Vermeidung von Schwachstellen im Einzelhandel

Einzelhandelsunternehmen sind die Hauptziele von Cyberkriminellen.

Laut dem von der NTT-Gruppe veröffentlichten Global Threat Intelligence Report 2016 werden auf Einzelhandelsunternehmen dreimal so viele Angriffe verübt wie auf Finanzinstitutionen, die auf dem zweiten Platz der Liste der Angriffsziele rangieren.

In Europa geben rund 70 Prozent der Einzelhandelsunternehmen zu, Ziel von Angriffen zu sein (Quelle: Quocirca), wobei 45 Prozent der Angriffe bekanntermaßen erfolgreich waren.

Inzwischen kam es in den vergangenen 12 Monaten im amerikanischen Einzelhandelssektor wiederholt zu Anschlägen auf elektronische Kassensysteme (POS) sowie zu einem gleichbleibend hohen Aufkommen von Phishing-E-Mails. Mit deren Hilfe sollten Insider dazu überlistet werden, Unternehmensnetzwerke unwissentlich für Hacker zugänglich zu machen.

Erwartungsgemäß werden die Einnahmen aus dem Online-Handel auf 21 Prozent der gesamten Umsätze im Jahr 2017 anwachsen. Angesichts dessen werden Cyberkriminelle weiterhin versuchen, von sämtlichen Schwachstellen zu profitieren, die sie in den Einzelhandelssystemen finden können.

Um dieser Gefahr zu begegnen, stehen Einzelhandelsunternehmen eine Vielzahl von Methoden zur Risikominimierung zur Verfügung. Dazu zählen unter anderem Virtual Private Networks (VPNs), Zwei-Faktor-Authentisierung, Web Application Firewalls sowie die Überwachung der Netzwerkinfrastruktur.

Auch heute noch bietet ein vielschichtiger Ansatz die höchste Sicherheit. Denn es gibt keine einzelne Technologie, die alle Bedrohungen gleichzeitig beseitigen kann.

Einzelhandelsunternehmen verwalten ständig große Mengen von Zahlungskartendaten.

Onlineshopping-Seiten ziehen Hacker an. Diese hoffen darauf, dort Kreditkarteninformationen in großen Mengen abgreifen zu können, um sie anschließend an kriminelle Gruppen im Dark Web zu verkaufen.

Verbesserte Verfahren zur Betrugsprävention bedeuten jedoch, dass Banken faule Transaktionen mittlerweile sehr schnell erkennen und abbrechen können. Infolgedessen sind die Schwarzmarktpreise für Kreditkartennummern drastisch gefallen.

Viele Diebe nehmen daher mittlerweile Informationen ins Visier wie etwa die persönlichen Daten, die von Einzelhandelsunternehmen über Online-Registrierungsformulare und Kundentreueprogramme gesammelt werden.

Viele dieser Daten sind nicht finanzieller Natur. Das hat bei einigen Einzelhandelsunternehmen dazu geführt, dass solchen Daten weniger Wert beigemessen wird und sie fälschlicherweise weniger Schutz genießen.

In Großbritannien sind Kundentreueprogramme ein großes Geschäft. Ihr Markt hat ein Volumen von 5,7 Milliarden Britische Pfund. Ein erstaunlicher Anteil von 92 Prozent der Erwachsenenbevölkerung in Großbritannien soll Mitglied eines oder mehrerer Kundentreueprogramme sein.

Die Treueprogramme des Einzelhandels erzeugen riesige Datenbanken, gefüllt mit genau den Kundeninformationen – unter anderem Namen, Geburtsdaten, E-Mail-Adressen, Postadressen usw., – die Betrüger für Identitätsdiebstähle nutzen könnten.

Ein Angriff auf eine Kundendatenbank richtet bei einem Einzelhandelsunternehmen extremen Schaden in Form von finanziellen Einbußen und Verlust der Reputation an.

In manchen Fällen können Treuepunkte sogar wie Bargeld verwendet werden, was sie so wertvoll wie jedes Zahlungsverkehrskonto macht.

In den USA haben 72 Prozent der Treueprogramm-Manager von Problemen im Zusammenhang mit Betrug berichtet.

