Penetrationstest

[TeBe77]

Hallo zusammen,

um die Sicherheit unseres Shops zu prüfen würden wir gerne einen "Penetrationstest" über eine externe Agentur durchführen lassen. Hierbei soll geprüft werden, ob die Möglichkeit besteht den Shop aus externen Quellen heraus anzugreifen (ggfs. auch über Kundenkonten).

Weiß jemand ob hier was beachtet werden muss, oder ob Shopify über die "Angriffssimulation" informiert werden muss? Falls ja - welche Stelle benötigt eine entsprechende Information.

Vielen Dank für Rückmeldungen!

Grüße

Thomas

[Gabe]

Hey Thomas @TeBe77 

Danke für die Frage und du möchtest also dein Shopify Shop einen "Stresstest" unterziehen, ist das richtig? Nicht vergessen, wenn du deine URL hier postest kann ich auch einen "Health Check" von meiner Seite aus durchführen und dir die Ergebnisse in einem Video zeigen.

Im grossen und ganzen arbeitet die Shopify Plattform zu best-of-breed und höchsten SaaS Sicherheitsstandards (alle Shops werden über Amazon AWS und Google Server im Cloud gehosted).

Wenn dein Konto irgendwie gefährdet sein sollte dann ist es z. B. empfehlenswert das 2FA im Shop zu aktivieren:

• Allgemeine Konto-Sicherheit
• Schütze dein Konto mit der zweistufigen Authentifizierung

Für den Spamschutz siehe in deinen Konfigurationen wie du den Captcha aktivieren kannst:

Um deinen E-Mail Marketing und deine Kundenlisten schön sauber und fern von Spam Lists sowie Spamcop "E-Mail Blacklists" zu halten, aktiviere den DOI (double-opt-in), wie man hier sieht:

Siehe auch unsere Leitartikel zu diesem Thema hier:

• Das Shop "Rechtssicher" Machen, Sowie Deinen "Carbon Footprint" Und Die Abmahnungen Reduzieren
  

Siehe zwei sehr hilfreiche Artikel der IT Rechtskanzlei und des Händlerbundes zu wie man den Shop rechtskonform einrichten kann hier:

1. IT Rechtskanzlei: Shopify-Shops rechtssicher machen: Anleitung
2. Händlerbund: Einstellhinweise für die Nutzung der Shop-Software Shopify

Shopify ist nicht für Schäden oder finanziellen Verlust verantwortlich, wenn die Sicherheit der Login Anmeldedaten nicht aufrecht gehalten werden. 

Wenn du den Verdacht hast, dass es nicht autorisierte Aktivitäten auf deiner E-Mail oder deinem Shopify-Konto gab, empfehlen wir dir, einen [Kontosicherungs-Überblick] durchzuführen. Wenn du eine Aufgabe abgeschlossen hast, überspringe sie einfach und fahre mit der nächsten fort:

