Dr. Nicole Hoffmeister-Kraut, Ministerin für Wirtschaft, Arbeit und Tourismus des Landes Baden-Württemberg, und Thomas Strobl, Minister des Inneren, für Digitalisierung und Kommunen des Landes Baden-Württemberg überreichten den Sicherheitspreis Baden-Württemberg im Rahmen des Cybersicherheitsforums in Stuttgart.
Mit dem Projekt INSPECTION wurde ein hochinnovatives Verfahren auf Basis von Künstlicher Intelligenz entwickelt, um illegal manipulierte Webseiten (Hackings) zu finden und die betroffenen Unternehmen proaktiv zu informieren. Dadurch werden diese in die Lage versetzt, etwaige Sicherheitslücken zeitnah zu schließen und daraus resultierenden Missbrauch zu verhindern.
Das Projekt INSPECTION konnte die Jury beeindrucken, da die Hackings den betroffenen Unternehmen häufig Monate oder sogar Jahre verborgen blieben. Grund dafür ist, dass die originalen Webseiten intakt waren, es wurden jedoch im großen Umfang missbräuchliche Inhalte eingeschleust. Neben dem Aspekt, die betriebliche Sicherheit von Unternehmen zu stärken, wird auch Verbrauchern ein sicheres Internet ermöglicht. Die Hackings der Webseiten zielen darauf ab, Verbraucher mit den manipulierten Webseiten auf missbräuchliche Angebote wie Fake-Shops oder Ransomware-Downloads zu leiten.
Besonderer Pluspunkt: Das Projekt INSPECTION schafft ein branchenübergreifendes Bewusstsein für IT-Sicherheit. Dies geschieht unter anderem durch die Präsentation realer Hackerangriffe auf Veranstaltungen, um die Sicherheitsproblematik eindrücklich zu illustrieren. Außerdem entstanden innerhalb des Projekts zwei Erklärvideos, die sowohl konkrete Schritte zur Behebung von Sicherheitsvorfällen als auch präventive Maßnahmen aufzeigen.
„Wir sind sehr stolz auf diese Auszeichnung, die eine Anerkennung für die harte Arbeit unseres Teams und aller Partner ist“, sagt der Geschäftsführer Joachim Feist, der zusammen mit Geschäftsführer Ralf Walther in Stuttgart den Preis entgegennahm. „Wir hoffen, dass dieser Preis uns dabei hilft, weitere Partner und finanzielle Mittel für den Ausbau und Erhalt des Projektes zu finden.“
Das preisgekrönte Projekt INSPECTION (www.web-inspection.de) startete als BMBF Forschungsprojekt und unter Beteiligung der Forschungsgruppe SECUSO des KIT in Karlsruhe und den Forensikexperten der BDO AG Wirtschaftsprüfungsgesellschaft. Es wird nun von der mindUp Web + Intelligence GmbH fortgeführt.
Beim 6. CyberSicherheitsForum standen Künstliche Intelligenz (KI) und Cybersicherheit im Fokus. Denn auch bei KI gilt: Nur wer die Risiken kennt, kann sich gut schützen.
Claudia Plattner, Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), führte in Ihrer Keynote aus, dass KI und Cybersicherheit sich doppelt ergänzen: „Künstliche Intelligenz wirkt sich mehrdimensional auf die Bedrohungslage im Cyberraum aus. Cyberangriffe erfolgen mit Hilfe von KI-Tools schneller und professioneller; staatlich gelenkte Angreifer missbrauchen KI zum Beispiel für Desinformationskampagnen. KI birgt aber auch Chancen für die Cyberabwehr. Klar ist: Als Verteidiger müssen wir mit den Angreifenden Schritt halten, auch mit KI. Dabei kommt es erstens auf Geschwindigkeit an. Eine neue Schwachstelle zum Beispiel kann mit Hilfe von KI in kürzester Zeit ausgenutzt werden. Für uns heißt das: Wir müssen ebenso schnell und effizient verteidigen! Und dabei hilft wiederum KI. Zweitens müssen wir uns um den Zugang zu und den Umgang mit Informationen kümmern: KI-Systeme können leicht missbräuchlich genutzt werden – zum Beispiel in dem Sinne, dass sie sensible, schützenswerte Informationen preisgeben oder mit ihrer Hilfe falsche Informationen verbreitet werden. Um das zu verhindern, brauchen wir auch die technische Möglichkeit, Absender und Material als authentisch zu identifizieren. Drittens geht es bei KI immer um Technologiekompetenz: Im Bund und in den Ländern müssen wir sicherstellen, dass wir genügend Fachleute auf unserer Seite haben, die KI verstehen. Das ist Stand heute noch nicht der Fall. Die Expertise, die wir heute schon im Land haben, müssen wir so effizient wie möglich einsetzen. Doppel- bzw. Mehrfachstrukturen können wir uns dabei nicht leisten.“
Prof. Dr. Christian Dörr vom Hasso-Plattner-Institut in Potsdam erklärte: „KI bietet zahlreich Chancen und Herausforderungen für Cybersicherheit. Aber das eigentliche disruptive Potential haben wir als Gesellschaft noch nicht ausreichend im Blick.“. In Bezug auf Hackings sprach er an: „Erfahrungen sind Erinnerungen, die teuer bezahlt wurden“. Auch heute noch dauert die Behebung von Cybersicherheitsvorfällen viel zu lange wie aktuelle Auswertungen zeigen. Dies ist ein Aspekt der auch im Projekt INSPECTION festgestellt wurde, so dass dort nach 30 Tagen eine erneute Erinnerung erfolgt, falls ein Hacking immer noch sichtbar bleibt.
