Sichere Bereitstellung von Online-Werbung: 10 Tipps vom IT-Sicherheitsexperten

Seit Juli 2015 gilt das IT-Sicherheitsgesetz – nicht nur im Bereich Kritischer Infrastrukturen (KRITIS). Alle Anbieter von Telemediendiensten sind betroffen, darunter Online-Shops, Provider und Betreiber von Ad-Servern. Denn auch letztere halten Informationen – in dem Fall Werbemittel – zum Abruf bereit. Aus diesem Grund sind auch sie verpflichtet, Sicherheitsmaßnahmen entsprechend dem Stand der Technik umzusetzen. Darunter fällt insbesondere die Anwendung eines Verschlüsselungsverfahrens, welches als sicher eingestuft ist.

„Bei Auslieferung von Werbung muss das SSL/TLS-Protokoll Anwendung finden. So erfolgt der Datenverkehr zwischen Client und Webserver verschlüsselt. Die Verschlüsselung muss aber auch sämtliche beteiligte Ad-Server innerhalb der Auslieferungskette umfassen“, macht Christian Heutger, IT-Sicherheitsexperte und Geschäftsführer der PSW Group, mit Nachdruck aufmerksam.

Nicht grundlos, denn immer wieder gelingt es Betrügern, Ransomware oder Trojaner in Werbebannern zu verstecken und sie auf diese Weise zu verteilen: Angreifer kompromittieren schlecht abgesicherte Ad-Server oder kaufen mit gestohlenen Kreditkarten Werbeplätze bei Vermarktern. „Diese Methode ist bei Cyberkriminellen auch deshalb so attraktiv, weil die Verknüpfung des Ad-Servers mit zahlreichen Websites eine hohe Reichweite für das Verteilen von Schadprogrammen bietet. So lassen sich sogar Schadprogramme auf seriösen Websites platzieren“, so Heutger.

Sichere Bereitstellung von Online-Werbung: 10 Tipps vom IT-Sicherheitsexperten

Sichere Bereitstellung von Online-Werbung: 10 Tipps vom IT-Sicherheitsexperten. pixabay.com ©iAmMrRob (Creative Commons CC0)

Der Experte empfiehlt deshalb Ad-Server-Betreibern folgende Maßnahmen zur Erweiterung der Cyber-Sicherheitsempfehlung für die sichere Bereitstellung von Online-Werbung zu ergreifen:

Starke Passwörter wählen

Ad-Server-Betreiber sind in der Pflicht, starke Passwörter zu wählen oder Alternativen einzusetzen, die mindestens vergleichbar sicher sind. So soll gewährleistet werden, dass Kunden Passwörter wählen, die stark genug für Brute-Force-Attacken sind.

Updates regelmäßig einspielen

Die Vergangenheit zeigt, dass Ad-Server häufig aufgrund fehlender Sicherheits-Updates kompromittiert wurden. Deshalb sind Betreiber in der Pflicht, Sicherheits-Updates schnellstmöglich einzuspielen. „Solche Sicherheitsupdates müssen auf sämtlichen zum Ad-Server gehörenden Komponenten installiert werden, einschließlich der Clients der Mitarbeiter. Wir empfehlen, einen Patch-Management-Prozess zu etablieren. So können Betreiber zügig auf neu zur Verfügung gestellte Sicherheits-Updates reagieren und sie schnellstmöglich einspielen“, so Christian Heutger.

Wirksamer Virenschutz

Ein effizienter Virenschutz gehört auf alle Rechner der Mitarbeiter. „Virenschutz-Programme sollten außerdem auch auf Ad-Servern eingesetzt werden. Diese sollten auf den Ad-Servern regelmäßige Scans durchführen und etwaige Schadprogramme isolieren oder entfernen. Idealerweise entscheiden sich Betreiber für ein Virenschutzprogramm, das schadhafte Werbung bereits beim Upload erkennt und entsprechende Maßnahmen veranlasst“, rät der Experte.

