E-Commerce-Strategien
24.05.2018
E-Commerce-Strategien
24.05.2018
Medikamente aus dem Web Sicherheitslücke bei Versandapotheken entdeckt
shutterstock.com/ Chamille White
shutterstock.com/ Chamille White
In den Webshops zahlreicher Online-Apotheken haben Informatik-Wissenschaftler der Universität Bamberg eine gravierende Sicherheitslücke entdeckt. Unbefugte hatten dadurch Zugriff auf die letzten Einkäufe sowie andere persönliche Daten der Kunden.
Informatik-Wissenschaftler der Universität Bamberg haben eine Sicherheitslücke in den Online Shops zahlreicher Versandapotheken aufgedeckt. Über die inzwischen geschlossene Schwachstelle bei einem Anbieter von Software für Apotheken hätten Unbefugte die letzten Einkäufe sowie andere persönliche Daten von Kunden ausspähen können. Über die Lücke hatten NDR und WDR zuerst berichtet.
Betroffen waren neben großen Anbietern wie "Apotal" und "Sanicare" mit mehreren Millionen Kunden etwa 170 weitere Versandapotheken. Ihre Online Shops werden demnach alle von der Firma awinta GmbH in Bietigheim-Bissingen betrieben. "Nachdem wir uns sicher waren, dass die Lücke ausgenutzt werden kann, haben wir awinta unverzüglich darauf hingewiesen", sagte Prof. Dominik Herrmann, Inhaber des Lehrstuhls für Privatsphäre und Sicherheit in Informationssystemen der Universität Bamberg.
Sicherheitsscanner im Internet
Die Wissenschaftler betreiben mit anderen Hochschulen einen Sicherheitsscanner im Internet, der Webseiten überprüft. So haben sie festgestellt, dass offenbar Nutzerdaten von mehr als 170 Apotheken nicht ausreichend geschützt gewesen seien. Der Software-Anbieter habe daraufhin schnell reagiert und die Sicherheitslücke auf allen Servern behoben.
Die Fehl-Konfiguration der Shop-Software machte die Online-Apotheken für das so genannte "Session-Hijacking" anfällig. Dabei verschafft sich ein Angreifer Zugriff auf die Browser-Sitzung eines anderen Nutzers, der gerade in einem Online Shop aktiv ist. Durch den Angriff kann der Online Shop den Browser des Angreifers nicht vom Browser des Opfers unterscheiden. Der Angreifer kann seinem Opfer gewissermaßen über die Schulter schauen und mitunter auch Zugriff auf alle Daten erlangen, die im Kundenkonto hinterlegt sind. Eigentlich gehört es zu den Standards von Shop-Anbietern, ihre Angebote gegen die häufig auftauchende Sicherheitslücke abzudichten.
Awinta räumte gegenüber dem NDR die Sicherheitslücke ein, betonte aber, es sei nicht zu einem kriminellen Datenmissbrauch gekommen. Mittlerweile sei die Lücke auch geschlossen. Ursache sei eine fehlerhafte Einstellung gewesen.
Ihr wollt in Sachen E-Commerce auf dem Laufenden bleiben? Da haben wir zwei Angebote für euch in petto:
- Unser daily-Newsletter informiert einmal täglich mit News, aber auch tiefen Insights und Analysen über die wichtigsten Themen aus der digitalen Commerce- und Marketing-Branche. Jetzt kostenlos abonnieren!
- Early birds, die bereits am frühen Morgen wissen wollen, was im nationalen und internationalen E-Commerce alles los ist, legen wir die Commerce Shots ans Herz: Jetzt abonnieren!
