• IT-Karriere:
  • Services:

Websicherheit: Onlineshops mit nutzlosem TÜV-Siegel

Ein Siegel des TÜV Süd soll sichere Shopping-Webseiten garantieren. Ein falsches Versprechen: Wir fanden mit geringem Aufwand auf mehreren Seiten mit Safer-Shopping-Siegel - und auf der TÜV-Webseite selbst - sehr banale Sicherheitslücken.

Artikel von Hanno Böck veröffentlicht am
Eine TÜV-Plakette fürs Auto erhält man erst, wenn alle Probleme bei einem Fahrzeug behoben sind. Webshops können allerdings auch mit bekannten Sicherheitslücken ein TÜV-Siegel erhalten.
Eine TÜV-Plakette fürs Auto erhält man erst, wenn alle Probleme bei einem Fahrzeug behoben sind. Webshops können allerdings auch mit bekannten Sicherheitslücken ein TÜV-Siegel erhalten. (Bild: Mattes / Wikimedia Commons)

"Das TÜV Süd Safer-Shopping-Gütesiegel steht für mehr Sicherheit und Vertrauen in Ihrem Onlineshop." So kann man es zumindest auf der Webseite des TÜV Süd nachlesen. Mit dem Safer-Shopping-Siegel zeichnet der TÜV Süd Webseiten von Onlinehändlern aus, die eine Prüfung durchlaufen haben. Allerdings scheint es bei den Verantwortlichen an grundlegenden Kenntnissen über Web-Sicherheitslücken zu fehlen.

Inhalt:
  1. Websicherheit: Onlineshops mit nutzlosem TÜV-Siegel
  2. TÜV-Siegel trotz bekannter Sicherheitslücken

Ein Golem.de-Leser hatte uns darauf hingewiesen, dass er sowohl auf Webseiten des TÜV Rheinland als auch beim TÜV Süd relativ simple Cross-Site-Scripting-Sicherheitslücken gefunden hatte. Beide TÜV-Firmen versuchen sich auch in Sachen IT-Sicherheit: Der TÜV Rheinland führt diverse Sicherheitszertifizierungen durch und der TÜV Süd vergibt das bereits erwähnte Safer-Shopping-Siegel.

Triviale Cross-Site-Scripting-Lücke im Suchformular

Insbesondere die Lücke auf der TÜV-Süd-Webseite war geradezu trivial: Die Seite besitzt ein Suchfeld, die dort eingegebenen Begriffe werden bei den Suchresultaten wieder ausgegeben. HTML-Steuercodes und Anführungszeichen werden dabei nicht gefiltert oder als HTML-Entities codiert. Eigentlich ein absoluter Anfängerfehler. Eine detailierte Analyse der Fehler werden wir in einem späteren Artikel nachliefern.

Diese Funde veranlassten uns, die vom TÜV Süd zertifizierten Shops genauer zu überprüfen. Dort sah es in Sachen Websicherheit nicht viel besser aus. Innerhalb kurzer Zeit fanden wir ganz ähnliche Cross-Site-Scripting-Lücken im Shop von Baywa, einem Händler von Landwirtschaftsprodukten, und auf der Webseite der Deutschen Reiseversicherung. In beiden Fällen war die Ursache ähnlich: Die Eingaben im Suchfeld wurden ohne Filterung oder Escaping zurückgegeben.

Stellenmarkt
  1. Walhalla u. Praetoria Verlag GmbH & Co. KG, Regensburg
  2. Bechtle Onsite Services GmbH, München

Eine solche Lücke in einem Webshop könnte ein Angreifer dazu nutzen, die Kontrolle über den Account eines Nutzers zu erlangen. Dafür muss lediglich dafür gesorgt sein, dass der Nutzer zeitgleich eine vom Angreifer kontrollierte Webseite aufruft.

Baywa bestreitet Schwachstelle zunächst

Baywa bestritt auf Anfrage zunächst, dass die Sicherheitslücke ausnutzbar sei - obwohl wir Beispielcode mitgeschickt hatten: "Die von Ihnen angesprochene vermeintliche 'Schwachstelle' stellt nach unserem derzeitigen Kenntnisstand aufgrund bereits vorhandener Filtermechanismen keine effektiv ausnutzbare Sicherheitslücke dar." Einige Stunden später hatte man es sich aber offenbar anders überlegt: "Die Baywa hat in der besagten Angelegenheit ein entsprechendes Sicherheitsupdate installiert, um auch eventuell damit in Zusammenhang stehenden Risiken vorzubeugen."