Monitoring

Sicherheitsrelevante Aktivitäten müssen in Ad-Servern unter Beachtung des Datenschutzes protokolliert werden. „Betreiber sollten dabei prüfen, ob bestehende Container Tags in ungewohnter Weise manipuliert oder mit schadhaften Inhalten infiziert wurden. Zudem sollte ein effizientes Monitoring es ermöglichen, Manipulationen auf Ad-Servern nachverfolgen zu können, um bei Sicherheitsvorfällen Rückschlüsse auf die Ursache zu ziehen“, präzisiert Christian Heutger.

Sicherheitskonzept und Notfallvorsorge

Ad-Server-Betreiber sind in der Pflicht, ein Notfallvorsorge-Konzept zu erstellen, um auf Sicherheitsvorfälle entsprechend reagieren zu können. „Darüber hinaus ist ein Sicherheitskonzept anzuraten. Hierin lässt sich festlegen, welche Strategien in der Informationssicherheit überhaupt verfolgt werden. Dazu gehört unter anderem, dass Serverbetreiber schnellstmöglich auf Sicherheitsvorfälle reagieren, schadhafte Werbemittel schnellstmöglich entfernen und das BSI über den Sicherheitsvorfall informieren“, so der Experte. Sein Tipp: Die Implementierung eines Information Security Management Systems (ISMS). „Hierin werden Regeln definiert, um die Informationssicherheit dauerhaft planen, umsetzen, prüfen, aufrechterhalten und optimieren zu können.“

Sensibilisierung der Mitarbeiter

Mitarbeiter gehören zu den größten Sicherheitslücken in vielen Unternehmen. Deshalb empfiehlt es sich, Mitarbeiter ausreichend zu sensibilisieren und sicherzustellen, dass alle Mitarbeiter ausreichend Kenntnis von Informationssicherheit haben. Klickbetrug, SQL- und XSS-Injection-Angriffe sollten keine Fremdwörter sein.

Verhindern von Tracking-Angriffen

Ad-Server-Betreiber müssen sich am Konzept der Datensparsamkeit orientieren. Bedeutet: Es dürfen nur so viele sensible Daten erhoben werden, wie für das Ausliefern der Werbung notwendig sind. Es dürfen hingegen keinerlei Daten erhoben sowie ausgewertet werden, die zu Sicherheitsvorfällen führen könnten. „Nutzerdaten, die mittels Tracking erhoben werden, müssen geschützt werden, da viele Website-Betreiber auch mit ausländischen Ad-Server-Betreibern und Vermarktern zusammenarbeiten. Es lässt sich also nicht ausschließen, dass ausländische Dienste auf erhobene Nutzerdaten zugreifen und diese gezielt missbrauchen könnten“, warnt Heutger.

Blacklists

Um das automatisierte Ausliefern manipulierter Werbemittel zu verhindern, müssen Ad-Server-Betreiber Sperrlisten („Blacklists“) mit jenen URLs nutzen, hinter denen sich schadhafte Inhalte verbergen. Die Sperrliste lässt sich direkt zum Blockieren nutzen, wenn es einem Angreifer gelingen sollte, manipulierte Werbung zu verlinken.

Account-Verifizierung und Zusammenarbeit

Um die Personen hinter dem Werbekunden identifizieren zu können, müssen Ad-Server-Betreiber ein Verfahren zur Verifizierung von Werbekunden etablieren. „Anonyme Accounts müssen verhindert werden, denn diese haben schon häufig dazu geführt, mithilfe gestohlener Kreditkarten schadhafte Werbung zu schalten“, begründet Heutger. Das Verifizierungsverfahren lässt sich durch weitere Sicherheitsmaßnahmen wie der Mehrfaktor-Authentisierung erweitern.

