Neu Ich fühle mich unsicher!

[intrinsicforce]

Ich denke bei der Wawi und dem Shop würde die Statistik ähnlich aussehen (siehe Bild nachfolgend), aber ich bezweifle stark dass JTL die Kapazitäten hat. Wenn ich mir die täglichen Angriffsversuche auf meine Server ansehe dürfte es nur eine Frage der Zeit sein bis die standard vulnscans für Wordpress u. Co sich in eine spezialisierte Richtung drehen. Die Datensätze von der Wawi DB und Shop sind sehr wertvoll auf dem ein oder anderen Markt im "dunkeln".


https://x.com/hlntnr/status/2052479493801975987
https://hacks.mozilla.org/2026/05/behind-the-scenes-hardening-firefox/

Tick, tock, motherf***er

 

[intrinsicforce]

Addendum, Claude Mythos Leistung mit METR Benchmark nicht mehr messbar.
https://metr.org/

Es wird wild

 

[Condorraptor]

Es wird wild

Abwarten und Tee trinken.

 

[intrinsicforce]

Abwarten und Tee trinken.

Wir? Vielleicht. JTL? Nein.

 

[NoOne]

Wir? Vielleicht. JTL? Nein.

Man wird sich vermutlich damit abfinden müssen. Auch KIs schreiben keinen 100 % sicheren Code. Absolute Sicherheit ist eine Illusion.

 

[intrinsicforce]

Absolute Sicherheit ist eine Illusion.

Das ist wohl wahr. Nur eine von den besonders tief hängenden Früchten will ich nicht sein.

Man wird sich vermutlich damit abfinden müssen.

Dass jeder ohne tiefgreifende Computerkenntnisse sich irgendwann die Daten eines beliebigen JTL-Shops komplett ziehen kann? Damit werde ich mich garantiert nicht abfinden.

 

[NoOne]

Dass jeder ohne tiefgreifende Computerkenntnisse sich irgendwann die Daten eines beliebigen JTL-Shops komplett ziehen kann? Damit werde ich mich garantiert nicht abfinden.

Das Problem daran ist: KIs sind nicht "jeder ohne tiefgreifende Computerkenntnisse". Wenn man die entsprechend trainiert, dann sind das im Gegenteil hoch spezialisierte Cybersecurity Tools, die ihre Möglichkeiten auch zum Einbrechen nutzen können. Das wird ein klassisches Katz-und-Maus-Spiel.

 

[SebiW]

Es gibt genug Alternativen am Markt. Wenn Du kein Vertrauen in die Softwaresicherheit von JTL, insbesondere dem JTL Shop, hast - dann würde ich über einen Wechsel nachdenken.
Andersrum gilt aber auch: Der JTL Shop ist vergleichsweise einfach aufgebaut. Shopware, Magento etc haben eine deutlich größere Codebasis mit entsprechenden Angriffsmöglichkeiten. Auch die erheblich größere Verbreitung macht sie als Ziel natürlich attraktiver.

Die großen Attacken sind so oder so weniger auf die Shopsoftware selbst als auf den Unterbau, also Apache / Nginx, Linux etc zu erwarten. Linux hat in den letzten Wochen ja schon drei extrem hoch eingestufte CVEs gehabt. Wir haben den Kernel in nemm Jahr sonst nicht so oft updaten müssen wie in den letzten Wochen

Und wie NoOne schreibt, es wird auf ein Katz-und-Maus-Spiel hinauslaufen. Automatisierte Systeme zur Verteidigung, automatisierte Angriffe. Im Endeffekt auch nicht anders als in der Vergangenheit. Für viele kleine Betriebe werden SaaS Lösungen unumgänglich werden, so wenig mir das gefällt. JTL ist hier tatsächlich in einer schwierigen Situation: Zu klein um internationale Toptalente anzuziehen und entsprechend im vorderen Feld der Entwicklung mitzuspielen, zu groß um für die entsprechenden Angreifer kein attraktives Ziel zu sein.

