Mit der zunehmenden Popularität von Online-Shopping und digitalen Zahlungsmethoden sind E-Commerce-Websites in Japan zu einem unverzichtbaren Bestandteil des Alltags geworden. Gleichzeitig nehmen die Sicherheitsrisiken – wie Kreditkartenbetrug, Lecks personenbezogener Daten und Cyberangriffe – von Jahr zu Jahr zu. Viele E-Commerce-Unternehmen tun sich aufgrund begrenzter Ressourcen schwer, die Probleme zu bewältigen.

In diesem Artikel erläutern wir grundlegende Sicherheitsmaßnahmen für E-Commerce-Unternehmen in Japan sowie Methoden zum Umgang mit betrügerischen Zahlungen und Datenlecks.

Worum geht es in diesem Artikel?

• Warum sind Sicherheitsmaßnahmen im E-Commerce notwendig?
  
• Häufige Sicherheitsvorfälle bei E-Commerce-Unternehmen
  
• Sicherheitsrichtlinien für E-Commerce-Websites
  
• Grundlegende Sicherheitsmaßnahmen für E-Commerce-Websites
  
• Wie man auf eine Sicherheitsbedrohung im E-Commerce reagiert
  
• Wie können E-Commerce-Unternehmen in Japan die Sicherheit verbessern?
  
• Wie Stripe Radar helfen kann
  

Warum sind Sicherheitsmaßnahmen im E-Commerce notwendig?

Mit der Expansion des E-Commerce-Marktes werden auch Betrugs- und Cyberangriffsmethoden immer ausgefeilter. Schäden durch Angriffe auf Kreditkarteninformationen nehmen jedes Jahr weiter zu. Daher müssen Sicherheitsmaßnahmen verstärkt werden.

Maßnahmen zur Vermeidung von Schäden durch Kreditkartenbetrug

Nach Angaben der Japanische Verbraucherkreditvereinigung (Japan Consumer Credit Association, JCA) erreichten die Verluste durch Kreditkartenbetrug im Jahr 2024 einen Rekordwert von 55,5 Milliarden JPY. Dieser Betrag hat sich in nur fünf Jahren mehr als verdoppelt. Dies zeigt, dass Betrug proportional zum Wachstum des E-Commerce-Marktes zunimmt.

Der Großteil dieser Verluste (über 90 %) wurde durch den Diebstahl von Kreditkartennummern auf E-Commerce-Seiten verursacht. Dieser Diebstahl erfolgt über Phishing-E-Mails, gefälschte Shops und das Eindringen in E-Commerce-Betriebssysteme. Ohne grundlegende Gegenmaßnahmen ist eine Verringerung dieser Verluste unwahrscheinlich. Die Richtlinien zur Sicherheit von Kreditkarten verlangen zudem, dass E-Commerce-Unternehmen spezifische Maßnahmen umsetzen.

Schutz personenbezogener Daten der Kundinnen und Kunden

E-Commerce-Seiten verarbeiten eine große Menge an Kreditkarteninformationen. Darüber hinaus bearbeiten sie personenbezogene Daten wie Namen, Adressen, Telefonnummern und E-Mail-Adressen. Wenn persönliche Daten durchsickern, ist der Schaden nicht auf eine einzelne Person beschränkt. In der Regel werden große Mengen an Kundendaten kompromittiert, was zu erheblichen finanziellen Schäden und zu Reputationsverlusten für das Unternehmen führt.

Karteninhaberinnen und Karteninhaber, die durch den Diebstahl von Nummern Opfer von Betrug werden, können unerwartete Belastungen erhalten und zugleich besorgt oder unzufrieden über das Datenleck sein. Dies kann zu einem Vertrauensverlust in die E-Commerce-Seite führen. Um das Vertrauen wiederherzustellen, muss das Unternehmen Zeit und Ressourcen in Kundensupport und Untersuchungen investieren. Datenlecks können jedoch die Glaubwürdigkeit und Rentabilität des Unternehmens insgesamt erheblich beeinträchtigen.

Das fortlaufende Risiko von Cyberangriffen

E-Commerce-Websites sind attraktive Ziele für Cyberangriffe, da sie jederzeit zugänglich sind und eine große Menge an Transaktionsdaten enthalten. Ein Bericht des japanischen Ministeriums für Wirtschaft, Handel und Industrie (METI) hebt hervor, dass unbefugte Zugriffe, Phishing und Angriffe auf Zahlungssysteme zunehmen. In den letzten Jahren sind die Angriffsmethoden zunehmend ausgefeilter geworden. Sie haben sich erweitert und umfassen automatisierte Betrugsmethoden, sogenannte Credit Master Attacks, sowie Phishing-Angriffe unter Einsatz von künstlicher Intelligenz (KI).

