Anzeige

Anzeige

VERANSTALTUNGEN

IT-Tage 2018
10.12.18 - 13.12.18
In Frankfurt

Software Quality Days 2019
15.01.19 - 18.01.19
In Wien

CloudFest 2019
23.03.19 - 29.03.19
In Europa-Park, Rust

SMX München
02.04.19 - 03.04.19
In ICM – Internationales Congress Center München

Anzeige

Anzeige

Anzeige

Verschlusselung Server 772892968 700

Seit Juli 2015 gilt das IT-Sicherheitsgesetz – nicht nur im Bereich Kritischer Infrastrukturen (KRITIS). Alle Anbieter von Telemediendiensten sind betroffen, darunter Online-Shops, Provider und Betreiber von Ad-Servern. Denn auch letztere halten Informationen – in dem Fall Werbemittel – zum Abruf bereit. 

Aus diesem Grund sind auch sie verpflichtet, Sicherheitsmaßnahmen entsprechend dem Stand der Technik umzusetzen. Darunter fällt insbesondere die Anwendung eines Verschlüsselungsverfahrens, welches als sicher eingestuft ist.

„Bei Auslieferung von Werbung muss das SSL/TLS-Protokoll Anwendung finden. So erfolgt der Datenverkehr zwischen Client und Webserver verschlüsselt. Die Verschlüsselung muss aber auch sämtliche beteiligte Ad-Server innerhalb der Auslieferungskette umfassen“, macht Christian Heutger, IT-Sicherheitsexperte und Geschäftsführer der PSW GROUP, mit Nachdruck aufmerksam.

Nicht grundlos, denn immer wieder gelingt es Betrügern, Ransomware oder Trojaner in Werbebannern zu verstecken und sie auf diese Weise zu verteilen: Angreifer kompromittieren schlecht abgesicherte Ad-Server oder kaufen mit gestohlenen Kreditkarten Werbeplätze bei Vermarktern. „Diese Methode ist bei Cyberkriminellen auch deshalb so attraktiv, weil die Verknüpfung des Ad-Servers mit zahlreichen Websites eine hohe Reichweite für das Verteilen von Schadprogrammen bietet. So lassen sich sogar Schadprogramme auf seriösen Websites platzieren“, so Heutger.

Der Experte empfiehlt deshalb Ad-Server-Betreibern folgende Maßnahmen zur Erweiterung der Cyber-Sicherheitsempfehlung für die sichere Bereitstellung von Online-Werbung zu ergreifen:

Starke Passwörter wählen

Ad-Server-Betreiber sind in der Pflicht, starke Passwörter zu wählen oder Alternativen einzusetzen, die mindestens vergleichbar sicher sind. So soll gewährleistet werden, dass Kunden Passwörter wählen, die stark genug für Brute-Force-Attacken sind.

Updates regelmäßig einspielen

Die Vergangenheit zeigt, dass Ad-Server häufig aufgrund fehlender Sicherheits-Updates kompromittiert wurden. Deshalb sind Betreiber in der Pflicht, Sicherheits-Updates schnellstmöglich einzuspielen. „Solche Sicherheitsupdates müssen auf sämtlichen zum Ad-Server gehörenden Komponenten installiert werden, einschließlich der Clients der Mitarbeiter. Wir empfehlen, einen Patch-Management-Prozess zu etablieren. So können Betreiber zügig auf neu zur Verfügung gestellte Sicherheits-Updates reagieren und sie schnellstmöglich einspielen“, so Christian Heutger.

Wirksamer Virenschutz

Ein effizienter Virenschutz gehört auf alle Rechner der Mitarbeiter. „Virenschutz-Programme sollten außerdem auch auf Ad-Servern eingesetzt werden. Diese sollten auf den Ad-Servern regelmäßige Scans durchführen und etwaige Schadprogramme isolieren oder entfernen. Idealerweise entscheiden sich Betreiber für ein Virenschutzprogramm, das schadhafte Werbung bereits beim Upload erkennt und entsprechende Maßnahmen veranlasst“, rät der Experte.

Monitoring

Sicherheitsrelevante Aktivitäten müssen in Ad-Servern unter Beachtung des Datenschutzes protokolliert werden. „Betreiber sollten dabei prüfen, ob bestehende Container Tags in ungewohnter Weise manipuliert oder mit schadhaften Inhalten infiziert wurden. Zudem sollte ein effizientes Monitoring es ermöglichen, Manipulationen auf Ad-Servern nachverfolgen zu können, um bei Sicherheitsvorfällen Rückschlüsse auf die Ursache zu ziehen“, präzisiert Christian Heutger.