• Sichere deine Geräte, indem du Software ausführst. Es wird auch empfohlen, dass du sicherstellst, dass dein WLAN gemäß den Anweisungen, die von deinem Internetdienstanbieter zur Verfügung gestellt werden, gesichert ist.
• Aktualisiere das Passwort für dein E-Mail-Konto-Login (Gmail, Yahoo, etc.) und aktiviere alle zusätzlichen Sicherheitsfunktionen, die dein E-Mail-Service-Anbieter anbietet - zum Beispiel Zwei-Faktor-Authentifizierung. Dies schließt alle anderen Websites ein, mit denen Sie diese E-Mail für die Anmeldeinformationen teilen.
• Aktualisiere dein Passwort für dein Shopify-Konto - stelle sicher, dass du ein starkes, einzigartiges Passwort verwendest. Wir haben hier eine praktische Anleitung dazu: [einzigartige Passwörter generieren].
• Überprüfe alle Drittanbieter Gateway Integration , um sicherzustellen, dass die richtigen Konten verknüpft sind - zum Beispiel PayPal Express checkout - du kannst dies in Einstellungen > Zahlungsanbieter-Abschnitt der admin deines Stores tun.
• Überprüfe alle Bestellungen, die verdächtig erscheinen und wende dich an den Kunden oder storniere die Bestellung und erstatte den Betrag, um Rückbuchungen zu verhindern. Wenn du mehr Informationen über Rückbuchungen finden möchtest , besuche bitte unseren Hilfe-Leitfaden über den folgenden Link - Rückbuchungen und Anfragen.
• Überprüfe die allgemeinen Kontoeinstellungen, um sicherzustellen, dass die Informationen so angezeigt werden, wie sie sollten (allgemeine Einstellungen, Mitarbeiterkonten, Genehmigungen für Mitarbeite, Bestellungen, Rabatte usw.). Für weitere Informationen über Mitarbeiterkonten, siehe: [Verwaltung von Mitarbeiterkonten].
• Navigiere zum Abschnitt App des Adminbereichs deines Shops und stelle sicher, dass alle Apps, die in der Liste der installierten Apps angezeigt werden, und auch im Abschnitt „Private Apps verwalten“ mit deiner Genehmigung zu deinem Shop hinzugefügt wurden. Ich habe eine Bildschirmaufnahme, um bei der Navigation zu helfen [hier].
• Folge [Richtlinien der Regierung], um deine Identität und deine vertraulichen Informationen zu schützen.Wichtig: Wir empfehlen dir, aus Sicherheitsgründen alle persönlichen identifizierbaren Dokumente oder Verifizierungsdetails, die per E-Mail geteilt werden, zu löschen (und aus dem Papierkorb zu entfernen). Dazu können Fotos von Ausweisen, Kreditkartendetails und andere ähnliche Dokumente gehören (alle Dokumente, die mit unserem sicheren Upload-Button hochgeladen werden, sind verschlüsselt).
• Ich empfehle dir auch, die Kontoaktivitäten in deinen Aktivitätsprotokollen zu überprüfen, die du finden kannst, indem du deine .myshopify Domain wie diese eingibst: yourshopifystore.myshopify.com/admin/activity. Oder indem du in der Suchleiste deines Adminbereichs nach „Aktivitäten“ suchst.
• Du kannst mehr Informationen, um dich gegen Phishing zu schützen, hier finden: [Phishing Datenschutz].

Lass wissen, wenn du weitere Fragen hast zum obigen Thema oder generell zu deinem Shop und Business und gerne können wir das hier weiter besprechen!
 
2022 wird dein Jahr! Haltet Abstand und bleibt Gesund.

[TeBe77]

Hallo Gabe,

vielen Dank für deine Antwort. Ja, wir möchten quasi einen "Hackerangriff" auf unseren Shop simulieren, um mögliche Sicherheitslücken aufzudecken (oder auch nicht - falls alles sicher ist). Im Falle von Sicherheitsproblemen werden wir Shopify entsprechend informieren.

Die Grundlegende Frage war aber, ob man Shopify über eine solche Anfriffs-Maßnahme informieren muss, da wir ggfs. gegen Vertragsbedingungen verstoßen. Dazu finden wir nichts in den Vertragsunterlagen. Und welche Stelle wir bein Shopify informieren müssen.

Deine Antwort ging darauf leider nicht ein - die Absicherungsmöglichkeiten des Shops sind uns bekannt. Trotzdem danke für deine Auflistung und Mühen!!

VG

[Gabe · Accepted solution]

@TeBe77 

Ihr könnt ein Ticket an uns schicken und die werden das dann da anschauen können.

Um dir dabei behilflich zu sein, sende bitte eine E-Mail an unseren Support hier (https://bit.ly/3cwO7ym) von der E-Mail-Adresse, die du zur Anmeldung in deinem Shopify-Shop verwendest, und gib deine myshopify.com-URL da auch ein. Sobald die dein Konto authentifiziert haben, können sie dir weiterhelfen.

[TeBe77]

Vielen Dank, ich werde den Support entsprechend kontaktieren!

[Gabe]

@TeBe77 

Nicht vergessen, wenn du die generellen Ergebnisse eures Stresstests hier danach teilst (natürlich ohne sensible Daten preiszugeben) kann das auch andere helfen die ähnliche Sicherheitsansprüche oder Fragen haben.

VG,