Dr. Nicole Hoffmeister-Kraut, Ministerin für Wirtschaft, Arbeit und Tourismus, betonte: „Alle Unternehmen können heute zum Ziel analoger und digitaler Attacken werden. Der Schutz davor ist daher für unsere Unternehmen wichtiger denn je. Gerade beim Thema Sicherheit gilt: Sparen Sie nicht an der falschen Stelle. Auch wenn Unternehmenssicherheit zuallererst in der Verantwortung jedes Unternehmens selbst liegt, bin ich froh, dass den Unternehmen im Land Akteure wie das Sicherheitsforum Baden-Württemberg unterstützend zur Seite stehen. Die von ihm verliehene Auszeichnung innovativer Sicherheitsprojekte trägt dazu bei, Themen der unternehmerischen Sicherheit in den Fokus zu rücken.
Im Rahmen des Cybersicherheitsforums wurde dieses Jahr auch der Sicherheitspreis Baden-Württemberg vergeben. Beim im zweijährigen Turnus verliehenen Preis wurde dabei auch das Projekt INSPECTION mit einem zweite Preis ausgezeichnet.
In einem ersten Schritt („Finden“) werden Webseiten mit akuten Sicherheitsproblemen identifiziert. Dies kann von außen erfolgen, da die Webseite des Unternehmens von Dritten böswillig manipuliert wurde. In einem zweiten Schritt („Behandeln“) werden die betroffenen Unternehmen informiert und in die Lage versetzt, die akuten Sicherheitslücken zu schließen und weitergehenden Missbrauch zu verhindern. Die Lösungsidee von INSPECTION, Angriffe von außen zu erkennen, stellt einen innovativen Ansatz dar und ermöglicht, eine Vielzahl von Sicherheitsvorfällen in unterschiedlichen Branchen zu erfassen und diese für Sensibilisierung der Unternehmen zu nutzen.
In seiner Laudation hob dabei Thomas Strobl, stellvertretender Ministerpräsident und Digitalisierungsminister Baden-Württembergs hervor, dass das Projekt herausragend sowohl die Unternehmenssicherheit als auch die Verbrauchersicherheit stärkt.
Den ersten Platz des Sicherheitspreises erhielt dabei die humorvolle Awareness-Kampagne der vier Universitätskliniken Baden-Württembergs – Dr. Nope. Neben INSPECTION wurde mit einem zweiten Preis die Mercedes-AMG für ihre IT-Governance Pipeline ausgezeichnet. Ein Sonderpreis erhielt das Startup Whitemacs GmbH für eine Phishing-Simulation in Unternehmen.
Erschienen in der Zeitschrift ptv 06/2023 November / Dezember
Webseitenhackings werden im Projekt INSPECTION automatisiert von außen erkannt. Dadurch können die Verursacher gezielter identifiziert, die Betroffenen zielgerichtet informiert und Prävention entlang von Beispielen plastisch gemacht werden.
Gehackte Webseiten von außen erkennen
Das Projekt INSPECTION (www.web-inspection.de) verfolgt das Ziel, gehackte Webseiten durch das maschinelle Durchsuchen des deutschsprachigen Internets von außen zu identifizieren. Die Straftat des Hackings wird demnach nicht vom Betroffenen erkannt, sondern im größeren Kontext mit Hilfe lernender Verfahren automatisiert ermittelt und weitergemeldet. Auf diese Weise konnten bereits 10 000 Hackingfälle über die verschiedensten Branchen hinweg automatisiert gefunden werden. Dies erlaubt zum einen, Spuren zu den Straftätern besser zu ermitteln, zum anderen liefern die Fälle wertvolles Anschauungsmaterial für die Prävention. Lokale Beispiele oder Beispiele bestimmter Branchen können für Veranstaltungen und Informationsmaterial herangezogen werden, um Zuhörer zum Handeln zu motivieren. Die Erkennung des Webseiten-Hackings von außen ist möglich, weil die Betrüger die gute Positionierung bestehender Seiten nutzen, um mit manipulierten Inhalten auf missbräuchliche Angebote wie Fake-Shops, Ransomware-Downloads, Bitcoin-Portale, Phishing, Pornographie und Casino-Seiten weiterzuleiten. Der Webauftritt bleibt dabei aus Nutzersicht unauffällig, d.h. die normale Verwendbarkeit der Webseite bleibt erhalten. Deshalb fallen die Hackings den Betroffenen über Monate, häufig sogar Jahre, nicht auf.
Abbildung 1 – Eine gehackte Webseite bleibt in Teilen intakt und weist neben regulären Einträgen (erstes Resultat) manipulierte Einträge auf (zweites Resultat), die bei Klick zu einem Fake-Shop führen.
Den Mechanismus kann man nachvollziehen, wenn man in der Suchmaschine mit dem Parameter site: sämtliche von der Suchmaschine indexierten Seiten einer betroffenen Domain auflisten lässt. Im Beispiel der Suche „site:domaenenname.de“ (Abbildung 1) erscheinen neben den regulären Einträgen zu Energiesystemen manipulierte Einträge der Hacker zu Arzneimitteln. Diese sind für die Suchmaschine optimiert und zeigen sogar positive Bewertungen an. Ein Klick auf einen solchen Eintrag führt Verbraucher, die das Abnehm-Medikament suchen, über eine Weiterleitung in einen Fake-Shop. Bestehenden Webseiten mit Sicherheitslücken sind das Ziel der Hacker. Die thematische Nähe zu den Themen der Zielseiten spielen dabei eine untergeordnete Rolle. Die Hacker belassen die originalen Inhalte der Webseite und ergänzen Ihre Themen zusätzlich als neue Seiten der Domain. Sie erreichen damit eine sehr schnelle und gute Suchmaschinenplatzierung. In Einzelfällen gelingt es den Angreifern eine sechsstellige Zahl zusätzlicher Unterseiten in einen bestehenden Webauftritt einzuhängen. Damit wird die manipulierte Webseite Suchmaschinen in guten Positionen zu den verschiedensten Themen der Zielseiten der Hacker gefunden. Sollte der Fake-Shop durch Markeninhaber oder polizeiliche Ermittlungen geschlossen werden, wird einfach eine neue Internet-Domäne angemeldet und die Phalanx manipulierter Webseiten entsprechend aktualisiert, um direkt vom ersten Tag an, Besucher auf die neue missbräuchliche Ziele zu lenken. Die Hacker haben Vollzugriff auf die Internet-Domänen und können dadurch weitere betrügerische Nutzungsformen wie Spam-Versand oder Angriffe auf andere Rechner implementieren.
