Ein Passwort, keine Sperre
Ein erratenes oder bekanntes Passwort genügt für den vollen Zugriff. Programme probieren an erreichbaren Anmeldeseiten automatisch Kombinationen aus – fehlt die Sperre, geht das endlos weiter.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Salzgitter
Bei mir heißt Website-Sicherheit für Salzgitter: Ich schütze Website, Shop und Webanwendungen, bevor etwas passiert, und beziehe Server, Datenbanken und Zugänge dahinter mit ein. Eingaben kommen erst nach einer Prüfung in die Datenbank, Rechte vergebe ich nach Rolle, und Dateirechte halte ich so knapp wie möglich. Wer sich anmelden will, braucht zusätzlich einen zweiten Faktor – zum Beispiel einen Handy-Code –, und gegen automatisierte Versuche greift eine Sperre. Ziel ist, Unbefugten jeden Weg zu deinen Daten und in die Verwaltung zu verbauen. Ein Restrisiko bleibt bei jedem System.
Werktags hörst du innerhalb von 24 Stunden von mir. Im Erstgespräch, rund eine Stunde lang, klären wir, welche Systeme dein Betrieb verwendet und welche Daten dort gespeichert sind. Video oder Telefon: Du suchst aus, wie wir sprechen. Den Preis kennst du nach der Bestandsaufnahme, bevor ich anfange.
Weshalb so viele Zugänge offen bleiben
Ein Anfrageformular mit Dateianhang, das alles Hochgeladene ungeprüft weiterreicht: Solche Lücken entstehen, wenn ein System nur zum Laufen gebracht wird und Schutz dabei keine Rolle spielt. Meist kommen ein einziges Passwort an der Anmeldung und zu großzügig verteilte Rechte dazu. Betroffen sind Fliesenleger, Logopädiepraxen, Spielwarengeschäfte, Onlineshops und Zulieferer mit Kundenportal gleichermaßen.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Ein Konto, das alle nutzen
Praktikantin, Team und der frühere Freelancer greifen über dasselbe Konto mit vollen Rechten zu; selbst wer den Betrieb verlassen hat, kommt noch hinein. Wird das Passwort bekannt, öffnet es sämtliche Bereiche auf einmal.
SQL-Injection über ungeprüfte Eingaben
Anfrageformular mit Anhang, Produktsuche oder Kundenportal übernehmen ungeprüft, was eingetippt oder angehängt wird. Ist darunter eine versteckte Anweisung an die Datenbank – SQL-Injection genannt – oder eine Schadcode-Datei, kann es passieren, dass ein ungeschütztes System sie ausführt. Am Ende gibt das System womöglich Kundendaten preis.
Überblick · Rollen · Eingaben · Login
Absicherung für WordPress, Shop und Software
Welche Bausteine nötig sind, legt das Angebot fest.
-
Zugänge
Zugänge erfassen und Außensicht prüfen
Jeder Zugang kommt auf die Liste, auch für Datenbank, Server, Hoster und Domain, mit der zuständigen Person und ihren Rechten. Dazu kontrolliere ich, was jemand von außen ohne Anmeldung sieht, zum Beispiel Benutzernamen oder Versionsnummern. Das Ergebnis ist die Grundlage des Schutzplans.
-
Rollen
Rechte nach Rolle verteilen
Statt eines Kontos für alle hat jede Person einen eigenen Zugang, und der darf genau das, was ihre Aufgabe verlangt – Redakteure etwa arbeiten ohne Admin-Rechte. Gemeinsame Zugänge löse ich auf; Altkonten von früheren Mitarbeitern oder Agenturen entferne ich nach Rücksprache, auch in Datenbank und Server.
-
Eingaben
Eingabeprüfung: Schutz vor SQL-Injection
Was über Formulare, Suchfelder oder Uploads hereinkommt, kontrolliert der Server auf zulässige Zeichen, Länge und Dateityp. An die Datenbank gehen Eingaben ausschließlich über vorbereitete Abfragen (Prepared Statements) und können deshalb nie als Befehl laufen. Bei eigener Software gehört die Prüfung zu dem, was ich einbaue; Erweiterungen nehme ich mir mit Testeingaben vor.
-
Anmeldung
Zwei-Faktor-Authentifizierung
Ein Passwort allein öffnet keine Tür mehr; verlangt wird zusätzlich ein zweiter Nachweis wie ein Einmalcode vom Handy oder ein Hardware-Schlüssel. Empfohlen wird das vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für alle Dienste, die es ermöglichen. Bei deinem Team stelle ich Website, Shop und Software darauf um, nach Möglichkeit auch die Konten bei Hoster und Domain. An der Anmeldung deiner Kunden ändert das nichts.
