Ist Magento eine sichere Plattform?;
Das Magento Magento 2 ermöglicht die einfache Einrichtung eines Onlineshops und den weltweiten Verkauf. Diese Benutzerfreundlichkeit hat jedoch ihren Preis. Shopbetreiber sind keine Experten und wissen nicht immer, wie sie eine Magento-Website vor Sicherheitsrisiken und Cyberangriffen schützen können. Ein Sicherheitsverstoß kann verheerende Folgen und dauerhaften Reputationsverlust nach sich ziehen. Ein Bericht des Ponemon Institute aus dem Jahr 2021 ergab, dass die durchschnittlichen Kosten eines Datenlecks weltweit über 4 Millionen US-Dollar betragen.
Warum ist Sicherheit in Magento so wichtig?.
E-Commerce-Websites sind ein beliebtes Ziel für Hacker. In den meisten Fällen muss vor einem Online-Kauf ein Konto registriert und persönliche Daten angegeben werden. Cyberkriminelle haben dadurch einen Anreiz, diese Daten zu stehlen und für betrügerische Aktivitäten zu missbrauchen. Bei den meisten Online-Käufen werden zudem Kreditkartendaten eingegeben (ein weiteres Ziel von Hackern). Manche Online-Shop-Betreiber verzichten auf die Sicherheit der Kreditkartendaten und lassen die Transaktionen von einem Zahlungsdienstleister abwickeln. Doch das allein reicht nicht aus. Mit den richtigen Zugriffsrechten können Hacker wertvolle Zahlungsinformationen stehlen, indem sie gefälschte Seiten erstellen, die die Benutzeroberfläche des Zahlungsdienstleisters imitieren. Im schlimmsten Fall sind die Folgen für die Kunden gravierend, für den Shop-Betreiber jedoch noch verheerender. Der Schaden für die Marke und den Ruf der Website ist oft irreparabel.
Wie kann eine Magento-Website gesichert werden?.
Die Magento-Plattform ist zwar äußerst sicher, bietet aber keinen hundertprozentigen Schutz vor Cyberangriffen. Für die zwei Drittel der Magento-Händler, die noch die veraltete Magento-1-Plattform nutzen (deren Support im Juni 2020 eingestellt wurde), sollte die Absicherung des Unternehmens mit einem Upgrade auf Magento 2 beginnen. Dies ist unerlässlich, da Händler ohne diesen Übergang Sicherheitsrisiken durch nicht mehr unterstützte Software ausgesetzt sind.
Einige wichtige Sicherheitsdaten, die zu beachten sind:
Die Migration von Magento 1 zu Magento 2 ist für die Website-Sicherheit von entscheidender Bedeutung.
- PCI-DSS-Konformität (Payment Card Industry Data Security Standard)
- Ändern Sie den Standard-Administratorbenutzernamen.
- Admin-URL ändern
- Zwei-Faktor-Authentifizierung für den Magento-Admin-Login verwenden
- Verwendung der IP-Whitelist für Magento-Administration
- Legen Sie ein sicheres Passwort für Richtlinien und Kriterien fest.
- Limit für Anmeldeversuche für Magento-Administratoren
- CAPTCHA für Anmeldung, Kontoregistrierung und Kontaktformulare aktivieren
- Empfohlene Datei- und Verzeichnisberechtigungen festlegen
- Definition empfohlener Administratorrollen und Berechtigungen
- Aktualisieren Sie den Sicherheitscode von einer vertrauenswürdigen Quelle, z. B. dem Adobe Marketplace.
- Absicherung des Servers mit einer Web Application Firewall (WAF)
Welchen Cyberangriffsbedrohungen kann eine Magento-Website ausgesetzt sein?;
Betrachten wir das dritte Sicherheitsdetail auf der obigen Liste, die Admin-URL, und ihre entscheidende Bedeutung für die Magento-Sicherheit. Standardmäßig lautet die URL einer Magento-Website /admin. Für Cyberkriminelle kann sie ein geeignetes Werkzeug sein, um in eine Website einzudringen. Der einzige Weg, den Adminbereich wirklich zu schützen, ist der Einsatz von IP-Schutz oder, noch besser, Multi-Faktor-Authentifizierung (MFA). Wird diese wichtige Maßnahme vernachlässigt, ist die Website anfällig für Google Dorking, eine weit verbreitete Technik, die mithilfe der erweiterten Suchfunktionen von Google Sicherheitslücken aufspürt. Eine sehr einfache Suche kann innerhalb von weniger als einer Sekunde Tausende von Anmeldeseiten für die Admin-Bereiche von Nutzern von Magento Version 1 mit der URL /admin liefern.
Es ist erschreckend, wie einfach jemand versuchen kann, sich als Administrator auf einer Website einzuloggen.
