopbetriebssystemen (Windows, Ubuntu und macOS) ausgeführt werden. Diese Möglichkeit ist für Menschen interessant, bei denen aufgrund einer Behinderung eine motorische Einschränkung in den Händen vorhanden ist. Blinde Menschen können ebenso den Wunsch haben, eine PWA auf einem Computer oder Laptop bedienen zu können. Sobald eine PWA auf einem Computer ausgeführt wird, ist es wichtig, dass sie komplett ohne Maus, also nur per Tastatur bedienbar ist [15]. Deswegen sollten alle Bedienelemente per Tabulatortaste erreichbar sein. Dem Div-Container, der als Schaltfläche verwendet wird, wird deswegen das Attribut tabindex hinzugefügt. Hier ein HTML-Beispiel:

<div tabindex="0">START</div>

Nach dem Hinzufügen des Attributs sind die Div-Schalter per Tabulatortaste erreichbar und somit ist die Grundvoraussetzung des Tastaturbedienbarkeit erfüllt. Dazu gehört auch, dass wichtige Funktionen per Tastenkürzel ausgeführt werden können. Das hilft blinden und sehbehinderten Menschen. Tastenkürzel können mit JavaScript wie folgt realisiert werden:

document.addEventListener("keydown", (varevent) => {
  switch (varevent.key) {
    case "s":
      document.getElementById("btnStart").click();
      break;
    case "w":
      document.getElementById("btnWeiter").click();
      break;
  }
});

Der JavaScript-Code sorgt dafür, dass der Schalter Start durch Drücken des Buchstaben s und der Schalter Weiter mit dem Buchstaben w ausgeführt werden kann.

Sichtbarkeit des Tastaturfokus

Dieses Thema bekommt dann große Bedeutung, wenn eine PWA auf einem Computer oder Laptop ausgeführt wird. Menschen mit einer Sehbehinderung haben Probleme, zu erkennen, welches Bedienelement den Tastaturfokus hat. In Eingabefeldern wird der Textcursor oft als schmaler senkrechter Strich dargestellt. Das ist für Menschen mit einer Sehbehinderung sehr schwer zu erkennen. Microsoft hat im Betriebssystem Windows 11 hierfür eine Lösung. In Einstellungen | Barrierefreiheit | Textcursor kann bei Textcursor-Indikator [16] die Darstellung des Textcursors angepasst werden.

In PWAs kann der App-Entwickler dafür sorgen, dass aktive Bedienelemente die Farbe Gelb als Hintergrundfarbe zugewiesen bekommen. Wenn ein Bedienelement bei Aktivierung eine gelbe Hintergrundfarbe bekommt, ist das für Menschen mit Sehbehinderung sofort sichtbar. Das kann mit CSS sehr einfach gelöst werden:

#btnStart:focus{background-color: yellow; color: black;}

Barrierefreier Farbkontrast

Menschen mit einer Farbfehlsichtigkeit können nicht immer einer Farbe den richtigen Namen zuordnen. Ihnen fehlt das Gefühl, welche Farben zusammenpassen. Ein Text mit einer dunklen Schriftfarbe auf einer dunklen Hintergrundfarbe ist für sie ebenso wenig erkennbar wie Text mit einer hellen Schriftfarbe auf einer hellen Hintergrundfarbe. Für diese Menschen ist es wichtig, dass eine App-Oberfläche einen barrierefreien Farbkontrast zwischen Schriftfarbe und Hintergrundfarbe [17] hat. Die Überprüfung des Farbkontrasts auf Barrierefreiheit einer App-Oberfläche kann mit der kostenlosen Software Colour Contrast Analyser [18] vorgenommen werden.

Zur generellen Frage der Farbgestaltung von PWA-Oberflächen ist es auch möglich, sich Anregungen von Material Design [19] von Google zu holen.

Motorische Einschränkungen

Motorische Einschränkungen betreffen „kleine Bewegungen“ (Feinmotorik) und „große Bewegungen“ (Grobmotorik). Menschen mit motorischen Einschränkungen in den Händen können Probleme haben, zu kleine Schaltflächen anzutippen. Google führt deswegen in seinen Richtlinien zur barrierefreien Appentwicklung das Kriterium „Use large, simple controls“ auf [20]. Hier empfiehlt Google eine Mindestgröße von Schaltflächen von 48dpx48dp. Bei der Entwicklung von PWAs wird empfohlen, diese Mindestgröße umzusetzen, weil sie auch von dem Accessibility Scanner (so heißt das Überprüfungstool von Google) kontrolliert wird.

Menschen mit motorischen Einschränkungen können auf die Idee kommen, eine PWA auf einem Tablet, iPad oder Computer zu bedienen, mit der Hoffnung, dass dort die Schaltflächen größer dargestellt werden. Wie im Abschnitt Screenreadertauglichkeit erklärt, ist das der Grund, warum die Schaltflächen nicht als JavaScript-Buttons

<button onclick="myFunction()">Click me</button>

sondern als Divs

<div role="button" aria-label="Quiz starten" tabindex="0">START</div>

definiert werden.

Mit Media Queries (gehört zu Cascading Style Sheets) kann dafür gesorgt werden, dass bei einer Displaygröße von 768 x 1024 die Schaltflächen größer dargestellt werden. Folgender CSS-Code zeigt, wie es geht:

@media only screen and (min-width: 768px){ 
  .schalter{
    height: 6.0rem;
  }
}

Es wird die Displaygröße 1024 × 768 abgefragt, die bei Tablets und iPads oft anzutreffen ist. Die Abfrage funktioniert ebenfalls bei Bildschirmauflösungen von Computern und Laptops. Wenn die Displaygröße zutrifft, werden die Div-Container, welche eine CSS-Klasse Schalter besitzen, in der Höhe auf 6.0 rem angepasst. Somit werden die Schaltflächen größer und Menschen mit motorischen Einschränkungen in den Händen haben es leichter, eine Schaltfläche mit dem Finger oder der Computermaus anzutippen.

Übernahme von Einstellungen des Betriebssystems

Bestimmte Personengruppen mit körperlichen Einschränkungen nehmen grundsätzliche Anpassungen im Betriebssystem vor mit der Erwartung, dass die Apps diese Einstellungen übernehmen. Sehbehinderte Menschen passen im Betriebssystem die Schriftgröße an. Menschen mit einer Farbfehlsichtigkeit können im Betriebssystem den hohen Kontrast aktivieren.

PWAs sollen, wenn installiert, so plattformnah wie möglich aussehen und sich auch so verhalten. Deswegen ist dieses Thema etwas komplex. Für Menschen mit einer Sehbehinderung ist es wichtig, dass die App-Oberfläche vergrößert bzw. gezoomt werden kann. Wie dies auf unterschiedliche Betriebssysteme umgesetzt wird, zeigt Tabelle 2.

Betriebssystem	App-Oberfläche zoomen
Windows	Im App-Menü (3 senkrechte Punkte) gibt es einen Menüpunkt Zoomen
Ubuntu	Im App-Menü (3 senkrechte Punkte) gibt es einen Menüpunkt Zoomen
macOS	Im App-Menü (3 senkrechte Punkte) gibt es einen Menüpunkt Zoomen
Android	Einstellungen | Bedienungshilfen | Text und Anzeige | Anzeigegrösse
IOS	Bedienungshilfen | Zoom

Tabelle 2: Vergrößern der App-Oberfläche auf unterschiedlichen Betriebssystemen

An diesem Beispiel wird deutlich, dass es keine einheitliche Regel gibt. Bei drei Betriebssystemen wird das Zoomen in der App-Oberfläche umgesetzt und bei zwei Betriebssystemen wird die Einstellung im Betriebssystem übernommen. Dieses Wissen ist wichtig, wenn App-Entwickler bestimmte Barrierefreiheitsfunktionen auf unterschiedlichen Betriebssystemen testen möchten.

Progressive Web Apps auf Barrierefreiheit validieren

Nach der App-Entwicklung mit Barrierefreiheit im Blick muss zum Schluss herausgefunden werden, ob alles tatsächlich wie gewünscht funktioniert. Es gibt zwei grundsätzliche Methoden, PWAs auf Barrierefreiheit zu testen: ein automatisierter Test oder ein Test von Hand aufgrund der Richtlinien EN 301 549.

Zunächst wird der automatisierte Test mit dem Accessibility Scanner [21] betrachtet. Dieser ist für Smart-phones und Tablets ab Android 6.0 geeignet [22]. Auf einem Tablet mit Android 12 ist er erfreulicherweise schon vorinstalliert. Mit dem Accessibility Scanner können native Apps und PWAs auf Barrierefreiheit überprüft werden. Aktiviert wird er in Einstellungen | Bedienungshilfen | Accessibility Scanner. Zunächst wird eine Erlaubnis benötigt, dass der Scanner über anderen Apps eingeblendet werden darf. In den Einstellungen können das Textkontrastverhältnis, das Bildkontrastverhältnis und die Größe des Berührungsbereichs angepasst werden.

Es gibt zwei Möglichkeiten, mit dem Accessibility Scanner eine PWA auf Barrierefreiheit zu überprüfen: „Aufnehmen“ und „Snapshot“. „Aufnehmen“ macht jedes Mal ein Screenshot, wenn sich die App-Oberfläche ändert. Mit dieser Methode kann man sehr schnell eine komplette PWA auf Barrierefreiheit überprüfen. Bei „Snapshot“ kann der App-Entwickler festlegen, wann er die App-Oberfläche überprüfen möchte. Wenn der Accessibility Scanner Fehler findet, dann sind die Fehlermeldungen leicht verständlich formuliert, sodass der App-Entwickler weiß, was er zur Behebung tun muss.

Eine weitere Möglichkeit, die Barrierefreiheit einer PWA zu überprüfen, ist das kostenlose Tool Google Lighthouse [23]. Google Lighthouse ist im Browser Google Chrome in den Entwickler-Tools zu finden. Folgende Schritte müssen umgesetzt werden, um eine PWA mit Google Lighthouse auf Barrierefreiheit zu überprüfen: Die PWA in Google Chrome öffnen. Die Entwickler-Tools öffnen über das Menü Weitere Tools | Entwickler-Tools oder mit der Tastenkombination STRG + UMSCHALT + I. Jetzt das Menü „>>“ aktivieren und dann das Menü Lighthouse auswählen. Hier den Modus auf Navigation (Default) lassen. Bei Gerät die Option Mobil auswählen. Bei Categories die Option Bedienungshilfen auswählen. Jetzt mit Aktivieren des Schalters Analyze page load die Analyse auf Barrierefreiheit starten.

Wenn die Analyse beendet ist, wird ein Kreis angezeigt, in dem eine Zahl steht. Die Zahl 100 ist die beste Bewertung, die erreicht werden kann. Als Erstes werden Prüfungskriterien angezeigt, die nicht bestanden wurden. Weiter unten werden Elemente angezeigt, die manuell geprüft werden müssen. Noch weiter unten werden Bestandene Prüfungen und ganz unten Nicht zutreffend angezeigt. In der Kategorie Zusätzliche Elemente zur manuellen Überprüfung gibt es noch einen Link zur Seite „How To Do an Accessibility Review“ [24]. Hier gibt Google-Mitarbeiter Rob Dodson Tipps in Form eines YouTube-Videos und Text, wie eine Überprüfung auf Barrierefreiheit durchgeführt werden kann.

Die dritte Möglichkeit ist, die PWA nach den 98 Prüfungsschritten der EN 301 549 von Hand zu prüfen. Zusätzlich ist es hilfreich, die App von Menschen mit Behinderungen testen zu lassen. Ob beispielsweise eine PWA für blinde Menschen bedienbar ist, weiß ein blinder Mensch am besten.

Fazit

Das Entwickeln von barrierefreien PWAs ermöglicht es, barrierefreie Apps zu entwickeln, die auf allen Betriebssystemen den gleichen Standard in Sachen Barrierefreiheit zu Verfügung stellen. Das bedeutet, dass es keine Personengruppe gibt, die von der Nutzung einer App auf einem bestimmten Betriebssystem ausgeschlossen wird.