-
Anmeldung
Brute-Force-Schutz
Nach einigen falschen Versuchen sperrt sich die Anmeldung zeitweise, und von außen sind keine Benutzernamen mehr zu erkennen. Passt es zu deinem Alltag, erreicht nur noch dein Team die Anmeldeseite der Verwaltung.
-
Server
Server und Datenbanken abschotten
Was auf eigenen Servern niemand braucht, schalte ich ab; angemeldet wird sich nur noch mit Schlüsseldatei statt mit Passwort. Zugriff auf Datenbanken haben allein die Programme, die ihn benötigen, jeweils über ein separates Konto mit minimalen Rechten. Bei Hosting-Paketen stelle ich ein, was der Hoster zulässt.
-
Server
Dateirechte auf das Nötigste
Lese- und Schreibrechte bekommt jedes Programm nur dort, wo es sie braucht. Upload-Ordner sind für ausführbaren Programmcode tabu, Dateien mit Zugangsdaten in der Konfiguration lassen sich von außen nicht aufrufen, und der Datei-Editor im Verwaltungsbereich – WordPress etwa bringt einen mit – wird abgeschaltet.
Wie läuft das ab?
Härten und vorher testen: so gehe ich vor
Wir stimmen uns telefonisch, per E-Mail oder über WhatsApp ab. Ein Arbeitsbeispiel bekommst du auf Anfrage zu sehen – ohne Daten und Zugänge von Kunden.
-
Erstgespräch und Bestandsaufnahme
Was soll geschützt werden? Website, eigene Software, dazu die Konten bei Hoster und Domain-Anbieter – das legen wir gemeinsam fest. Dann ermittle ich, welche Personen welche Anmeldungen nutzen und welche Systeme im Internet erreichbar sind. Bei einer schon befallenen Website steht zuerst die Hack-Soforthilfe an.
-
Schutzplan und Preis
Das Angebot zum Festpreis nennt alle Systeme, die ich härte. Härten heißt hier: abschalten, schließen und einschränken, was nicht gebraucht wird. Hast du zugesagt, erstelle ich den Schutzplan mit Maßnahmen je System, ihrer Reihenfolge und dem, was dein Team beitragen muss.
-
Härtung und Gegenproben
Schritt für Schritt richte ich die Maßnahmen ein, wo möglich erst auf einer Testkopie, damit der Betrieb weiterläuft. Freigeschaltet wird nichts ungetestet: Ich löse die Sperre mit absichtlich falschen Anmeldungen aus, teste Formulareingaben, die abgelehnt werden müssen, und sehe nach, ob jede Rolle nur ihren Teil sieht. Eine abschließende Testanfrage zeigt, ob echte Anfragen weiterhin ankommen.
-
Umstellung und Übergabe
Dann ziehen alle im Team auf persönliche Zugänge samt zweitem Faktor um; hakt es, unterstütze ich. Wenn du willst, halte ich in einem Bericht fest, welche Maßnahmen eingerichtet und getestet sind und wo noch etwas fehlt – Rechtsberatung steckt darin nicht. Einen Penetrationstest, also den Angriffsversuch unabhängiger Prüfer, ersetzt das nicht.
Wie lange dauert das?Ein paar Tage bis einige Wochen – je nach Systemen
Wie lange das Absichern dauert
Wenn du möchtest, legen wir einen ungefähren Zeitplan nach deinem Bedarf fest. Was dein Team umstellen muss, kündige ich vorher an, und erst wenn das ganze Team den zweiten Faktor eingerichtet hat, wird er Pflicht. Eine feste Dauer verspreche ich nicht.
- ErstErstgespräch und Bestandsaufnahme
- DanachSchutzplan mit Preis
- DannHärtung, Gegenproben
- AnschließendUmstellung und Übergabe
- Von da anAlltag mit Schutz
Mit einem selbst betriebenen Server, eigener Software oder vielen Zugängen wird es länger dauern, als wenn nur eine Website abzusichern ist.
Ein System ist nicht abzusichern
Klappt die geplante Absicherung bei einem System nicht, informiere ich dich und lege drei Möglichkeiten auf den Tisch: das System ersetzen, abschotten oder abschalten.
Du entscheidest, was davon geschieht.
Was kostet das?Festpreis, kein Abo
Website-Sicherheit Salzgitter: einmalige Kosten
Die Härtung kostet einen Festpreis. Ändern sich später Zugänge oder Rechte, erledige ich das auf Zuruf oder in der Wartung.
HärtungFestpreis, einmalig
Aus der Härtung ergibt sich kein Vertrag mit Laufzeit – sie bleibt ein einmaliger Auftrag.
Zugänge pflegenauf Zuruf oder in der Wartung
Inklusive: alles für die Härtung
Der Festpreis enthält die Erfassung aller Zugänge, den Schutzplan, die Einrichtung der Schutzmaßnahmen und sämtliche Tests.