Permanente Überwachung neuer Sucheinträge mit KI
Die mindUp Web + Intelligence GmbH ist im Forschungsprojekt INSPECTION zuständig für das Finden der gehackten Webseiten. Die Analysemethoden von mindUp basieren auf der permanenten Auswertung von sehr großen Mengen von Suchergebnissen der Suchmaschinen. Gesucht wird in der ganzen begrifflichen Breite des Online-Shoppings und zusätzlich mit Begrifflichkeiten häufiger Missbrauchsthemen wie Kryptowährungen, Casinos und Erotik. Mit Techniken der künstlichen Intelligenz bezüglich verschiedener Auffälligkeiten werden die betrügerischen Inhalte erkannt und von normalen Ergebnissen unterschieden. Zusätzlich zur permanenten Suche in den Suchmaschinen werden proaktiv Webseiten der im Projekt beteiligten Handwerkskammern und Fachverbände gecrawlt, um in der regionalen und thematischen Struktur „anlasslos“ Problemfälle zu finden und über die direkten Beziehungen der Verbände anzusprechen.
Fallbündelung für die Strafverfolgung
Bei den entdeckten Straftaten handelt es sich bei den Webseitenhackings um „Cybercrime im engeren Sinne“, bei den Zielseiten um Betrug, in Teilbereichen um Verstöße gegen das Arzneimittelrecht, da rezeptpflichtige Arzneimittel ohne Verschreibung angeboten werden. Für die Strafverfolgung sind diese Straftaten in der Regel schwer zu ahnden, da sie verteilt auf sechzehn Bundesländer bei den ZACs oder Polizeidienststellen gemeldet werden. Häufig bleibt die Anzeige der Betroffenen auch aus, da diese den Vorfall nicht bemerken oder nicht nach außen dringen lassen möchten.
Abbildung 2 – Die Analyse erlaubt die Bündelung von Fällen aufgrund des gleichen Verursachers.
Die Erkennung von außen im großen Stil und die Bündelung über das gleichartige Hackingziel, bieten die Möglichkeit, Ermittlungen der Straftäter zusammenzulegen und aus der Summe der Spuren eine bessere Sicht auf die Täterschaft zu gewinnen. So wurden die Universitäten München und Kiel vom gleichen Verursacher gehackt (siehe Abbildung 2).
Webseitenhacking als Zulieferer zu Fake Shops, Scareware und Ransomware
Zu Projektbeginn lag der Fokus darauf, gehackte Webseiten zu finden, die auf Fake-Online Shops verlinken. Im Verlauf des Projektes wurde klar, dass diese Form des Hackings auch für andere Missbrauchsformen wie Pornographie, Ransomware Downloads, illegales Glückspiel, Bitcoin-Betrug oder zur Promotion von Hacker-Tools genutzt wird. Es wird als Technik auch nicht immer Hacking eingesetzt. Stattdessen werden auch in extrem großem Umfang Webseiten angemietet (sog. Satelliten-Seiten), um dann mit den gleichen Techniken wie beim Hacking, Weiterleitungen einzurichten (siehe Abbildung 3).
Abbildung 3 – Das Webseitenhacking wird für Fake-Shops und viele andere Missbrauchsformen angewandt und taucht in verschiedenen Varianten auf.
Logfiles von Hackings legen nahe, dass arbeitsteilig gearbeitet wird. Ein Hacker übernimmt Internet-Domänen, ein SEO-Experte präpariert die Inhalte so, dass Sie von den Suchmaschinen ideal aufgenommen werden. Der dritte Akteur dürfte der Auftraggeber sein, der den Fake-Shop oder das missbräuchliche Portal betreibt. Teilweise sind Strukturen zu entdecken, die ähnlich zu Adservern in der Online-Werbebranche arbeiten, d.h. wirtschaftlich getrennte Zubringerdienste leiten dem Höchstbietenden gewinnmaximiert die Besucher zu.
Wie können Betroffene gezielt informiert werden?
Neben dem Finden stellt auch das Behandeln eine Herausforderung dar. Zu den Betroffenen zählen Vereine, Blogbetreiber, Handwerker, große Firmen und auch Universitäten.
Fallmeldungen wurden anfangs über die Zentralen Ansprechstellen Cybercrime (ZAC) der Bundesländer geleitet. Dort wurden sie je nach Vorgehen im jeweiligen Bundesland meist dezentral bearbeitet. Als schwierig erwies sich dabei, dass häufig keine Rückmeldung zum INSPECTION-Projekt vorgesehen oder rechtlich zulässig ist. Es blieb dadurch unklar, ob der Fall bearbeitet wurde. In manchen Bundesländern wurde die meldende Person der Firmen im INSPECTION Projekt in der Anzeige geführt, wodurch dann teilweise mehr als zwölf Monate später Informationen über eingestellte Ermittlungsverfahren eingingen.
