Ein Passwort als einzige Hürde
Kennt jemand das Passwort oder rät es richtig, hat er vollen Zugriff. An Anmeldeseiten, die aus dem Netz erreichbar sind, testen Programme automatisch ein Passwort nach dem anderen – ohne Sperre so oft sie wollen.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Braunschweig
Bei Website-Sicherheit für Braunschweig geht es mir ums Vorbeugen: Website, Shop und Webanwendungen werden geschützt, solange noch nichts passiert ist – und mit ihnen die Server, Datenbanken und Zugänge dahinter. Statt eines gemeinsamen Kontos bekommt jede Person Rechte passend zu ihrer Rolle, und an der Anmeldung warten ein zweiter Faktor – zum Beispiel ein Code, den das Handy anzeigt – sowie eine Sperre, die automatisierte Versuche stoppt. Dateirechte begrenze ich auf das Nötige, und Eingaben werden geprüft, bevor sie die Datenbank erreichen. Am Ende soll keine Tür mehr offen stehen, durch die jemand an Daten oder Verwaltung kommt. Absolute Sicherheit gibt es trotzdem nicht.
Werktags antworte ich auf deine Anfrage innerhalb von 24 Stunden. Rund eine Stunde dauert das Erstgespräch; wir klären, welche Systeme du nutzt und welche Daten darin liegen. Das Gespräch läuft per Video oder am Telefon, wie es dir passt. Den Preis nenne ich dir nach der Bestandsaufnahme, bevor ich beginne.
Wo deine Website heute noch offen ist
Die frühere Webagentur hat noch den Admin-Zugang, die Werkstudentin nutzt denselben – so sieht es oft aus, wenn Systeme nur aufs Funktionieren ausgelegt wurden und nicht auf Schutz. Dazu hängt die Anmeldung an einem einzigen Passwort, und Formulare nehmen ungefiltert alles an. Das betrifft einen Heizungsbauer genauso wie eine Kinderarztpraxis, eine Weinhandlung, einen Onlineshop oder einen Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Alle teilen ein Konto mit Vollrechten
Team, Werkstudentin und frühere Webagentur melden sich mit demselben Konto an, das alles darf – und Leute, die längst gegangen sind, kommen weiterhin hinein. Fließt das Passwort einmal ab, liegen damit sämtliche Bereiche frei.
SQL-Injection durch ungeprüfte Eingaben
Bewerbungsformular mit Datei-Upload, Suchfeld im Shop oder Kundenportal reichen weiter, was jemand eintippt oder hochlädt. Ist darin ein Befehl an die Datenbank versteckt (SQL-Injection) oder eine Datei mit Schadcode, führt ein ungeschütztes System das womöglich aus und gibt zum Beispiel Kundendaten heraus.
Zugänge · Anmeldung · Dateien · Datenbank
So sichere ich WordPress, Shop und Software ab
Was davon bei dir nötig ist, hält das Angebot fest.
-
Zugänge
Bestandsaufnahme aller Zugänge
Zuerst schreibe ich jeden Zugang auf – Website und Shop ebenso wie Datenbank, Server, Hoster und Domain – und notiere, wem er gehört und was er darf. Außerdem prüfe ich, was ohne Anmeldung von außen zu sehen ist, zum Beispiel Benutzernamen oder Versionsnummern. Auf dieser Liste baut der Schutzplan auf.
-
Rollen
Eigene Zugänge mit Rechten je Rolle
Jede Person erhält ein eigenes Konto mit genau den Rechten, die sie für ihre Aufgabe braucht – eine Redakteurin zum Beispiel ohne Admin-Rechte. Geteilte Konten löse ich auf, und alte Zugänge früherer Mitarbeiter oder Agenturen entferne ich nach Absprache mit dir, auch in Datenbank und Server.
-
Anmeldung
Zwei-Faktor-Authentifizierung
Zusätzlich zum Passwort fragt die Anmeldung einen zweiten Nachweis ab, etwa einen Code aus einer Handy-App oder einen Hardware-Schlüssel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt das, sobald ein Dienst es anbietet. Ich richte es für die Team-Zugänge zu Website, Shop und Software ein und, wo es geht, auch beim Hoster und beim Domain-Anbieter. Kunden, die sich bei dir anmelden, merken davon nichts.
-
Anmeldung
Brute-Force-Schutz: Sperre nach Fehlversuchen
Nach ein paar falschen Versuchen wird die Anmeldung vorübergehend gesperrt, und Benutzernamen sind von außen nicht mehr erkennbar. Passt es zu deinem Arbeitsalltag, ist die Anmeldeseite der Verwaltung nur noch für dein Team erreichbar.
