So verteidigen Einzelhändler ihr E-Commerce-Geschäft gegen Shopping-Bots

Angesichts der Tatsache, dass sich immer mehr Verbraucher in die digitale Welt begeben, stehen viele Händler vor zwei großen Herausforderungen: Komfortable E-Commerce-Optionen ohne Risiko von Cyberangriffen mithilfe von Shopping-Bots anbieten und in Tools zur Betrugsprävention investieren, um Abwanderungen zu Wettbewerbern und Warenkorbabbrüchen zu vermeiden. „Mit großer Macht kommt große Verantwortung“, sagte Peter Parker – und auch für Einzelhändler, die jetzt einen Onlineshop betreiben, trifft dies sicherlich zu. Laut einer Statista-Erhebung halten es 84 Prozent der Deutschen für sehr wahrscheinlich oder eher wahrscheinlich, dass sie auch nach der Corona-Krise vermehrt online einkaufen werden.

Shopping-Bots schmuggeln sich in den Onlineshop

Die Liste der Bedrohungen, mit denen Einzelhändler online konfrontiert werden, entwickelt sich ständig weiter, es wird jedoch durch die Analyse aktueller Cyberangriffe ein Trend erkennbar: der Einsatz von Bot-Armeen. Bot-Angriffe auf Einzelhändler können verschiedene Formen annehmen. Häufig eingesetzte Shopping-Bots kaufen in Heerscharen den gesamten Bestand an gefragten Artikeln auf, um sie später mit einem deutlichen Aufschlag weiterzuverkaufen.

Dieser Trick kommt auch bei begehrten Geschenkartikeln zum Tragen. Diese Shopping-Bots scannen globale Websites genau in dem Moment, in dem ein Artikel in den Verkauf geht, und alarmieren ihre Besitzer, damit sie der Masse zuvorkommen können. Einige kaufen das Produkt automatisch, schneller als ein Mensch es könnte.

Diese Form des Cyberangriffs erfolgt in Echtzeit, wie das Beispiel von PlayStation-5-Konsolen zeigt, die auf eBay für Hunderte von Euro mehr als der reguläre Verkaufspreis auftauchten. In ähnlicher Weise wird die Xbox Series X auf dem Sekundärmarkt für bis zu 5.600 Euro verkauft – mehr als 1.000 Prozent über dem ursprünglichen Verkaufspreis, was Verbraucher natürlich frustriert. Das Risiko für Einzelhändler besteht darin, dass Kunden auf der Suche nach einem Produkt auf eine Website gehen und dann zu einem Mitbewerber wechseln, wenn es dort nicht vorrätig ist.

Die Bedeutung der digitalen Identität für Cyberangriffe

Viele Angriffe per Shopping-Bots nutzen die Identität als Angriffsvektor, das bedeutet sie verschaffen sich Zugang zu einem Nutzer-Account über die Login-Seite, indem sie sich als legitime Benutzer ausgeben. Sogenannte Credential-Stuffing-Angriffe, bei denen Hacker gestohlene Anmeldeinformationen ausnutzen, haben sich in den letzten Jahren stark verbreitet. Denn Menschen neigen dazu, ihre Passwörter wiederzuverwenden. Milliarden dieser gestohlenen Anmeldeinformationen kursieren im Dark Web.

Online-Händler sind durch diese Angriffe besonders gefährdet, denn während Betrüger früher gestohlene Waren per Post verschicken mussten (was die Wahrscheinlichkeit erhöht, dass die Transaktion gestoppt oder sie erwischt werden), bedeutet die zunehmende Popularität von „Click and Collect“, dass sie jetzt Waren bestellen und abholen können, bevor jemand davon erfährt.

Wie können Einzelhändler gegen E-Commerce-Betrug vorgehen?

Es gibt effektive Methoden, um Bots auszubremsen, ohne Reibungsverluste für legitime Nutzer zu verursachen. Da der meiste E-Commerce-Betrug in Form von Angriffen erfolgt, bei denen sich Betrüger als legitime Benutzer ausgeben, muss die Identität der Benutzer genauer überprüft werden. Die noch wenig verbreitete Multi-Faktor-Authentifizierung (MFA) verlangt von Benutzern zur Identitätsprüfung eine zusätzliche Form der Verifizierung neben der klassischen Kombination von Benutzername und Passwort. Zu den gängigen MFA-Methoden gehören einmalige Codes, die an die E-Mail-Adresse eines Benutzers gesendet werden, und biometrische Scans wie Fingerabdrücke.

