TLS-Zertifikat-Hijacking und DNS-Spoofing zählen zu den unterschätzten Angriffsvektoren auf Kundenwebsites. Welche konkreten Haftungsrisiken dabei auf betreuende Agenturen zukommen, zeigt dieser Überblick.

Laut einer Studie von Proofpoint waren 71 % der Unternehmen im vergangenen Jahr Opfer von Phishing-Angriffen, die häufig über gefälschte TLS-Zertifikate und SSL-Hijacking ausgeführt werden, bei dem Angreifer valide Verbindungen auf geklonte Proxy-Sites umleiten. Für Agenturen, die Kundenwebsites betreiben oder hosten, entsteht daraus ein konkretes Haftungsrisiko: Wird eine Kundensite über manipulierte Zertifikate kompromittiert, haftet unter Umständen die Agentur für Datenverluste, Ransomware-Schäden oder Bußgelder. Hinzu kommt, dass die Insolvenzrate in der Kreativwirtschaft steigt, was die finanzielle Belastbarkeit vieler Agenturen im Schadensfall weiter einschränkt. Entscheider sollten daher jetzt prüfen, ob ihre TLS-Zertifikate aktiv überwacht werden und welche vertraglichen Haftungsklauseln mit Kunden vereinbart sind.

TLS-Zertifikat-Hijacking und DNS-Spoofing: Sicherheitsrisiken bei Kundenwebsites und Haftung für Agenturen

Laut Proofpoint-Daten, zitiert von Censys, waren 71 Prozent der Organisationen im vergangenen Jahr Opfer von Phishing-Angriffen. Ein zentraler, jedoch häufig unterschätzter Angriffspunkt ist dabei die Manipulation von SSL/TLS-Zertifikaten. Für Agenturen, die Websites für Kunden betreiben oder verwalten, entstehen daraus konkrete Haftungsrisiken.

Was SSL-Hijacking technisch bedeutet

Beim SSL-Hijacking erstellt ein Angreifer gefälschte Zertifikate für Domains, die ein Nutzer via HTTPS aufrufen möchte. Der Besucher glaubt, eine verschlüsselte Verbindung zur echten Zielseite zu unterhalten, kommuniziert aber tatsächlich mit einem geklonten Proxy-System unter Kontrolle des Angreifers. SSL-Hijacking gilt laut Invicti als klassische Man-in-the-Middle-Technik (MITM), die sowohl als Netzwerk- als auch als Webanwendungs-Sicherheitsproblem einzustufen ist, da sie primär HTTPS-Verbindungen betrifft.

DNS-Spoofing verstärkt diesen Angriff: Wird die DNS-Auflösung manipuliert, landen Nutzer auf einer vom Angreifer kontrollierten IP-Adresse, bevor das TLS-Handshake überhaupt stattfindet. Die Kombination beider Techniken macht selbst wachsame Nutzer angreifbar.

Praktische Implikationen

1. Phishing-Konsequenzen sind weitreichend

Successful phishing attacks führen laut Proofpoint-Daten (zitiert von Censys) zu Datenverlust und IP-Verlust (33 Prozent der betroffenen Organisationen), Ransomware-Infektionen (32 Prozent) und finanziellen Strafen (22 Prozent). Agenturen, die SSL/TLS-Zertifikate für Kundensites verwalten, stehen dabei in einer doppelten Verantwortung: technisch und vertraglich.

2. Zertifikatsüberwachung ist keine optionale Maßnahme

Censys empfiehlt das aktive Monitoring von SSL/TLS-Zertifikaten als Kernmaßnahme zur Phishing-Prävention. Angreifer nutzen gezielt Fehlkonfigurationen und abgelaufene Zertifikate aus. Agenturen sollten Zertifikatserneuerung und Monitoring automatisiert betreiben. Weiterführende technische Grundlagen zur Automatisierung finden Sie unter SSL/TLS-Zertifikat-Automatisierung mit Let’s Encrypt und Multi-Domain-Setup sowie zur Zertifikatverwaltung und Renewal Automation unter SSL/TLS-Zertifikatverwaltung und Renewal Automation.

3. Kettenvalidierung und OCSP-Stapling reduzieren Angriffsflächen

Ein vollständig valides Zertifikat allein reicht nicht aus, wenn die Zertifikatskette selbst kompromittiert ist. Der Artikel zur Zertifikatkettenvalidierung und OCSP-Stapling beschreibt, welche Maßnahmen konkret erforderlich sind, um die gesamte Vertrauenskette abzusichern. OCSP-Stapling verhindert dabei, dass Angreifer den Widerrufsstatus eines Zertifikats verschleiern.

4. Automatisierte Sicherheitswarnungen sind Mindeststandard

Agenturen, die Enterprise-Websites betreiben, sollten automatisierte Sicherheitsbenachrichtigungen implementieren, die bei Zertifikatsänderungen, unerwarteten DNS-Einträgen oder auffälligen Zertifikatsregistrierungen in Certificate Transparency Logs sofort alarmieren. Details zu Monitoring-Ansätzen finden Sie unter Automatisierte Sicherheitswarnungen für Enterprise-Websites.

