Wenn Sie Ihr Unternehmen und Ihre Kunden vor Angriffen schützen wollen, sollten Sie mit Wissen gewappnet sein. Das ist jedoch nicht einfach, denn die sich ständig ändernde Bedrohungslage und die kontinuierliche Weiterentwicklung der Abwehrmaßnahmen sind der perfekte Nährboden für Missverständnisse. In unserem Whitepaper können Sie nachlesen, was tatsächlich hinter den 10 hartnäckigsten Gerüchten über die Website-Sicherheit steckt.

1. 10Die
hartnäckigsten Gerüchte über die Website-Sicherheit

2. Einleitung
In vielen Unternehmen werden selbst die einfachsten Website-Sicherheitsmaßnahmen
vernachlässigt. Ein Grund dafür sind weit verbreitete Gerüchte und Missverständnisse, die dazu
führen, dass Gefahren, die jeder Website drohen, vielerorts schlicht nicht wahrgenommen werden.
Um Ihr Unternehmen wirksam zu schützen, müssen Sie diese Missverständnisse ausräumen,
der Realität ins Auge sehen und Ihre Abwehrmaßnahmen, Richtlinien und Prozeduren stärken,
bis Sie mit Gewissheit sagen können: „Mehr kann ich nicht tun“. Und dann müssen Sie genauer
hinsehen und mehr tun.
Doch beginnen wir am Anfang: Was sind diese Gerüchte und was steckt dahinter?

3. Gerücht Nr. 1
Hacker?
Die interessieren sich doch nicht für mich!
Viele Website-Betreiber glauben, dass ihre Website
ein so kleiner Fisch im Internet-Ozean ist, dass kein
Hacker sie auch nur ansehen würde.
Hacker werfen ihre Netze heute aber sehr weit aus.

4. Gehen Sie davon aus, dass Hacker Ihre Website immer
im Visier haben
Wenn Sie davon ausgehen, dass Hacker Ihre Website ununterbrochen mithilfe von
Skripten auf Schwachstellen „abklopfen“, sind Sie der Wahrheit am nächsten. Viel-leicht
gibt es auf Ihrer Website wirklich nichts zu stehlen. Es ist allerdings auch
möglich, dass Ihre SQL-Datenbank der reinste Leckerbissen für Kriminelle ist, die
sich auf Identitätsdiebstahl spezialisiert haben.
Ihre SQL-Datenbank könnte zum Identitätsdiebstahl
missbraucht werden
Jeder Angriff birgt die Gefahr, dass ein Hacker Änderungen an Ihrer Website vor-nimmt,
ohne dass Sie das bemerken. Zudem nutzen Internetkriminelle nun auch
das sogenannte „Spear-Phishing“. Dazu beschaffen sie sich vertrauliche Daten und
nutzen diese dann in gefälschten, aber sehr echt wirkenden E-Mails, in denen sie
sich beispielsweise als Kollege des Opfers oder Mitarbeiter seiner Bank ausgeben.
Mit diesen E-Mails versuchen sie, das Opfer zur Preisgabe von persönlichen Daten,
Betriebsgeheimnissen oder anderen vertraulichen Informationen zu bewegen.
Hackern ist es egal, wie groß Ihr Unternehmen ist
Unabhängig davon, ob und was es auf Ihrer Website zu stehlen gibt, sollten Sie vor
allem eines beherzigen: Hackern ist es egal, wie groß Ihr Unternehmen ist. Sie haben
Ihre Website im Visier.

5. Sicherheitsrisiken Gerücht Nr. 2
lassen sich quantifizieren
Die Verantwortlichen vieler Unternehmen glauben, dass
alle Risiken sich irgendwie abschätzen lassen. Im Bereich
Website-Sicherheit ist das schlicht falsch. Wie können Sie
beispielsweise abschätzen, was eine gehackte Website oder
ein ernsthaft infiziertes Netzwerk Sie kosten würde?