Anschließend wird ein Bot eingesetzt, der eine Anmeldeanwendung mit Tausenden von Benutzernamen- und Passwortkombinationen auf der Anmeldeseite ausführt, bis er eine passende Kombination findet und das Konto übernimmt. Der Angreifer hat nun Zugriff auf die Website, die eine große Menge an Daten über das Unternehmen und seine Kunden enthält.
Der Sicherheitskern von Magento.
Magento gehört zu Adobe (einem Unternehmen, das es sich nicht leisten kann, Sicherheit zu ignorieren und deshalb gezielt darin investiert). Ein eigenes Sicherheitsteam prüft alle Magento-Produkte anhand der OWASP-Standards (Open Web Application Security Project). Das Team scannt regelmäßig den gesamten Quellcode und veröffentlicht Patches, sobald eine Sicherheitslücke entdeckt wird. Allerdings sind nicht nur Adobe-Mitarbeiter auf der Suche nach Sicherheitslücken in Magento 2.
Ein großzügiges Bug-Bounty-Programm motiviert unabhängige Sicherheitsforscher, Schwachstellen zu identifizieren und zu beheben. Insgesamt werden große Anstrengungen unternommen, um eine der weltweit beliebtesten E-Commerce-Anwendungen so sicher wie möglich zu gestalten. Bedeutet das, dass Website-Betreiber beruhigt sein können? Die Antwort lautet: Nein. Der Betreiber eines Online-Shops trägt die Verantwortung, die Website und die Nutzerdaten ausreichend zu schützen. Die Wahl eines Magento-zertifizierten Experten bietet Online-Shop-Betreibern zusätzliche Sicherheit.
Weitere Sicherheitsmaßnahmen.
Es gibt einige Methoden, die im Allgemeinen nicht erwähnt werden, aber wenn sie umgesetzt werden, tragen sie sicherlich dazu bei, Geschäfte vor Hackern zu schützen.
- Sichern Sie Ihren Computer. Wenn der Computer, mit dem Sie Ihren Magento-2-Shop verwalten, nicht durch ein sicheres Passwort geschützt ist, können Hacker das Betriebssystem leicht knacken und sowohl den Computer als auch Ihren Magento-Shop beschädigen. Stellen Sie sicher, dass Ihr Computer passwortgeschützt ist, eine gute Antivirensoftware installiert ist und eine Firewall aktiviert ist.
- Verwenden Sie SFTP. Es empfiehlt sich, das Secure File Transfer Protocol (SFTP) anstelle des einfachen File Transfer Protocol (FTP) zu verwenden. SFTP verschlüsselt Daten und Befehle, um zu verhindern, dass Passwörter und andere sensible Informationen in die Hände von Angreifern gelangen.
- E-Mail-Sicherheit. E-Mails sind immer mit dem Internet verbunden. Verwendet ein Shop-Betreiber ein schwaches Passwort ohne Zwei-Faktor-Authentifizierung, steigt das Risiko eines Datenlecks enorm. Gelingt es einem Hacker, das Passwort der offiziellen E-Mail-Adresse des Shops herauszufinden, kann er Cyberkriminalität begehen. Daher ist E-Mail-Sicherheit ein kleiner, aber wichtiger Schritt zur Erhöhung der Shop-Sicherheit.
Magento-Sicherheitserweiterungen.
Die oben genannten Vorsichtsmaßnahmen sind nicht die einzigen Maßnahmen zur Absicherung einer Magento-Website. Sie sind nur in Kombination mit anderen bewährten Methoden wirksam, wie z. B. der Verwendung einzigartiger und sicherer Passwörter und der Installation eines SSL-Zertifikats zur Verschlüsselung von Benutzerdaten. Viele greifen natürlich auf Drittanbieter-Erweiterungen zurück, um die Sicherheit ihrer Magento-2-Websites zu verbessern. Anstatt all diese Einzelmaßnahmen durchzuführen, lässt sich das Sicherheitsproblem so vereinfachen. Das ist zwar ein guter Ansatz, doch die Installation zu vieler Erweiterungen auf einer Magento-2-Website kann unerwünschte Nebenwirkungen haben.
Epilog.
Betreiber von E-Commerce-Websites stehen vor zahlreichen Sicherheitsherausforderungen. Da sie viele sensible personenbezogene Daten und Abrechnungsdaten speichern, werden sie schnell zu einem attraktiven Ziel für Cyberkriminelle. Magento 2 bietet hier einen entscheidenden Vorteil, denn es zählt zu den sichersten E-Commerce-Plattformen. Es verfügt über alle notwendigen Funktionen für einen sicheren Online-Shop, und Erweiterungen von Drittanbietern bieten zusätzliche Funktionalität und Sicherheit.