SAP Customer Data Cloud mit F5 Distributed Cloud Services schützen

Online-Anbieter im Business-to-Consumer-Bereich (B2C) gibt es in allen Größen und Ausprägungen – von Einzelhandels- und E-Commerce-Websites bis hin zu einer Vielzahl von Online-Anbietern, unter anderem aus den Bereichen Finanzdienstleistungen, Reisen und Gastgewerbe sowie digitale Dienstleistungen. Fast alle B2C-Online-Unternehmen haben eines gemeinsam: Sie möchten ihre Kundinnen und Kunden kennen. Online-Unternehmen, die Dienstleistungen oder Produkte für Verbraucher anbieten, müssen häufig mehr tun, als nur Mehrwert und Vorteile zu verkaufen – sie müssen eine emotionale Bindung zu den Verbraucherinnen und Verbrauchern aufbauen. Da jeder Kunde anders ist, beginnt der Aufbau einer emotionalen Bindung mit einem personalisierten Erlebnis.

Für ein B2C-Unternehmen setzt die Kenntnis des Kunden zunächst voraus, jeden einzelnen Besucher zu identifizieren – und dafür ist eine robuste Lösung für das Identitäts- und Zugriffsmanagement (IAM) erforderlich. SAP ist ein anerkannter Marktführer für Customer IAM (CIAM) sowie für allgemeine Handelsprodukte und -dienstleistungen für B2C-Unternehmen. Dieser Anwendungsfall zeigt, wie diese Unternehmen F5 Distributed Cloud Services in ihre Sicherheitsmaßnahmen integrieren können, um ihre Investition in SAP zu optimieren und ein sicheres, reibungsloses Kundenerlebnis zu bieten.

SAP für B2C-Unternehmen

SAP Customer Data Cloud (CDC) ist eine mandantenfähige SaaS-Lösung, mit der sich Verbraucherprofile speichern und verwalten lassen. Für seine rund 700 Kunden (Tendenz steigend) hostet SAP mehr als 1,4 Milliarden Verbraucheridentitäten, speichert monatlich 1,6 Milliarden Einwilligungstransaktionen (unter Berücksichtigung der Anforderungen regionaler Datenschutzgesetze wie DSGVO, CCPA und LGPD), ermöglicht die Integration von 4 Milliarden Verbrauchergeräten und verarbeitet monatlich rund 18 Milliarden API-Aufrufe. Für viele Online-B2C-Unternehmen ist ihre SAP-CDC-Lösung Teil eines umfassenden SAP-Customer-Experience-Lösungsportfolios, zu dem auch SAP Commerce Cloud gehört. SAP CDC bietet unter anderem folgende Funktionen:

• Kundenidentität (CIAM): einschließlich Registrierung als Service, Social Login und Identitätsföderation/SSO (Single Sign-on)
• Kundeneinwilligung: Einwilligungsmanagement für alle Aspekte der DSGVO, beispielsweise die Möglichkeit, den Zugriff auf Verbraucherprofildaten zu steuern sowie deren Export und sogar Löschung zu ermöglichen
• Kundenprofil: einschließlich Aufzeichnungen zu Einwilligungen und anderen Präferenzen, Orchestrierung und Governance, Datenanalysen sowie Berichten

Distributed Cloud Bot Defense für Bot- und Betrugsschutz

Es ist keine Seltenheit, dass 90 Prozent oder mehr der täglichen Anmeldeversuche auf einer B2C-Website von nicht menschlichen Besuchern stammen. Leider handelt es sich dabei meist um Angriffe durch Bots. Diese einfachen, kostengünstigen Bots probieren immer wieder Millionen über Millionen bereits im Umlauf befindlicher gestohlener und offengelegter Zugangsdaten durch. Dabei testen sie eine Kombination aus Benutzername und Passwort nach der anderen auf Ihrer E-Commerce-Website – in der Hoffnung, dass auch nur ein winziger Bruchteil davon erfolgreich ist.

Dieser Vorgang wird als Credential Stuffing bezeichnet und kann hohe Kosten verursachen. All diese automatisierten Anmeldeversuche belasten kontinuierlich die Bandbreite und die Serverressourcen. Und wenn es einem dieser Bots gelingt, sich mit gestohlenen Zugangsdaten anzumelden, kann sich die Lage noch weiter verschärfen.

F5 Distributed Cloud Bot Defense erkennt schädlichen, durch Bots verursachten Netzwerkverkehr jeglicher Art und blockiert ihn, bevor er Ihre Ressourcen belastet (oder Schlimmeres passiert).

