Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor über 1.000 deutschen Online-Shops, die von sogenannten Online-Skimming-Attacken betroffen sein sollen. Dabei nutzen die Hacker Lücken in der Shop-Software, um Schadcode einzuschleusen, der wiederum erlaubt, Zahlungsinformationen wie etwa Kontodaten oder Kreditkartennummern von Kunden zu erbeuten. Für Nutzer des Online-Shops bleibt dieser Vorgang meist unsichtbar. Betroffen sind Online-Shops, die auf älteren Versionen der weit verbreiteten Software Magento basieren.

Bereits im September vergangenen Jahres entdeckte ein Entwickler von Sicherheitstools für Magento weltweit knapp 6.000 von Online-Skimming betroffene Shops. Darunter befanden sich auch mehrere hundert deutsche Shops. Hierauf benachrichtigte der CERT-Bund die jeweils zuständigen Netzbetreiber. Allerdings sei in vielen Fällen die Infektion nicht korrekt entfernt worden oder die Server wurden erneut kompromittiert. Hinzu kommt, dass viele Shop-Betreiber ihre Magento-Software trotz vorhandener Sicherheitsupdates nicht aktualisieren. Dies ermögliche Cyber-Kriminellen, weiterhin Zahlungsdaten und andere Kundendaten bei Bestellungen auszuspähen, so das BSI.

Nun wendet sich das Bundesamt erneut an die Netzbetreiber in Deutschland mit der Bitte, die betroffenen Online-Shops in ihren Netzen von der Gefahr zu informieren. Das Telemediengesetz (§ 13 Absatz 7) verpflichtet Betreiber von Online-Shops indessen dazu, ihre Systeme nach dem Stand der Technik gegen Angriffe zu schützen. Dies schliesst auch das regelmässige und rasche Einspielen von verfügbaren Sicherheitsupdates mit ein.

Über den kostenfreien Dienst MageReport können Betreiber von Online-Shops auf Magento-Basis ihr System auf bekannte Sicherheitslücken überprüfen. MageReport liefert dabei zu jedem erkannten Problem detaillierte Informationen zu dessen Behebung.