Jede 12. Webseite mit gravierenden Sicherheitsmängeln

Image by Mediamodifier from Pixabay

Viele Webseiten mittelständischer Unternehmen werden ungewollt zum Einfallstor für Cyberkriminelle. Der eco – Verband der Internetwirtschaft e. V. hat 1.406 Webseiten mit dem Sicherheits-Scanner „SIWECOS“ untersucht und festgestellt: 39 Prozent der untersuchten Webseiten nutzen kein HTTPS, das Protokoll, das sich zur Herstellung von Vertraulichkeit als Standard für Webseiten etabliert hat. Aktuelle Internetbrowser wie der Google-Chrome kennzeichnen inzwischen Internetseiten ohne HTTPS als „nicht sicher“. Rund 14 Prozent der geprüften Webseiten setzen Zertifikate ein, die bei der ausstellenden Zertifizierungsstelle abgelaufen sind oder fehlerhaft implementiert wurden. „Damit ist rund jede zweite KMU-Webseite potenziell angreifbar“, sagt Cornelia Schildt, Projektleiterin SIWECOS und Sicherheitsexpertin im eco – Verband der Internetwirtschaft e. V.

 

Zu viele veraltete Webseiten mit gravierenden Sicherheitslücken

Download der Übersicht der Ergebnisse als PDF

Auch kritische Sicherheitslücken sind noch weit verbreitet, zeigt der SIWECOS-Scan. Bei rund 8 Prozent der untersuchten Webseiten ist der Server durch eine POODLE-Schwachstelle verwundbar, die es einem Angreifer erlauben könnte, die Kommunikation zu entschlüsseln. 5,6 Prozent der Webseiten sind potenziell mittels Padding-Oracle-Attacke angreifbar.

Bei rund 25 Prozent der überprüften Webseiten lässt sich die Version des Content-Management-Systems (CMS) oder der verwendeten Plugins auslesen. Ein Drittel dieser Seiten arbeitet mit einer Version mit bekannten Schwachstellen. Jedes Unternehmen sollte den Sicherheitsstatus des eigenen CMS regelmäßig überprüfen, beispielsweise mit den kostenfreien Scannern von SIWECOS, empfiehlt Schildt: „Die Verantwortlichen in vielen Unternehmen wissen oftmals nicht, dass ihr CMS Schwachstellen hat und gefährden so Unternehmens-IT und Kundendaten.“

 

Website-Check SIWECOS findet Schwachstellen kostenfrei

Cornelia Schildt, Projektleiterin SIWECOS und Sicherheitsexpertin im eco – Verband der Internetwirtschaft e. V.

Nachholbedarf haben klein- und mittelständische Unternehmen in NRW zudem beim Schutz vor Phishing-Attacken: 33 Prozent aller geprüften KMU-Webseiten haben maschinell auslesbare E-Mail-Adressen, 14 Prozent auslesbare Telefonnummern. „Wir empfehlen, diese Kontaktdaten nicht maschinell auslesbar zu hinterlegen, denn Cyberkriminelle oder Spammer greifen diese Information gerne automatisiert von Unternehmenswebseiten ab. Das führt zu einem erhöhten Spam-Aufkommen und bildet eine Grundlage für mögliche Spear-Phishing-Attacken“, sagt Schildt.

Wer solche Sicherheitslücken findet und verschließt, der verhindert, dass Cyberkriminelle darüber eindringen, um unbemerkt Kundendaten zu stehlen oder sogar Viren an die Besucher der Webseite verbreiten. Das kann teuer werden: Haben Firmen ihre Online-Sicherheit nachweislich vernachlässigt und Cyberkriminelle personenbezogene Daten ausgelesen, dann können Datenschutz-Behörden hohe Bußgelder verhängen. Der Sicherheitsstatus einer Website lässt sich mit dem kostenlosen Website-Check von SIWECOS binnen Sekunden überprüfen. Der Name steht für „Sichere Webseiten und Content-Management-Systeme“: Nachdem eine Webseiten-Adresse auf www.siwecos.de eingegeben wurde, geben die Scanner nach einigen Sekunden in den Farben grün, gelb und rot sofort Ergebnisse zu Sicherheits-Aspekten und erläutern diese.

Info: Für den SIWECOS-KMU Webseiten-Check wurden 1.406 Webseiten kleiner und mittelständischer Unternehmen in Deutschland im November 2019 mit den Scannern des SIWECOS-Projekts auf mögliche Schwachstellen hin überprüft. Download Übersicht der Ergebnisse.