Sophos gibt Handlungsempfehlungen für Online Shops

Mit dem Start von Black Friday und Cyber Monday beginnt für den Onlinehandel die umsatzstärkste Zeit des Jahres. Überall locken Rabatte, Gutscheine und exklusive Sonderaktionen – doch wo viel Geld fließt, sind auch Cyberkriminelle nicht weit. Sophos zeigt, worauf Händler jetzt besonders achten sollten, um ihre Systeme zu schützen, und welche Warnsignale sofortiges Handeln erfordern.

Ob sich die vermeintlichen Schnäppchen am Black Friday Ende November und am Cyber Monday am 1. Dezember wirklich lohnen, bleibt Geschmackssache. Unstrittig ist jedoch: Der Einzelhandel steht zunehmend im Fokus professioneller Hackergruppen. Laut den Analysen von Sophos X-Ops wurden im vergangenen Jahr fast 90 verschiedene Bedrohungsakteure registriert, die gezielt Einzelhändler ins Visier nahmen – mit Ransomware-Angriffen oder Erpressungsversuchen über sogenannte Leak-Seiten. Die Täter haben es insbesondere auf Bezahlsysteme, Checkout-Prozesse und Administrator-Konten abgesehen. Ihr Ziel: Umsätze abgreifen, Zahlungsflüsse manipulieren, Kundendaten stehlen oder ganze Systeme mit Ransomware lahmlegen. Zu den aktivsten Gruppen, die Sophos in seinen Incident-Response- und Managed-Detection-and-Response-Fällen (MDR) identifiziert hat, zählen Akira, Cl0p, Qilin, PLAY und Lynx.

Nach Ransomware war die Kompromittierung von Konten die zweithäufigste Art von Vorfällen, die bei Einzelhändlern beobachtet wurden. Laut aktuellen Ergebnissen des  „The State of Ransomware in Retail 2025“ hat sich der Anteil reiner Erpresserangriffe, bei denen keine Daten verschlüsselt, aber dennoch Lösegeld für die Nichtveröffentlichung sensibler Daten gefordert wird, innerhalb von zwei Jahren verdreifacht (2023: 2 Prozent, 2025: 6 Prozent). Begrenzte interne Fachkenntnisse waren der zweithäufigste operative Faktor für Kompromittierungen (45 Prozent), gefolgt von Lücken im Schutzumfang (44 Prozent). Ohne die richtigen Fähigkeiten und den richtigen Schutzumfang haben Einzelhändler Schwierigkeiten, Angriffe zu erkennen und zu neutralisieren.

„Einzelhändler weltweit sehen sich einer immer komplexeren Bedrohungslage gegenüber, in der Angreifer ständig nach bestehenden Schwachstellen suchen und diese ausnutzen, am häufigsten bei Fernzugriffs- und internetfähigen Netzwerkgeräten. Angesichts der mittlerweile neuen Höchststände bei Lösegeldforderungen wird die Notwendigkeit umfassender Sicherheitsstrategien noch deutlicher. Ohne solche Strategien riskieren Einzelhändler anhaltende Betriebsstörungen und dauerhafte Reputationsschäden, deren Behebung Jahre dauern könnte. Erfreulicherweise erkennen viele dies allmählich und reagieren mit Investitionen in ihre Cyberabwehr, um Angriffe zu stoppen, bevor sie eskalieren, und sich schneller davon zu erholen“, sagt Chester Wisniewski, Director, Global Field CISO, Sophos .

Sophos hat hier eine Sicherheits-Checkliste für Online-Händler zusammengestellt:

1. Kritische Umsatzsysteme priorisieren: Einzelhändler sollten als Erstes Checkout, Payment, Kundenkonten und ihre Versand- und Warenwirtschaft schützen, da hier ein direkter Schaden bei Manipulation durch Kriminelle entsteht.
2. Admin-Zugänge temporär verschlanken: Wer benötigt welche Rechte? In den heißen Shoppingwochen gilt besonders: Nur so viel Zugriff wie nötig.
3. MFA (Multifaktorauthentifizierung) ohne Ausnahme**: Administratoren, interne Tools, externe Dienstleister, Agenturen – jeder Zugang wird mit einer MFA sicherer.
4. Credential Stuffing Angriffe blocken: Gestohlene Zugangsdaten werden massiv automatisiert getestet (und sind der zweithäufigste Sicherheitsvorfall im Einzelhandel, siehe oben). Shopbetreiber sollten bei ihren Systemen auf Rate Limiting, Bot-Abwehr und starkes Monitoring setzen.
5. Incident Response für den Ernstfall vorbereiten: Kommt es zu einem Vorfall, ist Zeit ein entscheidender Faktor, um die Schäden gering zu halten. Daher ist es sehr ratsam, einen Notfallplan für die akute Situation und eine Backup-Strategie für die weitere Betriebsfähigkeit griffbereit und aktuell zu haben.

Folgende Aktivitäten sollten bei Shop-Betreibern die Alarmglocken klingeln lassen:

• Ungewöhnliche Login-Muster: Hinweise auf automatisierte Credential Stuffing Angriffe sind plötzlich steigende Login-Versuche zu ungewöhnlichen Zeiten, aus andern Ländern oder ständige Fehlversuche.
• Auffälligkeiten bei Zahlungs- und Rückerstattungs-Prozessen: Ungewöhnliche Summen, Häufung von neuen Zahlungswegen, Konfigurationsänderungen bei der Bezahlung – dies sind oft Anzeichen, um später Gelder „umzuleiten“.
• Plötzlich „dringende” Admin-Freigaben: „Ich brauche schnell Admin-Rechte“ – diese Aussage sollte generell kritisch nachgefragt werden, besonders aber in den Shopping-Hochwochen, in denen Angreifer den starken Zeitdruck der Online-Händler ausnutzen wollen. Keine vorschnellen Erlaubnisse geben, sondern in Ruhe die Anfrage abklären.
• Monitoring Alert-Flut ohne klaren Grund: Wenn Sicherheits-Tools plötzlich ungewöhnlich viel melden,ohne dass technisch bewusst etwas neu ausgerollt wurde, sollten Administratoren dies nicht ignorieren. Hier sollten sie entweder selbst oder mithilfe erfahrener Fachleute des Tool-Anbieters abschätzen, welche Hinweise dringend sind und eine Reaktion erfordern.