Diese Herausforderungen im Bearbeitungs-Workflow fielen bereits früh im Projekt auf und wurden daraufhin auch von Studenten der sächsischen Polizeihochschule untersucht, um für eine solche automatisierte Form der Anzeige passende Vorgehensweisen zu erarbeiten. Im Rahmen der Projektlaufzeit konnten allerdings keine neuen Abläufe etabliert werden.
In einem Experiment zur effektiven Ansprache Betroffener wurde daraufhin durch die Forschungsgruppe SECUSO des KIT (Karlsruher Institut für Technologie) untersucht, welcher Absender der Botschaft und welche Inhalte der Botschaften von Organisationen außerhalb der Polizeiorganisation am geeignetsten erscheinen, um die Betroffenen zu einer Behebung der Problematik zu bewegen (Abbildung 4). In Österreich werden die Fälle durch die Watchlist Internet bearbeitet, in der Schweiz zunächst von der SWITCH, zukünftig vom Nationalen Zentrum für Cybersicherheit. In Deutschland nehmen am Ansprachexperiment zwei Webhoster, das BSI und das KIT selbst teil.
Es konnte dabei ermittelt werden, dass die Information der Betroffenen mit zielgerichteten Informationen wesentlich erfolgreicher ist, als die gehackten Webseitenbetreiber sich selbst zu überlassen. Die höchste Erfolgsquote in der Ansprache weisen zum derzeitigen Auswertungsstand das BSI und ein Webhoster auf, wobei eine technische Botschaft beim Absender BSI am besten wirkt. Eine Botschaft zu drohenden Reputationsschäden ist beim Webhoster am nachhaltigsten bzgl. einer zeitnahen Problembehandlung durch die Betroffenen.
Abbildung 4 – Die Information der Betroffenen kann über verschiedene Absender und Kanäle erfolgen. Ein Ansprache-Experiment sucht den effektivsten Weg
Prävention durch Beispiele
Im Projekt werden auch Präventions-Materialien erstellt. Das erste Video erläutert die generelle Problematik. Ein zweites Video gibt konkrete Hilfestellungen für die Behebung dieser Form des Hackings, welches inhaltlich durch die forensischen Analysen der BDO AG Wirtschaftsprüfungsgesellschaft ermöglich wurde. Diese Unterlagen können nun für Präventionsarbeit von Polizei und Verbänden genutzt werden, um Webseitenbetreiber zu sensibilisieren. Sehr wertvoll ist darüber hinaus der große Schatz an Beispielen Betroffener. Dadurch wird es möglich, mit einer Fülle von regionalen oder branchenbezogenen Beispielen das Thema IT-Sicherheit in konkrete Betroffenheit in der Zielgruppe umzuwandeln.
Mithilfe gesucht
Offen ist noch, wie nach Ende des Forschungsprojekts das Finden und das Benachrichtigen am effizientesten fortgeführt werden kann. Weitergehende Ansatzpunkte der aktuellen Arbeit wurden identifiziert und können in zukünftigen Schritten ergründet werden. So könnten das schnelle Erkennen der von den Kriminellen selbst angemieteten Webseiten eine lohnende Zielrichtung sein, indem diese direkt bei Neuanmeldungen von Internet-Domänen durch ein Screening entdeckt werden. Hier gibt es von der EU und ICANN eine Initiative unter dem Namen „DNS Abuse“, um solche Machenschaften einzugrenzen.
Da viele Zielseiten Fake-Online-Shops sind, die Vorkasse verlangen, ist als weiterer Aspekt einer Zusammenarbeit zwischen Polizei und INSPECTION zukünftig auch der Bezahlweg zu berücksichtigen. Mit Crawling-Techniken können die Vorkasse-Zielkonten ermittelt werden. Damit lässt sich der Weg des Geldes verfolgen oder frühzeitig blockieren – bevor große Summen über die Konten der häufig ahnungslosen „Money Mules“ geschleust werden.
Das INSPECTION Projekt endet in 2023 – Ideen zur Fortführung gerade zusammen mit den Strafverfolgungsbehörden stehen am Anfang künftiger Aktivitäten – sprechen Sie uns gerne direkt an.
Beteiligte
Das Projekt INSPECTION (web-inspection.de) ist gefördert im Programm „KMU Innovativ“ des Bundesministerium für Bildung und Forschung. Initiator ist die mindUp Web + Intelligence GmbH aus Konstanz, weitere Projektträger sind das Karlsruher Institut für Technologie – Forschungsgruppe SECUSO und die Forensikexperten der BDO AG Wirtschaftsprüfungsgesellschaft. Das Projekt läuft seit Juni 2020 unter internationaler Beteiligung durch die Swiss Internet Security Alliance (SWITCH, Nationales Zentrum für Cybersicherheit) und der Watchlist Internet aus Österreich. Das Projekt wird von Webhostern und Verbänden unterstützt (Abbildung 5)
The INSPECTION research project aims to find hacked and manipulated web pages by scanning search engines. The manipulated web pages redirect to fake shops, adware, scareware, ransomware downloads and other fraudulent pages.
Today URLs from Google have been found following such a fraudulent pattern. In this case the google webpage has not been hacked but a redirect mechanism has been misused (Open Redirect Vulnerabilty).
The manipulation can be seen in the search engine itself:
A search with site:https://adservice.google.de inurl:ddm/clk/408533097;208818505;l;u=ds
reveals many listings with Heading „Ohne Titel“. The code site: restricts the search to the domain adservice.google.de the code inurl: restricts it to the manipulated entries
The entries cover a range of languages and topics. So these listings will popup on various searches as the target pages have been stuffed with keywords.
The following search reveals an entry a German shopper for light bulbs might come over:
A click on this entry leads via many redirections to a fraudulent target page trying to install adware in the browser.