Bei der Deutschen Reiseversicherung bestätigte man unseren Fund. "Die von Ihnen angesprochene Cross-Site-Scripting-Lücke besteht in der Tat. Sie wurde im Rahmen des aktuellen TÜV-Audit entsprechend identifiziert", erklärte eine Sprecherin der Reiseversicherung in einer E-Mail. "Der TÜV hat uns ein begrenztes Zeitfenster avisiert, um diese Lücke zu beheben, und dieses werden wir einhalten."

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
TÜV-Siegel trotz bekannter Sicherheitslücken 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. 79€ (Bestpreis!)
  2. 79€ (Bestpreis!)
  3. (u. a. 65UM7100PLA für 689€, 49SM8500PLA für 549€ und 75SM8610PLA Nanocell für 1.739€)
  4. 89,90€ + Versand (Vergleichspreis 135,77€ + Versand)

meinoriginaluse... 28. Okt 2018

Ich gehe davon aus, dass jedes Shopping-Sigel die Geschäftsprozesse des Shops prüft...

arthurdont 27. Okt 2018

Jeder, der einen PKW hat, weiß, was er von der "Marke" TÜV zu halten hat. Aber...

Eheran 27. Okt 2018

Wo soll denn der Gag sein? Diese Online-Plakette hat genau die gleichen Mankos wie die...

rocket_to_russia 26. Okt 2018

Um ein XSS Lücke auszunutzen, muss jemand dazu gebracht werden diese Seite zu besuchen...

User_x 26. Okt 2018

Die haften schon, nur es denen nachweisen wird schwierig.


Folgen Sie uns
       


Apples Airpods 2 und Samsungs Galaxy Buds im Test

Wir haben die neuen Airpods von Apple mit den Galaxy Buds von Samsung verglichen. Beim Klang schneiden die Airpods 2 wieder sehr gut ab. Es bleibt der Nachteil, dass Android-Nutzer die Airpods nur eingeschränkt nutzen können. Umgekehrt können iPhone-Nutzer die Galaxy Buds nur mit Beschränkungen verwenden. Die Galaxy Buds haben eine ungewöhnlich lange Akkulaufzeit.

Apples Airpods 2 und Samsungs Galaxy Buds im Test Video aufrufen
Mitsubishi: Satelliten setzen das Auto in die Spur
Mitsubishi
Satelliten setzen das Auto in die Spur

Mitsubishi Electric arbeitet am autonomen Fahren. Dafür betreibt der japanische Mischkonzern einigen Aufwand: Er baut einen eigenen Kartendienst sowie eine eigene Satellitenkonstellation auf.
Ein Bericht von Dirk Kunde


    Minikonsolen im Video-Vergleichstest: Die sieben sinnlosen Zwerge
    Minikonsolen im Video-Vergleichstest
    Die sieben sinnlosen Zwerge

    Golem retro_ Eigentlich sollten wir die kleinen Retrokonsolen mögen. Aber bei mittelmäßiger Emulation, schlechter Steuerung und Verarbeitung wollten wir beim Testen mitunter über die sieben Berge flüchten.
    Ein Test von Martin Wolf


      Staupilot: Der Zulassungsstau löst sich langsam auf
      Staupilot
      Der Zulassungsstau löst sich langsam auf

      Nach jahrelangen Verhandlungen soll es demnächst internationale Zulassungskriterien für hochautomatisierte Autos geben. Bei höheren Automatisierungsgraden strebt die Bundesregierung aber einen nationalen Alleingang an.
      Ein Bericht von Friedhelm Greis

      1. San José Bosch und Daimler starten autonomen Taxidienst
      2. Autonomes Fahren Ermittler geben Testfahrerin Hauptschuld an Uber-Unfall
      3. Ermittlungsberichte Wie die Uber-Software den tödlichen Unfall begünstigte

        •  /