Fast 40 Prozent aller Anmeldeversuche im Hotel- und Reisegewerbe wurden laut Akamais Sicherheitsbericht von Bots generiert. Im Vergleich zum Vorjahr bedeutet das eine drastische Zunahme. Das Gastgewerbe ist damit aktuell häufiger Opfer entsprechender Angriffe als die meisten anderen Branchen. Bots werden vermehrt eingesetzt, um Angriffe mit gestohlenen Anmeldedaten auszuführen, Accounts zu missbrauchen oder Websites gezielt zu überlasten. Solche Angriffe richten große Schäden an – sowohl finanziell als auch in Bezug auf die Datensicherheit. Deshalb sollten Unternehmen nicht abwarten, bis sie selbst zur Zielscheibe geworden sind, sondern schon frühzeitig Maßnahmen zum Schutz ihrer Website implementieren.
Greift ein Bot auf eine Website zu, sollte man nicht grundsätzlich von einem Angriff ausgehen. Mitunter sind die Zugriffe sogar förderlich, wenn zum Beispiel durch Suchmaschinen-Bots die Sichtbarkeit der Website erhöht wird. Auch wenn Bots von Reiseportalen wie Booking.com mit Zustimmung Preisinformationen einholen, ist das legitim. Das gilt jedoch nicht für Bots, die Preisabfragen starten, damit ein konkurrierendes Reiseportal seine Angebote stets günstiger als der Wettbewerber gestalten kann. In diesem Fall spricht man von Web Scraping: Mithilfe von Bots werden Daten und andere Informationen abgegriffen, um sich dadurch einen Vorteil zu verschaffen. Außerdem können Bot-Anfragen zum Beispiel Online-Reservierungssysteme gezielt aushebeln: Wenn ein Bot beliebig viele Plätze reserviert, sind diese für andere User nicht mehr verfügbar. Tatsächlich bleiben diese Plätze vor Ort aber leer und können über das Reservierungssystem auch nicht neu vergeben werden. Das Unternehmen wird so bewusst geschädigt.
Die Angriffsszenarien können sich sehr unterschiedlich gestalten: Bots werden zum gezielten Missbrauch von Anmeldedaten eingesetzt (Credential Abuse) oder für DDoS-Angriffe (Distributed Denial of Service) um Systeme zu überlasten.
Hotelgewerbe Opfer von Datenmissbrauch
Die Zahlen aus dem „State of the Internet“-Sicherheitsbericht zeigen, dass Bot-Angriffe auf das Gastgewerbe drastisch zugenommen haben. Besonders hoch ist der Bot-Verkehr auf Websites von Kreuzfahrtgesellschaften, allerdings handelt es sich dabei um unterschiedlichste, oftmals weniger gefährliche Aktivitäten. Web-Auftritte von Hotels und Ressorts sind dagegen häufiger von Datenmissbrauch betroffen. Zwischen November 2017 und April 2018 verzeichnete Akamai bei Websites von Fluggesellschaften, Kreuzfahrtunternehmen, Hotels, Online-Reiseanbietern, Autovermietungen und Transportunternehmen 112 Milliarden Bot-Anfragen und 3,9 Milliarden bösartige Anmeldeversuche.
Ohne entsprechende Tools lassen sich solche Angriffe allerdings nur schwer identifizieren. Deshalb sollten Unternehmen frühzeitig Maßnahmen ergreifen, um sich gegen Bot-Angriffe zu schützen. Denn ein stark erhöhter Traffic, deutlich gestiegene Kosten oder eine verlangsamte Website können bereits klare Alarmsignale dafür sein, dass ein Bot-Angriff vorliegt. Mit einem Bot-Management-System behalten Unternehmen den Überblick, welche Bots mit der Website interagieren und wann Handlungsbedarf besteht. Das System kann Bots frühzeitig identifizieren und blockieren. Um das Verhalten des Bots zu erfassen, verfolgt der Bot-Manager einen behavioristischen Ansatz: Rund 20 verschiedene Abgleichpunkte stehen zur Verfügung, um Muster im Verhalten des Anfragestellenden auszumachen und ihn gegebenenfalls als Bot zu identifizieren. So analysiert der Bot-Manager zum Beispiel beim Login-Vorgang die Mausbewegungen und Tastaturanschläge und kann aufgrund der resultierenden Muster Bots herausfiltern. Drohende Angriffe werden dadurch rechtzeitig erkannt und abgewehrt. Und selbst wenn die Website nicht gefährdet ist, bringt der Bot-Manager klare Vorteile, indem er sichtbar macht, welche Bots wann auf die Website zugreifen. Website-Betreiber gewinnen so einen Überblick über den Botverkehr auf ihrer Seite und können Veränderungen frühzeitig wahrnehmen und untersuchen.
Autor: Gerhard Giese ist Manager des Enterprise Security Teams bei Akamai. Mit über 20 Jahren Erfahrung im IT-Sicherheitssektor bietet er mit seinem internationalen Team aus Spezialisten technische Beratung für Lösungen zur Web- und Rechenzentrums-Sicherheit.