6. Unternehmen messen?
Wie beziffern Sie den Schaden, der entstehen würde, wenn Betriebsgeheimnisse oder
vertrauliche Kundendaten in die falschen Hände fielen? Wie können Sie die Auswirkungen
eines solchen Vorfalls beziffern oder abschätzen, wie lange Ihr Unternehmen brauchen
würde, um sich davon zu erholen? Und welcher langfristige Schaden würde entstehen,
wenn Kunden nach einem Datenleck lieber bei Ihren Mitbewerbern einkaufen?
Woran können Sie erkennen, wie sicher Ihr Unternehmen ist?
Natürlich müssen Sie wenigstens ungefähr wissen, wie sicher Ihr Unternehmen ist. Deshalb
empfiehlt es sich, Sicherheitsmaßnahmen systematisch Schritt für Schritt zu implementieren.
So gewinnen Sie einen detaillierten Einblick in Ihre Sicherheitsinfrastruktur und können
gezielt die Strategien und Systeme auswählen, die die Anforderungen Ihres Unternehmens
am besten erfüllen.

7. Gerücht Nr. 3
Für die
Sicherheitsmaßnahmen
ist der CISO verantwortlich.
Der Chief Information Security Officer (CISO) ist für die
Ausarbeitung einer unternehmensweiten Strategie und die
Umsetzung geeigneter Maßnahmen verantwortlich, um die
materiellen und immateriellen Werte eines Unternehmens an-gemessen
zu schützen. Doch sollte er oder sie wirklich ganz
allein für die Ausarbeitung und Implementierung sämtlicher
Sicherheitsmaßnahmen verantwortlich sein?

8. Diese Verantwortung sollte nicht auf einer einzigen
Person lasten
Die Sicherheitsstrategie und die einzelnen Maßnahmen sollten an den spezifischen
Anforderungen des Unternehmens ausgerichtet sein. In den meisten Unternehmen
bedeutet das, dass verschiedene Personen und Abteilungen im ganzen Unterneh-men
in den Prozess eingebunden werden müssen.
Die Informationssicherheit ist kein rein technisches
Problem mehr
Neben der unmittelbaren Abwehr von Bedrohungen wirkt sie sich auch auf das Mit-arbeitermanagement,
die Definition von Arbeitsprozessen, rechtliche Fragen, das
Risikomanagement, die Öffentlichkeitsarbeit, die physische Sicherheit, organisatori-sche
Änderungen u. a. m. aus.
Das Risikomanagement gehört unbedingt dazu
Angesichts der komplexen Bedrohungslage ist offensichtlich, dass das Risikomanage-ment
ein unverzichtbarer Bestandteil der Informationssicherheit ist. Zur Bewertung
der einzelnen Risiken müssen zahlreiche Stakeholder aus allen Unternehmensberei-chen
herangezogen werden. Die Rolle des CISO sollte eher die eines zentralen
Kontaktpunktes sein, bei dem die Fäden zusammenlaufen.

9. Gerücht Nr. 4
SSL
4 ist defekt.
Mancherorts kursiert das Gerücht, dass die Protokolle
Transport Layer Security (TLS) und Secure Sockets
Layer (SSL) defekt seien. Viele SSL-Gegner glauben, dass
SSL durch ein völlig neues System ersetzt werden sollte.
Manche wollen sogar Zertifizierungsstellen (CA) abschaffen.

10. Vorfälle aufgrund unzureichender Sicherheitsmaßnah-men
bei Anwendern
Die Vorteile, die SSL seit langer Zeit bietet, werden bei dieser Argumentation völlig
außer Acht gelassen. SSL-Zertifikate gelten allgemein als das zuverlässigste und
am weitesten einsetzbare Verschlüsselungsverfahren der Welt. Warum also die
Forderungen nach einem völlig neuen System? In letzter Zeit machten mehrere
Sicherheitsverstöße Schlagzeilen, in denen auch SSL eine Rolle spielte. Dabei
leisteten jedoch meist unzureichende interne Sicherheitsmaßnahmen beim
Anwender den Angreifern Vorschub und nicht Probleme mit SSL.
SSL funktioniert und ist ein unverzichtbarer Bestandteil
jeder umfassenden Sicherheitsstrategie
SSL-Zertifikate sind seit fast 20 Jahren die zuverlässigste, bewährteste und in
großem Umfang einsetzbare Methode zum Schutz von Online-Transaktionen. SSL
ist nach wie vor ein unverzichtbarer Bestandteil jeder umfassenden Strategie für die
Website-Sicherheit.