The link looks like this, the fraudulent target url is visible at the end:
Redirects are often used to count outgoing links e.g. to monitor a newsletter. In this case counting is important because the redirect usually is used in the adserver. But this allows attackers to add their own links to the service, so the following example will lead to the page www.test.de:
But why are such links being indexed by the search engines? The fraudsters publish the links on arbitrary third party pages (hacked pages, spammed forums and comments etc.). The search engines find these links and include them into the search engine with the contents of the target page.
This target page uses a „cloaking“ technology: It shows the search engine different content than the user. So the search engine got content for light bulbs, the user gets redirected to a fraudulent page.
Also pages in other countries where google is active are being misused e.g. adservice.google.fr / .nl / .dk / .com and so on.
This vulnerability is already being used by many players. A search with site:adservice.google.com buy shows an entry in the search enginge originating from a fake shop selling fake Louis Vuitton bags.
Fixing such issues is usually easy – redirects should at least be secured with a hash value showing that this redirect is wanted by the issuer or by not allowing target urls in plain text or by performing a lookup in the database for allowed targets. However for a huge company like Google it might be more difficult to take immediate action if this mechanism is used productively for ads.
A good message at least: Google follows the security.txt standard. Hereby we knew how to inform Google.
This example shows that also huge companies can be effected by the mechanisms researched in the INSPECTION project. We advise you to check your web page that it does not contain open redirects and to establish a security.txt file to get informed in a direct way if something goes wrong.
Über einhundert Berater aus Handwerks-Kammern und Fachverbänden waren für eine zweitägige Fortbildung nach Konstanz ins Bodenseeforum gekommen. Der baden-württembergische Handwerkstag ist assoziiertes Mitglied im Forschungsprojekt INSPECTION und hat also schon früh die Relevanz des Projekts für Handwerksbetriebe erkannt. Im Vortrag wurden die Gefahren, aber auch die Chancen der Webseitenhackings gerade auch in der Beratung aufgezeigt,
Das Beratungsangebot der Kammern und Fachverbände ist breit gefächert von Digitalisierungsberatung über wirtschaftliche Beratung, Umweltberatung und IT-Sicherheitsberatung.
Die IT-Sicherheitsbotschafter im Handwerk unterstützen Handwerksbetriebe bei allen IT-Sicherheitsmaßnahmen. Sie kennen ihre Branche und deren Anforderung und liefern pragmatische Lösungen für die IT-Sicherheit.
Die Task Force „IT-Sicherheit in der Wirtschaft“ ist eine Initiative des Bundesministeriums für Wirtschaft und Technologie, die vor allem kleine und mittelständische Unternehmen für IT-Sicherheit sensibilisieren und dabei unterstützen will, die Sicherheit der IT-System zu verbessern.
Im Vortrag von Herrn Feist von der mindUp GmbH ging es darum aufzuzeigen, dass gerade für Handwerksbetriebe das Hacking der Webseite eine sehr reale Gefahr darstellt. Mit vielen Beispielen aus unterschiedlichen Branchen wurde plausibel gemacht, dass es jeden treffen kann und trifft, der eine Webseite als einmaliges Projekt begreift und „vergisst“ durch Sicherheitskopien, regelmäßige Updates und der Vermeidung von Sicherheitslücken Gefahren gering zu halten. Der nächstgelegene akute Hackingfall betraf eine Konstanzer Firma, die nur wenige Hundert Meter vom Veranstaltungsort ihren Sitz hat. Die Webseite dieser Firma ist bereits seit 18 Monaten gehackt und verlinkt vermeintliche Angebote eines Pharma-Fake-Shops.
Neben den Gefahren wurde aber auch aufgezeigt, dass diese Hackingvorfälle auch eine Chance sein können: Für Handwerksbetriebe ist die Webseite in der Regel getrennt vom inneren IT-System, der Schaden für den Geschäftsbetrieb damit bis auf die Rufschädigung und die Haftungsrisiken durch die Verlinkung von missbräuchlichen Drittseiten zunächst gering. Die Chance besteht darin, durch diesen Hackingfall die Thematik IT-Sicherheit Ernst zu nehmen und für die Zukunft Standards zu schaffen.
Verwiesen wurde dabei auf das IT-Grundschutzprofil für Handwerksbetriebe, das gemeinsam vom ZDH und der BSI entwickelt wurde.
Ein agiles Vorgehen stellt der Sec-O-Mat der TISiM (Transferstelle IT-Sicherheit im Mittelstand) dar. Unter https://sec-o-mat.de werden kurze Fragen zur Ausgangssituation gestellt und dann konkrete, schrittweise Handlungsempfehlungen gegeben.
Der neue Beratungsstandard nach DIN SPEC 27076 ist eine dritte Möglichkeit mit geringen Kosten im Thema IT-Sicherheit voranzukommen.
Neben der Chance für Handwerksbetriebe aufgrund solcher Vorfälle die eigene Sicherheitsstrategie aufzubauen, sprach Herr Feist auch die Kammern an: Hackingfälle werden im Projekt normalerweise durch die fortwährende Analyse von Suchmaschinenergebnissen gewonnen. Möglich ist aber auch, Webseiten der Betriebe eines Fachverbands oder einer Kammer proaktiv zu prüfen. Dies wurde beispielsweise schon für den Fachverband Elektro- und Informationstechnik Baden-Württemberg (assoziierter Partner bei INSPECTION), die Handwerkskammer Frankfurt-Rhein-Main und die Handwerkskammer Cottbus durchgeführt.
