AW: Auftragseinbruch durch SSL ?
@casim:
Mir sind die Probleme von SSL sehr wohl bekannt (u.a. die Anfälligkeit für Man-in-the-Middle-Attacken, da bei jedem Verbindungsaufbau zwischen Client und Server ein neuer Schlüssel ausgehandelt wird, weiterhin aber auch die Problematik mit den Stammzertifikaten und den zurückgezogenen Zertifikaten)...
Jedoch geht's prinzipiell erst einmal darum, dass die Kundendaten bei der Übertragung zum
Shop, bei der ggf. auch sensible Zahlungsinfos versendet werden, geschützt sind.
Wie der Shopinhaber die Daten dann abfragt, liegt nicht mehr im Einflussbereich des Kunden - jedoch ist der Shopbetreiber gem. BDSG verpflichtet, sorgfältig mit den Daten umzugehen und sie gegen fremde Einflussnahme zu schützen (inwiefern dies immer möglich ist, stehe hierbei auf einem anderen Blatt). Sollte er also sorglos die Daten per HTTP übertragen und ein Angriff bzw. ein Ablauschen passieren, haftet der Shopbetreiber für den dadurch dem Kunden entstandenen Schaden (sofern dieser nachweisen kann, dass es durch diesen Angriff passiert ist).
Nur so: Die Daten werden ja selbst in der DB unverschlüsselt abgelegt - ergo könnte jedermann mit Zugriff auf den SQL-Server oder dessen Dateien die Daten auslesen...
Zum Thema eMail:
eMails werden aufgrund der SMTP-Spezifikation zwischen verschiedenen Mailservern (MTA) unverschlüsselt übertragen. Sollten jedoch beide MTA eine Verschlüsselung unterstützen, erfolgt i.d.R. auch die Verwendung (hängt aber vom MTA und dessen Konfiguration ab - wobei hier die gleichen Einschränkungen wie bei HTTPS gelten). Die Verbindung MTA - MUA (sprich Mailserver - Kunde) kann entweder verschlüsselt oder unverschlüsselt erfolgen.
Am eigenen Server zwinge ich z.B. alle Nutzer auf verschlüsselte Verbindungen (entweder SSL oder TLS) - unverschlüsselte Verbindungen werden seitens des MTA abgelehnt.
Übrigens noch ein Grund für Verschlüsselung:
Passwörter werden nur so gesichert übertragen - deshalb kann ich auch nur jedem Nutzer von FTP abraten.
Denn bedenkt: Sollte die Nutzerkennung im Onlineshop ggf. mitsamt dem Passwort ausgelesen werden, so hast du das Problem, dass ggf. Bestellungen eingehen, die vom Kunden nicht getätigt wurden. Im "besten" Fall entstehen dir keine Kosten (weil keine Vorkassezahlung eingeht), im dümmsten Fall sendest du eine Bestellung auf Rechnung raus und siehst weder Geld noch Ware. Und ein Einfordern der Ware / des Geldes dürfte dann aufgrund der geklauten Daten kaum möglich sein.
