eStrategy Magazin Ausgabe 02 / 2014

E-Commerce // Sicher unterwegs im E-Commerce: Eine Bestandsaufnahme aus Sicht des Händlers
Unter anderem heißt es darin: „Der Integrität und
Authentizität der Anbieterinformationen sowie der
Integrität und Vertraulichkeit der gesamten Daten
der Geschäftsabwicklung ist durch ein geeignetes
IT-Sicherheitskonzept Rechnung zu tragen“. Diese
Sicherheitsziele sind auch Kernbestandteile von internationalen
Standards wie beispielsweise der ISO/
IEC 2700x Normenreihe. Unternehmen, die Zertifizierungen
für diese Standards durchführen, haben in
der Regel einen enorm hohen initialen Aufwand den
Anforderungen gerecht zu werden.
Bei E-Commerce-Händlern war der initiale Aufwand
bezüglich Informationssicherheit und Datenschutz
für eine Zertifizierung hingegen überwiegend gering.
Nur knapp ein Drittel der Befragten hatte den Eindruck,
dass die Zertifizierung hilfreich für die Themen
Informationssicherheit und Datenschutz war. Ein
ähnliches Bild ergibt sich bei den Unternehmen, die
planen, sich für ein Gütesiegel zertifizieren zu lassen:
Nur 37 % glauben, dass die geplante Zertifizierung
zu Verbesserungen für die Themen Informationssicherheit
und Datenschutz führt.
Besonders kritisch hervorzuheben ist, dass lediglich
in 55,3 % der Unternehmen, die bereits für ein
Internet-Gütesiegel zertifiziert sind, Anweisungen zu
den Themen Informationssicherheit und Datenschutz
existieren. Wie ein „IT-Sicherheitskonzept“ ohne Einbeziehung
der Mitarbeiter aussehen kann, welches
„Integrität und Vertraulichkeit“ gewährleisten soll, ist
äußerst fraglich.
Cloud-Speicherdienste – Fluch und
Segen zugleich
57 % der Unternehmen nutzen bereits Cloud-
Speicherdienste wie zum Beispiel Dropbox,
OneDrive, Google Drive oder Telekom Cloud. Für
die Mitarbeiter verspricht dies in der Regel hohen
Komfort: Sie können von überall auf die Unternehmensdaten
zugreifen und die Zusammenarbeit mit
Kollegen vereinfacht sich. Auch aus Sicht der IT-
Abteilungen sind Cloud-Speicherdienste komfortabel.
Die Versionierung und das Backup von Datenbeständen
werden damit erheblich vereinfacht.
Dieser Komfort hat aber auch seine Schattenseiten.
Für das Unternehmen wird es erheblich schwerer zu
kontrollieren, wohin die eigenen Daten fließen. In fast
der Hälfte der Unternehmen, die Cloud-Speicherdienste
einsetzen, greifen die Mitarbeiter mit privaten
Endgeräten auf berufliche Daten zu. Was mit den
Unternehmensdaten auf den privaten Endgeräten
passiert und wie die privaten Endgeräte vor Angreifern
geschützt sind, ist für Unternehmen nur schwer
nachzuvollziehen. Noch gefährlicher ist jedoch die
Situation, dass Mitarbeiter Cloud-Speicherdienste
selbst im Unternehmen „implementieren“ und einfach
ihre privaten Accounts für ihr berufliches Umfeld
nutzen. 26 % der Befragten gaben an, dass sie in
ihrer beruflichen Nutzung nicht zwischen beruflichen
und privaten Konten bei Cloud-Speicherdiensten
trennen.
Spätestens hier wird klar, dass technische Vorkehrungen
diese Probleme nur ungenügend lösen können.
Es bedarf klarer Anweisungen der Geschäftsführung,
wie mit Cloud-Speicherdiensten gearbeitet
werden soll. Auch dann, wenn im Unternehmen
keine Cloud-Speicherdienste zum Einsatz kommen,
sollte dies den Mitarbeitern kommuniziert und erklärt
werden. Anweisungen bezüglich des Umgangs mit
Cloud-Speicherdiensten wirken sich auch unmittelbar
aus: In Unternehmen, in denen Anweisungen
zu Cloud-Speicherdiensten seitens der Geschäftsführung
existieren, werden Daten erheblich häufiger
verschlüsselt, bevor sie bei den Diensten abgelegt
werden, die Mitarbeiter kennen sich besser mit den
rechtlichen Rahmenbedingungen der Cloud-Speicherdienste
aus, sie trennen strikt zwischen privaten
und beruflichen Konten und greifen erheblich seltener
mit privaten Endgeräten auf berufliche Daten
zurück. Von solchen Anweisungen machen aber nur
36 % der Unternehmen, die Cloud-Speicherdienste
einsetzen, Gebrauch.
Der E-Commerce-Händler
als Opfer
E-Commerce-Händler verfügen über äußerst sensible
und zusammenhängende Datensätze, welche besonders
gut finanziell verwertbar sind. In kaum einer
anderen Branche werden Datensätze derart umfänglich
und zusammenhängend erhoben: Zahlungsdaten
(46 % speichern ihre Zahlungsdaten selbst),
Daten zu E-Mail-Adressen und Daten zu physischen
Adressen. Für Cyber-Kriminelle sind folglich E-Commerce-Händler
höchst attraktive Ziele, zumal viele
von ihnen mit automatisierten Angriffen „abgegrast“
werden können, ohne dass diese überhaupt merken,
dass sie angegriffen wurden.
Vor diesem Hintergrund sind die erhobenen Zahlen
erschreckend: 18,8 % wurden bereits Opfer von
Erpressungsversuchen, 19,0% wurden bereits sensible
Daten entwendet und 19,7 % wurden bereits
18