Angriff aus dem Netz

Montag, 22. Februar 2021
Foto: stock.adobe.com/denisismagilov

Cyberangriffe auf Handelsunternehmen wie auch Betrugsversuche im E-Commerce nehmen zu, wobei Kriminelle ihre Methoden ständig weiterentwickeln. Lesen Sie, wie sich der Handel vor Angriffen effektiv schützen kann.

Manipulierte Computersysteme, Datenklau oder der Missbrauch von Zahlungsmitteln: Laut Digitalverband Bitkom haben digitale Angriffe in den Jahren 2018 und 2019 bei rund 70 Prozent der deutschen Unternehmen zu Schäden geführt, im Jahr 2017 waren es erst 43 Prozent. Auch im E-Commerce ist Cyberbetrug längst Alltag: Rund 90 Prozent der Händler im deutschen E-Commerce sind bereits hiermit in Berührung gekommen, wie die aktuelle Fraud-Prevention-Studie von IFH Köln und Schufa zeigt. Danach werden heute durchschnittlich drei Prozent der Bestellungen von Händlern als Betrug klassifiziert, was laut Schätzungen zu einem Umsatzverlust von im Schnitt zwei Prozent – rund 1,4 Milliarden Euro – führt. Die Angriffsszenarien im Einzelhandel sind vielfältig: Identitäten werden beim Händler oder Kunden gestohlen und für kriminelle Handlungen genutzt, etwa für die «Umleitung» von Warensendungen oder den Missbrauch von Kreditkartendaten. Laut dem Report «State of Cyber ­Resilience» von Accenture zielten die Attacken im Einzelhandel 2019 vorrangig auf Kundendaten ab. Auch Cyberangriffe wie gefälschte Geschenkgutscheine, gefälschte  Rückerstattungen oder komplettes Lahmlegen von Online-Shops bedrohen den Handel. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) sind Schadprogramme und DdoS-Angriffe (Distributed Denial of Service) die gefährlichsten Angriffsformen für den Handel. Betroffen ist auch der stationäre Handel: So werden etwa POS-Geräte durch das Einspielen von Schadsoftware manipuliert und Kreditkartendaten ausgelesen.  

Neben wirtschaftlichen Einbussen beschädigt Cyberbetrug auch die Beziehung zum Kunden: «Kunden sind hinsichtlich ihrer persönlichen Daten sensibler denn je», sagt Lars Zywietz, Managing Director­ und Experte für Cybersecurity bei Accenture. «Werden über ein Leck Kundendaten abgeschöpft, kann das grosse Vertrauenseinbussen nach sich ziehen. Und das in einem Geschäftsfeld, in dem die Konkurrenz nur einen Klick entfernt ist.» Die Häufigkeit, mit der Datenmissbrauchsfälle auftreten, lasse Verbraucher verunsichert zurück, ergänzt Stefan Moritz vom Sicherheitsdienstleister OpSec Security. Mit gravierenden Folgen: Laut einer Umfrage von OpSec Security sagen 28 Prozent der Verbraucher, die aufgrund von Datenpannen das Vertrauen in ein Unternehmen verloren haben, dass sie nicht mehr dort einkaufen werden.

Hinzu kommt: Kunden wünschen sich beim Online-Shopping zwar Sicherheit, wollen aber nicht auf Bequemlichkeit verzichten, wie es in der Fraud-Prevention-Studie heisst. Ein Balanceakt für Händler, was sich aber durch «vorgelagerte Betrugsprävention» absichern lasse. «Von Relevanz ist eine Steuerung der angebotenen Zahlarten, etwa auf Basis der Höhe des Warenkorbs oder der Kundenhistorie», sagt Kai Hudetz, Geschäftsführer des IFH Köln. «Ausfallrisiken können so frühzeitig reduziert werden. Ziel muss sein, mehr Kundendaten zu erhalten, um gezielt steuern zu können.» Ein Kundenkonto erhöhe die Sicherheit. Beim Kauf auf Rechnung könnten zudem «gut und analytisch aufgestellte Dienstleister helfen, Betrugsmuster schnell und verlässlich zu erkennen oder die Risiken über einen abgesicherten Rechnungskauf komplett abzusichern», sagt Hudetz.

Auch der Erfahrungsaustausch zwischen Händlern oder ganzheitliche Monitoring-Systeme zur Überwachung von Shops, auch auf Basis künstlicher Intelligenz, könnten Cyberangriffen im Online-Handel vorbeugen. Basis der Strategie sei eine detaillierte Analyse: Welcher Schaden entsteht durch Cyberbetrug? Wie anfällig sind die Produkte? Wie gut ist ihre Wiederverkaufsmöglichkeit? Welche Kundendaten liegen vor? Welche Zahlungsmethoden werden angeboten? «Basierend auf dieser Analyse und den zur Verfügung stehenden Ressourcen sollten Angebote, Prozesse und Zahlungsverfahren angepasst und gegebenenfalls mithilfe externer Dienstleister optimiert werden», sagt Hudetz. Sein Tipp: «Händler sollten das Thema im Blick haben, denn Betrugsmuster verändern sich rasant.»

