How to best inform website owners about vulnerabilities

Das Europäische Symposium für nutzbare Sicherheit (European Symposium on Usable Security – EuroUSEC) ist ein Forum für Forscher und Praktiker im Bereich der Mensch-Maschine Interaktion im Bereich Sicherheit und Datenschutz.

Die Dualität aus Forschung und Praxis zeigte sich schon bei den zwei Keynotes: Die eine von Gana Progrebna (Professorin für Business Analytics und Data Science an der University of Sidney sowie Lead for Behavioural Data Science am Alan Touring Institute) mit dem Titel „Behavioural Data Science of Machine Learning Operations and Human-Machine Teaming for Cyber Security„.

Die zweite Keynote von Thomas Tschersich, Chief Security Officer bei der Deutschen Telekom mit dem Titel „Human Factors in Cyber Security – An industry perspective„.

Das Projekt INSPECTION war mit einer Poster-Präsentation vertreten. Das Paper “How to best inform website owners about vulnerabilities on their websites“ von Anne Hennig, Fabian Neusser, Aleksandra Pawelek, Dominik Herrmann und Peter Mayer beleuchtet dabei mit Blick aus der Wissenschaft die praktischen Aspekte der Ansprache vom Hacking betroffener Webseiten-Eigner.

Im Kern wird aufgezeigt, wie ein Experiment aufgebaut wird, um über verschiedene Absender und mit verschiedenen Framings die Betreiber gehackter Webseiten zu informieren. Der Ansprachetext setzt sich dabei aus verschiedenen Bereichen zusammen: Aus der Motivation, in der die generelle Problematik beschreiben wird (ihre Webseite wurde gehacked), der Beschreibung von Möglichkeiten, um selbst die Behauptung der gehackten Webseite prüfen zu können (Anleitung, wie die manipulierten Seiten in der Suchmaschine auffindbar sind) und den verschiedenen Framings: neutral, aus Sicht des Schutz des Verbrauchers, aus technischer Sicht – die den Adressaten motivieren aktiv zu werden.

Zwei Wochen nach der Information wird geprüft, ob das Hacking der Webseite noch akut ist und gegebenenfalls eine Erinnerung versendet. Eine Kontrollgruppe von Webseiten wird zunächst nicht informiert, um erkennen zu können, wie stark die Steigerung durch eine effektive Ansprache ausfällt.

Poster

Standing out among the daily spam – How to catch website owners attention by means of vulnerability notifications

Auf der Konferenz Human Factors in Computing Systems (CHI 2022) in New Orleans wurde ein Forschungspaper vorgestellt, welches beschreibt, wie im Rahmen von INSPECTION die Betroffenen eines Hackings in einer Weise angeschrieben werden können, die diese auch erreicht.

Der Konferenzbeitrag beschreibt eine Interview-Studie mit deutschen Website-Besitzer:innen, bei der Wege zur effektiven Schwachstellen-Benachrichtigung identifiziert wurden.

Abstract: Running a business without having a website is nearly impossible nowadays. Most business owners use content managements systems to manage their websites. Yet, those can pose security risks and provide vulnerabilities for manipulations. With vulnerability notifications, website owners are notified about security risks. To identify common themes with respect to vulnerability notifications and provide deeper insight into the motivations of website owners to react to those notifications, we conducted 25 semi-structured interviews. In compliance with previous research, we could confirm that distrust in unexpected notifications is high and, in contrast to previous research, we suggest that verification possibilities are the most important factors to establish trust in notifications. We also endorse the findings that raising awareness for the severity and the complexity of the problems is crucial to increase remediation rates.