 

[hula1499]

zu groß um für die entsprechenden Angreifer kein attraktives Ziel zu sein.

Siehst du das wirklich so?


BuiltWith ist gut für technografische Reichweite, aber als „echte aktive Shops“ tendenziell zu breit.





*Wappalyzer gibt nur Prozentanteile aus: Deutschland 89 %, Schweiz 2 %, Österreich 2 %. Daraus ergeben sich nur grobe Näherungen, keine harten Länderzahlen.

EU / Europa im Vergleich​

Für EU-Vergleichszahlen ist BuiltWith brauchbar, aber methodisch breiter als ShopRank/Store Leads. Nach BuiltWith liegt JTL- Shop in der EU bei 11.424 erkannten Live-Websites. Vergleich: Shopify 676.798, WooCommerce Checkout 461.573, Magento 32.055, Shopware 13.908, Gambio 7.991.

Das heißt: In der EU ist JTL-Shop klar eine DACH-Speziallösung, nicht international breit.
Gegen Shopify/WooCommerce ist JTL winzig.

Saubere Schlussfolgerung​

1. Offizielle exakte Zahl: nicht öffentlich gefunden.
2. Realistisch aktive JTL-Shops weltweit: ca. 9.000.
3. Realistisch aktive JTL-Shops in DACH: ca. 8.000.
4. Deutschland trägt den Markt fast allein: je nach Quelle rund 74–89 % aller JTL-Shops.
5. JTL ist in Deutschland relevant, aber nicht marktführend: deutlich hinter Shopify, WooCommerce und Shopware; ungefähr im Bereich Magento/ePages/Wix; stärker als Gambio/PrestaShop im deutschen ShopRank-Vergleich.
6. International/EU außerhalb DACH: sehr schwach. Die nicht-deutschsprachige EU-Präsenz liegt nur im niedrigen dreistelligen bis kleinen vierstelligen Bereich.

Da hier verschiedene Quellenansätze genutzt wurden, sollte dies - eigentlich - schon einen ungefähren Überblick geben (natürlich sind das sicher keine 100% korrekten Daten - keine davon).

Quellen sind bereits in den Screens angegeben.

Die großen Attacken sind so oder so weniger auf die Shopsoftware selbst als auf den Unterbau, also Apache / Nginx, Linux etc zu erwarten. Linux hat in den letzten Wochen ja schon drei extrem hoch eingestufte CVEs gehabt. Wir haben den Kernel in nemm Jahr sonst nicht so oft updaten müssen wie in den letzten Wochen

Gabs überhaupt schon mal gezielte Angriffe auf den JTL Shop? Kann mich nicht daran erinnern. Das liegt aber nicht (nur) an dem tollem JTL Shop, sondern einfach (auch) an der Verbreitung.
Aus dieser Grund können wir froh sein, das JTL internationale keinerlei Bedeutung hat und wir - bis heute - von gezielten Angriffen auf den JTL Shop verschont wurden.

Was jedoch klar sein sollte/müsste:
Sollte es zu gezielten Angriffen auf JTL kommen (nicht linux, apache, php.... sondern wirklich auf JTL Shops) gibts garantiert bei JTL fähige Köpfe, die dieses Problem (Sicherheitsaspekte) relativ flott lösen könnten und auch würden.
Die Chance, das all unsere JTL Shops verseucht für Wochen/Monate im Netz stehen, sehe ich persönlich gegen 0 (sofern erkannt).

 

[intrinsicforce]

Das Problem daran ist: KIs sind nicht "jeder ohne tiefgreifende Computerkenntnisse". Wenn man die entsprechend trainiert, dann sind das im Gegenteil hoch spezialisierte Cybersecurity Tools, die ihre Möglichkeiten auch zum Einbrechen nutzen können. Das wird ein klassisches Katz-und-Maus-Spiel.