In den vergangenen 12 Monaten haben alle Arten von Einzelhandelsunternehmen Angriffe auf POS gemeldet, angefangen von Modegeschäften (Eddie Bauer) bis hin zu Softwareunternehmen (Oracle).

Allerdings betrafen mehr als 60 Prozent der von SurfWatch Labs im Zusammenhang mit Point-of-Sale-Systemen gesammelten CyberFacts im Jahr 2016 die Freizeitindustrie, insbesondere Hotel- und Restaurantketten.

HEI Hotels & Resorts, IHG, Omni Hotels, Trump Hotels, Hilton, Wendy’s, CiCi’s und KFC sind nur ein paar der in Berichten über Angriffe genannten Unternehmen.

Es gibt viele, verschiedene Gründe für diese Angriffe.

Doch einige gängige Praktiken im Einzelhandel setzen Kundendaten einem erhöhten Risiko aus.

Beispielsweise wollen Einzelhandels-Websites täglich rund um die Uhr für die Kunden erreichbar sein. Viele laden Käufer dazu ein, ihre Adressen, Kreditkartendaten, Rechnungs- und Versandinformationen in ihrem Online-Konto zu speichern, um beim nächsten Besuch der Website Zeit zu sparen.

Grundsätzlich sollten Käufer – für den Fall, dass die Website angegriffen wird und die Daten von Hackern gesammelt werden – lediglich zur Eingabe der absolut notwendigen Daten in ihr Kundenkonto verpflichtet sein.

Dazu kommt, dass Online-Händler selten Zwei-Faktor-Authentisierung anbieten. Dieses Verfahren bietet Käufern einen weiteren Schutz.

Erstaunlicherweise haben nicht nur die kleinen Einzelhandelsunternehmen schuld daran, dass Kundendaten einem Risiko ausgesetzt werden. In einer Studie des Unternehmens Lastpass wurden Amazon und Walmart bei den Unternehmen mit der schlechtesten Kontensicherheit eingestuft.

Einzelhandelsdaten sind reich an Detailinformationen und das Transaktionsvolumen ist groß.

Sowohl die Anzahl von Online-Verkäufen (erwartungsgemäß für 21 Prozent der gesamten Umsätze im Jahr 2017 verantwortlich) als auch die Anzahl der Cyberangriffe auf Einzelhändler steigt. Hier gab es im ersten Halbjahr 2016 einen Anstieg von 46 Prozent.

Gleichzeitig tauchen neue Bedrohungen auf.

So stellen etwa Einzelhandelsunternehmen regelmäßig viele Aushilfskräfte zur Unterstützung in der Hauptsaison ein, zum Beispiel in der Zeit um Weihnachten und Neujahr.

Es bleibt dann nicht aus, dass viele relativ unerfahrene Mitarbeiter auch ungesicherte Smartphones voller Apps, die sie aus unbekannten Quellen heruntergeladen haben, mit zum Arbeitsplatz bringen. Anschließend nutzen sie sie zum Austausch geschäftlicher Daten mit ihren Kollegen.

Zu den für Einzelhandelsunternehmen verfügbaren Strategien zur Risikominimierung zählt auch der Einsatz von VPNs.

VPNs erzeugen sichere, verschlüsselte Verbindungen zwischen vernetzten Systemen, POS-Terminals, Kundendatenbanken und Mobilgeräten.

Neben anderen Technologien, wie beispielsweise Zwei-Faktor-Authentisierung, Web Application Firewalls und Überwachung der Netzwerkinfrastruktur, können VPNs im Einzelhandel zu einer erheblichen Reduzierung der Internetbedrohungen beitragen.

Zusammenfassend lässt sich sagen: Angesichts der zunehmenden Angriffe auf POS-Systeme haben Einzelhandelsunternehmen und ihre Kunden mehr Grund als die meisten anderen, sich vor den Gefahren für ihre Daten in Acht zu nehmen. Ein VPN stellt einen wichtigen Bestandteil einer vielschichtigen Sicherheitsstrategie dar. Dadurch wird Einzelhändlern die Abschottung sämtlicher Verbindungskanäle ermöglicht, die zu einem Datenangriff führen könnten.