Was ich einrichte, bleibt in deiner Hand, und alles Trennbare läuft auf deinen Namen.
Fehler, die auf mein Konto gehen, behebe ich ohne neuen Preis.
Erstgespräch, Bestandsaufnahme und Angebot bekommst du kostenlos und unverbindlich.
Braucht es Lizenzen oder Hardware-Schlüssel, siehst du ihre Kosten vorher im Angebot, und sie laufen auf deinen Namen. Nicht Teil des Auftrags: Rechtsberatung, Zertifizierungen und alles an Büro-IT, also Rechner am Arbeitsplatz, Firmennetz und Mail-Postfächer.
Gesondert: Umbau eigener Software
Schickt deine eigene Software Eingaben ungefiltert an die Datenbank, bekommt der Umbau einen eigenen Preis im Angebot. Ersetze ich eine Erweiterung (Plugin), von der es keine sichere Fassung gibt, ist das dagegen im Festpreis drin. Fehlt für eine Funktion ein sicherer Ersatz, sodass sie neu entstehen muss, wird das ein eigener Auftrag. Und lässt dein Hoster notwendige Einstellungen nicht zu, kostet der Umzug zu einem anderen keinen Aufpreis.
Woran sich der Aufwand bemisst
- Wie viele Systeme abgesichert werden müssen
- Wie viele Personen und Rollen es gibt
- Ob du ein Hosting-Paket oder einen eigenen Server hast
- Ob Zwei-Faktor-Anmeldung in den Systemen schon vorgesehen ist
- Ob Formulare in eigener Software mit abzusichern sind
- Wie viele frühere Zugänge ich durchsehen muss
Nach der Bestandsaufnahme liegt der Festpreis fest; er wächst nicht, wenn eine Einstellung mehr Aufwand macht. Für zusätzliche Systeme oder eine grundlegend geänderte Absprache bekommst du die Kosten im Voraus genannt.
Ist die Härtung abgeschlossen, richte ich auf Zuruf neue Zugänge mit den passenden Rechten ein und lösche Zugänge Ehemaliger – beides als Einzelauftrag. Warte ich deine Website, ist das bereits Teil von Wartung & Hosting, zusammen mit Updates und Sicherungen. Du kannst die Härtung aber auch einzeln beauftragen.
Getestet statt benotet: so prüfe ich den Schutz
Geprüft wird
- Ob alle Team-Zugänge mit zweitem Faktor laufen und zur jeweiligen Rolle passen
- Ob Sperren und Eingabeprüfung im Test standhalten und jeder Fehlversuch protokolliert wird
- Dass jeder künftige Angriff abprallt, kann niemand versprechen
Kein Nachweis für Schutz
- Das Schloss-Symbol: HTTPS verschlüsselt allein die Übertragung
- Eine gute Bewertung eines kostenlosen Scanners im Internet, der nur die Außenseite sieht, keine Konten und Rechte
- Ein Sicherheits-Plugin ohne jede Einstellung
- Ein sicheres Passwort, das der frühere Freelancer weiterhin kennt
Tests halten fest, wie es am Prüftag aussieht. Weil fortlaufend neue Schwachstellen in Programmen bekannt werden, gehören Updates und Sicherungen zur Wartung.
Zugriffsschutz vorbereiten: wer was darf
Zugänge brauche ich ein einziges Mal, am Anfang. Danach kommt es nur noch auf drei Dinge an: deine Angaben zu den Personen, die Umstellung deines Teams und deine Entscheidungen.
Zugänge auf deinem Weg
Hoster, Domain, Website, Software und Server: Die Zugänge vergibst du so, wie es dir lieber ist. Mich zu entfernen oder das Passwort zu wechseln, steht dir jederzeit frei.
Wer zugreift und wozu
Du nennst mir alle, die innerhalb und außerhalb des Betriebs auf deine Systeme zugreifen, und was sie dort tun. Daraus baue ich die Rollen; wer ausgeschieden ist, verliert seinen Zugang.
Zweiter Faktor: jeder selbst
Seinen zweiten Faktor richtet jeder selbst ein, auf dem eigenen Handy oder mit einem Hardware-Schlüssel. Wie das geht, zeige ich einmal; gibt es Schwierigkeiten, springe ich ein. Die Notfallcodes – nötig, wenn ein Handy weg ist – liegen bei dir an einem sicheren Ort.
Deine Entscheidung, Absprache mit der IT
Du legst fest, wie viel Abstimmung du möchtest und was du vorab sehen willst, etwa den Schutzplan; was wegfällt, entscheidest du. Arbeitest du mit Agentur oder IT-Dienstleister, beziehe ich sie ein und teste oder ändere an ihren Systemen nur mit ihrer Zustimmung.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.