-
Eingaben
Eingabeprüfung gegen SQL-Injection
Eingaben in Formulare, Suchfelder und Uploads prüft der Server auf zulässige Zeichen, Länge und Dateiart. Zur Datenbank gelangen sie nur über vorbereitete Abfragen (Prepared Statements), sodass sie dort niemals als Befehl ausgeführt werden. In eigene Software baue ich das ein; Erweiterungen teste ich mit gezielten Testeingaben.
-
Server
Dateirechte eng fassen
Programme bekommen nur Lese- und Schreibrechte für die Dateien, die sie wirklich brauchen. In Upload-Ordnern kann kein Programmcode mehr laufen, Konfigurationsdateien mit Zugangsdaten bleiben von außen unerreichbar, und den Datei-Editor in der Verwaltung – WordPress hat zum Beispiel einen – schalte ich ab.
-
Server
Server und Datenbank abschirmen
Auf eigenen Servern schalte ich ab, was niemand braucht, und lasse die Anmeldung nur noch per Schlüsseldatei statt Passwort zu. Auf Datenbanken greifen nur die Programme zu, die es müssen – jedes mit eigenem Konto und minimalen Rechten. Läuft die Website in einem Hosting-Paket, nutze ich die Einstellungen, die der Hoster freigibt.
Wie läuft das ab?
So härte ich deine Website – mit Test vor jeder Freischaltung
Absprachen laufen über Telefon, E-Mail oder WhatsApp. Fragst du nach einem Arbeitsbeispiel, zeige ich dir gern eins – allerdings ohne Kundendaten und ohne Zugänge von Kunden.
-
Erstgespräch und Bestandsaufnahme
Wir bestimmen, was abgesichert wird: die Website, eigene Software und auch die Konten bei Hoster und Domain-Anbieter. Danach liste ich auf, wer sich an welchem System anmeldet und was davon aus dem Internet erreichbar ist. Bei einer Website, die bereits befallen ist, geht die Hack-Soforthilfe vor.
-
Schutzplan und Festpreis
Das Festpreisangebot führt die Systeme auf, die ich härte – härten heißt: abschalten, schließen und einschränken, was keiner braucht. Sagst du zu, folgt der Schutzplan mit der Maßnahme je System, der Reihenfolge und den Aufgaben für dein Team.
-
Härtung mit Gegenproben
Die Maßnahmen setze ich nacheinander um, wenn möglich zuerst an einer Testkopie, damit Website und Programme im Betrieb bleiben. Bevor eine Maßnahme scharf geschaltet wird, teste ich sie: Ich provoziere absichtlich Fehlanmeldungen bis zur Sperre, schicke Formulareingaben ab, die abgelehnt werden müssen, und kontrolliere, was jede Rolle zu sehen bekommt. Zum Schluss prüft eine Probeanfrage, ob normale Kundenanfragen weiter ankommen.
-
Umstellung und Übergabe
Dein Team wechselt dann auf eigene Zugänge mit zweitem Faktor; klemmt etwas, helfe ich. Auf Wunsch fasse ich in einem Bericht zusammen, was eingerichtet und getestet ist und was offen bleibt – eine Rechtsberatung ist das nicht. Und einen Penetrationstest, bei dem unabhängige Fachleute dein System angreifen, kann er nicht ersetzen.
Wie lange dauert das?Je nach System Tage oder Wochen
Zeitbedarf für Härtung und Umstellung
Wenn du möchtest, erstellen wir nach deinem Bedarf einen ungefähren Zeitplan. Was dein Team betrifft, kündige ich vorher an, und Pflicht wird der zweite Faktor erst, sobald alle im Team ihn eingerichtet haben. Auf eine feste Dauer lege ich mich nicht fest.
- Am AnfangErstgespräch und Bestandsaufnahme
- DannSchutzplan und Festpreis
- DanachHärtung mit Gegenproben
- AnschließendUmstellung und Übergabe
- Fortangeschützter Alltag
Sind eigene Software, ein eigener Server oder viele Zugänge im Spiel, dauert es länger als bei einer einzelnen Website.
Ein System lässt sich nicht absichern
Ist ein System nicht wie geplant abzusichern, sage ich dir Bescheid. Drei Wege schlage ich dann vor: ersetzen, abschotten oder abschalten.
Die Entscheidung darüber triffst du.
Was kostet das?Einmalig, ohne Vertragsbindung
Website-Sicherheit Braunschweig: was die Härtung kostet
Die Härtung berechne ich zum Festpreis; Zugänge und Rechte pflege ich danach auf Zuruf oder im Rahmen der Wartung.
HärtungFestpreis, einmalig
Die Härtung bleibt ein einmaliger Auftrag; daraus entsteht kein Vertrag mit Laufzeit.
Zugänge pflegenauf Zuruf oder in der Wartung
Im Festpreis: Erfassung, Plan, Einrichtung, Tests
Im Festpreis: alle Zugänge erfassen, den Schutzplan schreiben, die Schutzmaßnahmen einrichten und testen.
