Bundesamt für Sicherheit in der Informationstechnik

G 5.165 Unberechtigter Zugriff auf oder Manipulation von Daten bei Webanwendungen und Web-Services

Wenn ein Benutzer eine Webanwendung bedient oder wenn ein Programm auf einen Web-Service zugreift, werden Daten übertragen und üblicherweise sowohl client- als auch serverseitig gespeichert (zum Beispiel in Protokolldateien, Browser- und Proxy-Cache). Wenn diese Daten bei der Übertragung und Speicherung nicht angemessen geschützt sind, können sie unbefugt durch Dritte eingesehen oder manipuliert werden.

Aufgrund der unterschiedlichen Übertragungswege und Speicherorte der Daten ergeben sich besondere Gefährdungen, die anhand nachfolgender Beispiele erläutert werden:

  • Zugangs- und Formulardaten, die ein Benutzer im Web-Browser eingibt, werden im Browser-Cache zwischengespeichert. Kann ein Angreifer auf den Rechner zugreifen, dann kann er den Browser-Cache und somit die schützenswerten Daten auslesen, da der Browser-Cache üblicherweise nicht gesondert geschützt ist (zum Beispiel durch Verschlüsselung).
  • Werden GET-Parameter in der URL übertragen, können diese auf dem Weg von der Webanwendung zum Client von den dazwischenliegenden IT -Systemen (zum Beispiel Proxy-Server) in deren Protokolldateien gespeichert werden. Proxy-Server protokollieren üblicherweise die aufrufende URL inklusive übertragener GET-Parameter. Personen mit Zugriff auf die Protokolle können daher die Daten in den GET-Parametern lesen. Werden von der Webanwendung schützenswerte Daten in GET-Parametern übermittelt, kann demzufolge der Schutz der Daten nicht gewährleistet werden. Darüber hinaus können vertrauliche Daten in GET-Parametern beim Versenden eines Links oder durch Einsicht der Browser-Historie offengelegt werden.
  • Müssen Sitzungsdaten einer Webanwendung auf dem Client hinterlegt werden, geschieht dies häufig über eine Speicherung in Cookies. Hierbei kann es sich um schützenswerte Daten wie die Session-ID handeln. Erlangt ein Angreifer Zugriff auf den Client (zum Beispiel durch das clientseitige Ausführen von Schadcode), so ist es möglich, den Inhalt von Cookies unbefugt auszulesen oder zu verwenden und unbemerkt an den Angreifer zu versenden (siehe auch G 5.170 Cross-Site Scripting (XSS) ).
  • Wird die Verbindung zwischen dem Web-Service-Client und dem Web-Service nicht ausreichend durch Verschlüsselung oder elektronische Signaturen abgesichert, besteht die Möglichkeit, dass Angreifer vertrauliche Daten während der Übertragung einsehen oder manipulieren können.

Stand: 14. EL Stand 2014