Verbesserungsbedarf bei der Cybersecurity im Retail

Egal ob Handelsriesen oder regionale Geschäfte: Der Handel steht im Fadenkreuz der Cyberangreifer. News zu den Angriffen auf den Lebensmittelgroßhandel Metro, bei dem das interne IT-System stellenweise ausfiel und zu Verzögerungen in den Bestellabläufen führte, oder auf den Online-Retailer JD Sports, wobei durch einen Hack Kundendaten aus zwei Jahren erbeutet wurden, häufen sich.

Auch das Allianz Risk Barometer 2023 zeigt, dass Cyberangriffe auf Platz 2 der größten Risikofaktoren für Unternehmen in Deutschland stehen. Die gesamte europäische Wirtschaft ist bedroht – und Retailer sind davon nicht ausgenommen. Das liegt unter anderem an der Vielfalt der persönlichen und sensiblen Daten, die Handelsunternehmen über Kund:innen vorliegen. Namen, Adressdaten, Bank- und Kreditkarteninformationen stellen eine wahre Goldmine für Cyberkriminelle dar. Daher überrascht es kaum, dass die Angriffe auf Handelsunternehmen zunehmen. Die gute Nachricht ist allerdings, dass Retailer einige Schritte unternehmen können, um ihre Sicherheit zu verstärken.

Keine Angst vor der Technologie

Ein Grund, warum die E-Commerce- und Retailbranche oft ins Visier von Cyberattacken gerät, ist, dass insbesondere bei den Retail- und Kassensystemen ein wahrer „Flickenteppich“ an verschiedenen Technologien installiert wurde. Das liegt daran, dass neue Systeme meist sukzessive in das bestehende Netz eingepflegt werden. Beispielsweise wenn die Cloud-basierten Anwendungen, die für die E-Commerce Vorgänge essenziell sind, zusätzlich zur „klassischen“ Infrastruktur implementiert werden. Dadurch entstehen Sicherheitslücken, die das Netzwerk angreifbar machen und oft nur notdürftig gepatcht werden, anstatt das Problem einmal richtig anzugehen. 

Der Technologie-Mix im Retail wird dadurch angetrieben, dass Handelsunternehmen potenziellen Kund:innen Omnichannel-Touchpoints bieten müssen. Denn um sich gegenüber der Konkurrenz durchsetzen zu können und in einer digitalen Welt zu bestehen, sollte der Handel den Kund:innen eine Vielzahl an Zahl- und Einkaufsmöglichkeiten bieten, welche den Wünschen der Kund:innen entsprechen. 

Daraus folgt allerdings auch oft eine gewisse Zurückhaltung der Händler, bestehende Systeme upzugraden und neue, verbesserte Kassen- und POD-Systeme zu implementieren, was oft mit einer Umstellung für die bisherigen Retail-Abläufe einhergeht. Mehr denn je zählt heutzutage jede Transaktion, und Einzelhändler wollen sich nicht mit komplizierten Systemumstellungen befassen, die darüber hinaus Einschränkungen für den Verkauf darstellen könnten.

Dennoch möchten immer mehr Retailer ihr digitales Angebot und ihre E-Commerce-Tätigkeiten weiter ausbauen. Zur Beschleunigung dieser Entwicklung hat sicherlich auch die Pandemie beigetragen, da für viele Einzelhändler der Online-Handel zeitweise die einzige Möglichkeit war, ihrem Geschäft überhaupt nachgehen zu können. Während die Kombination aus alten und neuen Systemen es Retailern bisher ermöglicht hat, skalierbar zu wirtschaften, bietet sie auch mehrere potenzielle Angriffsmöglichkeiten für Cyberkriminelle. Viele Retailer sind sich dieses erhöhten Risikos häufig nicht bewusst. 

Riskantes Geschäft im Einzelhandel

Viele Einzelhändler haben ihre digitale Transformation pandemiebedingt in Eile durchgeführt, was mit zu einem Anstieg von Cyberangriffen einherging. Eine Studie von Yeswehack und Foundry zeigt, dass beinahe 68 Prozent der Händler innerhalb eines Jahres Opfer von Cyberangriffen wurden. Gleichzeitig sollen sich laut einer Studie von CyberDirekt knapp 42 Prozent der Handels- und E-Commerce-Unternehmen noch nicht ausreichend mit dem Thema befasst haben. Solche Attacken können für Retailer teuer werden, denn sie verursachen weitreichende Systemausfälle und schädigen die Reputation des Unternehmens, was sich oftmals nicht mehr mit Geld aufwiegen lässt. 

Es gibt noch weitere Gründe, warum die Handelsbranche besonders gefährdet ist. Der Retail ist üblicherweise von einer hohen Turnover-Rate der Mitarbeitenden geprägt. Das bedeutet, dass es ohne ein angemessenes Zugangsmanagement eine hohe Zahl von unkontrollierten, privilegierten Zugängen zum System gibt. Zusätzlich können ehemalige Mitarbeitende die Zugänge sogar böswillig missbrauchen oder veröffentlichen. 