Markus Lemcke ist seit elf Jahren selbstständig im Bereich Barrierefreiheit von Webseiten, Software und Betriebssystemen. Er ist Dozent an Hochschulen und schreibt als Autor für Fachmagazine. Sein Schwerpunkt ist die barrierefreie Softwareentwicklung mit Java und C#.

Links & Literatur

[1] https://www.gesetze-im-internet.de/bgg/__12a.html

[2] https://www.etsi.org/deliver/etsi_en/301500_301599/301549/03.02.01_60/en_301549v030201p.pdf

[3] https://developer.android.com/guide/topics/ui/accessibility/apps

[4] https://developer.apple.com/library/archive/documentation/UserExperience/Conceptual/iPhoneAccessibility/Making_Application_Accessible/Making_Application_Accessible.html

[5] https://docs.microsoft.com/de-de/windows/apps/design/accessibility/developing-inclusive-windows-apps

[6] https://www.destatis.de/DE/Themen/Gesellschaft-Umwelt/Gesundheit/Behinderte-Menschen/_inhalt.html

[7] https://www.destatis.de/DE/Themen/Querschnitt/Demografischer-Wandel/Aeltere-Menschen/bevoelkerung-ab-65-j.html

[8] https://www.bitvtest.de/bitv_test/das_testverfahren_im_detail/pruefschritte.html

[9] https://www.w3.org/TR/WCAG21/

[10] https://www.youtube.com/watch?v=vAwf4WFq1jg

[11] https://www.youtube.com/watch?v=ABdOTZUGZR0

[12] https://www.youtube.com/watch?v=6MjR498CyMM

[13] https://www.youtube.com/watch?v=HIKGTi8O9KQ

[14] https://webtest.bitv-test.de/index.php

[15] https://webtest.bitv-test.de/index.php?a=di&iid=267&s=n

[16] https://www.youtube.com/watch?v=cjl0gTkAVc8

[17] https://webtest.bitv-test.de/index.php?a=di&iid=260&s=n

[18] https://www.tpgi.com/color-contrast-checker/

[19] https://material.io/design/color/the-color-system.html

[20] https://developer.android.com/guide/topics/ui/accessibility/apps

[21] https://support.google.com/accessibility/android/answer/6376570?hl=de

[22] https://www.youtube.com/watch?v=GRV1kucMqIo

[23] https://developers.google.com/web/tools/lighthouse

[24] https://web.dev/how-to-review/

von  Steffen Ritter

Eine Forsa-Umfrage [1] zeigt: Über 70 Prozent der Unternehmen sehen sich nicht durch Cyberkriminelle gefährdet. Gerade das E-Commerce-Umfeld ist für Kriminelle jedoch besonders interessant – und damit einem hohen Risiko ausgesetzt. Aber wie erkennen Betreiber Handlungsbedarf, wie stellen sie sich am besten auf – und wieso ist IT-Security nicht nur ein technisches, sondern auch ein betriebswirtschaftliches Thema?

Ein E-Commerce-Projekt ins Leben rufen – nie war das einfacher als heute. Eine Fülle freier wie kommerzieller Software und vielfältige Hosted-SaaS-Lösungen, Onlinemarktplätze und Zahlungsdienstleister machen es möglich. Hinzu kommt das breite Angebot an freien Entwicklern, E-Commerce-Dienstleistern und Dokumentationsressourcen für die Umsetzung in Eigenregie. Segen auf der einen und Fluch auf der anderen Seite, denn: Mit diesem Boom sind die Webportale vermehrt auch in den Fokus von Cyberkriminellen geraten. Fast täglich gibt es Meldungen über gehackte Onlineshops, und sowohl das Bundeskriminalamt (BKA) als auch private Studien stellen fest: Cybercrime nimmt drastisch zu. Was viele nicht bedenken, ist, dass nicht nur klassische Onlineshops von diesen Risiken betroffen sind. Bei solchen Angriffen geht es vor allem um den Diebstahl von persönlichen Daten. Daher sind auch immer komplexer werdende Webapplikationen mit umfangreichen geschlossenen Bereichen für Kunden, Mitglieder oder Partner beliebtes Ziel von Angriffen. Denn auch solche Lösungen müssen, um ihre Zwecke zu erfüllen, einen entsprechenden Umfang an persönlichen Daten speichern.

Laut einer Forsa-Umfrage im Auftrag des Gesamtverbands der Deutschen Versicherungswirtschaft e. V. (GDV) im April 2020 bei kleinen und mittleren Unternehmen sind zwar knapp 70 Prozent der befragten Unternehmen der Meinung, dass das Risiko, Opfer einer solchen Attacke zu werden, in Deutschland hoch ist. Erstaunlicherweise sind jedoch ebenso über 70 Prozent der Befragten der Meinung, dass es sie nicht treffen wird, weil sie zu klein oder zu uninteressant sind. Gerade diese Sorglosigkeit ist leichtsinnig. Betreiber von Webplattformen aller Art sollten sich der Auswirkungen bewusst sein, die sowohl erfolgreiche als auch nicht erfolgreich abgeschlossene Angriffe auf das eigene Geschäft haben können. Mit diesem Wissen können sie die richtigen Maßnahmen ergreifen, um sich und ihre Kunden zu schützen, ohne dabei tiefergehendes Technologie-Know-how zu benötigen.

https://phpconference.com/session-qualification/ipc-php/?layout=contentareafeed&widgetversion=1&utmtrackerversion=1&seriesId=vRYNCmGQh2xZuzqrE

Mögliche Folgen eines Cyberangriffs

Hohe Kosten: Die aktuelle Rechtslage verpflichtet Unternehmen in vielen Fällen, Cybersecurityvorfälle zu melden. Eine IT-forensische Untersuchung des Vorfalls durch entsprechende Sachverständige ist häufig nicht abzuwenden und mit Kosten für das Unternehmen verbunden. Kam es beispielsweise zu Datenverlust personenbezogener Daten, müssen alle Betroffenen informiert werden. Je nach Größe des Unternehmens und Auswirkungen des Sicherheitsvorfalls können so weitere Kosten für Marketingmaßnahmen oder Krisenkommunikation entstehen.

Umsatzverlust: Ein Hack wirkt sich oft direkt auf den Umsatz aus. Das beginnt schon damit, dass ein Onlineshop durch einen Angriff gegebenenfalls nicht mehr erreichbar oder voll funktional ist. Auch kann es sein, dass er wegen forensischer Untersuchungen abgeschaltet werden muss. Doch das ist noch nicht alles: Durch Zugriffsmöglichkeiten auf die Interna könnten Angreifer beispielsweise Bestellungen, Preise oder den Zahlungsstatus manipulieren. Das verursacht Verzögerungen im Betriebsablauf durch notwendige Kontroll- und Korrekturarbeiten nach Inkonsistenzen der Daten, zum Beispiel zwischen Onlineplattform und Lager oder Enterprise-Resource-Planning-(ERP-)System . Im Ergebnis kommt es zu Lieferschwierigkeiten bei „echten Kunden“ – und das führt am Ende zu Unzufriedenheit und Vertrauensverlust beim Kunden sowie weiterem Umsatzverlust.

Imageschaden: Vielleicht noch bedeutender als direkt messbare Umsatzverluste ist die langfristige Schädigung der Kundenbeziehung. Selbst wenn der Angriff keine direkten finanziellen oder persönlichen Auswirkungen auf die Kunden hatte, erschüttert er das Vertrauen in den Betreiber und seine Plattform – und beeinflusst somit die Kundenbindung. Besonders gravierend ist die Lage, wenn sensible Daten gestohlen wurden – seien sie persönlicher Natur oder Kreditkartendaten. Bei der großen Auswahl an Shops und Dienstleistern im Internet und dem damit verbundenen Tiefpreisgefüge ist die Wahl am Ende häufig eine Sympathieentscheidung – eine negative Sicherheitshistorie ist also massiv geschäftsschädigend. Einige Hackerangriffe zielen sogar genau darauf ab. Beim sogenannten Defacing werden Websiteinhalte mit Fehlinformationen manipuliert, um Anbieter zu diffamieren oder sie in juristische Schwierigkeiten zu bringen.

Zivilrechtliche Konsequenzen

Schadenersatzansprüche: Ein Schadenersatzanspruch (vgl. § 823 BGB [2]) in Deutschland ergibt sich aus der Vorsätzlichkeit oder der Fahrlässigkeit einer Handlung, die mittelbar zum Schaden eines Dritten führt. Gemäß IT-Sicherheitsgesetz aus Juli 2015 [3] sind Betreiber von Onlinepräsenzen dazu verpflichtet, alle technisch möglichen und wirtschaftlich zumutbaren Anstrengungen technischer wie organisatorischer Art zu unternehmen, um ihre Plattformen gegenüber Angriffen zu sichern (vgl. § 13 TMG Abs. 7 [4]). Gemäß Rechtsprechung handelt grob fahrlässig, wer seinen Sorgfaltspflichten in besonderem Maße nicht nachkommt. Die IT-Security-Studie 2019 von eco – Verband der Internetwirtschaft e. V. [5] hat aufgezeigt, dass 72 Prozent der Webdienste kleiner und mittlerer Unternehmen nicht sicher konfiguriert sind. Eine ordentliche und sichere Konfiguration ist aber im Rahmen der technischen Möglichkeiten und auch wirtschaftlich zumutbar.

Dies impliziert in den meisten Fällen eine Schadenshaftungspflicht für den Plattformbetreiber, was auch im Versicherungskontext relevant ist, denn viele Versicherungen schließen grobe Fahrlässigkeit von ihrer Leistungspflicht aus. Üblicherweise sind Schadenersatzforderungen von Kreditkartenunternehmen bzw. Zahlungsanbietern zu erwarten, wenn Daten abhandengekommen sind, die Zahlungsmittelmissbrauch erlauben, sowie von vertraglichen Partnerunternehmen wie Lieferanten, Versanddienstleistern, Hostingpartnern oder Markeninhabern, wenn diesen durch den Angriff Schäden entstanden sind.

Unterlassungsansprüche und Abmahnungen: Wenn ein Betreiber mit seiner Webpräsenz gegen rechtliche Bestimmungen verstößt oder Schutzrechte Dritter verletzt, haben Betroffene das Recht, ihn darauf aufmerksam zu machen und Unterlassung zu fordern – allgemein als Abmahnung bekannt. Das Gesetz gegen unlauteren Wettbewerb [6] definiert Verstöße gegen Rechtsvorschriften als unlauter, was Marktteilnehmern regelmäßig das Recht zur Abmahnung einräumt.

Ein Unterlassungsanspruch dürfte sich also unter den gleichen Maßgaben ergeben wie im Bereich Schadenersatz. Hinzu kommen die möglichen Verletzungen weiterer Ansprüche, beispielsweise durch das Gesetz gegen unlauteren Wettbewerb (UWG), Telemediengesetz (TMG) [7], die Datenschutz-Grundverordnung (DSGVO) [8], Preisangabenverordnung (PAngV) [9], das Urheberrechtsgesetz (UrhG) [10] und weitere, wenn die Angreifer die Inhalte der Webseite dahingehend bewusst verändert haben.

Vertragsstrafen: Lieferanten, Versanddienstleister, IT-Dienstleister, Hostingprovider, Markeninhaber oder Zahlungsdienstanbieter – Partner und Dienstleister sind in den meisten Fällen essenziell für das Geschäftsmodell hinter der Onlineplattform. Sind diese durch einen Angriff auf ein Portal ebenso beeinflusst worden, kann dies neben den Schadenersatzansprüchen auch zu Vertragsstrafen führen – oder zur Auflösung der Zusammenarbeit.

Bußgelder und Ordnungsgelder: Die beiden wohl bekanntesten Gesetze/Verordnungen im Bereich Web sind die DSVGO und das TMG.