Häufige Sicherheitsvorfälle bei E-Commerce-Unternehmen

Auf E-Commerce-Seiten können verschiedene Arten von Sicherheitsvorfällen auftreten. Hier sind einige gängige Beispiele und ihre Risiken:

Systemausfälle

Dies tritt auf, wenn die E-Commerce-Seite aufgrund eines Server- oder Systemfehlers ausfällt und nicht verfügbar ist. Bei einem Ausfall können Unternehmen Umsätze und das Vertrauen der Kundinnen und Kunden verlieren. Zudem können Wiederherstellungsmaßnahmen zu Arbeits- und finanziellen Kosten führen.

Die Agentur für die Förderung der Informationstechnologie (Information-Technology Promotion Agency, IPA) stellt die Sicherheitsrichtlinien für Aufbau und Betrieb von E-Commerce-Seiten bereit, die empfehlen, sich auf solche Situationen vorzubereiten, indem regelmäßig Daten gesichert, Redundanzen eingeführt, Zugriffskontrollen implementiert und Protokolle genutzt werden.

Laut einer von der IPA und der Kommission für den Schutz personenbezogener Daten (Personal Information Protection Commission, PPC) durchgeführten Umfrage wird der durchschnittliche Umsatzverlust durch den Ausfall einer E-Commerce-Seite auf 57 Millionen JPY geschätzt. Die durchschnittlichen Kosten für die Reaktion auf einen solchen Vorfall werden auf 240 Millionen JPY geschätzt.

Veränderung der Website

Wenn Viren oder Malware Administrator-Terminals oder Server infiltrieren, können sie Systeme oder Daten beschädigen. Ein E-Commerce-Unternehmen sollte Antivirensoftware installieren, Betriebssysteme und Software regelmäßig aktualisieren und ein Hacker-Erkennungssystem einrichten.

Nach Angaben der Nationale Polizeiagentur (National Police Agency, NPA) gibt es mehrere Berichte über eine Straftat namens „Web Skimming“. Dabei werden illegale Programme in legitime E-Commerce-Seiten eingebettet, um die Kreditkarteninformationen der Kundinnen und Kunden zu erlangen.

Unbefugter Zugriff

Dies tritt auf, wenn eine Drittpartei unbefugt Zugriff auf Administrationsbildschirme oder Datenbanken erhält, um Daten einzusehen, zu ändern oder zu löschen. Die oben genannten Sicherheitsrichtlinien enthalten wichtige Gegenmaßnahmen wie Multifaktor-Authentifizierung, Schwachstellenbewertung, Zugriffskontrolle und Erkennung von Anomalien bei Logins.

E-Commerce-Websites, die mit Open-Source-Software (OSS) erstellt wurden, könnten besonders gefährdet sein. Laut der IPA wurden 97 % der betroffenen E-Commerce-Seiten intern entwickelt, viele davon unter Nutzung von OSS-Systemen. Zwar sind OSS-Systeme praktisch, ihre Schwachstellen lassen sich jedoch leichter entdecken. Wenn beispielsweise Patches nicht rechtzeitig oder korrekt angewendet werden, kann ein OSS-System schnell zum Ziel unbefugten Zugriffs werden.

Ransomware

Bei diesem Cyberangriff verschlüsseln betrügerische Akteure Systeme oder Daten und verlangen Geld für deren Wiederherstellung. Unternehmen können das Risiko dieses Angriffs durch regelmäßige Backups, getrennte Speicherung, Einschränkung von Administratorrechten und Recovery-Schulungen reduzieren.

Einem Bericht der Japanische Vereinigung für Netzwerksicherheit (Japan Network Security Association, JNSA) haben Ransomware-Angriffe finanzielle Schäden zwischen 10 Millionen JPY und mehreren hundert Millionen JPY verursacht. Betroffen sind auch kleine und mittlere Unternehmen, wobei in einigen Fällen Verluste von über 100 Millionen JPY gemeldet wurden.

