HTTPS und Website-Sicherheit

Was ist HTTPS und Website-Sicherheit?

HTTPS bedeutet, dass die Verbindung verschlüsselt ist, und da es sich nicht in einem öffentlichen Netzwerk befindet, kann jeder in der Nähe lesen, was Sie senden. Diese Übung macht das konkret und nicht theoretisch. Da ihr Internet zu Hause ausgefallen ist, arbeitet Alice von der Meridian Financial Group in einem Café, stellt eine Verbindung zum kostenlosen WLAN her und folgt einem Link von der Personalabteilung zum Gehaltsabrechnungsportal. Es sieht genauso aus, wie sie es in Erinnerung hat. Sie loggt sich ein und bestätigt ihre Bankdaten. Später versucht sie es mit dem internen Dashboard und der Browser stoppt sie mit einer Zertifikatwarnung, die sie beachtet. Zwei Tage später meldet ihre Bank eine unbefugte Abhebung und die IT-Sicherheit meldet einen Login aus der Ukraine. Sie kehren mit neuen Augen zum Gehaltsabrechnungsportal zurück und finden heraus, was in der Adressleiste fehlte, und erläutern dann, wie ein Man-in-the-Middle-Angriff die Sitzung abgefangen hat. Die Zertifikatswarnung, die ihr wie ein Hindernis erschien, erweist sich als das Einzige, was sie schützte, und die Übung endet mit dem Vorfallbericht und den Erkenntnissen des Sicherheitsteams.

Was Sie lernen in HTTPS und Website-Sicherheit

• Überprüfen Sie die Adressleiste auf HTTPS, bevor Sie Anmeldeinformationen oder Finanzdaten eingeben, insbesondere in einem nicht vertrauenswürdigen Netzwerk
• Erklären Sie, wie ein Man-in-the-Middle-Angriff auf öffentliches WLAN Datenverkehr abfängt, der nicht durchgängig verschlüsselt ist
• Betrachten Sie eine Browser-Zertifikatwarnung als Schutz und nicht als Hindernis, und klicken Sie niemals durch sie hindurch, um zu einem Arbeitssystem zu gelangen
• Beachten Sie, dass eine Seite, die Ihnen bekannt vorkommt, nichts über die Sicherheit der Verbindung, über die sie erfolgt, aussagt
• Melden Sie einen mutmaßlichen Abhörversuch mit dem Netzwerk, der Website und den eingegebenen Daten, damit das Sicherheitsteam die Gefährdung einschätzen kann

HTTPS und Website-Sicherheit — Trainingsschritte

1. Arbeiten in einem Café

   Ihr Internet zu Hause ist seit heute Morgen ausgefallen und Sie müssen noch vor Tagesende eine dringende Gehaltsabrechnung erledigen. Sie sind zu einem nahegelegenen Café gegangen und haben sich mit dessen kostenlosem WLAN-Netzwerk „CafeConnect Free WiFi“ verbunden – einem offenen Netzwerk, für das kein Passwort erforderlich ist.

2. E-Mail von der Personalabteilung

   Es kommt eine neue E-Mail von der Personalabteilung zur jährlichen Überprüfung der Direkteinzahlung.

3. Gehaltsabrechnungsportal aufrufen

   Alice klickt auf den Link in der HR-E-Mail, um das Gehaltsabrechnungsportal zu öffnen. Sie hat das schon einmal gemacht – es ist eine jährliche Routineaufgabe. Alice weiß nicht, dass ein Angreifer im selben WLAN-Netzwerk des Cafés einen SSL-Strip-Angriff durchführt. Der Angreifer hat Alices Anfrage abgefangen und die Verbindung stillschweigend von HTTPS auf HTTP heruntergestuft. Die Seite wird normal geladen, jedoch ohne Verschlüsselung.

4. Anmelden

   Das Gehaltsabrechnungsportal sieht genauso aus, wie Alice es in Erinnerung hat – das Meridian-Logo, das bekannte blaue Farbschema, das Standard-Anmeldeformular. Ohne zu zögern gibt sie ihre Arbeitszeugnisse ein. Alice bemerkt nicht, dass ihr Passwort-Manager das automatische Ausfüllen nicht anbietet – die Portal-URL stimmt mit keinem gespeicherten Eintrag überein.

5. Bankdaten bestätigen

   Nach der Anmeldung fordert das Portal Alice auf, ihre Bankkontodaten für die Direkteinzahlung zu bestätigen. Das Formular fordert ihre Bankleitzahl und Kontonummer an – Standardinformationen für die jährliche Überprüfung.

6. Zugriff auf ein anderes System

   Bevor sie nach Hause geht, beschließt Alice, noch schnell einen Blick auf das interne Projekt-Dashboard zu werfen, um sich den morgigen Zeitplan anzusehen.

7. Die Warnung beachten

   Anstelle des Dashboards sieht Alice eine deutliche Warnung: „Ihre Verbindung ist nicht privat.“ Sie ist sich nicht sicher, was die Ursache war, aber die Warnung sieht ernst aus. Die Zertifikatwarnung erschien, weil der MITM-Angreifer versuchte, auch diese HTTPS-Verbindung abzufangen, der Browser jedoch das ungültige Zertifikat erkannte und die Seite blockierte. Alice beschließt, nicht fortzufahren.

8. Warnung vor Bankbetrug

   Zwei Tage später setzt sich Alice an ihren Schreibtisch, um den Tag zu beginnen. In ihrem Posteingang wartet eine dringende E-Mail ihrer Bank.

9. IT-Sicherheitswarnung

   Bevor Alice die Bankbetrugswarnung überhaupt bearbeiten kann, trifft eine weitere E-Mail ein – dieses Mal vom IT-Sicherheitsteam von Meridian.

10. Die Punkte verbinden

    Alices Magen dreht sich um. Die nicht autorisierte Bankabhebung. Der verdächtige Login aus der Ukraine. Beides geschah unmittelbar nachdem sie vor zwei Tagen das WLAN des Cafés genutzt hatte. Sie liest die IT-Sicherheitswarnung erneut, diesmal mit wachsender Angst.