• DSGVO – Datenschutz-Grundverordnung: Seit 2018 gilt europaweit die Datenschutz-Grundverordnung der Europäischen Union, die die besondere Schutzbedürftigkeit im Umgang von personenbezogenen Daten regelt. Als Shopbetreiber ist es unausweichlich, während des Bestellprozesses personenbezogene Daten zu erfassen. Werden diese aber missbräuchlich verwendet, etwa weil ein unzureichender Schutz besteht, ist ein Bußgeld in Höhe von bis zu 4 Prozent des Jahresumsatzes zu erwarten.
• TMG – Telemediengesetz: Im Telemediengesetz sind beispielsweise die Impressumspflicht oder Bestimmungen gegen Spam geregelt, aber eben auch die Pflicht, zumutbare Anstrengungen zu unternehmen, sein Angebot sicher zu betreiben. Eine Zuwiderhandlung ist als Ordnungswidrigkeit eingestuft, die mit einem Ordnungsgeld in Höhe von bis zu 50 000 Euro geahndet werden kann (vgl. § 16 TMG).

Nachgelagerte Angriffe: Die Dunkelziffer der nicht erkannten Hacks wird auf schwindelerregende Höhen geschätzt. In vielen Fällen ist ein Webportal gar nicht das primäre Ziel des Angriffs und der Angriff nur die erste Stufe eines mehrphasigen Plans. Mit den gewonnenen Daten wie zum Beispiel Benutzernamen/Passwörtern (Mitarbeiter verwenden häufig dieselben Log-in-Daten bei verschiedenen Systemen), internen Dokumenten, Anbindungen an interne Systeme wie ERP, Warenwirtschaft o. ä. werden Angriffe auf weitere Bereiche interner Netzwerke überhaupt erst ermöglicht oder bieten die Grundlage für Spear-Phishing-Attacken mittels Social Engineering.

Wie lässt sich ein E-Commerce-Projekt sicher umsetzen?

Wenngleich die möglichen Risiken abschreckend klingen mögen, so ist es mit entsprechender Sorgfalt kein Problem, sich in diesem Bereich geschäftlich, juristisch wie technisch sicher zu betätigen. Millionen von erfolgreichen und sicheren Webdiensten zeigen dies ganz klar: Mit Vorbereitung, Weitblick und verantwortungsvollem Umgang mit der Thematik lässt sich das Risiko drastisch minimieren und die juristischen Folgen lassen sich reduzieren.

Schritt 1: Überblick über Risiken, Gefahren und Status quo schaffen: Über welche Daten verfügt ein Shop oder Webportal, wo sind Schwachstellen, wen könnte ein Angriff betreffen und welche Pflichten hat der Betreiber? Eine Übersicht bezogen auf das konkrete Projekt hilft, Schwachstellen, Risiken und Handlungsbedarf zu erkennen und Maßnahmen einzuleiten. Eine Dokumentation der Systemlandschaft unter Sicherheitsaspekten und eine Schulung des Teams kann oft einen großen Teil der Risiken kontrollierbar machen. Viele Angriffsvektoren werden dabei auch ohne identifizierbaren Handlungsbedarf erfasst, dafür wird allen Beteiligten vor Augen geführt, was für den zukünftigen Betrieb, aber auch die Weiterentwicklung hilfreich ist.

Folgende Fragestellungen helfen E-Commerce-Betreibern dabei, einzuordnen, wie sie hinsichtlich Security aktuell aufgestellt sind und wo Handlungsbedarf besteht:

• Werden bei unserem Dienst regelmäßige Updates durchgeführt? Wer führt diese in welchen Intervallen durch? Bestehen Wartungsverträge und Service Level Agreements (SLAs)?
• Wie ist die Lösung gehostet? Welche SLAs liegen dort vor und welche Vereinbarungen existieren dort für Sicherheitsupdates, Back-ups und Ähnliches?
• Teilt sich unsere Plattform einen Server mit anderen Projekten (intern im Haus oder auch extern im Sinne von Shared Hosting)?
• Ist unser Portal mit automatischen Schnittstellen an andere Dienste angebunden, egal ob eingehend oder ausgehend, und wurde diese Verbindung unter IT-Sicherheitsaspekten geplant und umgesetzt? Sind die Datenquellen vertrauenswürdig oder können sie manipuliert werden?
• Habe ich das Gefühl, dass meine Mitarbeiter/Kollegen wie auch beauftragte Dienstleister sich der Sicherheitsrisiken, Abwehrmaßnahmen und Folgen bewusst sind (Security Awareness) und sich regelmäßig weiterbilden?
• Ist aus einem Provisorium eine Dauerlösung geworden oder eine längst abgekündigte Lösung nicht ersetzt worden?
• Wurden Änderungen oder Erweiterungen kurzfristig bis überstürzt umgesetzt, um zum Beispiel einen Produktlaunch zu unterstützen oder dem unerwarteten Ansturm aufgrund einer Marketingmaßnahme gerecht zu werden?

Darüber hinaus können sowohl E-Commerce- als auch Cybersecurityexperten ein Projekt technologisch analysieren und schnell einschätzen, wo es steht – und dann entsprechende Handlungsempfehlungen aussprechen oder selbst handeln. Hier seien exemplarisch die beiden großen Verfahren des Penetrationstests (als Black-Box-Test), aber auch das Begutachten der eingesetzten Komponenten, von Architekturkonzepten und Implementierungen (White-Box-Test) genannt.

Schritt 2: Juristische Beratung: Es empfiehlt sich generell eine juristische Beratung, die branchen- und dienstleistungsspezifisch aufzeigt, welche Gesetze, Verordnungen und berufsrechtliche Regularien im konkreten Tätigkeitsbereich anzuwenden sind und welche konkreten Anforderungen sich daraus für ein Onlineangebot ergeben. Diese Anforderungen kann ein Technologiedienstleister dann in der Entwicklung berücksichtigen. Es ist wichtig zu verstehen, dass der Betreiber selbst dafür verantwortlich ist, dass sein Onlineangebot rechtskonform umgesetzt wird – und selbstverständlich auch über die ganze Lebensspanne des Angebots konform bleibt. Dies muss auch sich verändernde Inhalte oder Rechtslagen berücksichtigen. Der Technologiedienstleister ist (meist) allein für die Umsetzung zuständig und kann weder eine juristische Beratung durchführen noch für die Rechtssicherheit eines Onlineangebots haften.

Schritt 3: Wahl der passenden Dienstleister: Im Optimalfall kennen Technologiepartner und Dienstleister die Risiken und Aspekte der IT-Sicherheit und beziehen diese bereits von der Planung an in Projekte ein. Nicht immer liegt dieses Themenfeld jedoch in der Expertise der Dienstleister. E-Commerce- und Cybersecurityspezialisten können in diesem Fall potenzielle Schwachstellen oder Handlungsbedarf an bestehenden Projekten identifizieren oder in Form von Beratung den Dienstleister wie Anbieter unterstützen.

Zu Beginn eines E-Commerce-Projekts oder eines Relaunchs bietet es sich an, Security by Design einzuführen und in der Ausschreibung zu berücksichtigen – sowohl als Leistungsgegenstand als auch als Auswahlkriterium für den Dienstleister.

Schritt 4: Plan für den Ernstfall: Absolute Sicherheit gibt es nicht. Ein Unternehmen kann sich auf einen Hackerangriff vorbereiten, um im Ernstfall zum einen schnell reagieren zu können und zum anderen möglichst gut abgesichert zu sein. Ein solcher Plan wird am besten von Juristen, IT-Security-Spezialisten, dem technologischen Shopdienstleister und den Betriebsverantwortlichen in der Organisation gemeinsam entwickelt. Zusätzlich bietet beispielsweise die deutsche Versicherungswirtschaft sogenannte Cybersecurityversicherungen an, mit denen ein Anbieter das verbleibende Risiko und somit die geschäftliche Existenz absichern kann.

Cybersecurity: Jetzt angehen und in Zukunft profitieren

Die Augen vor den Gefahren verschließen und hoffen, dass alles gutgeht, scheint gemäß der Forsa-Umfrage en vogue zu sein. Wer allerdings online langfristig erfolgreich sein will, sollte Verantwortung übernehmen und seine Risiken abschätzen. Damit schützt ein Betreiber ebenso sich wie auch die eigenen Kunden und Partner. Die drastische Zunahme von Cybercrime und die inzwischen einfache Verfügbarkeit von Angriffshilfsmitteln verstärkt die Dringlichkeit des Handlungsbedarfs auf Seiten der Betreiber. Die eco-Studie zeigt auf, dass dieses Bewusstsein im Mittelstand ankommt – aber erst langsam. Den Herausforderungen müssen sich Betreiber von Webplattformen nicht alleine stellen: Mit Partnern, die die Problemstellungen und Risiken kennen und wissen, welche Cybersecurityfragen relevant sind, lässt sich jedes E-Commerce-Projekt sicher planen, umsetzen oder optimieren – am besten, bevor ein Schaden eingetreten ist.

Steffen Ritter arbeitet als E-Commerce Consultant und Software Architect bei AOE GmbH in Wiesbaden. In dieser Funktion berät er Kunden und erstellt Konzepte in den Bereichen Integrationen, Systemarchitekturen, Identity Management und IT-Security im Web in Digitalisierungs- und E-Commerce-Projekten. AOE entwickelt seit 20 Jahren erfolgreiche E-Commerce-Projekte und unterstützt seine Kunden im IT-Security-Umfeld besonders im Web-Application-Security-Bereich durch Analysen, Beratung, Konzepte, Penetrationstests und ähnliches wie auch bei der Konzeptionierung von OAuth-gestütztem IDM und SSO und deren Implementierung.

Links & Literatur

[1] https://www.gdv.de/resource/blob/61466/0456901217b39a5893bc6829b8d7d156/report-cyberrisiken-im-mittelstand-2020-data.pdf

[2] § 823 BGB: https://www.gesetze-im-internet.de/bgb/__823.html

[3] IT-Sicherheitsgesetz 2015: https://www.bgbl.de/xaver/bgbl/start.xav?startbk=Bundesanzeiger_BGBl&jumpTo=bgbl115s1324.pdf

[4] § 13 TMG Abs. 7: https://www.gesetze-im-internet.de/tmg/__13.html

[5] eco-Studie: https://www.eco.de/presse/immer-mehr-unternehmen-planen-fuer-den-it-notfall

[6] Gesetz gegen den unlauteren Wettbewerb: https://www.gesetze-im-internet.de/uwg_2004/index.html

[7] Telemediengesetz: https://www.gesetze-im-internet.de/tmg/index.html

[8] DSVGO im Original: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679

[9] Preisangabenverordnung: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679

[10] Gesetz über Urheberrecht und verwandte Schutzrechte: https://www.gesetze-im-internet.de/urhg/index.html

NIS-2-Richtlinie: Auftrag für KRITIS-Schutz

Mit den überarbeiteten Vorgaben an kritische Einrichtungen im Bereich der Cybersicherheit hat die EU auf die geänderte Gefahrenlage reagiert. Bis 2024 müssen die EU-Staaten ihr nationales Recht anpassen.

Von Tobias Haar

-tract

• Die NIS-2-Richtlinie löst ihre Vorgängerin ab, EU-Mitgliedsstaaten müssen sie bis 2024 in nationales Recht umsetzen.
• Die neue Richtlinie hat zwei Schwerpunkte: das Erschaffen nationaler Cybersicherheitsstrategien samt den dafür nötigen Institutionen sowie die verbesserte Kommunikation zwischen den Mitgliedsstaaten und den Sicherheitsbehörden.
• Die NIS-2-Richtlinie erweitert den Anwendungsbereich auf zusätzliche Sektoren und Unternehmen.
• Hierzulande dürfte die Umsetzung im Rahmen eines überarbeiteten IT-Sicherheitsgesetzes, dann in Version 3.0, erfolgen. Dies hatte der Koalitionsvertrag der Bundesregierung ohnehin vorgesehen.