Haftungsfragen für Agenturen

Agenturen, die Websites für Kunden entwickeln und betreiben, sind zunehmend mit der Frage konfrontiert, in welchem Umfang sie für Sicherheitsvorfälle haftbar gemacht werden können. Die Kombination aus technischer Verantwortung (Zertifikatsverwaltung, DNS-Konfiguration) und vertraglichen Pflichten gegenüber Kunden macht eine klare Leistungsabgrenzung notwendig. Dies gilt insbesondere dann, wenn Kundendaten durch einen MITM-Angriff abgegriffen werden und finanzielle Schäden entstehen.

Relevant ist dabei auch, dass Agenturen in finanziellen Schwierigkeiten die Überwachung kritischer Infrastruktur vernachlässigen. Plattformen wie agenturinsolvenzen.de dokumentieren Echtzeit-Insolvenzdaten aus der deutschen Kreativwirtschaft und verzeichnen nach eigenen Angaben 68 neue Insolvenzen pro Woche. Für Auftraggeber ist das ein Signal, die technische Verantwortlichkeit für Zertifikate und DNS-Konfigurationen vertraglich eindeutig zu regeln und nicht unkontrolliert beim Dienstleister zu belassen.

Ergänzend empfiehlt sich ein Blick auf automatisierte Penetrationstests und Vulnerability Scanning sowie auf Patch-Management für Zero-Day-Schwachstellen, um die Angriffsfläche systematisch zu reduzieren.

Quellen

Häufige Fragen

Was ist SSL/TLS-Hijacking und wie funktioniert der Angriff konkret?

Beim SSL/TLS-Hijacking erstellt ein Angreifer gefälschte Zertifikate für HTTPS-Domains, die ein Opfer aufzurufen versucht. Das Opfer glaubt, eine verschlüsselte Verbindung zur echten Website aufgebaut zu haben. Tatsächlich kommuniziert es jedoch mit einer geklonten oder über einen Proxy kontrollierten Site des Angreifers. Technisch handelt es sich um einen Man-in-the-Middle-Angriff (MITM). Da das HTTPS-Protokoll im Zentrum steht, betrifft dies primär Websites und Webanwendungen.

Welche Schäden entstehen Unternehmen durch erfolgreiche Phishing-Angriffe auf SSL/TLS-Basis?

Laut einer Erhebung von Proofpoint waren 71 % der Organisationen im vergangenen Jahr Opfer von Phishing-Angriffen. Die Folgen erfolgreicher Angriffe umfassen den Verlust von Daten und geistigem Eigentum (33 %), Ransomware-Infektionen (32 %) sowie finanzielle Strafen und Bußgelder (22 %). Angreifer nutzen dabei gezielt Schwachstellen in SSL/TLS-Zertifikaten, deren fehlerhafte Verwaltung oder das fehlgeleitete Vertrauen der Nutzer in diese Zertifikate aus.

Warum reicht ein einmalig ausgestelltes TLS-Zertifikat für Kundenwebsites nicht aus?

TLS-Zertifikate müssen kontinuierlich überwacht werden, da Angreifer gezielt neue, täuschend ähnliche Zertifikate für Phishing-Domains ausstellen. Ohne laufendes Monitoring von Zertifikat-Transparenz-Logs bleiben solche betrügerischen Zertifikate unentdeckt. Agenturen, die Websites für Kunden betreiben, tragen damit eine laufende Sorgfaltspflicht, die weit über die einmalige Einrichtung hinausgeht.

Welche Haftungsrisiken entstehen für Agenturen, wenn eine Kundenwebsite durch Zertifikat-Hijacking kompromittiert wird?

Agenturen, die Hosting oder technischen Betrieb verantworten, können zivilrechtlich in die Pflicht genommen werden, wenn vertraglich vereinbarte Schutzmaßnahmen fehlen oder nicht nachweisbar dokumentiert sind. Besonders relevant wird dies, wenn eine Agentur selbst zahlungsunfähig wird: Laut aktuellen Daten werden in Deutschland aktuell rund 68 neue Insolvenzen pro Woche allein in der Agentur- und Kreativwirtschaft registriert. In diesem Fall stehen Kunden ohne laufende Betreuung da und tragen das volle Sicherheitsrisiko.

Wie können mittelständische E-Commerce-Unternehmen ihre Domains proaktiv gegen Zertifikat-Missbrauch absichern?

Ein wirksamer Ansatz ist die kontinuierliche Überwachung öffentlicher Zertifikat-Transparenz-Logs auf neu ausgestellte Zertifikate für die eigene Domain und ähnlich lautende Phishing-Domains. Tools wie Censys Search ermöglichen es, solche Zertifikate frühzeitig zu erkennen, bevor sie aktiv für Angriffe eingesetzt werden. Ergänzend sollten Unternehmen klare vertragliche Regelungen mit Agenturen treffen, wer für das Zertifikatsmanagement und die Incident-Response verantwortlich ist.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.

TLS-Hijacking und DNS-Spoofing: Haftungsrisiken für Agenturen