11. 5 Gerücht Nr. 5
Ich speichere keine Kreditkartendaten,
also brauche ich kein SSL.
Ihr Geschäft und Ihre Kunden sind nicht automatisch
gegen alle Angriffe gefeit, nur weil Sie keine Kreditkarten-daten
speichern. Internetkriminelle haben auch andere
Ziele im Auge und können Ihrem Unternehmen und
seinem guten Ruf auf vielfältige Art schaden.

12. Sie benötigen eine umfassende Sicherheitsstrategie
Nur so können Sie Hackern den Zugang zu Ihrer Website verwehren. Unter anderem sollten
Sie alle Bereiche Ihrer Website, in denen Kunden Daten eingeben, mit den stärksten verfüg-baren
Maßnahmen schützen. Außerdem sollten Sie natürlich strenge Richtlinien für Anmelde-daten
einführen.
Sichere Bereiche
Dies sind interaktive und individuell angepasste „Portale“ auf Ihrer Website, in denen Kunden
auf vertrauliche Daten zugreifen können. Sie können eine zusätzliche Sicherheitsebene
einführen, indem Sie nur Anwendern mit einem elektronischen Zertifikat Zugang zu diesem
Bereich gewähren.
Anmeldedaten
Für die Anmeldung auf Ihrer Website sollten Sie nur Kennwörter mit mindestens 10 Zeichen
zulassen, die eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen
enthalten. Weisen Sie Ihre Kunden auch darauf hin, dass sie dieselben Anmeldedaten auf
keinen Fall für verschiedene Websites benutzen sollten.
Persönliche Daten
Wenn Sie persönliche Daten wie Name, E-Mail-Adresse, Telefonnummer und Postanschrift
erfassen, wird Identitätsdiebstahl zu einer ernst zu nehmenden Bedrohung für Ihre Kunden.
Mit dem Schutz dieser Daten schützen Sie jedoch nicht nur Ihre Kunden, sondern auch den
guten Ruf Ihres Unternehmens. Denken Sie auch daran, dass immer mehr Verbraucher beim
Online-Kauf auf die Sicherheit achten und Websites ohne SSL-Zertifikat meiden.
Selbst wenn Sie auf Ihrer Website nichts verkaufen, wissen Ihre Kunden den Schutz ihrer
persönlichen Daten zu schätzen.

13. 6
Gerücht Nr. 6
Die Zertifikate, die
anbieten, sind im Grunde alle gleich.
Nein, das sind sie nicht. Es gibt verschiedene Arten von
Zertifikaten, die nicht alle gleich vertrauenswürdig sind.

14. Domänenvalidierung
Dies ist die günstigste Methode zum Schutz einer Website. Das Unternehmen, das die
Website betreibt, wird allerdings weder authentifiziert noch überprüft.
Unternehmensvalidierung
Vor der Ausstellung eines Zertifikats mit Unternehmensvalidierung überprüft die Zertifi-zierungsstelle
anhand eines etablierten und akzeptierten manuellen Verfahrens, ob der
Antragsteller im Auftrag eines seriösen Unternehmens handelt und ob dieses Unterneh-men
tatsächlich der Inhaber der Website ist. Bei dieser Überprüfung werden jedoch nicht
die strengsten vom CA/Browser Forum* definierten Kriterien benutzt.
Extended Validation (EV)
Ein Zertifikat mit EV wird nur ausgestellt, wenn die strengsten Kriterien des CA/Browser
Forums* in einer sorgfältigen Untersuchung erfüllt wurden. Zertifikate dieser Art bieten das
höchste Maß an Sicherheit und schaffen das größte Kundenvertrauen. Bei der Anzeige
einer Website mit einem solchen Zertifikat wird die Adressleiste ganz oder teilweise grün
gefärbt, um den Besuchern zu signalisieren, dass alles „im grünen Bereich“ ist.
* Das CA/Browser Forum ist eine unabhängige Normungsorganisation, die verlangt, dass die Legitimi-tät
und Integrität eines Unternehmens bzw. einer Organisation gründlich überprüft werden, bevor ein
Zertifikat ausgestellt wird.
DV
oV
EV