Sicherheitsrichtlinien für E-Commerce-Websites

Die von der IPA veröffentlichten Sicherheitsrichtlinien für das Erstellen und Betreiben von E-Commerce-Websites enthalten spezifische Sicherheitsrichtlinien für die sichere Erstellung und den sicheren Betrieb von E-Commerce-Websites. Sie richten sich vor allem an kleine und mittlere Unternehmen und unabhängige Anbieter.

Die wichtigsten Richtlinien sind:

• Sicherheitsvorfälle verhindern
  
• Schwachstellen im Design und Betrieb beheben
  
• Unterstützung für nicht spezialisierte Mitarbeitende bereitstellen
  
• Verantwortlichkeiten der beteiligten Parteien sowohl für interne als auch für ausgelagerte Systeme klären
  

Die Sicherheitsrichtlinien sind mehr als ein technisches Handbuch. Sie verbinden praxisorientiertes Arbeiten mit Entscheidungsprozessen, indem sie die Bedeutung von Sicherheitsmaßnahmen als Managemententscheidungen hervorheben. Darüber hinaus liefern die Richtlinien Beispiele für Ursachen, Auswirkungen und Risiken von bereits aufgetretenen oder potenziellen Sicherheitsvorfällen.

In allen Fällen von Sicherheitsvorfällen liegt die Hauptursache in fehlender Klarheit darüber, wer verantwortlich ist und was geschützt werden muss. Die Richtlinien unterteilen Sicherheitsmaßnahmen in drei Kategorien, basierend auf den beteiligten Parteien und klären die Rollen jeder Partei.

Betreiber/innen von E-Commerce-Seiten sollten:

• Richtlinien für die Erstellung, den Aufbau und den Betrieb der Seite festlegen
  
• Outsourcing, Anbieterwahl, Verträge und deren Management klar regeln
  
• Eine Richtlinie zum Schutz von Kundeninformationen erstellen
  

Entwicklungsanbieter sollten:

• Systeme ohne Schwachstellen entwerfen und implementieren
  
• Überprüfungen und Tests durchführen
  
• Software aktualisieren und verwalten
  

Betriebs- und Wartungsanbieter sollten:

• Regelmäßige Unterstützung bei Schwachstellen für Server und Software leisten
  
• Protokollmanagement- und Überwachungssysteme einrichten
  
• Ein Reaktionssystem für den Fall eines Vorfalls implementieren
  

Grundlegende Sicherheitsmaßnahmen für E-Commerce-Websites

Für viele Unternehmen kann es kompliziert erscheinen, Sicherheitsmaßnahmen zu aktualisieren und zu verstärken. Es ist jedoch wichtig, mit einfachen Schritten zu beginnen, die sofort umgesetzt werden können, wie z. B. die Stärkung von Passwörtern und die Überprüfung von Freigabeeinstellungen. Anschließend können Unternehmen schrittweise robuste Sicherheitssysteme aufbauen. Hier sind einige konkrete Maßnahmen, die E-Commerce-Unternehmen in Betracht ziehen sollten:

Integration von Three-Domain Secure (3D Secure) 2.0 zur Identitätsprüfung

3D Sicher 2.0 ist ein System, das die Identitätsauthentifizierung bei Kreditkartenzahlungen verbessert. Einmalpasscodes und biometrische Authentifizierung können unbefugte Zahlungen verhindern, die auf Täuschung oder Identitätsvortäuschung basieren.

Dieses System bietet zudem eine verbesserte Kundenerfahrung im Vergleich zu herkömmlichen Passwortmethoden und vereint Sicherheit mit Benutzerfreundlichkeit. Dadurch gewinnt es bei Kreditkartenunternehmen und Zahlungsdienstleistern zunehmend an Popularität. E-Commerce-Seiten, die 3D Secure noch nicht integriert haben, riskieren Rückbuchungen und abgelehnte Transaktionen. Daher sollten E-Commerce-Unternehmen eine frühzeitige Einführung in Betracht ziehen.

Compliance mit dem Payment Card Industry Data Security Standard (PCI DSS)

PCI DSS ist ein internationaler Sicherheitsstandard für Unternehmen, die Kreditkarteninformationen verarbeiten. Dieser Standard enthält detaillierte Vorgaben, etwa zur Verschlüsselung von Daten, Zugriffskontrolle und Protokollverwaltung. Bei der internen Verarbeitung von Karteninformationen ist eine strikte Einhaltung erforderlich.

Die interne Verwaltung all dieser Anforderungen kann jedoch eine erhebliche Belastung darstellen. Deshalb nutzen viele Unternehmen Zahlungsabwickler, die PCI DSS-konform sind, um diese Last zu verringern und gleichzeitig die Anforderungen zu erfüllen.