Ich sehe (noch) kein Hindernis für einen "Geschäftsmann" eine auf Angriff trainierte LLM / KI halbwegs öffentlich zu betreiben und gegen etwas Entgelt in Form von Crypto-Tokens auch dem Laien seine Dienste anzubieten

 

[SebiW]

@hula1499 ja Angriffe gab es schon in der Vergangenheit, damals primär auf Shop 4. JTL Shop ist mit 10k Installationen garantiert groß genug um ein attraktives Ziel zu sein. Wir reden hier sicher über dreistellige Millionenbeträge die über das System laufen. Angriffe werden natürlich dadurch attraktiver, dass sie mit AI Unterstützung erheblich vereinfacht werden.

JTL hat anders als Shopware (mit dem Security Plugin) und Shopify (zentral gesteuerte Instanzen), Magento (Security Suite) etc auch das grundlegende Problem, dass viele ältere Versionen im Netz hängen dürften, für die es außer einem Major Upgrade keinen Absicherungsweg gibt. Es laufen ja sogar noch diverse JTL 4 Shops...

Kurz: JTL-Shop ist ganz sicher ein attraktives Ziel. JTL hat, verglichen mit großen Shopsystemen, vergleichsweise wenige Programmierer, die Nutzerkohorte sind primär KMUs mit im Zweifel überschaubarer IT Kompetenz und Deutschland ist nach USA, GB und Israel als Ziel auf Platz vier der weltweiten Cyberangriffe.

 

[NoOne]

Ich sehe (noch) kein Hindernis für einen "Geschäftsmann" eine auf Angriff trainierte LLM / KI halbwegs öffentlich zu betreiben und gegen etwas Entgelt in Form von Crypto-Tokens auch dem Laien seine Dienste anzubieten

Das wird sich auch nicht ändern, sofern sich die Gesetze nicht ändern. Hat im übrigen auch nichts mit JTL direkt zu tun, das jemand so eine KI anbieten würde. Und selbst wenn die Gesetze sich ändern, dann wird sich das auch nur moderat ändern, weil es irgendwo ein Briefkastenkonstrukt geben wird das die Inhaber solcher Tools verschleiert.

Das betrifft auch nicht nur JTL, sondern alle. Ein Großteil der Malware heutzutage z. B. ist schon aus dem Baukasten. Jedes Skript-Kiddie kann sich da was zusammenbasteln. Selbst wenn sämtliche Software von JTL, utopischer Weise, absolut sicher wäre, kein Einfalltor bietet, und jeder wie durch ein Wunder auf dem aktuellsten Stand wäre, ist da immer noch das ganze drumherum. Im Fall vom Shop: Hosting, PHP, OS vom Hosting (also Linux in den meisten Fällen), Datenbankserver, Backend vom Hosting, sämtliche genutzten Extensions, (S)FTP, und deine eigenen Rechner mit allem, was darauf installiert ist. Und ggf. bedingt auch VPN/WLAN/LAN.

Edit: Du wolltest vermutlich eher darauf hinaus das jeder diese KI verwenden kann. Natürlich. Im Prinzip kann auch jeder eine KI trainieren, sofern er das Wissen dafür irgendwo rauskramt. Ich meinte eher damit, das es das gleiche ist, als würde der entsprechende Täter einen Cybersecurity Experten dafür bezahlen und einsetzen.

 

[SebiW]

Man muss hier auch ein wenig die Kirche im Dorf lassen. AI hat sich erheblich weiterentwickelt, aber wir reden hier auch über Expertensysteme, ähnlich wie im Medizinbereich. Ein generisches LLM hat nicht von Haus aus die entsprechenden Fertigkeiten. Und ein generischer User wird auch aus diesen Expertensystemen nicht die gleiche Effizienz herausziehen. Der Prompt ist ja nicht "Chatgpt greif mal folgenden Webshop an - mach keine Fehler".

Die Systeme werden von den bisherigen Schwarzmarktgruppen genutzt werden um ihr Portfolio zu vergrößern. Das typische Skritpkiddie wird weiter deren Kunde bleiben.

 

[Steffen80]

Weil es gut zum Thema passt:

https://www.it-administrator.de/chatbots-ki-angriff-zero-day-google-threat-intelligence