Ein wesentlicher Vorteil dieser Form der Prüfung liegt darin, dass die gehackten Betriebe dann auch durch Ihre Kammer informiert werden können, anstatt dass der Vorfall z.B. an die Polizei gemeldet wird. Durch die Beraterstruktur kann dem Betrieb dann auch Unterstützung bei der Behebung und Planung der künftigen Sicherheitsstrategie gegeben werden.
Als Nebeneffekte fallen auch Informationen an, wie es um die Datenqualität der der Webseitenverwaltung der Betriebe bei der Kammer steht und es zeigt sich häufig, dass auch noch einfache Thematiken wie das Umstellen der Webseite von http auf https durch die Betriebe akut sind. Und dies hat dann wiederum Relevanz nicht nur für die Sicherheit der Webseite, sondern auch für die Sichtbarkeit des Unternehmens in der Suchmaschine für Kunden und künftige Mitarbeiter.
Interessierte Kammern und Fachverbände können sich gerne an[email protected] wenden, um gemeinsam eine solche kostenlose proaktive Analyse für die eigenen Betriebe durchzuführen.
Beim Global Anti Scam Summit am 9. und 10. November 2022 im The Hague Security Delta Campus wurde der diesjährige Global State of Scams Report offiziell vorgestellt.
Im Report wird versucht die verschiedenen Missbrauchsarten – von denen Missbrauch beim Online-Shopping nur ein Teil ist – bezüglich des monetären Verlusts und der globalen Entwicklung einzuschätzen:
Scammers have proven more successful in 2021 than ever before. The number of scams reported increased with 10.2% from 266 in 2020 to 293 million reports in 2021. The amount of money lost in scams grew from with 15,7% from $47.8 billion in 2020 to $ 55.3 billion in 2021, mainly due to the rise in Investment Scams (also read: About the Data). Scammers are using any crises to scam people; moving from preordering your Coronavirus vaccination in the beginning of 2021, to cheap flight tickets for Hajj pilgrims, “supporting” victims of the Australian bush fires, “helping” Ukrainian refugees and more recently, tickets to Queen Elizabeth’s funeral memorial and energy crisis government subsidies.
Auf Seite 33 des Reports wird das Forschungsprojekt INSPECTION in einem Interview mit Joachim Feist von der mindUp Web + Intelligence GmbH besprochen:
What can you tell about Project INSPECTION? The research project INSPECTION finds hacked web pages whose resources are being misused to redirect users into fake online shops. What advantage do these website hackers hope to gain? By hacking existing domains, the fraudster takes advantage of the reach that has grown over the years, the good search engine ranking, and the positive reputation of the hacked site. Even if there is no thematic match between the fake store and the so called hacked host site, the attacker can place ten thousand thematic pages of his fake store in the search engine index overnight, generating a high number of web visits. Which websites are particularly often the target of such attacks? Very small website operators are often targeted. The victims are therefore mainly associations, freelancers or self employed people, for example from the craft sector. But also private individuals. Security gaps often exist because the operators see their websites as a one off investment, they do not keep the site secured. Why can fake stores become so widespread on the Internet? The hackers know: The risk of prosecution is low. In most cases, the servers used for the crimes are located outside of Germany and Europe, making it difficult to identify and apprehend the criminals in this country. Our attempts to refer fake stores to law enforcement agencies, Internet registrars, or consumer protection for closure in order to stop them have also failed. Our current legal regulations can do little against cybercriminals operating internationally. Moreover, it is difficult to adequately inform operators of an attack that has taken place, because an e mail of a hacked site is usually not read. Even if you can contact the site owner, in most cases, those affected cannot act quickly enough due to a lack of IT expertise. How will INSPECTION help in the future? The focus of our idea is, on the one hand, the detection of hacked sites and, on the other hand, the targeted, largely automated and early warning of the operators of the hacked sites. After all, mere detection remains useless if there are no measures to remedy the problem.
In den zwei Tagen der hybriden Konferenz wurden in vielen Vorträgen, Panels und Workshops mit Teilnehmern aus sehr vielen Ländern die verschiedensten Aspekte angesprochen. Einige Vorträge waren auch im Umfeld von Fake-Angeboten im Online-Shopping.
Louise Beltzung von der Watchlist Internet berichtete dabei über ein Awareness-Projekt aus Österreich: Unter blackout-kits.at erreicht man einen Online-Shop, der bei genauerem Hinsehen einige Mängel bezüglich Impressum, zu günstiger Preise und seltsamen Deutsch in den Rücksendebedingungen hat. Bestellt man trotzdem hat man Glück – man wird lediglich gewarnt, dass dies genauso ein Fake-Shop hätte sein können.
Von Amazon war Abigail Bishop gekommen, um zu berichten, welche Maßnahmen der E-Commerce Gigant ergreift, um zu verhindern, dass Verbraucher auf der Plattform betrogen werden.
In Dänemark erfordert die Registrierung einer Domänen, dass man sich ausweist. Über die positiven Auswirkungen dieser Regelung berichtete Jakob Bring Truelsen, CEO von Hostmaster, Domain-Registry in Dänemark.
Die jährlich stattfindende Konferenz stellt einen wichtigen Beitrag dar, das Ausmaß von Missbrauch zu beziffern und sich über Maßnahmen auszutauschen.
Wie können Webseitenbetreiber erreicht werden, wenn festgestellt wird, dass sie gehackt wurden?
Genau diese Frage fällt unter einen der drei Hauptbestandteile des Forschungsprojekts INSPECTION: Finden, Behandeln, Verhindern.
Bei der Ansprache ergibt sich häufig das Problem der Glaubhaftigkeit, denn über die üblich angebotenen Kontaktmöglichkeiten, wie Kontaktformulare oder info@-Adressen, werden nicht direkt Spezialisten für Security angesprochen, sondern die Botschaft muss erst einmal erfolgreich den Firmenprozess durchwandern und sich gegen alle möglichen Spam-Nachrichten behaupten.