Implementierung von Kreditkartenbetrugserkennung

Betrügerische Transaktionen sind nicht immer sofort erkennbar. Häufig entdecken Unternehmen sie erst, nachdem der Kauf abgeschlossen wurde. Deshalb ist es wichtig, ein System zu haben, das Anzeichen für betrügerische Transaktionen in Echtzeit erkennt und darauf reagiert, insbesondere bevor Transaktionen durchgeführt oder abgeschlossen werden. Folgende Merkmale sollten eine Transaktion als verdächtig kennzeichnen:

• Zugriff aus Regionen mit bekannter Betrugshistorie
  
• Aufeinanderfolgende Karteneingaben von derselben IP-Adresse
  
• Abweichende Kundendaten im Vergleich zur/zum Karteninhaber/in
  
• Mehrere hochpreisige Käufe innerhalb kurzer Zeit
  

Die Nutzung eines Systems, das Transaktionen automatisch blockiert oder zur Überprüfung zurückhält, sobald sie als risikoreich eingestuft werden, kann Schäden verhindern, bevor sie entstehen.

Wie man auf eine Sicherheitsbedrohung im E-Commerce reagiert

Die Umsetzung von Sicherheitsmaßnahmen kann dazu beitragen, das Auftreten von Sicherheitsvorfällen zu verringern. Aufgrund der steigenden Anzahl von Betrugsfällen ist es jedoch wahrscheinlich, dass die meisten Unternehmen irgendwann mit einer Sicherheitsverletzung konfrontiert werden. Dies kann selbst dann passieren, wenn Gegenmaßnahmen ergriffen wurden. Hier sind einige Möglichkeiten, auf bestimmte Sicherheitsvorfälle zu reagieren:

Virusinfektion oder Ransomware

Stellen Sie die Nutzung des infizierten Computers oder Servers sofort ein und trennen Sie ihn vom Netzwerk. Melden Sie den Vorfall anschließend aktiv den betroffenen Geschäftspartnern und Kundinnen/Kunden sowie den zuständigen Behörden. In Japan müssen Virus- und Ransomware-Infektionen beispielsweise der IPA gemeldet werden. Führen Sie dann die Untersuchung durch und setzen Sie die Wiederherstellungsmaßnahmen um. Regelmäßige Datensicherungen minimieren den Schaden bei solchen Vorfällen.

Datenlecks

Datenlecks umfassen unbefugten Zugriff auf Netzwerke, rechtswidrige Handlungen von Mitarbeitenden, fehlgeleitete E-Mails und versehentliche Veröffentlichungen im Web. Bestätigen Sie aktiv die Art und Menge der offengelegten Daten sowie den Status der Sicherheitsmaßnahmen wie Verschlüsselung und Zugriffsrechte.

Bei unbefugtem Zugriff trennen Sie das Gerät sofort vom Netzwerk und setzen Sie die Dienste aus. Dies ist wichtig, da ein Risiko der Offenlegung personenbezogener oder vertraulicher Informationen besteht. Wenn Kreditkarten- oder Kontoinformationen betroffen sind, kontaktieren Sie die Kreditkartenfirma und lassen Sie das Konto (die Konten) sperren.

Im Falle internen Fehlverhaltens beschränken Sie den Zugriff auf interne Systeme und sichern Sie Beweismittel, wie persönliche Computer. Wurden E-Mails an falsche Empfänger/innen gesendet, kontaktieren Sie diese und fordern Sie zur Löschung der E-Mails auf. Wurden Informationen versehentlich auf der Unternehmenswebsite veröffentlicht, löschen Sie sie sofort oder beschränken Sie den Zugriff, sodass sie von außerhalb der Organisation nicht eingesehen werden können.

Nachdem Sie diese Maßnahmen ergriffen haben, melden und informieren Sie die entsprechenden Parteien nach Bedarf:

• Wenn offengelegte Informationen – wie Kontodaten – missbraucht werden könnten, benachrichtigen Sie die betroffenen Personen und Unternehmen, um Sekundärschäden zu verhindern.
  
• Wenn personenbezogene Daten offengelegt wurden, melden Sie dies der PPC.
  
• Wenn die Ursache des Datenlecks krimineller Natur ist – z. B. unbefugter Zugriff oder internes Fehlverhalten – melden Sie die Einzelheiten der Polizei.
  
