Viele Webseiten mittelständischer Unternehmen werden ungewollt zum Einfallstor für Cyberkriminelle.

Der eco – Verband der Internetwirtschaft e. V. hat 1.406 Webseiten mit dem Sicherheits-Scanner SIWECOS untersucht und festgestellt: 39 Prozent der untersuchten Webseiten nutzen kein HTTPS, das Protokoll, das sich zur Herstellung von Vertraulichkeit als Standard für Webseiten etabliert hat.
Aktuelle Internetbrowser wie der Google Chrome kennzeichnen inzwischen Internetseiten ohne HTTPS als „nicht sicher“. Rund 14 Prozent der geprüften Webseiten setzen Zertifikate ein, die bei der ausstellenden Zertifizierungsstelle abgelaufen sind oder fehlerhaft implementiert wurden.
„Damit ist rund jede zweite KMU-Webseite potenziell angreifbar“, sagt Cornelia Schildt, Projektleiterin SIWECOS und Sicherheitsexpertin im eco – Verband der Internetwirtschaft e. V.

Zu viele veraltete Webseiten mit gravierenden Sicherheitslücken

Auch kritische Sicherheitslücken sind noch weit verbreitet, zeigt der SIWECOS-Scan. Bei rund 8 Prozent der untersuchten Webseiten ist der Server durch eine POODLE-Schwachstelle verwundbar, die es einem Angreifer erlauben könnte, die Kommunikation zu entschlüsseln. 5,6 Prozent der Webseiten sind potenziell mittels Padding Oracle Angriff angreifbar.
Bei rund 25 Prozent der überprüften Webseiten lässt sich die Version des Content Management Systems (CMS) oder der verwendeten Plugins auslesen. Ein Drittel dieser Seiten arbeitet mit einer Version mit bekannten Schwachstellen. Jedes Unternehmen sollte den Sicherheitsstatus des eigenen CMS regelmäßig überprüfen, beispielsweise mit den kostenfreien Scannern von SIWECOS, empfiehlt Schildt: „Die Verantwortlichen in vielen Unternehmen wissen oftmals nicht, dass ihr CMS Schwachstellen hat und gefährden so Unternehmens-IT und Kundendaten.“
Nachholbedarf haben klein- und mittelständische Unternehmen zudem beim Schutz vor Phishing-Attacken: 33 Prozent aller geprüften KMU-Webseiten haben maschinell auslesbare Email-Adressen, 14 Prozent auslesbare Telefonnummern. „Wir empfehlen, diese Kontaktdaten nicht maschinell auslesbar zu hinterlegen, denn Cyberkriminelle oder Spammer greifen diese Information gerne automatisiert von Unternehmenswebseiten ab. Das führt zu einem erhöhten Spam-Aufkommen und bildet eine Grundlage für mögliche Spear-Phishing Attacken“, sagt Schildt.

Download Übersicht der Ergebnisse

Website-Check SIWECOS findet Schwachstellen kostenfrei

Wer solche Sicherheitslücken findet und verschließt, der verhindert, dass Cyberkriminelle darüber eindringen um unbemerkt Kundendaten zu stehlen oder sogar Viren an die Besucher der Webseite verbreiten. Das kann teuer werden: Haben Firmen ihre Online-Sicherheit nachweislich vernachlässigt und Cyberkriminelle personenbezogene Daten ausgelesen, dann können Datenschutz-Behörden hohe Bußgelder verhängen.

Der Sicherheitsstatus einer Website lässt sich mit dem kostenlosen Website-Check von SIWECOS binnen Sekunden überprüfen. Der Name steht für „Sichere Webseiten und Content Management Systeme“: Nachdem eine Webseiten-Adresse eingegeben wurde, geben die Scanner nach einigen Sekunden in den Farben grün, gelb und rot sofort Ergebnisse zu Sicherheits-Aspekten und erläutern diese.

Zum Sicherheitscheck auf SIWECOS

Quelle: Pressemitteilung eco – Verband der Internetwirtschaft e. V.

Hinweis:

Es ist durchaus zu empfehlen, diesen Sicherheitscheck durchzuführen. Auch wenn mal als „normaler Anwender“ die erkannten Probleme nur selten selbst lösen kann, erhält man doch Informationen, die man an die technisch Verantwortlichen der Website weiterleiten sollte.

2020-01-10