Angriffe und Betrug
SQL-Injection
Angriff auf Webanwendungen, bei dem eingeschleuste Datenbankbefehle über Eingabefelder Daten auslesen oder verändern.
Hinter vielen Webseiten, Onlineshops und Kundenportalen steckt eine Datenbank. Sucht ein Besucher nach einem Produkt, baut die Anwendung aus seiner Eingabe eine Abfrage in der Datenbanksprache SQL. Bei einer SQL-Injection tippt der Angreifer statt eines Suchbegriffs einen Befehlsteil ein. Prüft die Anwendung die Eingabe nicht sauber, führt die Datenbank diesen Befehl einfach mit aus.
Bildlich gesprochen: Ein Kellner schreibt die Bestellung auf einen Zettel und gibt ihn ungelesen in die Küche. Steht darauf „ein Schnitzel, und außerdem die Kassa leeren“, wird beides erledigt. So lassen sich ganze Kundentabellen mit Adressen und Passwörtern auslesen, Inhalte verändern oder Anmeldungen umgehen.
Betroffen sind vor allem selbst programmierte oder lange nicht aktualisierte Webanwendungen sowie Erweiterungen von Content-Management-Systemen. Ein Datenleck aus dem eigenen Webshop kann nach der DSGVO meldepflichtig sein. Schutz bieten sauber programmierte Abfragen, laufende Updates und regelmäßige Prüfungen, etwa durch einen Penetrationstest.
Für Ihren Betrieb
Klären Sie, wer Ihre Website und Ihren Shop technisch betreut und wie oft Erweiterungen aktualisiert werden. Vergessene Plug-ins sind ein häufiges Einfallstor.