• Wenn die Ursache des Datenlecks ein Computervirus oder unbefugter Zugriff ist, melden Sie den Vorfall dem IPA-Meldebüro.
  

Untersuchen Sie anschließend den Umfang, die Ursache und den Schaden der offengelegten Informationen. Führen Sie danach Wiederherstellungsmaßnahmen durch, um eine Wiederholung zu verhindern.

Systemausfall

Tritt ein Systemausfall auf, kann es schwierig sein, die Ursache sofort zu identifizieren. Mögliche Ursachen sind allgemeine Geräteausfälle und Sicherheitsvorfälle wie Cyberangriffe oder Softwarefehler. Ist die Ursache unbekannt, sollte das Unternehmen so reagieren, als handele es sich um ein Sicherheitsproblem.

Treten Systemfehlfunktionen, Ausfälle, Abschaltungen oder Anzeichen dafür auf, wenden Sie sich an den Systemadministrator oder die IT-Sicherheitsbeauftragten. Je nach Situation kann die verantwortliche Person die Server bei Bedarf umschalten oder herunterfahren.

Anschließend informieren Sie die Geschäftspartner und melden den Vorfall den zuständigen Behörden. Handelt es sich um einen Virus oder unbefugten Zugriff, melden Sie den Vorfall dem IPA-Meldebüro. Untersuchen Sie die Ursache des Vorfalls und führen Sie Wiederherstellungsmaßnahmen sowie Maßnahmen zur Verhinderung eines erneuten Auftretens durch.

Wie können E-Commerce-Unternehmen in Japan die Sicherheit verbessern?

Sicherheitsmaßnahmen im E-Commerce sind entscheidend zum Schutz des täglichen Geschäftsbetriebs. Unabhängig von der Unternehmensgröße stellen Kartenbetrug und Datenlecks stets ein Risiko dar, gegen das Unternehmen aktiv vorgehen müssen.

In den letzten Jahren ist es einfacher geworden, eine Vielzahl von Maßnahmen zu übernehmen und zu integrieren – wie 3D Secure zur Stärkung der Identitätsprüfung (z. B. Know Your Customer [KYC]-Verfahren). Unternehmen können zudem branchenspezifische Standards wie PCI DSS einhalten und Betrugserkennungsdienste einführen. Es ist wichtig, wachsam zu bleiben und proaktive Maßnahmen im Voraus zu ergreifen. Dass ein Unternehmen bislang keine Sicherheitsprobleme hatte, bedeutet nicht, dass es selbstzufrieden sein darf. Geschäftsinhaber/innen sollten die Sicherheitsmaßnahmen ihrer E-Commerce-Seiten verbessern, um die Zuverlässigkeit, Vertrauenswürdigkeit und Kontinuität ihres E-Commerce-Geschäfts sicherzustellen.

So kann Stripe Radar helfen

Stripe Radar verwendet KI-Modelle, um Betrug zu erkennen und zu verhindern. Diese Modelle wurden mit Daten aus dem globalen Netzwerk von Stripe trainiert. Sie werden kontinuierlich auf der Grundlage neuester Betrugstrends aktualisiert und schützen Ihr Unternehmen vor aufkommenden betrügerischen Aktivitäten.

Stripe bietet außerdem Radar for Fraud Teams an, mit dem Nutzer/innen benutzerdefinierte Regeln für Betrugsszenarien hinzufügen können, die speziell auf ihr Unternehmen zugeschnitten sind. Außerdem erhalten sie Zugang zu neuesten Erkenntnissen über betrügerische Aktivitäten.

Radar kann Ihrem Unternehmen wie folgt helfen:

• Verlust aufgrund von Betrug vermeiden: Stripe wickelt jährlich Zahlungen in Höhe von über 1 Billion USD ab. Dadurch kann Radar auf einzigartige Weise Betrug genau erkennen und verhindern.
  
• Umsatz steigern: Die KI-Modelle von Radar werden anhand tatsächlicher Anfechtungsdaten, Kundeninformationen, Surfdaten und mehr trainiert. Damit kann Radar riskante Transaktionen identifizieren und falsch positive Ergebnisse reduzieren und so Ihren Umsatz steigern.
  
• Sparen Sie Zeit: Radar ist in Stripe integriert und benötigt keine Codezeilen für die Einrichtung. Sie können auch Ihre Betrugsleistung überwachen, Regeln schreiben und vieles mehr in einer einzigen Plattform, was die Effizienz erhöht.
  

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.