Das Ziel der NIS-2-Richtlinie zum Schutz von Netzwerk- und Informationssystemen ist die Verbesserung der Resilienz und Reaktionsfähigkeit im Bereich der Cybersicherheit der öffentlichen und privaten Sektoren sowie der EU insgesamt. Sie löst die Vorgängerregelung NIS-1-Richtlinie aus dem Jahr 2016 ab. Im Text der NIS-2-Richtlinie wird der Vorgängerin eine große Rolle bei der Stärkung der Cyberresilienz bescheinigt, zudem habe sie in diesem Bereich ein „erhebliches Umdenken bewirkt“. Zwischenzeitlich hätten sich allerdings „inhärente Mängel ergeben, die ein wirksames Vorgehen gegen aktuelle und neue Herausforderungen im Bereich Cybersicherheit verhindern“.

Bis zum 17. Oktober 2024 müssen EU-Mitgliedsstaaten die NIS-2-Richtlinie in nationales Recht umsetzen. So sieht es die „Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union … (NIS-2-Richtlinie)“ vor. Verordnungen, beispielsweise die Datenschutz-Grundverordnung (DSGVO), gelten im Gegensatz dazu unmittelbar nach Inkrafttreten für jeden Einzelnen und sind rechtlich verbindlich.

Artikel 1 der neuen NIS-2-Richtlinie beschreibt deren Ziele. In erster Linie gehe es darum, „nationale Cybersicherheitsstrategien zu verabschieden sowie zuständige nationale Behörden, Behörden für das Cyberkrisenmanagement, zentrale Anlaufstellen für Cybersicherheit und Computer-Notfallteams (CSIRT) zu benennen oder einzurichten“. Außerdem beschäftigt sie sich mit Regelungen zum Cybersicherheitsmanagement, einschließlich entsprechender Berichtspflichten, dem Austausch von Cybersicherheitsinformationen zwischen den EU-Staaten sowie mit der Art und Weise der Aufsicht in den einzelnen Mitgliedsstaaten. Sektorspezifische Spezialgesetze gehen ebenfalls aus der NIS-2-Richtlinie hervor.

Mehr Sektoren und Unternehmen betroffen

Die NIS-2-Richtlinie erweitert den Anwendungsbereich auf zusätzliche Sektoren und Unternehmen (siehe Abbildung). In Anhang I zur Richtlinie finden sich Auflistungen von „Sektoren mit hoher Kritikalität“ sowie „sonstige kritische Sektoren“. Zu ersteren zählen Unternehmen im Bereich Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Zur zweiten Gruppe zählen die Sektoren Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Umgang und Handel mit chemischen Stoffen oder Lebensmitteln, bestimmte Unternehmen im Bereich des verarbeitenden Gewerbes, Anbieter digitaler Dienste sowie Forschung.

Unternehmen, die in mindestens einen der genannten Sektoren fallen, sind von der Richtlinie erfasst, wenn sie als „mittleres Unternehmen“ einzustufen sind. Das gilt für Firmen mit weniger als 250 Mitarbeitern und einem Jahresumsatz von unter 50 Millionen Euro beziehungsweise einer Jahresbilanz von unter 43 Millionen Euro. Ungeachtet ihrer Einstufung sind Anbieter öffentlicher Kommunikationsnetze und -dienste sowie Vertrauensdiensteanbieter und Namensregister der obersten Domäne einschließlich DNS-Diensteanbieter stets erfasst. Die Richtlinie führt weitere Kriterien für die Einstufung von Unternehmen als kritisch ein und erlaubt es den Mitgliedsstaaten, diese weiter zu verschärfen. So strebt sie für die gesamte EU eine „Mindestharmonisierung“ an.

Kapitel 2 der Richtlinie legt Vorgaben für einen „Koordinierten Rahmen für die Cybersicherheit“ fest. Dazu zählt in erster Linie, dass sich jeder EU-Staat eine nationale Cybersicherheitsstrategie geben muss. Diese muss beispielsweise „die Bestimmung von Maßnahmen zur Gewährleistung der Vorsorge, Reaktionsfähigkeit und Wiederherstellung bei Sicherheitsvorfällen, einschließlich der Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor“ umfassen.

Ein Schwerpunkt in dieser nationalen Cybersicherheitsstrategie liegt auf IKT-Produkten und -Diensten. Ein weiterer auf „der allgemeinen Verfügbarkeit, Integrität und Vertraulichkeit des öffentlichen Kerns des offenen Internets“. Risikomanagementmaßnahmen sollen stets weiterentwickelt und auf dem neuesten Stand eingesetzt werden.

Die EU-Staaten müssen für die Cybersicherheit zuständige Behörden schaffen und dies der EU-Kommission mitteilen. Über sie sollen grenzüberschreitende Abstimmungen erfolgen. Sie sollen über „angemessene Ressourcen“ verfügen, um ihre Aufgaben wirksam und effizient wahrnehmen zu können, um die Ziele der NIS-2-Richtlinie zu erreichen.

Nationale Notfallteams

Die NIS-2-Richtlinie sieht außerdem die Schaffung von Computer-Notfallteams (CSIRTs) vor und beschreibt ausführlich, welchen Anforderungen diese genügen müssen. Sie müssen über eine hohe Erreichbarkeit verfügen und dafür redundante Kommunikationskanäle unterhalten. Sie sind an sicheren Standorten einzurichten, ihre Datenverarbeitung muss sicher und ihre Bereitschaft jederzeit gewährleistet sein. Zu ihren Aufgaben zählen die Überwachung und Analyse von Cyberbedrohungen, die Ausgabe von Frühwarnungen und Alarmmeldungen sowie die Information über Cyberbedrohungen, die Reaktion auf Sicherheitsvorfälle, Lagebeurteilungen und Schwachstellenscans. Zudem soll es darüber im Rahmen des CSIRT-Netzwerks einen regelmäßigen Austausch geben.

Ein weiteres Ziel der Richtlinie ist es, die Zusammenarbeit zwischen den EU-Staaten im Bereich Cybersicherheit zu stärken. Eine Kooperationsgruppe soll beispielsweise Orientierungshilfen für die zuständigen Behörden ausarbeiten, den Austausch von Best Practices fördern, die EU-Kommission im Bereich der Cybersicherheit beraten oder den jeweils aktuellen Stand „in Bezug auf Cyberbedrohungen oder Sicherheitsvorfälle wie Ransomware“ beschreiben.

Die Abstimmung zwischen den EU-Staaten und ihren Behörden bildet einen klaren weiteren Schwerpunkt der NIS-2-Richtlinie. Zur Förderung einer raschen und wirksamen operativen Zusammenarbeit zwischen den CSIRTs soll ein Netzwerk entstehen. Darin geht es um Informationsaustausch, Technologietransfers und die gegenseitige Unterstützung. Über die Fortschritte beim Erreichen dieser Ziele sollen die Staaten regelmäßig berichten.

Des Weiteren werden die Aufgaben des Europäischen Netzwerks der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe) weiter konkretisiert. Es koordiniert künftig Maßnahmen bei „Cybersicherheitsvorfällen großen Ausmaßes und Krisen auf operativer Ebene und zur Gewährleistung eines regelmäßigen Austauschs relevanter Informationen zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der Union“. Auch hier soll eine regelmäßige Evaluierung der geleisteten Arbeit erfolgen.

Die Richtlinie beschreibt schließlich Grundsätze der internationalen Zusammenarbeit im Bereich der Cybersicherheit, die Erstellung zweijährlicher Berichte über den Stand der Cybersicherheit in der EU und Peer-Reviews innerhalb des CSIRT-Netzwerks.

Vorgaben beim Risikomanagement

Umfassende Vorgaben ergeben sich aus der NIS-2-Richtlinie an die jeweiligen nationalen Gesetzgeber im Bereich der Risikomanagementmaßnahmen. Dies beginnt mit Grundsätzen im Bereich der Governance. Leitungsorgane kritischer Einrichtungen müssen die ergriffenen Maßnahmen billigen, deren Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Sie selbst müssen und ihre Mitarbeiter sollen regelmäßig an Schulungen teilnehmen, „um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben“.

Die Risikomanagementsysteme müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen umfassen. Damit möchte man die Risiken für die genutzten Netz- und Informationssysteme bei Sicherheitsvorfällen verhindern oder zumindest minimieren. Dabei sind der Stand der Technik sowie geltende Vorschriften einzuhalten und ein „gefahrenübergreifender Ansatz“ zu wählen (siehe Kasten).

Risikomanagementmaßnahmen

Folgende Punkte müssen Risikomanagementsysteme nach der NIS-2-Richtlinie im Bereich der Cybersicherheit nach Artikel 21 Absatz 2 umfassen:

1. Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
2. Bewältigung von Sicherheitsvorfällen;
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement;
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern;
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen;
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
7. grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
9. Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen;
10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Bis 17. Oktober 2024 wird die EU-Kommission technische und methodische Anforderungen für die aufgelisteten Risikomanagementmaßnahmen erlassen. Diese gelten dann für „DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten, Anbieter von Onlinemarktplätzen, Onlinesuchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter“.

Die Richtlinie schlägt den EU-Staaten vor, erfassten Unternehmen und Behörden bei eigenentwickelten und -genutzten IKT-Produkten und -Diensten eine Zertifizierung gemäß den Schemata für Cybersicherheitszertifizierungen vorzuschreiben. Bei der Sicherheit von Netz- und Informationssystemen sollen zudem internationale Normen und technische Spezifikationen gefördert werden. Nicht in der EU ansässige von der NIS-2-Richtlinie erfasste Unternehmen müssen einen Vertreter innerhalb der EU benennen.

ENISA erstellt Register betroffener Einrichtungen

Die European Union Agency for Cybersecurity (ENISA) übernimmt die Aufgabe, ein EU-weites Register aller von der NIS-2-Richtlinie erfassten Einrichtungen im Bereich digitale Infrastruktur zu schaffen und zu pflegen, einschließlich Cloud-Anbieter, aber auch sozialer Netzwerke. Auf die Betreiber von TDL-Namensregistern und DNS-Registrierungsdienste sollen zusätzliche Pflichten zukommen. Sie müssen „genaue und vollständige Domänennamen-Registrierungsdaten in einer eigenen Datenbank im Einklang mit dem Datenschutzrecht der Union in Bezug auf personenbezogene Daten mit der gebotenen Sorgfalt sammeln und pflegen“.

Nationale Gesetze sollen es zusätzlich auch nicht von der Richtlinie erfassten Einrichtungen ermöglichen, „Informationen über Cyberbedrohungen, Beinahe-Vorfälle, Schwachstellen, Techniken und Verfahren, Kompromittierungsindikatoren, gegnerische Taktiken, bedrohungsspezifische Informationen, Cybersicherheitswarnungen und Empfehlungen für die Konfiguration von Cybersicherheitsinstrumenten zur Aufdeckung von Cyberangriffen“ auszutauschen. Aus kartellrechtlichen Gründen soll dies aber nur gelten, wenn es für das Management von Sicherheitsvorfällen erforderlich ist und der Informationsaustausch das Cybersicherheitsniveau erhöht.

Schließlich umfasst die NIS-2-Richtlinie Anweisungen zur Aufsicht und Durchsetzung der Vorgaben. Der Katalog an Kompetenzen für die zuständigen Behörden ist lang. Er reicht von Vor-Ort-Kontrollen bei den betroffenen Einrichtungen über Sicherheitsscans bis hin zu Vorgaben für die Nachweise zur Umsetzung der Cybersicherheitskonzepte. Die betroffenen Einrichtungen sind zur umfassenden Mitwirkung zu verpflichten. Bei Rechtsverstößen sollen Warnungen und Handlungs- oder Unterlassungsanweisungen einschließlich Fristsetzungen möglich sein.