15. Entscheiden Sie sich für ein SSL-Zertifikat mit EV von
einer weltweit anerkannten Zertifizierungsstelle
Schützen Sie Ihre Website mit einem SSL-Zertifikat mit EV, das von einer weltweit aner-kannten
Zertifizierungsstelle wie Thawte ausgestellt wurde. Damit signalisieren Sie den
Besuchern Ihrer Website, dass diese sicher ist und von einem seriösen, legitimen Unter-nehmen
betrieben wird. Vor der Ausstellung vieler anderer Zertifikate wird dagegen nur
die Domäne und weder der Besitzer noch der Betreiber der Website überprüft.
Zeigen Sie ein Vertrauenssiegel an
Vertrauensmarken bzw. -siegel sind ein weiteres wichtiges Zeichen dafür, dass der Einkauf
auf einer Website sicher ist. Das Thawte Trusted Site-Siegel verschafft Ihrer Website sofor-tige
Glaubwürdigkeit im Internet, da es den Kunden visuell vermittelt, dass die Identität Ihrer
Website überprüft wurde und die Website mit SSL gesichert ist.

16. 7Gerücht Nr. 7
Gefährliche Websites sehen
schon zwielichtig aus.
Meine Website ist sicher.
Egal, wie viel Zeit, Geld und Technik sie aufwenden –
Ihre Website wird nie 100-prozentig sicher sein. Der erste
Eindruck trügt leider all zu oft: Viele Websites sehen zwar
sicher aus, sind es aber nicht.

17. Hacker sind ständig auf der Suche nach Einfallstoren –
und werden immer wieder fündig
Zwischen der Entdeckung einer Schwachstelle und der Veröffentlichung
einer gepatchten Version durch den entsprechenden Softwareanbieter ist
Ihr System Angreifern nahezu schutzlos ausgeliefert. Geben Sie sich kei-ner
Illusion hin: Hacker haben Ihre Website bereits untersucht und wissen,
welche Software Sie verwenden. Sobald eine Zero-Day-Schwachstelle in
dieser Software entdeckt wird, sind sie zum Zuschlagen bereit.
Keine Software ist perfekt
Selbst die einfachste Website kommt nicht ohne Software aus – und jede
Software enthält Fehler. Deshalb sollten Sie wissen, welche Software Ihre
Website nutzt, und sich über Probleme, neue Versionen und Patches auf
dem Laufenden halten.
Je mehr Hindernisse Sie Hackern in den Weg legen,
desto sicherer ist Ihre Website
Absolute Website-Sicherheit gibt es nicht, doch das sollte Sie nicht davon
abhalten, alle Maßnahmen zu ergreifen, um Ihre Website so sicher wie
möglich zu machen. Internetkriminelle sind Opportunisten. Je besser Sie
Ihre Website verteidigen, desto wahrscheinlicher wird es, dass Hacker sich
eine leichtere Beute suchen.

18. Gerücht Nr. 8 8 Viele Unternehmen und Organisationen nutzen SSL/TLS
Ich brauche SSL nicht
auf allen Webseiten.
zwar, um den Datenaustausch während des Authentifizie-rungsprozesses
zu verschlüsseln, wenn ein Anwender
sich auf ihrer Website anmeldet. Im weiteren Verlauf der
Anwendersitzung werden Daten jedoch unverschlüsselt
übertragen. Von dieser Praxis ist abzuraten, denn ange-sichts
der sich ständig zuspitzenden Bedrohungslage
reicht dieser teilweise Schutz nicht mehr aus.