Der .well-known/security.txt Standard
Ein Vorschlag vom IETF unter den sogenannten .well-known Uri´s beschäftigt sich ebenso mit der Frage nach einer besseren Kontaktaufnahme in Sicherheitsfällen.
Das dazu veröffentlichte Dokument RFC 9116 beschreibt den Aufbau, die Lokalisation und weitere wichtige Eigenschaften, welches eine „security.txt“-Datei erfüllen soll und beinhalten kann.
In seiner einfachsten Form enthält das „security.txt“ eine Zeile, welche der bestmöglichen Kontaktaufnahme dient, und eine Zeile, welche das Ablaufdatum der Information enthält.
Wie häufig wird diese sinnvolle Möglichkeit schon genutzt? Ist sie bei Webmastern schon so bekannt wie die robots.txt oder die sitemap.xml ?
In einer aktuell durchgeführten Suche nach diesen hilfreichen Dateien konnten wir bei 4.145 Domänen, welche wir als gehackt bzw. ehemalig gehackt klassifiziert haben, leider keine Webseite finden, welche eine „security.txt“ besitzt. D.h. für die Ansprache im Forschungsprojekt INSPECTION gab es keinen Fall bei dem die security.txt bisher hilfreich gewesen wäre.
Etwas besser sieht es bei breiteren Suche von Domänen aus: Bei einer Analyse von 36.000 Domänen vornehmlich aus Deutschland, Österreich und der Schweiz, die im Rahmen des Forschungsprojekts analysiert wurden, war gerade einmal bei 64 eine „security.txt“ abgelegt. Dies entspricht weniger als 0,18% – als Tortendiagramm kaum darstellbar.
Anteil von Webpräsenzen mit security.txt
Für den Erfolg einer schnellen und zielführenden Ansprache ist es wichtig solche Standards zu unterstützen.
Sprechen Sie am besten noch heute Ihren Webmaster an. Den Dateiordner .well-known gibt es bereits auf den meisten Webpräsenzen, da er auch für die Schlüsselverwaltung genutzt wird. Dort lediglich die kleine security.txt Datei anlegen und schon ist man bereit im Falle eines Falles für eine zielführende Information.
Betreibende betrügerischer Online-Verkaufsplattformen – sogenannter Fake-Shops – machen sich zunehmend Sicherheitslücken von Webseiten zunutze. Sowohl für die Menschen und Organisationen hinter seriösen Webseiten als auch für Online-Shoppende bedeutet dies ein Risiko. Käuferinnen und Käufer werden bei den unseriösen Angeboten zur Zahlung mittels Vorauskasse oder per Kreditkarte aufgefordert − für Waren oder Dienstleistungen, die häufig gar nicht existieren.
Gerade in der gegenwärtigen Lage verschärft sich das Problem: Viele der Fake-Shops vermarkten in der Pandemie-Krise wichtige Produkte wie Schutzkleidung, Schnelltests oder Desinfektionsmittel. Und das erfolgreich – denn hinter der Masche steckt System: Für hohe Besuchsströme hacken Fake-Shop-Betreibende seriöse Webseiten und richten unerkannt automatisierte Weiterleitungen zu ihrer gefälschten Plattform ein. Die Fake-Shops erhöhen so ihre Sichtbarkeit in Suchmaschinen und damit ihre Erfolgsrate. Die gehackte Webseite kann dann auch für andere Formen des Missbrauchs genutzt werden: zum Beispiel zum Versenden von Spam oder zur Verbreitung von Ransomware.
Im Interview erklärt das INSPECTION Team, welchen Ansatz es verfolgt.
Ihnen begegnen bereits seit vielen Jahren Fake-Shops und damit verbunden Angriffe auf seriöse Webseiten. Wie gehen die Angreifenden genau vor?
Fake-Shop-Betrüger bringen ihre neuen Domänen dadurch in die Suchmaschinen, dass sie sich geschickt mit ihren Themen in fremde, häufig themennahe Webseiten einnisten.
Welchen Vorteil erhoffen sich die Hacker?
Durch das gezielte Hacking von bestehenden Domänen macht sich der Betrüger die über Jahre gewachsene Reichweite, das gute Suchmaschinen-Ranking sowie die positive Reputation der gehackten Seite zunutze. Um eine Zahl zu nennen: Auch wenn thematisch zwischen Fake-Shop und der so genannten gehackten Wirtsseite keine Übereinstimmung besteht, kann der Angreifer bereits über Nacht zehntausend Themenseiten seines Fake-Shops im Suchindex der Suchmaschinen erfolgreich platzieren und damit eine hohe Anzahl an Webbesuchen generieren.
Welche Webseiten sind besonders häufig Ziel solcher Angriffe?
Im Visier sind häufig sehr kleine Webseitenbetreiber. Opfer sind also vor allem Vereine, freiberuflich Tätige oder Selbstständige, etwa aus dem Handwerksbereich. Aber auch Privatpersonen. Sicherheitslücken bestehen hier oft deshalb, weil die Betreiber ihre Webseiten als einmalige Marketinginvestition verstehen. Sicherheitskonzepte werden nicht konsequent verfolgt.
Warum können sich Fake-Shops im Internet so breitmachen?