Trotz dieser sicheren Lösungen geht deren Akzeptanz bei Online-Händlern zurück, zum Teil aus Sorge, dass MFA zu Kaufabbrüchen führt. Eine Prüfung loyaler Kunden ist jedoch nicht bei jedem Kauf notwendig. Eine erweiterte Form der Identitätsprüfung ist die kontextbezogene Multi-Faktor-Authentifizierung – kurz adaptive MFA – die nur bei verdächtigem oder risikoreichem Verhalten zusätzliche Anmeldedaten anfordert. Zum Beispiel kann es sinnvoll sein, die Identität eines Kunden zu überprüfen, wenn er sich mit einem neuen Gerät anmeldet oder eine Bestellung über einem bestimmten Warenwert aufgibt.

Schutz vor Shopping-Bots durch Aktivierung von Brute Force

Brute-Force-Schutz ist ein weiteres Vorgehen, das Shopping-Bots daran hindern kann, eine Website oder App mit Login-Versuchen zu überschwemmen. Die Aktivierung des Brute-Force-Schutzes sperrt IP-Adressen nach einer bestimmten Anzahl von fehlgeschlagenen Anmeldeversuchen aus. Mit der zusätzlichen Durchführung eines CAPTCHA-Tests wird überprüft, ob es sich bei dem aktuellen Benutzer um einen Menschen oder einem Bot handelt. Abschließend schützt der Passwortschutz vor Credential-Stuffing-Angriffen, indem er Datenbanken mit kompromittierten Anmeldedaten überwacht und Benutzer warnt, wenn sie ihre Passwörter ändern müssen.

Keine dieser Technologien kann allerdings Wunder vollbringen und funktioniert isoliert voneinander. Mit jeder neuen Security-Lösung stoßen Hacker aufs Neue an ihre Grenzen. Aufgrund dessen werden auch ihre Strategien immer raffinierter. Sie haben beispielsweise gelernt, wie sie IP-Adressen fälschen können, um Brute-Force-Angriffe zu verschleiern. CAPTCHA tut sich schwer damit, ausgefeilten Bots, die menschliches Verhalten imitieren können, einen Schritt voraus zu sein. Aufgrund dessen müssen Sicherheitstechnologien für einen entsprechenden Schutz schichtweise aufeinander aufgebaut werden.

Sicherheitsstrategien im E-Commerce: Von der Theorie zur Praxis

Um E-Commerce-Betrug zu verhindern, gibt es kein Patentrezept, allerdings bietet die Implementierung der genannten Funktionen einen hohen Schutz, da sich Betrüger in der Regel den Weg des geringsten Widerstands suchen. Kommen diese Tools zum Einsatz, werden Unternehmen nicht mehr als leichtes Ziel angesehen. Mit zunehmender Cyberkriminalität und wachsendem E-Commerce entsteht ein neuer Status Quo, der verdeutlicht, dass das Festhalten an einem einfachen, veralteten Verfahren zur Anmeldung keine Option mehr ist.

Aus diesem Grund müssen Sicherheitsstrategien regelmäßigen Prüfungen unterzogen werden, um neue Lösungen zum Schutz der Identität der Kunden und des eigenen Geschäfts vor Bot-Angriffen zu implementieren. Denn der Schutz der Identität und das damit einhergehende Vertrauen seitens der Kunden werden mit zunehmendem Onlinehandel zu den wichtigsten Unterscheidungsmerkmalen für E-Commerce-Anbieter gehören.

Über den Autor: Vitor de Sousa ist Regional Director DACH bei Auth0. In dieser Position verantwortet er das Markenwachstum von Auth0 im DACH-Bereich und unterstützt Kunden im Bereich Identity and Access Management. Mit über 20 Jahren Erfahrung in der Konsumgüterindustrie sowie im Technologie- und Softwarevertrieb entwickelt Vitor de Sousa strategisch kluge und kreative Lösungen für das Zusammenspiel von Identitätsauthentifizierung und Customer Experience in Hinblick auf aktuelle Herausforderungen durch Cybersicherheit und Datenschutz. (sg)

Lesen Sie auch: Cyberangriffe auf Unternehmen: Wie Plattformen hackersicher werden