„Wir raten grundsätzlich dazu, mit anderen Ad-Server-Betreibern sowie Vermarktern zusammenzuarbeiten, insbesondere beim Reagieren auf Sicherheitsvorfälle. Hierbei lässt sich auch die Nutzung eindeutiger Werbe-IDs diskutieren: Diese wäre über mehrere Werbenetzwerke hinweg identisch. Gibt es einen Sicherheitsvorfall, bräuchte der Ad-Server-Betreiber seinem Netzwerk lediglich die ID des Werbemittels mitteilen. Diese könnten das Ausliefern des betroffenen Werbemittels in den eigenen Ad-Servern blockieren.

Sichere Bereitstellung von Online-Werbung: 10 Tipps vom IT-Sicherheitsexperten was last modified: by

Ähnliche Beiträge

Immer noch „Ich habe dich eine Weile beobachtet“ – Erpressermails nach a... Bereits im Mai und Juli 2018 warnte der Ratgeber Internetkriminalität vor enormen Wellen von Erpressungsmails, die nach angeblichem Pornokonsum massenhaft und in verschiedensten Versionen verschickt wurden. Diese Masche ist leider immer noch massiv im Umlauf. Die Polizei bekommt täglich mehrfach ...
Drohende Erosion im Datenschutzrecht: Vorstoß aus Bayern verhindern Das Land Bayern hat im Bundesrat einen Antrag für das Bundesratsplenum am 19. Oktober eingebracht, wonach es Wettbewerbs- und Verbraucherverbänden nicht mehr möglich sein soll, Verstöße gegen das Datenschutzrecht nach dem Gesetz gegen Unlauteren Wettbewerb (UWG) vor Gericht zu bringen. Klaus Müller,...
Nur jedes zweite B2B-Unternehmen ist mit der eigenen Umsetzung der DSGVO zufrieden Wenn neun von zehn Unternehmen eine externe Rechtberatung in Anspruch nehmen, wird deutlich: Die Umsetzung der DSGVO war eine der größten Herausforderungen für Unternehmen in die-sem Geschäftsjahr. Der aktuelle B2B E-Commerce Konjunkturindex, eine Initiative der IntelliShop AG in Zusammenarbeit mit ...
Internet of Things: Smart und sicher vernetzt Im Jahr 2021 werden etwa 25 Milliarden IoT (Internet of Things)-Geräte mit dem Internet verbunden sein, prognostizieren Marktforscher von Gartner. Dazu gehören Kameras, Thermostate, Türöffnungsanlagen und Lichtanlagen. Doch die Sicherheit kommt dabei häufig zu kurz. Eine Studie der zu Gartner gehöre...
Digitale Dienstleistungssteuer (DST) – Massive Beeinträchtigung der Digitalisierung deutsc... Am 21. März 2018 hat die Europäische Kommission vorgeschlagen, Einnahmen aus bestimmten digitalen Geschäftsaktivitäten mit einer sogenannten Digitalen Dienstleistungs-steuer (DST) zu belegen. Umstrittene Begründung war, dass vor allem digitale Geschäftsmodelle bisher niedriger besteuert würden als d...
Marktwächter mahnen hohe In-App-Käufe in Spiele-Apps für Kinder ab Die Marktwächter-Experten der Verbraucherzentrale Rheinland-Pfalz haben zwei Anbieter von Spiele-Apps für Kinder abgemahnt. Die Verbraucherschützer beanstanden zum einen die hohen Beträge für In-App-Käufe von bis zu 109,99 Euro mit einem Klick, zum anderen die aufdringliche Pop-up-Werbung innerhalb ...

Die PSW Group ist ein Full-Service-Provider für Internetlösungen mit einem besonderen Schwerpunkt auf Internet Security. Als Dienstleister bietet das Unternehmen sowohl für den Webeinsatz als auch für die E-Mail-Kommunikation maßgeschneiderte Zertifikats-, Signatur-, Verschlüsselungs- und Authentifizierungslösungen an. Das Produktportfolio reicht dabei von SSL-Zertifikaten über Code Signing-Zertifikate bis hin zu S/MIME-Zertifikaten und De-Mail.

Beitrag teilen:


Kategorien: Recht & Sicherheit