Die Website eines Unternehmens repräsentiert dieses online und ist für Kunden, Interessenten oder Bewerber oft die erste Anlaufstelle, wenn es darum geht einen ersten Eindruck über das Unternehmen, das Markenimage oder die angebotenen Produkte und Dienstleistungen zu erfahren. Es gibt bekannterweise keine zweite Chance für den ersten Eindruck. Und Cyberkriminelle missbrauchen immer öfter schlecht abgesicherte Websites für kriminelle Aktivitäten.
Vielen Entscheidern oder sogar Websiteerstellern ist oft nicht bewusst, dass in schlecht oder nicht abgesicherten Websites Sicherheitslücken vorhanden sind, die nicht nur die Integrität und Vertraulichkeit von Daten gefährden, sondern auch als Plattform für verschiedene Cyberangriffe dienen können.
Angreifer nutzten Schwachstellen im Code der Website aus, um beispielsweise sog. Drive-by-Downloads, eine besonders gefährliche Art von Malware, in das Skript der Website einzubetten. Mittels sog. iFrames integrieren Angreifer schadhaften HTML-Code in die Website. Ohne Wissen oder Zustimmung des Benutzers können so nur durch den Besuch auf einer kompromittierten Website schädliche Inhalte und Malware heruntergeladen und installiert werden.
Ungesicherte, aber seriös scheinende Websites werden zudem oft für Malvertising, also für bösartige Werbung missbraucht. Nutzer werden dazu verleitet auf attraktive Werbeanzeigen zu klicken und können so infiziert werden. Angreifer nutzten dabei gezielt Sicherheitslücken in Webbrowsern, Plugins oder Betriebssystemen aus, um Systeme mit Malware zu infizieren. Auch besteht die Möglichkeit, dass der User durch das Anklicken einer Anzeige auf eine schädliche Website weitergeleitet wird. Dies können perfekte Nachbauten der eigentlich besuchten Homepage sein oder auch perfekte eins-zu-eins Kopien seriöser Webseiten. Der Hacker will dadurch das Vertrauen des Users gewinnen und ihn zu einer gewissen Handlung (Anklicken einer Schaltfläche) bewegen. Für den Anwender ist hier die Gefahr hoch, sich mit Keyloggern, Ransomware oder Botnet-Software zu infizieren.
Um zu verhindern, dass Nutzer von Websites auf versteckte Schaltflächen oder Inhalte klicken, sollten X-Frame-Options im Webserver entsprechend konfiguriert werden. Nur so kann verhindert werden, dass Inhalte einer anderen Domain in den legitimen Code eingebettet werden können.
Kontaktformulare sind beliebt, um schnell, ohne Kenntnis von weiteren Daten wie einer Emailadresse, den ersten Kontakt zwischen Interessent und Unternehmen herzustellen. Diese Kontaktformulare können jedoch von Bots missbraucht werden, um Spam-Nachrichten im großen Stiel zu versenden. Dies kann zur Überlastung des Emailservers oder Absturz des Systems führen. Für den Versand dieser Spam Emails verwendet der Angreifer natürlich die richtige Domain des Unternehmens, was für schlechte Reputation und Blacklisting sorgen kann.
Gefälschte Kontaktformulare können außerdem für Phishing verwendet werden. Hacker sammeln so wertvolle Userdaten wie Emailadresse oder Kreditkarteninformationen. Diese Daten können für betrügerische Aktivitäten, gezielte Phishing Angriffe oder sogar Identitätsdiebstahl verwendet werden. Honeypots oder CAPTCHA sollten als Schutzmaßnahme implementiert werden.
Eine weitere Methode, um Daten von unsicheren Websites zu stehlen, ist Cross-Site-Scripting. Hacker nutzen hier Sicherheitslücken beispielswiese in veraltetem PHP oder Javascript-Versionen aus, um schädliche Skripte auf der legitimen Website auszuführen und so an verwertbare Daten wie IP Adresse, Browertyp und Version etc. zu kommen. Um das Ausführen von schädlichen Skripten zu verbieten, sollten entsprechende Content Security Policies (CSP) auf dem Webserver (beispielsweise Apache oder NGINX) konfiguriert werden und als HTTP-Header an den Browser gesendet werden.
Grundsätzlich sollte der Webseitenbetreiber darauf achten, dass die Privatsphäre der Nutzer bestmöglich geschützt ist. Es sollte daher in der Referrer Policy genau definiert werden, ob Nutzerdaten an externe Webseiten weitergegeben werden. Eine strikte Referrer Policy schützt zum einen den User, da nicht nachvollziehbar ist, auf welchen externen Websites der Nutzer vorher war, was ihn vor Tracking schützt, zudem schützt es die Website, da der Aufbau und die Struktur einer Website (URLs) verborgen bleibt und so Hacker Sicherheitslücken schwerer herausfinden.
Der beste Schutz für die Website ist Kontrolle. Mittels Permissions Policy sollte klar geregelt werden, welche Funktionen zugelassen werden sollen und welche nicht. Beispielsweise kann durch die Permissions Policy der Zugriff auf Kamera, Microfon oder gewisse API Aufrufe unterbunden werden. Die Einschränkung von gewissen Funktionen kann das Risiko des Datendiebstahls mindern und unautorisierte Aktionen, wie beispielsweise das Ausführen von maliziös eingebetteten Skripten verhindern.