Der Weg in die Zukunft: eine vereinfachte und verbesserte Cybersecurity

All diese Sicherheitsrisiken verdeutlichen, wie dringend eine effiziente Plattform für Privileged Access Management (PAM) gebraucht wird. Es geht darum, sicherzustellen, dass keine Person innerhalb des Unternehmens den vollen Zugriff auf die gesamten Daten hat. Hierfür werden verschiedene Berechtigungsstufen implementiert, welche den Zugriff nicht nur anhand des Passworts und der Credentials prüfen, sondern auch Datenpunkte wie den Standort und die Uhrzeit der Zugriffsanfrage miteinbeziehen. So können ungewöhnliche oder problematische Anfragen sofort identifiziert werden und das Unternehmen schützen, falls sich ein Hacker mit gestohlenen Anmeldeinformationen in das System einloggt.

Viele der Cyberrisiken in der Retail-Branche stehen mit privilegiertem Zugriff in Verbindung. Durch die effektive Verwaltung der Zugangsberechtigungen lässt sich schnell und unkompliziert eine zusätzliche Sicherheitsebene einrichten. So können Angriffe, die über einen öffentlichen Zugangspunkt, wie etwa einem E-Commerce-Login, gestoppt werden, bevor sie Schäden im System anrichten oder sich im gesamten Unternehmen ausbreiten, denn das PAM-System gewährt solchen Nutzer:innen keinen privilegierten Zugang zu irgendeinem Teil des Systems. Veraltete Benutzerkonten können mit Hilfe einer PAM-Lösung ebenfalls entdeckt und privilegierte Zugangsrechte einfach widerrufen werden. Damit wird verhindert, dass sich Hacker mit Hilfe veralteter Mitarbeiterkonten Zugang zum System verschaffen. Auch Drittparteien aus der Lieferkette wie Lieferanten und Auftragnehmer können nur die Teile des Systems nutzen, die für sie und ihre Aufgaben relevant sind. 

Eine robuste PAM-Lösung hilft auch bei der Sicherung der Machine-to-Machine (M2M)-Komponenten innerhalb eines Systems. Besonders in einer Branche, in der verschiedene digitalisierte Prozesse zahlreiche Schnittstellen und damit Schwachpunkte im System hervorrufen. Sollte es einem Hacker beispielsweise gelingen, sich Zugriff zu einem IoT-Gerät in einem automatisierten Warenhaus zu verschaffen, gewährt die PAM-Lösung keinen privilegierten Zugriff auf dieses Gerät. Somit kann es von Hackern auch nicht als Ausgangsplattform für den Angriff genutzt werden, um weiter in das System einzudringen. Eine voll-funktionsfähige PAM-Lösung kann das System noch weiter absichern, indem sie alle Aktivitäten unter privilegierten Zugriffen in Echtzeit überwacht und verdächtige Sitzungen automatisch beendet oder dem Administrator meldet.

Compliance und Sicherheit  

Diese Art der Technologie verstärkt aber nicht nur die Sicherheit in einem signifikanten Maß, sondern ermöglicht es den Unternehmen auch, Compliance-Vorschriften einzuhalten. Die Retail-Branche ist aufgrund der sensiblen Verbraucherdaten einer Vielzahl von Vorschriften unterlegen - beispielsweise dem Payment Card Industry Data Security Standard (PCI-DSS), der Datenschutzgrundverordnung (DSGVO) und dem NIST-Cybersecurity Framework. Auch dabei unterstützt das Monitoring durch die PAM-Lösung, denn wenn die entsprechenden Sitzungen nicht nur überwacht, sondern auch aufgezeichnet werden, gibt es einen nachprüfbaren Pfad, wodurch die Einhaltung der Vorschriften kontrolliert werden kann. Außerdem ist die Aufzeichnung der privilegierten Sitzungen für Sicherheitsbewertungen und das Training des Security-Teams ein wertvoller Bestandteil. 

Cybersicherheit im Einzelhandel muss nicht automatisch kompliziert sein. Allerdings müssen Händler einen Kompromiss zwischen neuer und alter Technologie finden, und erkennen, welche Risiken damit einhergehen. Sie müssen sicherstellen, dass besonders die essenziellen Daten sowie ihre Schwachstellen im System geschützt sind. Es wird unmöglich sein, sich zu 100 Prozent vor Cyberangreifern zu schützen, da hierbei zu viele Faktoren eine Rolle spielen. Aber durch die Implementation von PAM-Technologien, die die Cyberresilienz des Unternehmens verstärken, lässt sich eine wichtige Basis schaffen und die Retail-Branche kann zeigen, wie sicher und innovativ der Einzelhandel sein kann.

Über den Autor: Stefan Rabben ist Area Sales Director DACH & Eastern Europe bei WALLIX. Der Diplom-Informatiker war zuvor mehr als sieben Jahre bei Quest und Dell in verschiedenen Management-Positionen tätig, zuletzt als Director Sales & Channel Europe, Data Protection & VROOM.