Sicherheits-Wiki

Schrems II ist das EuGH-Urteil von 2020, das das Privacy Shield kippte und neu ordnete, wie personenbezogene Daten aus der EU in die USA fließen dürfen.

Session Hijacking stiehlt das nach erfolgreichem Login ausgestellte Token, der Angreifer agiert als Nutzer, ganz ohne Passwort oder MFA-Code.

SIM-Swapping kapert die Rufnummer eines Opfers, indem sie auf die SIM des Angreifers portiert wird, sodass SMS-Sicherheitscodes zur Post des Angreifers werden.

SMS-Pumping ist eine Betrugsmasche, bei der Bots massenhaft Verifizierungs-SMS an Premium-Nummern auslösen; die Rechnung zahlt das angegriffene Unternehmen.

Starke Kundenauthentifizierung ist die PSD2-Pflicht, elektronische Zahlungen im EWR mit zwei unabhängigen Faktoren zu bestätigen, sie prägt jeden Checkout.

TLS-Fingerprinting erkennt Client-Software daran, wie sie Verschlüsselung aushandelt, und entlarvt Bots mit falschem User Agent vor dem ersten Seitenaufruf.

Toll Fraud löst Anrufe oder SMS an Premium-Nummern aus, an denen der Angreifer mitverdient, oft durch Bot-Missbrauch der Telefon-Verifizierung einer App.

Triangulationsbetrug kassiert über einen falschen Shop das Geld echter Käufer und erfüllt deren Bestellungen mit gestohlenen Karten bei legitimen Händlern.

Verhaltensanalyse unterscheidet Menschen von Automatisierung anhand der Interaktion, von Cursor-Bewegung über Tipprhythmus bis Scrollen, ganz ohne Nutzeraufwand.

Web Scraping ist das automatisierte Extrahieren von Daten aus Websites; es treibt Suchmaschinen und Preisvergleiche an, aber auch Diebstahl und Missbrauch.

Web-Skimming schleust bösartigen Code in Checkout-Seiten, um Kartendaten beim Tippen abzugreifen, oft Magecart genannt, nach seiner berüchtigtsten Form.

Zahlungsbetrug ist jede Transaktion mit gestohlenen, gefälschten oder missbrauchten Zahlungsdaten, von Käufen mit gestohlenen Karten bis Chargeback-Missbrauch.

Zwei-Faktor-Authentifizierung sichert Logins durch einen zweiten, unabhängigen Identitätsnachweis neben dem Passwort, ob Wissen, Besitz oder Biometrie.

Personenbezogene Daten (PII) sind alle Informationen, die eine Person identifizieren können, von Namen und E-Mails bis zu IP-Adressen und Gerätekennungen.

Private Access Tokens sind kryptografische Bestätigungen des Geräteherstellers, die für die Legitimität eines Clients bürgen, sodass manche CAPTCHAs überspringen.

Nach der DSGVO bestimmt der Verantwortliche Zweck und Mittel der Verarbeitung, der Auftragsverarbeiter handelt auf Weisung; die Rollen verteilen die Haftung.