Eine Bereitstellung von Distributed Cloud Bot Defense erfolgt in zwei Phasen: im Beobachtungsmodus und im Abwehrmodus. Im Beobachtungsmodus analysiert Distributed Cloud Bot Defense die Protokolle aller bei einer Anwendung eingehenden Anfragen, um Bedrohungen zu erkennen und eine individuelle Abwehrlösung zu entwickeln.

Abb. 1: Durch die Überwachung stellte Distributed Cloud Bot Defense fest, dass 90 % des Anmeldeverkehrs auf Bot-Angriffe zurückzuführen waren.

Abb. 2: Nach der Bereitstellung reduzierte Distributed Cloud Bot Defense den Anteil des durch Bot-Angriffe verursachten Anmeldeverkehrs um 90 %.

Bei der Analyse von Protokollen zur Unterscheidung zwischen schädlichem und legitimem Anmeldeverkehr kann Distributed Cloud Bot Defense Anfragen außerdem zu Analysezwecken Angriffskampagnen zuordnen. Wenn eine Angriffskampagne versucht, F5 durch eine technische Anpassung zu umgehen (in der Regel durch die Aktualisierung von Software oder die Nutzung neuer Proxys), kann Distributed Cloud Bot Defense die Kampagne anhand Hunderter anderer Signale dennoch identifizieren.

Sobald F5 und der Kunde sicher sind, dass legitimer menschlicher Datenverkehr nicht beeinträchtigt wird, kann der Abwehrmodus aktiviert werden. Wird ab diesem Zeitpunkt in Echtzeit festgestellt, dass eine Anwendungsanfrage aus einer betrügerischen Quelle stammt, wird diese Quelle sofort blockiert – ohne dass legitime menschliche Benutzer durch zusätzliche Hürden (wie Multi-Faktor-Authentifizierung, CAPTCHA usw.) beeinträchtigt werden.

Zusammenfassung

Online-Betrug ist eine reale und wachsende Bedrohung, vor der B2C-Unternehmen ihre Kunden schützen müssen. Diese Schutzmaßnahmen dürfen jedoch das Benutzererlebnis nicht beeinträchtigen, da sonst die Gefahr besteht, genau diese Kunden zu verlieren. Während SAP Ihnen dabei hilft, unbekannte Benutzer in bekannte, treue Kunden zu verwandeln, arbeitet F5 Distributed Cloud Bot Defense im Hintergrund, um Ihre Gefährdung durch automatisierten, betrügerischen Bot-Angriffsverkehr drastisch zu reduzieren, die Sicherheit Ihrer SAP-Dienste zu gewährleisten und Reibungsverluste im Benutzererlebnis zu beseitigen.

Weitere Informationen zuF5 Distributed Cloud Bot Defense finden Sie unter f5.com/cloud/products/bot-defense.

Schutz vor Bots und anderen automatisierten Angriffen

Distributed Cloud Bot Defense schützt vor hochentwickelten Credential-Stuffing- und Kontoübernahmeangriffen, Carding sowie den übrigen automatisierten OWASP-Bedrohungen für Webanwendungen, darunter:

• Kontoübernahme: Verhindert, dass Betrüger gestohlene Anmeldedaten in kurzer Zeit bei Ihren Anmeldeanwendungen testen, sodass sie gar nicht erst Konten übernehmen können.
• Scraping: Kontrollieren Sie, wie Scraper und Aggregatoren Daten von Ihrer Website erfassen. So können Sie sensible Daten schützen und Infrastrukturkosten steuern.
• Carding: Verhindern Sie, dass Kriminelle Ihre Checkout-Seiten nutzen, um gestohlene Kreditkarten zu überprüfen.
• Angriffe auf Geschenkkarten: Sorgen Sie dafür, dass das Guthaben von Geschenkkarten, Treuepunkte und andere gespeicherte Werte in den Händen Ihrer Kunden bleiben.
• Horten von Lagerbeständen: Stellen Sie sicher, dass Ihre Aktionsartikel und besonders gefragten Produkte direkt an Ihre Kunden und nicht an Wiederverkäufer verkauft werden.
• Marketingbetrug: Stellen Sie sicher, dass Ihre Geschäftsanalysen und Marketingausgaben auf Daten basieren, die nicht durch Bots verfälscht wurden.

Weitere Links

Dev Central Blog – Schutz von SAP CIAM mit Distributed Cloud Services

Lösungsübersicht zu F5 Distributed Cloud Bot Defense

Fallstudie: Einzelhändler bewältigt Lastspitzen durch Schuh-Bots und beseitigt Betrug, Hürden und Fälschungen