19. Mehr und längere Anwendersitzungen
Immer mehr Menschen sind für immer längere Zeit bei ihren diversen Internet-Konten
angemeldet. Internetkriminelle nutzen diesen Trend mit sogenannten Session-Side-jacking-
Angriffen aus. Dabei fangen sie die HTTP-Pakete ab, die unverschlüsselt
übertragen werden, nachdem ein Anwender sich angemeldet hat. Dadurch gelangen
sie in den Besitz von (ebenfalls unverschlüsselten) Sitzungs-Cookies. Diese enthalten
gewöhnlich Anwenderinformationen wie den Benutzernamen, das Kennwort und
andere Daten über die aktuelle Sitzung.
Jedes Unternehmen, das den Schutz seiner Kunden
ernst nimmt, sollte Always-On SSL implementieren
Sie brauchen lückenlosen Schutz für alle Webseiten, die Ihre Besucher aufrufen.
Always-On SSL ist ein kostengünstiges Sicherheitsprinzip, das Website-Besucher
während ihres gesamten Aufenthalts auf Ihrer Website schützt. Für Google, Micro-soft,
PayPal, Symantec, Facebook, Twitter und andere führende Unternehmen
gehört es zu den Best Practices. Jedes Unternehmen, das den Schutz seiner
Kunden und seines guten Rufs ernst nimmt, sollte diesem Beispiel folgen und
Always-On SSL mit SSL-Zertifikaten einer renommierten Zertifizierungsstelle
implementi eren.

20. 9Gerücht Nr. 9
Meine Systeme sind sicher,
denn ich habe hervorragende
Antivirensoftware in meinem
Netzwerk installiert.
Es gab eine Zeit, zu der hervorragende Antivirensoftware
allein ein Netzwerk schützen konnte. Diese Zeit ist jedoch
vorbei. Die Bedrohungslage hat sich zugespitzt. Inzwischen
gibt es zahlreiche Malware-Varianten, die nicht mit auf
Signaturen basierender Antivirensoftware erkannt und
abgewehrt werden können.

21. Auch die beste Antivirensoftware kann Sie nicht vor allen
Angriffen schützen
Auch hier findet der ewige Wettlauf zwischen Angreifern und Verteidigern statt: Hacker
denken sich ständig neue und immer raffiniertere Angriffsmethoden aus, während die An-bieter
von Sicherheitslösungen, IT-Administratoren und Anwender ihre Sicherheitsmaßnah-men
kontinuierlich weiterentwickeln, um diese Angriffe abzuwehren. Hacker sind bereit, jede
Schwachstelle in Ihrem System, Netzwerk oder sogar im Anwenderverhalten auszunutzen.
Antivirensoftware allein reicht nicht mehr aus
Mit Brute-Force-Angriffen nutzen sie gezielt verschiedene Schwachstellen in unterschied-lichen
Systemen aus und wechseln dabei ständig die Taktik. Auch die beste Antivirensoft-ware
kann nur einen Teil dieser Angriffe abwehren. Wer sich ausschließlich auf Antiviren-software
verlässt, muss daher zunehmend mit teuren Systemausfällen, aufwendigen
Wiederherstellungsmaßnahmen und erheblichen Datenverlusten rechnen.
Moderne Unternehmen brauchen ein umfassendes
Abwehrsystem
Für Internetkriminelle kann ein erfolgreicher Angriff sehr lukrativ sein. Deshalb scheuen
sie nicht mehr davor zurück, erhebliche Ressourcen einzusetzen und beachtliche Sach-kenntnisse
zu erwerben. Es ist davon auszugehen, dass sie in puncto Beharrlichkeit und
Tücke mindestens ebenso viel zugelegt haben. Aus all diesen Gründen reicht Antiviren-software
allein heute nicht mehr aus. Moderne Unternehmen und Organisationen benöti-gen
ein umfassendes Abwehrsystem, das alle verfügbaren Sicherheitstechniken mitein-ander
kombiniert.