Bußgelder für Verstöße gegen die Vorgaben sollen „wirksam, verhältnismäßig und abschreckend“ sein. Bei Verstößen gegen die Pflichten im Bereich des Risikomanagements sollen Bußgelder für wesentliche Einrichtungen bei mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes gedeckelt sein. Bei wichtigen Einrichtungen liegt die Grenze bei 7 Millionen Euro beziehungsweise 1,4 Prozent des weltweiten Vorjahresumsatzes.

EU-Maßnahmen-Portfolio

Die NIS-2-Richtlinie fügt sich in eine ganze Reihe von gesetzgeberischen Maßnahmen der EU ein. Sie ist Teil der „Gestaltung der digitalen Agenda Europas“, die sich die EU-Kommission 2020 als Vorhaben in ihrer Amtszeit bis zur Europawahl im Jahr 2024 gesetzt hat. Dazu gehören auch der derzeit diskutierte AI Act zur Regulierung des Einsatzes von künstlicher Intelligenz, der Cyber Resilience Act, der Digital Operational Resilience Act und weitere. Wegen der anstehenden Europawahl befinden sich zahlreiche Gesetzeswerke im Jahr 2023 auf der Zielgeraden (siehe „IT-Recht 2023: Viele neue EU-Regeln“ in iX 1/2023, S. 86).

Die NIS-2-Richtlinie adressiert die EU-Staaten, die die Vorgaben nun umsetzen müssen. Zahlreiche Regelungen beinhalten daher Aufforderungen wie „Die Mitgliedsstaaten stellen sicher …“ oder „Die Mitgliedstaaten können …“. In Deutschland dürfte es zu einer Überarbeitung des 2021 in Kraft getretenen IT-Sicherheitsgesetzes 2.0 kommen. Dies passt auch zur Vereinbarung im Koalitionsvertrag der Bundesregierung. Dort heißt es: „Die Cybersicherheitsstrategie und das IT-Sicherheitsrecht werden weiterentwickelt.“ Dort ist auch von „ehrgeiziger Cybersicherheitspolitik“ die Rede. Die Cybersicherheit bezeichnet der Koalitionsvertrag als „digitale Schlüsseltechnologie“.

Fazit

Mit der Umsetzung der NIS-2-Richtlinie will die EU ein hohes gemeinsames Cybersicherheitsniveau sicherstellen, „um so das Funktionieren des Binnenmarkts zu verbessern“. So lautet das übergreifende Ziel. Um das zu erreichen, hat die EU den Anwendungsbereich der Richtlinie und die Aufgaben der zuständigen Behörden wesentlich erweitert und neue Behörden geschaffen. Die Mitgliedsstaaten sollen sich zudem besser austauschen und die Überwachung verschärfen.

Die ausdrücklichen Regelungen zur persönlichen Verantwortlichkeit der Leitungsorgane und die gleichzeitig signifikant erhöhten Bußgeldrahmen dürften für Zündstoff sorgen. Die EU unterstreicht damit die große Bedeutung der Cybersicherheit und reagiert auf steigende Risiken. Das Thema bleibt spannend und ein Dauerbrenner. In der EU sind nun erst einmal wieder die einzelnen EU-Staaten an der Reihe. Von der Richtlinie erfasste Unternehmen tun aber gut daran, den Gesetzgebungsprozess zu beobachten und zu begleiten. Sich früh auf anstehende Änderungen einzustellen ist für sie eine kluge Strategie. (jvo@ix.de)

1. Quellen
2. Tobias Haar; IT-Recht 2023: Viele neue EU-Regeln; iX 1/2023, S. 86
3. NIS-2-Richtlinie online verfügbar unter ix.de/z3zm

20 Jahre ClamAV: Open-Source-Malware-Detektion

20 Jahre nach der ersten Veröffentlichung des wohl bekanntesten quelloffenen Malware-Scanners legt Cisco zum Jubiläum die Version 1.0 auf. Das Antivirenprogramm ist beliebt, geht einige Wege jedoch anders als die Konkurrenz.

Von Ralf Spenneberg

-tract

• ClamAV ist einer der beliebtesten Open-Source-Malware-Scanner. Als Framework bildet er die Grundlage vieler freier und kommerzieller Sicherheitslösungen, denn Engine und Regeln sind unter der GPL verfügbar.
• Im Unterschied zu anderen Antivirenprogrammen nutzt ClamAV keine Verhaltensüberwachung, sondern legt den Fokus auf die Prüfung von E-Mails – dafür hält es Signaturdatenbanken bereit.
• Mit eigenen Signaturen und YARA-Regeln können Administratoren die Erkennung von ClamAV weiter ausbauen.

Es war ein langer Weg zur großen Eins, die Cisco dem nun 20 Jahre alten ClamAV Ende des Jahres 2022 verlieh. Dabei ist die Zahl mehr ein Symbol als ein Indikator für maßgebliche Neuerungen. Die hat das Programm auch gar nicht nötig, denn die Aufgabe, für die es entwickelt wurde, erledigt es gut – und bildet dabei gleichzeitig Grundlage und Pflichtkomponente für viele modernere Securitylösungen.

Ursprünglich wurde der Malware-Scanner ClamAV für die Analyse von E-Mails auf E-Mail-Gateways entwickelt. Heute ist es ein Framework, das in beliebige Applikationen integriert werden kann. Im Unterschied zu vielen kommerziellen Produkten ist es aber nicht zur Endpoint Security, also der Absicherung eines Arbeitsplatzrechners, gedacht, denn ClamAV nutzt keine Verhaltensüberwachung. Es beobachtet laufende Prozesse und deren Ausführung also nicht. Deshalb ist ClamAV in den Augen vieler Anwender nicht mit modernen Virenscannern unter Windows vergleichbar. Für E-Mails oder das Erkennen von Phishing-URLs ist so ein Werkzeug jedoch immer noch sehr sinnvoll.

ClamAV agiert als ein signaturbasierter Scanner. Die Signaturen können unterschiedlichster Natur sein, sie können aus Hashes, URLs oder dem E-Mail-Inhalt bestehen, aber auch aus YARA-Regeln, Bytecode, Metadaten von Containern oder PE-Zertifikaten. Hash- und inhaltsbasierte Signaturen können Admins dabei auch selbst erzeugen, zum Beispiel mit dem Werkzeug Sigtool, das die einfache Generierung eigener Signaturen aus Schaddateien erlaubt. Für komplexe Prüfungen, die nicht mit einfachen Signaturen lösbar sind, eignen sich Entwickler-Bytecode-Signaturen. Sie bestehen aus ausführbarem Code, der fast beliebige Eigenschaften in einer Datei prüfen kann. Die von VirusTotal entwickelten YARA-Regeln stellen zusätzlich eine generische Möglichkeit zur Beschreibung von Malware dar.

Wie ClamAV zu Cisco stieß

In den ersten Jahren noch ohne kommerziellen Hintergrund entwickelt, ging das Projekt ClamAV 2007 in den Besitz der Firma Sourcefire über, die die Entwickler übernahm. Sourcefire wurde von Martin Roesch, dem Erfinder des Intrusion-Detection-Systems Snort, gegründet. Sourcefire hat ClamAV anschließend in seine kommerzielle IPS-Lösung integriert (AMP – Advanced Malware Protection).

Die ClamAV-Entwickler gingen im Vulnerability Research Team von Sourcefire auf, das sich auch um die von Snort bereitgestellten Regeln kümmerte. 2013 wurde Sourcefire dann von Cisco gekauft. Das ClamAV-Projekt blieb allerdings weiter quelloffen. Mittlerweile hat Cisco das Vulnerability Research Team in sein Talos-Team aufgenommen, das sowohl für die Betreuung von ClamAV als auch für Snort zuständig ist. ClamAV ist weiterhin eine der Komponenten in den kommerziellen IT-Security-Produkten von Cisco, beispielsweise Firepower.

Fokus auf die E-Mails

Um E-Mails und deren Anhänge effizient analysieren zu können, kann ClamAV eine Vielzahl von Archiven und Dateiformaten automatisch extrahieren und scannen. Dazu gehören Formate von ZIP, RAR, 7zip, arj und tar über DMG, IMG, ISO9660, PKG, HFS+ und GPT bis hin zu OLE2, OOXML, CAB und CHM. Eine vollständige Liste findet sich in der Dokumentation. Noch 2022 hat Splunk die Effizienz von ClamAV in der Erkennung von Malware in unterschiedlichen Dateitypen getestet, wobei speziell die Erkennung in Word-Dokumenten und Windows-Bibliotheken sehr gut abschnitt. Insgesamt hat ClamAV etwa 60 Prozent von 400 000 Virussamples von MalwareBazaar erkannt. Vergleichende Ergebnisse kommerzieller Antiviruslösungen gibt es von Splunk allerdings nicht.

Für die Integration von ClamAV in einen Mailserver nutzte man in der Vergangenheit häufig Werkzeuge wie Amavis oder Amavisd-new. Diese haben die E-Mails zunächst zerlegt, Archive extrahiert und dann die einzelnen Dateien gescannt. Das war nötig, weil viele Virenscanner die Anhänge ansonsten nicht verarbeiten konnten. Da ClamAV das mittlerweile aber auch selbst kann, ist eine solche ressourcenaufwendige Zerlegung heute nicht mehr notwendig. Mit ClamAV-Milter existiert daher auch eine direkte Integration in MTAs über die Milter-Schnittstelle.

Viele Mailserver integrieren ClamAV direkt, beispielsweise über genau diese Milter-Schnittstelle. Der Filter Amavisd-new hat seit 2018 keine Weiterentwicklung mehr erfahren. Er war in der Vergangenheit in Kombination mit SpamAssassin der bevorzugte Filter in Open-Source-Mail-Gateways. Als moderne Alternative nutzen Administratoren heute häufig den Dienst Rspamd, der neben einer gegenüber SpamAssassin verbesserten Spamerkennung auch ClamAV nutzen kann. Zusätzlich bietet er Module für DKIM-Signaturen, DMARC und weitere Authentifizierungsmöglichkeiten.

Clamd für weniger Ballast

ClamAV wird über die Kommandozeile mit dem Befehl clamscan aufgerufen und lädt dann die sehr umfangreiche Signaturdatenbanken des Scanners. Insgesamt handelt es sich um fast 1 GByte an Signaturen, die bei jedem Start von clamscan geladen und geparst werden müssen, was viel Arbeitsspeicher und CPU-Ressourcen benötigt. Damit das nicht bei jedem Aufruf erforderlich ist, bietet ClamAV eine daemonisierte Version, den Clamd. Der wird als Dienst gestartet und über einen Socket angesprochen. Das kann ein lokaler UNIX-Socket oder ein TCP-Socket sein. Der Befehl clamdscan scannt nun eine beliebige Datei und kommuniziert mit dem Dienst Clamd über einen Socket.

Unter Linux kann ClamAV auch als On-Access-Scanner eingesetzt werden. Hier werden die Dateien bei jedem Zugriff geprüft. Das ist auf Fileservern wie Samba oder Nextcloud interessant. Während der Clamd diese Aufgabe früher selbst übernommen hat, setzen moderne Implementierungen ab Version 0.102.0 dafür einen zusätzlichen Dienst namens Clamonacc ein. Daneben wird ein einigermaßen moderner Linux-Kernel ab Version 3.8 benötigt, der die FANOTIFY-API bereitstellt, über die der Zugriff auf schädliche Dateien verhindert wird. Ohne die API kann auch der On-Access-Scan genutzt werden. Dann kommt es allerdings nur zu einer Protokollierung der gefundenen Dateien und nicht zur Blockade der Zugriffe.

