Github hat Liste mit kompromittierten Online-Shops gelöscht
Der Online-Dienst entfernte kommentarlos die Liste eines Sicherheitsforschers mit URLs zu Online-Shops mit Skimming-Malware. Auch Gitlab löschte die Auflistung, gestand kurz darauf aber einen Fehler ein.
(Bild: dpa, Jens Büttner)
Die auf Github veröffentlichte Liste des Sicherheitsforschers Willem de Groot mit Webadressen zu fast 6000 mit Malware zum Kopieren von Kreditkarten-Daten infizierten Online-Shops ist offline: de Groot zufolge hat der Online-Dienst die Liste ohne Rückmeldung gelöscht.
Kurz darauf hat er die Liste bei Gitlab hochgeladen. Auch dort entfernten die Betreiber die Liste. In diesem Fall gibt es aber eine offizielle Begründung und Gitlab findet es "ungeheuerlich", die "verwundbaren Systeme bloßzustellen".
Dabei beruft sich Gitlab auf das verantwortliche Offenlegen (responsible disclosure) von Sicherheitslücken oder in diesem Fall gehackten Server: In der Regel gehen Sicherheitsforscher mit ihren Ergebnissen erst an die Öffentlichkeit, wenn sie die betroffenen Anbieter vorab kontaktiert haben, um ihnen so Zeit geben, eine Lücke abzusichern. Das sei hier nicht der Fall gewesen, erläutert Gitlab in einem Statement.
Fehlinterpretation
Kurz darauf stellte Gitlab die Liste jedoch wieder online. Als Grund dafür geben sie an, dass in diesem Fall unzählige Kunden der betroffenen Shops gefährdet sind. Die Betreiber der Shops stehen in der Pflicht, ihre Plattformen abzusichern und auf dem aktuellen Stand zu halten. Die Liste ist dabei hilfreich, weil sie Druck auf die Betreiber ausübt.
De Groot gibt an, dass seit der Offenlegung über 300 Shops ihre Systeme abgesichert haben. Seitdem sollen aber auch 170 von ihm neu entdeckte kompromittierte Shops dazugekommen sein.
Vergangene Woche veröffentlichte der Sicherheitsforscher Informationen zu rund 6000 Online-Shops, die mit Skimming-Wanzen zum Abziehen von Kreditkarten-Daten verseucht sind. Als Einfallstor für die Kriminellen nennt er Sicherheitslücken in Shop-Systemen. (des)