22. Gerücht Nr. 10
Wir haben
10 eine Firewall,
also sind wir vor
Angriffen geschützt.
Dieses Gerücht ist weit verbreitet, ist aber
dennoch eher Wunschdenken.

23. Firewalls sollten als Übergangslösung betrachtet werden
Mithilfe einer Firewall können viele potenziell schädliche Datenpakete blockiert werden. An
Webserver gerichtete Anfragen muss eine Firewall jedoch passieren lassen, wenn der Web-server
seine Funktion erfüllen soll. Eine speziell auf Webanwendungen zugeschnittene Firewall
kann Ihren Webserver zwar vor bekannten Angriffsmethoden und ungewöhnlichen Anfragen
schützen. Gegen Zero-Day-Angriffe, gültige Anfragen, die Ihre Daten manipulieren, und
Angriffe, die gezielt Schwachstellen in Ihrer Geschäftslogik oder Ihrem Spezialcode ausnutzen,
ist sie jedoch wirkungslos. Nachdem Sie einen solchen Angriff entdeckt haben, können Sie
Ihre Firewall natürlich entsprechend anpassen. Das sollte jedoch immer nur eine Übergangs-lösung
sein, die Ihren Webserver schützt, während Sie das eigentliche Problem beheben.
Mit SQL-Injection-Angriffen lassen sich Firewalls umgehen
SQL-Injection-Angriffe gehören zu den größten Bedrohungen der Website-Sicherheit und
sind dafür bekannt, dass sie schwer zu erkennen sind. Die raffiniertesten dieser Angriffe
können das normale Anmeldeverfahren von Firewalls umgehen und die SQL-Befehle des
Hackers direkt in zuvor geschützte Datenbanken einschleusen. Damit kann von Website-
Sicherheit keine Rede mehr sein.
Unternehmen benötigen umfassende Sicherheitsmaßnahmen
Wie also können Sie Ihre Website schützen? Indem Sie umfassende Sicherheitsmaßnahmen
implementieren, die die unautorisierte Preisgabe von Daten verhindern und Sie umgehend
auf alle Bedrohungen und Angriffe dieser Art aufmerksam machen. Neben Firewalls sind heute
eine Reihe anderer Lösungen für die Abwehr von Angriffen an der Netzwerkgrenze verfügbar.
Nutzen Sie eine effektive Kombination dieser Maßnahmen, um die Perimeter-Sicherheit zu
einer wirkungsvollen Komponente Ihrer Sicherheitsstrategie auszubauen.

24. Warum Thawte?
Schützen Sie Daten während der Übertragung mit einem SSL-Zertifikat von Thawte.
Nicht alle SSL-Zertifikate sind gleich. Thawte konzentriert sich auf SSL, um Ihr Geschäft zu schützen. Millionen von Kunden in
aller Welt vertrauen auf Online-Sicherheit von Thawte. Hier nur einige der vielen guten Gründe für einen Wechsel zu Thawte:
xxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxx
yyyyyyyyyyyyyyyyyyyyyyyyyyyy
yyyyyyyyyyyyyyyyyyyyyyyyyyyy
zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz
zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz
renommierte digitale Zertifikate
weltweite Reputation für kompromisslose Sicherheit
SSL-Verschlüsselung mit bis zu 256 Bit
Support der Spitzenklasse in mehreren Sprachen
neue, günstigere Preise, die zu jedem Sicherheitsbudget passen
Thawte Trusted Site-Siegel
Mit den renommierten digitalen Zertifikaten von Thawte schützen Sie Ihr Unternehmen und bauen
so bei Ihren Kunden Vertrauen auf.
Kaufen Testen Weitere Informationen

25. Lesen Sie unser ausführliches Whitepaper,
um sich umfassend zu informieren.
®
Die 10 hartnäckigsten Gerüchte
über die Website-Sicherheit
Ein Leitfaden von Thawte
Whitepaper 2014
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Whitepaper herunterladen