Umwege zur Signatur

Für die Erkennung neuer Viren benötigt ClamAV, wie alle anderen Virenscanner auch, regelmäßige Updates seiner Signaturdatenbank. Die Datenbank wird in drei Dateien vorgehalten: bytecode.cvd, daily.cvd und main.cvd. Bereits bei seiner ursprünglichen Veröffentlichung 2002 führten die Popularität von ClamAV und die daraus resultierenden Downloads zu einem DoS auf den anbietenden Servern. Die Popularität hat in den letzten Jahren nicht nachgelassen, sondern eher zugenommen. Das führte dann im März 2021 zu einer Änderung der Download-Politik im Content Delivery Network von Cisco. Der direkte und vollständige Download der Signaturdatenbanken ist nun nicht mehr erlaubt. Stattdessen muss man Werkzeuge wie Freshclam oder cvdupdate nutzen. Während Freshclam die Datenbank auf dem lokalen System aktualisiert, ist cvdupdate für die Aktualisierung der Datenbank auf einem Spiegelserver verantwortlich. Da cvdupdate im Gegensatz zu Freshclam mehr Daten aus dem Internet laden muss, eignet sich Freshclam besonders für kleine Umgebungen. Beide Werkzeuge prüfen mithilfe von DNS TXT Records zunächst, ob ein Update bereitsteht. Nur wenn die DNS TXT Records ein Update andeuten (siehe Listing), laden sie differenzielle Updates der Datenbank.

Listing: DNS TXT Records weisen auf ein notwendiges Update hin

host -t txt current.cvd.clamav.net.
current.cvd.clamav.net descriptive text "0.103.7:62:26768:1672646400:1:90:49192:333"

Die einzelnen Werte werden durch Doppelpunkte getrennt und kodieren die folgenden Informationen: 
Letzte unterstützte ClamAV Version: 0.103.7
Version der neuesten main.cvd: 62
Version der neuesten daily.cvd: 26768
Zeitstempel der letzten Aktualisierung: 1672646400
Soll eine Versionswarnung erfolgen: 1
Function-Level (f-level): 90
Version der neuesten safebrowsing.cvd: 49192
Version der neuesten bytecode.cvd: 333

Die Virusdatenbank wird täglich aktualisiert, üblicherweise einmal, manchmal zweimal. Die Werkzeuge cvdupdate und Freshclam können aber stündlich oder häufiger aufgerufen werden, da sie die DNS-Einträge prüfen. Wenn viele Clients aktualisiert werden müssen, kann Freshclam die Updates über einen cachenden Proxy laden oder – speziell in einem vom Internet getrennten Netz – auch über einen lokalen Spiegelserver bereitstellen. Die Homepage von ClamAV beschreibt die Einrichtung eines Spiegelservers mit cvdupdate (siehe ix.de/zn4q). Wenn man die Datenbanken via Freshclam aktualisiert, können statt CVD- auch CLD-Dateien lokal gespeichert sein. CVD-Dateien sind dabei schlicht komprimierte Versionen der CLD-Dateien. Um die täglichen Aktualisierungen zu integrieren, verwendet Freshclam die CLD-Dateien und löscht dann die daily.cvd.

Die Datenbank safebrowsing.cvd wird seit 2019 allerdings nicht mehr von ClamAV unterstützt und auch nicht zum Download angeboten. Zugriffe auf diese Datenbank beantwortet das Content Delivery Network mit dem HTTP-Code 403. Grund dafür ist eine Lizenz- und API-Änderung durch Google. Damit Freshclam die Bandbreitenlimitierungen respektiert und die Datenbank nicht mehr lädt, sollte mindestens die Version 0.103.2 eingesetzt werden.

YARA-Anbindung

ClamAV kann mit gewissen Einschränkungen auch YARA-Regeln nutzen. YARA ist ein Projekt von VirusTotal. Es handelt sich um einen eigenen Scanner, der in einer einfachen Sprache geschriebene Regeln unterstützt. Für den berühmten EICAR-Test-Virus könnte die Regel in Abbildung 2 benutzt werden.

Viele kommerzielle Malware-Scanner werten YARA-Regeln aus. Ein Administrator kann damit einfach vorhandene Scanner um eigene Regeln ergänzen. In der Community stellen viele Sicherheitsforscher ihre eigenen YARA-Regeln bereit und auch ClamAV-Regeln werden in der Community angeboten. Unter ix.de/zn4q findet man ein Skript, das das Laden dieser inoffiziellen Communityregeln vereinfacht.

Da viele kommerzielle Hersteller ClamAV in ihren Produkten einsetzen, wird das Produkt mit Long-Term Support angeboten. Die LTS-Versionen werden für wenigstens drei Jahre ab ihrer ursprünglichen Veröffentlichung betreut. Aktuell gelten zwei Versionen als LTS: Version 0.103 und die Jubiläumsausgabe 1.0. Weitere Versionen gelten als Feature Release, die für mindestens 4 Monate gepflegt werden – dazu gehören die Versionen 0.104 und 0.105. (kki@ix.de)

1. Quellen
2. Die Studie von Splunk und weitere Ressourcen zu ClamAV finden sich unter ix.de/zn4q.

2FA einführen – aber wie?

Es ist nicht die Technik, die bei einer 2FA-Einführung zur Herausforderung wird. Es sind die Forderungen verschiedener Stakeholder und die Auswirkungen an vielen Stellen der Unternehmens-IT.

Von Christian Zander

-tract

• Technisch sind Unternehmensanwendungen meist schnell für den zweiten Faktor fit gemacht, die Hürden lauern in der Projektumsetzung.
• Stakeholder wie CISOs, Auditoren oder der Helpdesk haben ganz unterschiedliche Anforderungen; für Nutzer soll es vor allem einfach sein.
• Adaptive Authentication, Self-Service-Portale und umfangreiche Systemintegration erhöhen die Akzeptanz und sind schon bei der Anforderungsanalyse zu beachten.
• Ein schrittweises Rollout, begleitet von Feedbackschleifen und Monitoring, erlaubt das Gegensteuern bei Bedarf und führt am ehesten zum Erfolg.

Richtig implementiert, hat Zwei-Faktor-Authentifizierung für Unternehmensanwendungen nur Vorteile. 2FA erhöht die Sicherheit im Unternehmen, verbessert langfristig aber auch die User Experience: Auch für User ist es vorteilhaft, wenn nicht mehr alles an der Qualität der Benutzerpasswörter und der „Passworthygiene“ des Einzelnen hängt.

Selbst wenn ein zweiter Faktor Fehler und Nachlässigkeiten nicht ausschließt, nehmen durch ihn doch die Auswirkungen erfolgreicher Passwortangriffe ab. Der jüngste DBIR-Bericht von Verizon (siehe ix.de/z7p8) aus dem Jahr 2022 zeigt, dass Credentials mit circa 50 Prozent und Phishingangriffe allgemein zu etwa 20 Prozent immer noch die wichtigsten Einfallstore für Angriffe sind.

Ein weiterer Vorteil von 2FA ist, dass es den Unternehmen hilft, Complianceregelungen umzusetzen. Hier helfen die Features der Zwei-Faktor-Authentifizierungswerkzeuge wie Policies, Adaptive Authentication und Reportings, die rechtlichen Risiken für Führungskräfte, Vorstandsmitglieder und die Unternehmen zu reduzieren.

Technisch ist die Einführung der Zwei-Faktor-Authentifizierung keine Zauberei mehr. Wenn Applikationen gut vorbereitet sind, kann eine neue Anwendung innerhalb von 30 Minuten mit 2FA und SSO (Single Sign-on) an Bord genommen werden. Entscheidend ist aber, dass die Umsetzung den Erwartungen aller Beteiligten entspricht, denn am Ende wollen alle nur, dass es funktioniert.

Die Auditoren wollen alle relevanten Informationen sehen und nachvollziehen können. Die User wollen eine einfache Handhabung, die nicht (zu sehr) nervt, wie erwartet funktioniert und sich schnell anpassen lässt, wenn es später doch mal hakt. Der Helpdesk und die IT-Leitung erwarten wenig Aufwand bei Betrieb und Updates, zudem Reports, die beim Debugging alle notwendigen Informationen liefern. Zu guter Letzt wollen CISOs, CEOs und Betriebsräte, dass alles ohne Sicherheits- oder Complianceverletzungen abläuft. Das alles muss jedem, der ein solches Projekt startet, von Anfang an klar und während des Verlaufs immer präsent sein: von der Planung, der Anforderungsanalyse, der Auswahl des Systems bis zur Umsetzung.

Vorab sind vor allem folgende Fragen zu klären: Müssen Zugriffe auf User-Level und global eingestellt werden können? Wird Application-Level-Authentifizierung benötigt oder soll es sogar bis auf Session-Level gehen? Finden verschiedene Faktoren Berücksichtigung? Sind die (Geo-)Location, Gruppendefinitionen oder Authentifizierungstypen relevant? Soll ein gutes Dashboard das Mittel der Wahl sein, um das System zu konfigurieren, oder soll eine API die Regeln einspielen?

Wissen, haben, sein

Der Prozess der Authentifizierung besteht im Überprüfen mehrerer Parameter. Sie beruhen auf Wissen, Besitz und Präsenz. Wissen bezieht sich auf Credentials wie Passwörter oder PINs, die ausschließlich der autorisierte User kennt. Das ist die First Level Authentication. Besitz bezieht sich auf etwas, das der Anwender bei sich trägt. Dies kann ein Mobiltelefon, ein Hardwaretoken, eine Smartcard oder ein USB-Key sein. Präsenz bezieht sich auf biometrische Faktoren, die dazu verwendet werden, den Nutzer zu identifizieren: der Fingerabdruck, die Iris oder das Gesicht.

Genau genommen kann man schon bei einer Authentifizierungs-App von MFA sprechen, denn sie verwendet mehr als zwei Faktoren. User melden sich mit ihren Credentials an (Wissen), erhalten ein Authentifizierungsanfrage auf ihr Mobiltelefon (Besitz) und müssen es und die App entsperren (Präsenz) und die Authentifizierung bestätigen.

Neben diesen drei Standardparametern können weitere Parameter mit ins Rennen gehen, um die Sicherheit zu erhöhen. Einer davon wäre der Zeitpunkt, zu dem ein User etwas tut. Log-ins könnten etwa nur von 9 bis 17 Uhr möglich sein, für hochkritische Bereiche wie Tresore oder KRITIS-relevante Zugänge könnten festgelegte Öffnungszeiten existieren. Der Ort wäre ein weiteres Beispiel. Ist es erlaubt, von Amerika aus auf geschützte Daten zuzugreifen, oder nur wenn die Kollegen in Deutschland oder sogar im Firmengebäude sind? Dafür wird die IP-Adresse verwendet und falls möglich die Geo-Location. Beim mobilen Arbeiten sind allzu strenge standortbasierte Policies aber hinderlich. Wenn Mitarbeiter plötzlich nicht mehr auf Applikationen zugreifen können, nur weil sie geraden in Schottland sind, ist das schwierig.

Gute Lösungen bringen weitere smarte Authentication-Parameter ins Spiel, die unplausibles Verhalten erkennen. Wenn ein Benutzer gerade in Peru war und sich 15 Minuten später in Rom befindet, ist das unlogisch und sollte zu einem Request Denied führen. Mit einer Prise KI oder maschinellem Lernen lassen sich auch das typische Verhalten, Fehlerraten, Anzahl von Zugriffsversuchen, Geschwindigkeit der Zugriffsversuche und ungewöhnliche Orte und Zeiten als Zugangsparameter verwalten. Damit lässt sich der Zugang bei untypischem Verhalten des Users und hohem Risiko-Score (vorübergehend) verwehren.

Ein weiterer Punkt ist die Flexibilität: Es sollte möglich sein, unkritische Bereiche mit nur einem Faktor erreichbar zu machen und erst beim Zugriff auf sensible Informationen mehrere abzufragen. Der erste Faktor könnte auch genügen, wenn etwa ein Request erstens aus einem gesicherten Netzwerk, zweitens von einem bekannten und gesunden Gerät und dazu drittens zu einer gewöhnlichen Zeit kommt.