Sicherheitskonzept und Notfallvorsorge

Ad-Server-Betreiber sind in der Pflicht, ein Notfallvorsorge-Konzept zu erstellen, um auf Sicherheitsvorfälle entsprechend reagieren zu können. „Darüber hinaus ist ein Sicherheitskonzept anzuraten. Hierin lässt sich festlegen, welche Strategien in der Informationssicherheit überhaupt verfolgt werden. Dazu gehört unter anderem, dass Serverbetreiber schnellstmöglich auf Sicherheitsvorfälle reagieren, schadhafte Werbemittel schnellstmöglich entfernen und das BSI über den Sicherheitsvorfall informieren“, so der Experte. Sein Tipp: Die Implementierung eines Information Security Management Systems (ISMS). „Hierin werden Regeln definiert, um die Informationssicherheit dauerhaft planen, umsetzen, prüfen, aufrechterhalten und optimieren zu können.“

Sensibilisierung der Mitarbeiter

Mitarbeiter gehören zu den größten Sicherheitslücken in vielen Unternehmen. Deshalb empfiehlt es sich, Mitarbeiter ausreichend zu sensibilisieren und sicherzustellen, dass alle Mitarbeiter ausreichend Kenntnis von Informationssicherheit haben. Klickbetrug, SQL- und XSS-Injection-Angriffe sollten keine Fremdwörter sein.

Verhindern von Tracking-Angriffen

Ad-Server-Betreiber müssen sich am Konzept der Datensparsamkeit orientieren. Bedeutet: Es dürfen nur so viele sensible Daten erhoben werden, wie für das Ausliefern der Werbung notwendig sind. Es dürfen hingegen keinerlei Daten erhoben sowie ausgewertet werden, die zu Sicherheitsvorfällen führen könnten. „Nutzerdaten, die mittels Tracking erhoben werden, müssen geschützt werden, da viele Website-Betreiber auch mit ausländischen Ad-Server-Betreibern und Vermarktern zusammenarbeiten. Es lässt sich also nicht ausschließen, dass ausländische Dienste auf erhobene Nutzerdaten zugreifen und diese gezielt missbrauchen könnten“, warnt Heutger.

Blacklists

Um das automatisierte Ausliefern manipulierter Werbemittel zu verhindern, müssen Ad-Server-Betreiber Sperrlisten („Blacklists“) mit jenen URLs nutzen, hinter denen sich schadhafte Inhalte verbergen. Die Sperrliste lässt sich direkt zum Blockieren nutzen, wenn es einem Angreifer gelingen sollte, manipulierte Werbung zu verlinken.

Account-Verifizierung und Zusammenarbeit

Um die Personen hinter dem Werbekunden identifizieren zu können, müssen Ad-Server-Betreiber ein Verfahren zur Verifizierung von Werbekunden etablieren. „Anonyme Accounts müssen verhindert werden, denn diese haben schon häufig dazu geführt, mithilfe gestohlener Kreditkarten schadhafte Werbung zu schalten“, begründet Heutger. Das Verifizierungsverfahren lässt sich durch weitere Sicherheitsmaßnahmen wie der Mehrfaktor-Authentisierung erweitern.

„Wir raten grundsätzlich dazu, mit anderen Ad-Server-Betreibern sowie Vermarktern zusammenzuarbeiten, insbesondere beim Reagieren auf Sicherheitsvorfälle. Hierbei lässt sich auch die Nutzung eindeutiger Werbe-IDs diskutieren: Diese wäre über mehrere Werbenetzwerke hinweg identisch. Gibt es einen Sicherheitsvorfall, bräuchte der Ad-Server-Betreiber seinem Netzwerk lediglich die ID des Werbemittels mitteilen. Diese könnten das Ausliefern des betroffenen Werbemittels in den eigenen Ad-Servern blockieren.

psw-group.de/blog/it-sicherheitsgesetz-fuer-unternehmen/4769
 

GRID LIST
Stethoskop und Computer

Warum auch in der IT vorbeugen besser ist als heilen

Die bekannte Redewendung «vorbeugen ist besser als heilen» kann auch in der IT angewendet…
Tb W190 H80 Crop Int Aeb5a1ad0de7db3f252650c4e72a36c1

Als IT-Forensiker zwischen Schadprogrammen und Schraubenziehern

Die fiktive HAK Messtechnik AG wird Opfer einer zielgerichteten Cyber-Attacke und muss…
Tb W190 H80 Crop Int 78ab87a0e30ac3933ee82b3bb260b004

Die IT-Hygiene herstellen, um die IT-Sicherheit zu stärken

Es vergeht kein Tag ohne Datenschutzverletzungen. Die weltweite Datenbank Breach Level…
Tb W190 H80 Crop Int 736a65166cde31ad5dffda5c8dd250fc

Cybersicherheit bei M & A-Transaktionen – Die unterschätzte Gefahr

Die aktuellen wirtschaftlichen und politischen Turbulenzen in einigen Staaten Europas und…
Tb W190 H80 Crop Int 59c0f6503daa36156da927e434e5a40f

Die 3 gefährlichsten Angriffsvektoren

Dieses Jahr hat Verizon bereits zum elften Mal seinen Data Breach Investigations Report…
Emergency

Fünf Must-haves für ein effektives Krisenmanagement

Everbridge, Spezialist für Critical Event Management, erläutert, wie Unternehmen bei…
Smarte News aus der IT-Welt