Markt + Trends | Sicherheit | iX

Unsichere Banking-Anwendungen

ImmuniWeb, Anbieter diverser Sicherheitstests und Risikobewertungen, hat die Banking-Anwendungen der nach Standard& Poors 100 größten Banken weltweit auf DSGVO- und PCI DSS-Konformität sowie auf einige Sicherheits-Features gescannt. Laut der Anfang Juli veröffentlichten Ergebnisse (zu finden unter ix.de/zsdy) waren 85 der Anwendungen nicht DSGVO-konform, 49 nicht PCI-DSS-konform und 25 nicht durch eine Webapplikations-Firewall geschützt. Weitere Ergebnisse der Studie: Sieben der E-Banking-Webanwendungen wiesen bekannte ausnutzbare Schwachstellen auf, die älteste unter ihnen ist 2011 veröffentlicht. 92 % der mobilen Banken-Apps enthielten mindestens eine Schwachstelle mit mittlerem Sicherheitsrisiko. Und schließlich existieren bei allen Banken „vergessene“ Unterseiten (Subdomains), die im Ernstfall sicherheitsrelevant sein könnten. Lediglich drei Hauptwebseiten erhalten eine gute Beurteilung (A+): die der Schweizer Bank Credit Suisse, der Danske Bank (Dänemark) sowie der Svenska Handelsbanken (Schweden). Sie erfüllen alle Sicherheitskriterien und benutzen starke Verschlüsselung. (ur@ix.de)

Der größte Teil der untersuchten Subdomains ist sicherheitskritisch (orange, rot).

ImmuniWeb

BSI veröffentlicht Konfigurationsempfehlungen für MS Office

Cyberkriminelle nutzen für ihre Massenangriffe häufig weit verbreitete Softwareprodukte. Dazu zählen insbesondere Microsoft-Office-Anwendungen, die mit Makro-Funktionen in Dokumenten und HTML-Anzeigen im E-Mail-Client beliebte Einfallstore für Malware sind. In den vergangenen Wochen kamen Angriffe mit Ransomware oder Malware wie Emotet häufig über diese Wege in Unternehmensnetze und richteten enorme Schäden an. Um die Angriffsflächen zu reduzieren, hat nun die oberste deutsche Sicherheitsbehörde BSI (Bundesamt für Sicherheit in der Informationstechnik) Empfehlungen für eine sichere Konfiguration der am meisten verbreiteten Office-Anwendungen veröffentlicht. Die übergreifenden Richtlinien für Microsoft Office 2013/2016/2019 sowie für MS Access, Excel, Outlook, PowerPoint, Visio und Word sind über den Link ix.de/zsdy zu finden. (ur@ix.de)

Studie: eIDAS voranbringen

Seit 2014 ist die eIDAS-Verordnung (für electronic IDentification, Authentication and trust Services) in Kraft. Sie soll sichere und einfache Verwaltungs- und Geschäftsprozesse innerhalb der Europäischen Union ermöglichen. Bislang entfaltet die Richtlinie allerdings zumindest hierzulande wenig Wirkung. Eine Studie der Bundesdruckerei (zu finden über ix.de/zsdy) analysiert die Ursachen dafür und gibt Empfehlungen. So sollten die Vertrauensdienste etwa stärker ins deutsche Recht integriert werden, beispielsweise nach dem Vorbild der Zahlungsdiensterichtlinie PSD2, die Maßnahmen zur Absicherung der Kommunikation zwischen Banken und Anbietern rechtlich vorschreibt. Wenn das Telemediengesetz qualifizierte Website-Zertifikate vorsähe, könnte so die Manipulation wichtiger Webseiten wie von Banken, Krankenhäusern oder Wasserwerken verhindert werden.

Eine zweite Empfehlung besteht darin, Gesetze schon während ihrer Entstehung auf Digitaltauglichkeit zu prüfen. Dazu gibt es bereits das EU- Projekt „Bessere Rechtsetzung“, das mit seinen „Leitlinien und Instrumentarium“ (auch zu finden über ix.de/zsdy) bei der Prüfung hilft. In dem Falle wäre zu prüfen, inwieweit Vertrauensdienste schon in Gesetzestexten berücksichtigt sind und ob sie angewendet werden. Die deutsche EU-Ratspräsidentschaft 2020 bietet außerdem die Chance, das Thema auf die Agenda zu setzen und neue Instrumente zur Förderung von eIDAS-Vertrauensdiensten einzuführen. Außerdem sollen die Voraussetzungen für deren Zertifizierung und Zulassung vereinheitlicht werden. Laut Kim Nguyen, Leiter Trusted Services der Bundesdruckerei, können die eIDAS-Werkzeuge „für mehr Daten- und Verbraucherschutz in Deutschland sorgen“. (ur@ix.de)