Die Hacker wissen: Das Risiko der Strafverfolgung ist gering. Zumeist stehen für die Straftaten genutzte Server außerhalb von Deutschland und Europa – die Kriminellen sind dadurch hierzulande schwer identifizier- und greifbar. Auch unsere Versuche, Fake-Shops an die Strafverfolgungsbehörden, die Internetregistrare oder den Verbraucherschutz zur Schließung weiterzuleiten, um sie so zu stoppen, schlugen fehl. Unsere aktuellen gesetzlichen Regelungen können gegen international agierende Cyberkriminelle wenig ausrichten. Darüber hinaus ist es schwierig, die Betreiber adäquat über einen erfolgten Angriff zu informieren, weil eine E-Mail, die ein Hacking thematisiert, im Regelfall nicht gelesen oder ernst genommen wird. Zunächst muss also unbedingt fallbezogen ein verlässlicher Kommunikationskanal zu den Zuständigen gefunden werden. Meist können die Betroffenen auch aufgrund fehlenden IT-Know-hows nicht schnell genug handeln.
Wie soll INSPECTION künftig helfen?
Im Mittelpunkt unserer Idee steht zum einen das Aufspüren der gehackten Seiten und zum anderen die zielgerichtete, weitgehend automatisierte und frühzeitige Warnung der Betreiber der gehackten Seiten. Denn das reine Erkennen bleibt nutzlos, wenn es keine Maßnahmen gibt, das Problem zu beheben. Im Projekt bringen hier die Cybersecurity-Experten der BDO AG Wirtschaftsprüfungsgesellschaft ihr Wissen ein. Sie durchleuchten die Art und Weise der Hackings und können aus der Erkenntnis Lösungen extrahieren, um den Betroffenen schnell Hilfestellung zu geben – auch wenn diese kein Expertenwissen haben. Forschende der Forschungsgruppe SECUSO am Karlsruher Institut für Technologie (KIT) bauen auf diesen Erkenntnissen auf und entwickeln ein optimales Verfahren, um Betroffene zu informieren − etwa über Polizeibehörden, Branchenverbände oder Webhoster.
Welchen technischen Ansatz verfolgen Sie, um zu erkennen, ob eine Webseite gehackt wurde?
Das Gute an dieser Form des Hackings ist, dass wir es von „außen“ erkennen können. Wir verfolgen dabei einen Big-Data-Ansatz, indem wir im großen Stil in shopping-affinen Themenbereichen Suchmaschinenergebnisse überwachen. Alle gefundenen Webseiten werden thematisch eingestuft: Sowohl die für einen Suchbegriff wie „Nike Air Max“ gefundene Seite einer Domäne als auch die Webdomäne, wenn man diese von der Startseite her besucht. Eine als im Themengebiet „Handwerk“ klassifizierte Domäne, die in der Suchmaschine mit Seiten für Turnschuhe gefunden wird, ist dabei auffällig.
Weshalb bietet KI hierfür so große Chancen?
Techniken des maschinellen Lernens sind sehr gut geeignet, um solche thematischen Klassifikationen aus großen Datenmengen einzutrainieren. Das genannte Schuhbeispiel ist nämlich nur eines von vielen. Es gilt etwa auch, Fälle zu erkennen, in denen eine legale Online-Apotheke gehackt wurde, um auf eine illegale Online-Apotheke zu verlinken. Dieser Fall ist dann nicht mehr thematisch erkennbar. Zu den thematischen Merkmalen treten daher viele weitere Parameter hinzu, die durch ein lernendes System ebenfalls auf Basis zuvor klassifizierter Fälle herangezogen werden können. Zu beachten ist auch, dass Kriminelle derartige Betrugsmaschen immer weiterentwickeln. Feste Heuristiken würden hier mit der Zeit ins Leere laufen, während ein mitlernendes System auch neuartige Mechanismen erkennen kann.
Gibt es kategorische Unterschiede zwischen den von Ihnen gesichteten gefälschten Plattformen?
Bei den Fake-Shops gibt es solche, die das Ziel haben, Plagiate großer Modemarken oder bekannter Medikamente zu vertreiben. Eine zweite Gruppe von Fake-Shops beabsichtigt überhaupt nicht, jemals Ware zu verschicken, sondern hat es lediglich auf das Geld oder die Kreditkartendaten der Verbraucher abgesehen. Häufig erfolgen dort nach der eigentlichen Bestellung weitere Belastungen der Kreditkarte. Diese Fake-Shops bedienen einen deutlich größeren Themenbereich und kopieren zum Beispiel Produktbestände großer Markplätze. Einfach lässt sich also trennen in „Warenbetrug“ versus „Phishing von Kreditkartendaten“. Auch in der Professionalität unterscheiden sich die Seiten. Es gibt auf Masse angelegte gefälschte Shops, die Hunderte von „abgelegten“ Domänen nutzen − also solche, die vorherige Inhaber nicht mehr besitzen. Fake-Shops verwenden diese Domänen, da noch Verlinkungen auf die alten Seiteninhaber existieren und damit eine Listung in der Suchmaschine für die neuen Themen erleichtert wird. Neben solchen Massen-Shops gibt es aber auch sehr aufwändig erstellte einzelne Shops – teilweise inklusive Impressum und Gütesiegel − deren Fälschung kaum zu erkennen ist.
Zum Schluss ein Blick nach vorne: Was ist Ihre Vision für ein besseres, sichereres Internet?
Die Informationsfreiheit des Internets werden wir uns immer wieder neu erkämpfen müssen. Mit INSPECTION möchten wir dazu beitragen, die positiven Seiten des Internets zu stärken und gerade die Gruppe von Webseitenbetreibern zu unterstützen, die keine oder nur kleine Budgets für Internetsicherheit haben. Die große Menge an assoziierten Partnern in unserem Projekt − von Webhostern über Branchen- und Sicherheitsverbände bis hin zu Multiplikatoren aus Österreich und der Schweiz − ermöglicht einen thematischen und länderübergreifenden Ansatz zum Verhindern dieser Form des Missbrauchs.
Interview mindUp mit dem Referat Vernetzung und Sicherheit digitaler Systeme im BMBF
