Kreditkarten Sicher? Sicher nicht!
New York - 2500 Kreditkartennummern innerhalb weniger Minuten, das ist die Ausbeute eines Tests von MSNBC . Der US-Fernsehsender und Internetdienst hatte mit einfachen Mitteln die Webseiten sieben kleinerer Internet-Shops geknackt.
Jedes Mal fiel den surfenden Journalisten auch eine Liste von Kunden in die Hände, mitsamt deren persönlichen Daten. Entweder, meldet MSNBC, waren die Listen nicht durch Passwörter geschützt, oder das Passwort war direkt auf der Webseite einsehbar.
Erst vor einigen Wochen wurde wieder klar, wie gefährlich es sein kann, Kreditkartennummern all zu sorglos im Netz preiszugeben. Ein osteuropäischer Hacker, der sich selbst "Maxus" beziehungsweise "Maxim" nennt, hatte nach eigenen Angaben bei CD Universe 300.000 Kreditkartennummern geklaut. Kurze Zeit später tauchten einige der Informationen für jeden frei zugänglich im Netz auf.
Wie "Maxus" an die Nummern gekommen ist, darüber rätseln Experten noch. Möglicherweise musste er sich gar nicht so sehr anstrengen. Wie MSNBC meldet, hat bei den Recherchen des Senders ein einfaches Datenbankwerkzeug gereicht, um auf sensiblen Daten zugreifen zu können.
Denn die Nummern waren nicht nur als unverschlüsselter Text in Datenbanken abgelegt, sondern zum Teil nicht einmal durch ein Passwort geschützt. Wo ein Passwort verwendet wurde, war dies meist der Name der Firma. Als Login benutzten alle Anbieter das als Standard voreingestellte "sa" für "system administrator". In allen Fällen war der SQL-Server von Microsoft im Einsatz.
Entdeckt hat die grundlegenden Sicherheitslöcher Anatolij Prokhorow, Chef der russischen Software-Firma Strategy LLC . Bevor Prokhorow die brisanten Informationen an MSNBC weitergab, habe er versucht, die betreffenden Shops zu kontaktieren - ohne Erfolg.
"In unseren Augen ist so etwas einfach unprofessionell", sagt Prokhorow. "Verdammt unprofessionell und nicht zu erklären". Seine Mitarbeiter, die an Software zum Preisvergleich zwischen E-Commerce-Shops arbeiten, seien eher zufällig auf die Sicherheitsprobleme gestoßen. "Vor unseren Augen hat sich auf einmal ein großes Loch aufgetan, eine offene Tür", sagt Prokhorow. "Unsere Leute waren verblüfft."
Sicherheitsexperten wundern sich über derartige Abgründe schon lange nicht mehr. Angesichts der Geschwindigkeit, mit der sich das Internet entwickle, müssten Firmen, so MSNBC, immer schneller funktionstüchtige Internet-Shops online bringen - oft auf Kosten der Sicherheit.
Viele kleinere Firmen könnten sich zudem keine teuren EDV-Experten leisten oder vertrauten auf teuer eingekaufte Software. Doch auch die muss ihren Preis nicht immer wert sein. Experten raten daher unentwegt, oft aber auch ungehört, die Sicherheit der eigenen Webseite von einer externen Firma testen zu lassen.
"Das Problem ist weit verbreitet", sagt Elias Levy von SecurityFocus.com . Die kalifornischen Sicherheitsexperten waren vergangenes Wochenende die ersten, die über den Nummernklau bei CD Universe berichtet hatten. Levy ist sich sicher, dass jeder, der nach Sicherheitslöchern sucht, auch auf welche stoßen wird. "Das, was Anatolij eher zufällig gefunden hat, ist dabei nur die Spitze des Eisbergs."