Erweiterter Anmeldeprozess

Der Anmeldeprozess verändert sich durch die Einführung eines zweiten Faktors nicht, er wird nur erweitert. Leicht vereinfacht zeigt Abbildung 1 die Anmeldung ohne 2FA. Es gibt ein User Interface, an dem sich die Benutzer anmelden. Sie holen sich ein Token ab und benutzen es künftig dafür, auf Datenobjekte zuzugreifen. Genügt das Token nicht den Anforderungen, die das geschützte Objekt stellt, bekommt das User Interface ein Access Denied zurück und ist dafür verantwortlich, sinnvoll damit umzugehen. Bei 2FA läuft es nicht viel anders ab (siehe Abbildung 2). Noch während das Token angefragt wird, stellt die Software fest, dass Zwei-Faktor-Authentifizierung gefragt ist. Nun holt man sich den zweiten Faktor aus einer Authentication-Datenbank und startet die Challenge beim Anwender. Er muss die Challenge annehmen und beantworten, dann prüft die Applikation die Antwort und gibt das Token frei. Der Rest erfolgt dann wie vorher.

Self-Service kommt gut an

Sicherheit darf nicht nerven, sonst finden Mitarbeiter einen Weg darum herum. Optimalerweise macht sie sogar Spaß. Wichtig ist es, den Usern die Wahl zu lassen und ihnen etwas Hilfe zur Selbsthilfe anzubieten – die zusätzlich den Aufwand im Helpdesk reduziert. Ein Self-Service kann es Nutzern erlauben, ihre Authentifizierungswerkzeuge auszuwählen, zu aktualisieren oder bei Verlust oder beim Austausch eines Gerätes zu sperren.

Wird ein Token gesperrt, ist es sinnvoll, alle aktiven Sessions zu sperren, alle dem Device zugeordneten Services zu unterbinden und ihm seine Zugriffsrechte zu entziehen. Wenn möglich, ist ein automatisches Remote Wipe eine gute Option.

Mit Self-Service Registration (SSR) können sich Nutzer selbst registrieren. Sollte ein Self-Service zum Passwort-Reset noch nicht verfügbar sein, bietet es sich an, auch diesen mit im Projekt einzuführen und bei der Auswahl der Tools zu berücksichtigen.

Ein Aktivitätenplan sollte das Problem verlorener oder vergessener Authentifizierungstoken adressieren und potenzielle Sicherheitsprobleme thematisieren. Zum Beispiel sollte man niemals denselben Kanal für die Recovery verwenden, über den eine Anfrage zu einem vergessenen Passwort eingeht. Dieser muss immer als kompromittiert gelten. SMS als Recovery-Kanal wird zunehmend unsicher, denn Hacker finden auf Social Media möglicherweise genügend Informationen, um beim Mobilfunkanbieter eine Kopie der SIM und damit auch alle Mobile-Authentifizierungstoken zu erhalten.

Third-Party-Integration – mehr ist mehr

Als ich kürzlich bei einem großen deutschen Anbieter Ersatzteile bestellte, wurde ich gefragt, ob ich mich auch registrieren wolle. Na klar – dann muss ich nicht immer alle meine Daten eingeben und kann gegebenenfalls später schneller Ersatzteile bestellen. Gesagt, getan. Der Registrierungsprozess ging voran: E-Mail-Adresse und ein sicheres Passwort, klar. Zwei-Faktor-Authentifizierung? Aber gern. Und dann kam es: Das ginge nur mit „ihrem“ Zwei-Faktor-Authentifizierungstool. Schade. Ich habe es erst gar nicht in Erwägung gezogen. Dass Banken ihre eigenen Tools verwenden, ist lästig, aber noch verständlich, doch für das Bestellen von Ersatzteilen gilt das mit Sicherheit nicht.

Mitarbeiter von Unternehmen greifen schon lange nicht mehr nur auf die interne Office- und Betriebssystemwelt zu, sondern nutzen viele Dienste und Anwendungen von Drittanbietern oder aus der Cloud. Auch diese sollen den Policies entsprechen und so sicher wie möglich sein. Privat verwenden Benutzer ebenfalls etliche Applikationen. Die Akzeptanz wird erhöht, wenn das Zwei-Faktor-Authentifizierungswerkzeug in der Lage ist, sich auch mit diesen zu verbinden. Die Administration wird damit einfacher. Es gibt weniger Stellen zur Verwaltung von Sicherheitsaspekten und idealerweise lässt sich das Ganze in ein vorhandenes Enterprise Service Management integrieren.

Im Zusammenspiel mit Single-Sign-on (SSO) gibt es allerdings einige Fallstricke, die zu beachten sind. Das Alignment der Gruppen, die beispielsweise im Active Directory (AD) zu finden sind, mit den Berechtigungen in den Produkten sollte man gründlich testen. Effekte wie „und plötzlich hatte ich auf alles Zugriff“ können sehr unerfreulich sein. Bei Applikationen, die sensible oder kritische Daten beherbergen, sollte bereits beim Testen immer jemand dabei sein und diesen Vorgang überwachen, um unerwünschten Datenabfluss oder bloß den Verdacht, dass dies geschehen könnte, zu vermeiden.

Wer schreibt, der bleibt: Logs, Reports und Dashboards

Insbesondere für das Einhalten von Complianceanforderungen und Richtlinien sind Dashboards, Reports und Logs wie Business- und Policy-Impact-Übersichten maßgeblich. Schon bei der Toolauswahl sollte klar sein, welche Informationen benötigt werden, um diesen Anforderungen gerecht zu werden.

Bei den Features des Dashboards sind zwei Fragen relevant: Erstens, welche Probleme können entstehen, wie sind sie erkennbar und wie relevant sind sie für das Business? Und zweitens, welche Informationen sind nötig, um für die Probleme Handlungsfelder zu erkennen, Auswirkungen zu ermessen und Risiken im Falle eines Problemeintritts abzuwägen? Nötig ist einerseits ein Helikopter-Überblick über den Zustand des Systems, andererseits aber auch die Möglichkeit, sich schnell und effektiv in die Details hineinzubohren.

Problembehebung bei Zwei-Faktor-Authentifizierung kann kompliziert werden. Policies, die sich gegenseitig ausschließen oder überlagern, dynamische Regeln und adaptive Authentifizierung müssen einfach sichtbar gemacht und schnell erkannt werden können. Risiko-Scores sollten ebenfalls deutlich gemacht und gegebenenfalls direkt administriert werden. Systemadministratoren brauchen Dashboards, die das massenhafte Konfigurieren und Ausrollen von Regeln ermöglichen und Probleme aufzeigen. Bestenfalls kann man die zugehörigen Helpdesk-Tickets, weitere Telemetriedaten und Statistiken anzeigen. Für das Ausrollen ist es sinnvoll, den Deployment-Fortschritt übersichtlich dargestellt zu bekommen.

Um die Akzeptanz zu messen, ist es wichtig, den tatsächlichen MFA-Einsatz im Blick zu behalten und zu verfolgen, wie häufig Nutzer die Authentifizierungsfaktoren verwenden und ob sie bestimmte Software möglicherweise nicht mehr so häufig wie vorher einsetzen. Das könnte ein Hinweis für Akzeptanzprobleme sein.

Schütze, was wichtig ist

Bei der Zwei-Faktor-Authentifizierung ist es ähnlich wie beim Identity and Access Management (IAM). Was soll geschützt werden? Alle Orte, an denen kritische und sensible Daten und Rechte liegen. Pragmatisch und leicht verständlich heißt das: Kritische Daten sind Daten, die, wenn sie verloren gehen oder in die falschen Hände geraten, unmittelbare und schwerwiegende Schäden für das Unternehmen nach sich ziehen könnten, während sensible Daten solche sind, deren Abhandenkommen mittelfristig Schäden verursachen könnte. Der Rest an Daten ist in dieser Hinsicht mehr oder weniger egal.

Die Einführung von 2FA betrifft das ganze Unternehmen: Das Sicherheitsteam, die IT-Abteilung, die Benutzer, die Personalabteilung und der Betriebs- oder Personalrat und nicht zuletzt die Unternehmensführung müssen dahinterstehen, damit das Projekt eine gute Chance auf Umsetzung hat.

Mitnehmen und überzeugen

Alle Nutzer müssen verstehen, dass die Zwei-Faktor-Authentifizierung dazu da ist, sie zu unterstützen. Mitarbeiter fürchten oft Veränderungen, neue Behinderungen und noch mehr Überwachung. Präsentationen, kurze Erklärvideos und Schulungen verringern die Vorbehalte. Auch Einladungen, an der Pilotgruppe teilzunehmen, und Mitarbeiter, die als Multiplikatoren und Botschafter der Sache fungieren, fördern die Akzeptanz.

Die Umstellung sollte mit den Adminkonten starten, das schlägt zwei Fliegen mit einer Klappe: Man schützt kritische Rechte zuerst und erbringt einen Konzeptnachweis. Von hier aus kann das Ausrollen beginnen, wobei es auch hier wichtig ist, das IAM im Auge zu behalten. Dabei fällt möglicherweise auf, wie viele Konten es gibt und dass sie zu mehr berechtigt sind, als sie sein müssten.

Als Nächstes ist die Pilotgruppe an der Reihe. Admins verstehen in der Regel die technischen Gegebenheiten und Notwendigkeiten schnell. Bei der Pilotgruppe, die Mitarbeiter aus allen Sicherheitsstufen und Unternehmensbereichen umfassen sollte, ist das anders. Wenn Zwei-Faktor-Authentifizierung nicht nur intern, sondern auch bei Geschäftspartnern und Auftragnehmern zum Einsatz kommen soll, ist auch hier eine Pilotgruppe sinnvoll.

Langsam und stetig voran

Bei der schrittweisen Umstellung – eine Applikation nach der anderen, ein Bereich nach dem anderen – sollte man jede Anwendung testen, auch wenn anscheinend keine Probleme zu erwarten sind. Der Teufel steckt im Detail und Details machen alles kaputt. Es tauchen auch möglicherweise Applikationen auf, die keine Zwei-Faktor-Authentifizierung beherrschen. Solche älteren internen Programme oder Clients können eventuell nachgerüstet werden. Falls das nicht möglich ist, ist es Zeit, einen Change Request für diese Anwendungen zu stellen, um das Projekt dadurch nicht zu blockieren. Neue Mitarbeiter sollten ab diesem Zeitpunkt immer mit Zwei-Faktor-Authentifizierung ausgestattet sein.

Nicht überall hat man Netz, wer viel Bahn fährt, weiß das. In solchen Fällen ist es gut, alternative Authentifizierungsmethoden anzubieten, wie automatische Sprachanrufe oder die Aufforderung, eine Taste auf dem Telefon zu drücken. Wenn der Benutzer seine präferierte Methode im Self-Service-Portal auswählen kann, führt das zu mehr Akzeptanz. Die Wahl zu haben ist immer besser als der „Friss oder stirb“-Ansatz. Auch etwas Augenmaß beim Zwang zur Autorisierung schätzen die Nutzer. Zugriff auf kritische Daten sollte also öfter autorisiert werden als der auf den Speiseplan der Kantine.

Wenn die mobilen Geräte, die den zweiten Faktor bereitstellen, noch nicht verwaltet werden, ist jetzt ein guter Zeitpunkt, ein Mobile Device Management einzuführen. Das stellt sicher, dass die mobilen Geräte ohne Jailbreak bleiben und regelmäßig auf Malware untersucht werden.

Support braucht Kapazität

Fehlgeschlagene Anmeldungen, verzweifelte Benutzer und gesperrte Konten sind gerade zu Beginn der Einführung von Zwei-Faktor-Authentifizierung normal. Der Helpdesk muss genügend Zeit dafür haben, um den Benutzern in Ruhe und freundlich zu helfen. Es muss schnell gehen, denn wenn Benutzer nicht arbeiten können, sind sie in dieser Zeit nicht in der Lage, etwas zum Unternehmenserfolg beizutragen. Genervte Supportmitarbeiter, die unter Zeitdruck arbeiten und schlecht kommunizieren, werden dafür sorgen, dass die Akzeptanz von Zwei-Faktor-Authentifizierung sinkt, anstatt zu steigen.