Alles Eingerichtete gehört dir; Trennbares läuft auf deinen Namen.
Unterläuft mir ein Fehler, korrigiere ich ihn ohne neuen Preis.
Erstgespräch, Bestandsaufnahme und Angebot sind kostenlos und unverbindlich.
Fallen Lizenzen oder Hardware-Schlüssel an, stehen die Kosten vorher im Angebot, und gekauft wird auf deinen Namen. Nicht dazu gehören Rechtsberatung, Zertifizierungen und die Büro-IT, also Arbeitsplätze, Firmennetz und E-Mail-Postfächer.
Extra: Umbau von Software ohne Eingabeprüfung
Fehlt deiner eigenen Software die Prüfung von Eingaben vor der Datenbank, nenne ich für den Umbau einen eigenen Preis im Angebot. Muss dagegen eine Erweiterung (Plugin) ohne sichere Fassung ersetzt werden, ist das im Festpreis enthalten. Gibt es für eine Funktion keinen sicheren Ersatz und muss sie neu entstehen, wird daraus ein eigener Auftrag. Erlaubt dein Hoster die nötigen Einstellungen nicht, ziehe ich die Website ohne Aufpreis um.
Was den Aufwand bestimmt
- Die Zahl der Systeme, die abgesichert werden
- Wie viele Personen und Rollen einen Zugang brauchen
- Ob ein Hosting-Paket oder ein eigener Server im Einsatz ist
- Ob deine Systeme den zweiten Faktor schon unterstützen
- Ob eigene Software mit Eingabeformularen dazugehört
- Wie viele Altzugänge zu prüfen sind
Nach der Bestandsaufnahme steht der Festpreis, und er steigt nicht, wenn eine Einstellung aufwendiger wird als erwartet. Kommen weitere Systeme hinzu oder ändert sich Vereinbartes grundlegend, nenne ich dir die Kosten vorher.
Neue Zugänge mit den passenden Rechten lege ich später auf Zuruf an, und Zugänge von Ausgeschiedenen entferne ich – jeweils als Einzelauftrag. Betreue ich deine Website ohnehin in Wartung & Hosting, ist das dort schon enthalten, genau wie Updates und Sicherungen. Die Härtung kannst du aber auch für sich allein buchen.
Was ein echter Test zeigt – und eine Prüfnote nicht
Geprüft: Zugänge, Rollen, Sperren
- Jeder Team-Zugang hat einen zweiten Faktor und die passende Rolle
- Sperren und Eingabeprüfung halten meinen Tests stand, und Fehlversuche landen im Protokoll
- Ob künftige Angriffe abprallen, kann niemand vorhersagen
Was allein keinen Schutz belegt
- Das Schloss-Symbol im Browser: HTTPS schützt nur den Übertragungsweg
- Eine gute Bewertung von einem kostenlosen Online-Scanner – er sieht nur die Außenseite, nicht aber Konten und Rechte
- Ein installiertes Sicherheits-Plugin, an dem nie jemand etwas eingestellt hat
- Ein sicheres Passwort, das ein früherer Dienstleister immer noch kennt
Jeder Test hält nur den Stand fest, den er vorfindet. Weil in Programmen laufend neue Lücken bekannt werden, sind Updates und Sicherungen Sache der Wartung.
Zugriffsschutz gemeinsam vorbereiten
Zu Beginn brauche ich einmal deine Zugänge. Später bist du nur noch gefragt, wenn es um Personen geht, um die Umstellung deines Teams oder um eine Entscheidung.
Deine Zugänge
Hoster und Domain, Website und Software, dazu der Server: Wie du mir die Zugänge gibst, entscheidest du. Jederzeit kannst du mich wieder entfernen oder ein neues Passwort setzen.
Wer worauf zugreift
Du sagst mir, wer aus dem Betrieb und von außen auf welches System zugreift und welche Aufgabe er dort hat. Daraus leite ich die Rollen ab; wer nicht mehr dabei ist, verliert den Zugang.
Zweiter Faktor und Notfallcodes
Jede Person richtet den zweiten Faktor mit eigenem Handy oder Hardware-Schlüssel ein; ich erkläre den Ablauf einmal und helfe bei Problemen. Die Notfallcodes für den Fall, dass ein Handy verloren geht, verwahrst du sicher.
Abstimmung mit dir, Agentur und IT
Den Grad der Abstimmung bestimmst du, auch, ob du etwa den Schutzplan vorher sehen willst; und was wegfallen muss, entscheidest am Ende du. Ist eine Agentur oder ein IT-Dienstleister mit im Boot, binde ich sie ein – und was sie betreiben, teste oder verändere ich nur, wenn sie zustimmen.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.