Fakten

Was ist Cyberkriminalität?
Cyberkriminalität umfasst laut Bundeskriminalamt Straftaten, die sich gegen das Internet, Datennetze, informationstechnische Systeme oder deren Daten richten oder die mittels dieser Informationstechnik verübt werden. Aktuell verbreitete Erscheinungsformen von Cyberkriminalität sind laut BKA gekennzeichnet durch die Infektion und Manipulation von Computersystemen mit Schadsoftware, etwa um persönliche Daten und Zugangsberechtigungen des Nutzers abzugreifen und zu missbrauchen (Identitätsdiebstahl), darauf befindliche Daten des Nutzers mittels sogenannter Ransomware zu verschlüsseln, um Lösegeld zu erpressen, oder um Computersysteme fernsteuern zu können, in sogenannten Botnetzen zusammenzuschalten und für weitere kriminelle Handlungen einzusetzen.

Cyberangriffen Paroli bieten

Wie Handelsunternehmen im Internet bedroht werden und was sie dagegen unternehmen können.

Trends im Betrug
Diese konzentrieren sich aus Sicht der Top-E-Commerce-Händler mehrheitlich auf den Bereich der Identitätsnutzung sowie auf den Versand, wie die Studie «Fraud Prevention im E-Commerce» von IFH Köln und Schufa zeigt. So kommt es etwa verstärkt zu Identitätsdiebstahl, Übernahme von Accounts, Adressmanipulationen (Abänderung von Adressen, ähnliche Adressen) und Zahlungsmittelbetrug, etwa Missbrauch von Kreditkartendaten. Beim Versand zeigen sich Betrugsmuster etwa im «Abfangen» der Pakete durch involvierte Paketzusteller/Filialen, Packstationen oder den Versand in grenznahe Gebiete oder ins Ausland. Hinzu kommen neue Betrugsmethoden wie gefälschte Rückerstattungen oder Bots.

Fraud kommt in Wellen
Laut der Fraud Prevention-Studie kommen «Betrugsmuster immer in Wellen und schöpfen eine Betrugsart meist voll aus, bevor sie wieder abebben». Zudem nehme die «Geschicklichkeit» der Betrüger zu, etwa durch bewusste Umgehung eines Zahlungslimits oder der internen Prüfmechanismen. Der Betrug sei meist arbeitsteilig organisiert. Betrugsversuche häufen sich besonders zu Peak-Zeiten im E-Commerce, etwa im Weihnachtsgeschäft oder bei besonderen Aktionsanlässen (Black Friday, Cyber Monday etc.).

Massnahmen zur Prävention
IT-Sicherheit sollte laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) immer Chefsache sein. Die operative Seite der IT-Sicherheit könne zwar von der Geschäftsführung delegiert werden, aber es müsse klar sein, dass es sich um ein Thema handelt, das über die Existenz des Unternehmens entscheiden kann. Werde die operative Seite delegiert, müsse die Zuständigkeit für Informationssicherheit klar definiert werden. Diese Person sollte idealerweise nicht mit dem IT-Leiter identisch und diesem auch nicht unterstellt sein. Als Richtwert für die Höhe des IT-Sicherheitsbudgets empfiehlt das BSI mindestens 15 Prozent des IT-Budgets anzusetzen.

Erfolg von Schadsoftware hänge zudem oft eng mit dem Faktor Mensch zusammen. Ein Unternehmen müsse in seiner Rolle als Arbeitgeber sicherstellen, dass die Mitarbeitenden eine IT-sichere Arbeitsumgebung nutzen können. Das kann unter anderem durch den Einsatz von VPN-Tunneln geschehen. Zudem müssen Mitarbeiter frühzeitig für das Thema Schadsoftware, schadhafte Anhänge oder Links sensibilisiert werden. Ebenso sollten Prozesse und Abläufe etabliert sein, die definieren, was zu tun ist, wenn die IT infiziert wurde. Hier zahle sich Prävention aus – kein Unternehmen könne sich heute noch den Ausfall der Website oder internen IT-Infrastruktur leisten.

Tipp
Das neue BSI-Referat «Cyber-Sicherheit für Kleine und Mittlere Unternehmen» steht für Anfragen zum Thema IT-Sicherheit zur Verfügung. Ebenso empfiehlt die Behörde die Teilnahme an der Allianz für Cyber-Sicherheit: www.allianz-fuer-cybersicherheit.de.