Verlorene Hardware und Schlüssel sind Missgeschicke, für die es ein einfaches und von Vorwürfen freies Meldeverfahren braucht. Denn es ist wichtig, dass die Benutzer sofort Meldung erstatten, um die Geräte zu sperren und das Verhalten des Kontos auf verdächtige Aktivitäten zu überprüfen. Damit die Benutzer im Verlustfall trotzdem weiterarbeiten können, bis Ersatz zur Verfügung steht, ist es hilfreich, mehrere Anmeldemöglichkeiten bereitzustellen.

Begleiten, messen und monitoren

Während der Einführung sollte man permanent im Auge behalten, ob und wie sich die Zwei-Faktor-Authentifizierung auf die Produktivität und Sicherheit auswirkt. Dazu kann es notwendig sein, Richtlinien mehrfach anzupassen und den Einfluss dieser Veränderungen zu verfolgen.

Mitarbeiterbefragungen und Feedbackmeetings sind nützlich, um Erfahrungen zu sammeln und Verbesserungsvorschläge abzuleiten. Auch sie sollten mit der Pilotgruppe starten und so lange stattfinden, bis alles reibungslos läuft. Häufen sich in den Helpdesk-Tickets bestimmte Probleme, könnten diese mit Zwei-Faktor-Authentifizierung in Verbindung stehen, auch wenn es auf den ersten Blick nicht offensichtlich ist. Außerdem lässt sich erst nach einer ersten Implementierung wirklich kontrollieren, ob die Reports und Auditoranalysen den Anforderungen genügen. Software wird regelmäßig aktualisiert. Die Ansprüche an die Zwei-Faktor-Authentifizierung müssen in den Updateprozess einbezogen und getestet werden.

Alles ist auch Projektmarketing

Nicht erzählt ist wie nicht gemacht. Wenn sie nicht wissen, was passiert und was bereits getan ist, werden die Projektstakeholder unruhig und die User haben bereits wieder vergessen, dass da noch was auf sie zukommt. Berichte über Erfolge, aber auch über Dinge, die nicht funktioniert haben, erhöhen die Akzeptanz. Denn das, was nicht geklappt hat, hat meist ohnehin schon die Runde gemacht. Die Anwender sollten auch wissen, welche Applikationen womöglich ersetzt werden müssen, damit sie sich schon im Vorfeld damit anfreunden können. Auch nach dem Projekt ist Kommunikation wichtig, denn wer sich zu sicher fühlt, wird nachlässig. Regelmäßige Phishingübungen mit anschließenden Schulungen stärken das Security-Immunsystem des Unternehmens.

Security ist ein dauerhafter Prozess, das Sicherheitsbewusstsein der Mitarbeiterinnen und Mitarbeiter zu sensibilisieren und sie in das Wachstum der Firma miteinzubeziehen. Richtig eingesetzt, trägt auch das Projektmarketing ganz wesentlich dazu bei, das Unternehmen sicherer zu machen. (ulw@ix.de)

1. Quellen
2. Link zur erwähnten Securitystudie: ix.de/z7p8

Vier FIDO2-Token für den USB-Port

Für eine Zwei-Faktor-Authentifizierung, die nicht an ein bestimmtes Endgerät wie ein Mobiltelefon oder einen PC gebunden sein soll, bieten sich USB- oder NFC-Token als Roaming-Devices an. Wir haben uns vier davon näher angesehen.

Von Jürgen Seeger

Auf dem Markt gibt es eine niedrig dreistellige Zahl von als Security Keys oder FIDO-Sticks bezeichneten Token. Für unsere Betrachtung haben wir OTP-Generatoren, bei denen man eine erzeugte PIN von einem Display abtippen muss, von vornherein aussortiert. Denn eine NFC- oder USB-Anbindung macht das Handling deutlich einfacher – dranhalten oder reinstecken reicht.

In die engere Auswahl kamen vier solcher Keys – und zwar die aus der Kompatibilitätsliste von Microsoft (siehe ix.de/zm8b) –, deren Hersteller FIPS-zertifizierte Produkte im Portfolio haben. In den Federal Information Processing Standards (FIPS) sind die Anforderungen von US-Behörden an IT-Equipment veröffentlicht, FIPS 140-2 und der Nachfolger 140-3 behandeln die Sicherheit kryptografischer Module, getestet in einem fünfstufigen Prozess. US-Behörden betrachten Sicherheitsmodule ohne ein solches Zertifikat juristisch als unsicher, eine mit nicht FIPS-zertifizierten Tools verschlüsselte Nachricht gilt als unverschlüsselt. Die Tests sind recht langwierig, darum waren bei Redaktionsschluss noch nicht alle hier betrachteten Token FIPS-zertifiziert. Hinzugenommen haben wir den Titan Key von Google, weil dieser Konzern FIDO2 mit aus der Taufe gehoben hat.

So kamen in die Redaktion:

• ePass FIDO NFC K9, ein USB-A- und NFC-Token von Feitian Technologies;
• zwei Titan Security Keys von Google für USB-A- respektive USB-C-Ports sowie jeweils NFC;
• SafeNet eToken FIDO von Thales;
• YubiKey 5C und 5Ci FIPS für USB-A und USB-C von Yubico.

​Alle Keys bestehen aus einem ABS-Polycarbonat-Gehäude und einem Metallstecker. Keinem der Produkte lag mehr als eine Kurzanleitung bei – Manuals müssen die Anwender wie heute üblich von der Hersteller-Site herunterladen, Google bietet auch das nicht. Getestet wurden die Token an einem Windows-10- und einem Windows-11-Laptop mit Edge sowie einem Mac Mini unter macOS Catalina und Chrome, also sowohl aktueller Hard- und Software als auch Legacy-Equipment. Als Gegenstelle dienten Micosofts Azure-Cloud, ein Google-Konto, der WebAuth-Testserver webauthn.io, GitHub und eine Synology-NAS-Station DS220+ unter DSM 7.1.

Folgenlos Benutzername und Passwort vergessen

Microsoft Azure bietet ein passwortloses Log-in mit FIDO2-Schlüsseln an, dito die Testsite webauthn.io. Passwortlos bedeutet dabei nicht „ohne weiteres Zutun“. Wenn der USB-Key im Slot steckt, muss der Anmeldeprozess durch eine PIN sowie eine Berührung freigegeben werden. Allerdings muss man sich nicht mehr den Benutzernamen merken, es reicht ein Mausklick auf „Mit Sicherheitsschlüssel anmelden“. Registrieren kann man ein Securitytoken – sowie andere Verifizierungsoptionen – in den persönlichen Sicherheitseinstellungen der MS-Azure-Cloud.

​Der Ablauf stellt sich bei webauthn.io ähnlich dar. Bei GitHub und der Synology DS220+ kamen die Token als weiterer Faktor für eine Zwei-Faktor-Authentifizierung zum Einsatz, ebenso für das Google-Konto. Denn der Mitschöpfer von FIDO2 unterstützt zurzeit passwortloses Log-in nur mit der Google-App auf dem Smartphone, nicht mit Token.

​Feitian ePass FIDO NFC K9

Das nach FIPS 140-2 und -3 zertifizierte ePass FIDO NFC K9 von Feitian braucht ebenso wie die anderen Kandidaten keine Treiber, es spielte ohne weiteres Zutun mit allen getesteten Gegenstellen zusammen. Laut Herstellerwerbung sind unendlich viele Schlüssel speicherbar, in einer Online-FAQ ist etwas realistischer von 128 Schlüsseln die Rede. Ein Sensor dient der Bestätigung durch einfache Berührung, es wird kein Fingerabdruck verifiziert. Diese Fähigkeit beherrschen nur die Feitian-Token mit dem Kürzel „Biopass“ im Produktnamen.

Feitian stellt für die weitere Konfiguration des Tokens seinen SK Manager für macOS und Windows zum Download zur Verfügung. Der SK Manager bietet Interfaces zu weiteren Securityprotokollen. So ermöglicht ein Smartcard-Modus Zugang zu Diensten, die eine PIV-Chipkarte (Personal Identification Verification) mit eigener PIN-Sicherung erfordern. Zudem lässt sich ein PGP-Schlüsselpaar auf dem Token speichern und auch wahlweise dort generieren, ebenso CERT-Zertifikate und in Verbindung mit dem SK Manager Einmalpasswörter.​​

Google Titan USB-A-Token

Das Google-Token ist vom Feitian-Key äußerlich nur durch Farbe und Aufdruck zu unterscheiden, arbeitet aber mit einer gänzlich anderen Firmware. Es funktionierte erwartungsgemäß problemlos mit Google, ebenso als zweiter Faktor gegenüber Synology, GitHub und webauthn.io. Nur die Microsoft-Cloud mochte es nicht akzeptieren – die Google-Token stehen schließlich auch nicht auf der Redmonder Kompatibilitätsliste. Zur Kompatibilität verweist Google auf FIDO CTAP1, den Standard, der die Kommunikation zwischen Browser und Authenticator definiert, und die „fehlende U2F-Unterstützung“ von Microsoft. Hintergrund: Das Titan-Token unterstützt FIDO und U2F, jedoch nicht FIDO2, und die Microsoft-Site ist nicht abwärtskompatibel zu U2F.

​Thales SafeNet eToken FIDO

​Von der deutschen Dependance der in Frankreich ansässigen Thales-Gruppe erhielten wir ein Demo-Kit ihrer Securitytools, ausprobiert haben wir das SafeNet eToken FIDO mit USB-A-Stecker. Dieses Token verfügt über einen als Öse für ein Schlüsselbund ausgebildeten Touchsensor. Es arbeitete ohne weiteres Zutun mit allen Gegenstellen zusammen. Das Token kann laut Hersteller bis zu acht FIDO-Schlüssel verwalten. Eine zusammenhängende Anleitung war auf der Herstellerwebsite nicht zu finden, man muss sich die Informationen abschnittweise zusammensuchen.

​YubiKey 5Ci FIPS

​Vom in Schweden gegründeten und mittlerweile in Kalifornien ansässigen Sicherheitsspezialisten Yubico erhielten wir den YubiKey 5Ci FIPS, ein Token mit USB-C- und Lightning-Anschluss und – wie der Name nahelegt – mit FIPS-140-2-Validierung. Bei Registrierung und Log-in macht ein dezentes Blinken einer grünen LED des seitlich angebrachten Touchsensors darauf aufmerksam, dass eine Aktion erwartet wird.

Das Token funktionierte mit allen getesteten Gegenstellen, zudem ist es für eine Vielzahl von Protokollen einsetzbar, die sich mit dem Programm Yubi Authenticator auf Windows-, macOS- und Linux-PCs sowie unter Android und iOS konfigurieren lassen. Darüber kann man zum Beispiel eine PIV-Chipkarte ersetzen und OpenPGP-Schlüssel verwalten. Laut Hersteller passen Informationen für 32 Gegenstellen auf das Token. Ein umfangreiches englischsprachiges Online-Manual erklärt ausführlich alle Optionen. (js@ix.de)

Daten und Preise
Produkt	Feitian ePass FIDO NFC K9	Google Titan USB-A-Token	Thales SafeNet eToken FIDO USB-A	YubiKey 5Ci FIPS
Anbieter	FEITIAN Technologies Co., Ltd.	Google Ltd.	Thales Group	Yubico
Web	ftsafe.com	google.com	thalesgroup.com	yubico.com
Maße (mm)	43,9 × 20,8 × 3,1	43,9 × 20,8 × 3,1	40 × 16 × 10	45 × 18 × 3,3
Gewicht (g)	6	6	6	10
Einzelpreis (inkl. MwSt.)	34,90 €	34,90 €	53,02 €	83,30 €

1. Quellen
2. Verweise auf die erwähnten Kompatibilitätslisten unter ix.de/zm8b