Für Betriebe in Hannover setze ich Website-Sicherheit an, bevor überhaupt etwas passiert: Website, Shop und Webanwendungen werden abgesichert; dazu gehören auch die Server, auf denen alles läuft, die Datenbanken und sämtliche Zugänge. Jede Person meldet sich dann mit Passwort und zweitem Faktor an, zum Beispiel einem Code aus einer Handy-App; automatisierte Anmeldeversuche laufen auf eine Sperre. Rechte richten sich nach der Rolle, Dateirechte reichen nur so weit wie nötig, und Formulareingaben prüfe ich, ehe sie die Datenbank erreichen. Das Ziel: Für Fremde gibt es keinen offenen Zugang mehr zu deinen Daten und zum Verwaltungsbereich. Garantieren, dass nie jemand hineinkommt, kann ich trotzdem nicht.
Eine Antwort auf deine Anfrage hast du werktags innerhalb von 24 Stunden. In ungefähr einer Stunde Erstgespräch klären wir, mit welchen Systemen dein Betrieb arbeitet und welche Daten darin gespeichert sind. Sprechen können wir per Video oder Telefon; das entscheidest du. Den Preis nenne ich dir, sobald die Bestandsaufnahme fertig ist, und bevor ich irgendetwas umstelle.
Die Aushilfe vom Messestand im Frühjahr kann sich bis heute mit Admin-Rechten anmelden. Solche Lücken entstehen, wenn Website, Shop oder Programm nur zum Laufen gebracht und nie auf Schutz eingerichtet wurden. Meist reicht dann ein einziges Passwort zum Anmelden, und Formulare geben ungefiltert weiter, was hineinkommt. Das betrifft den Elektrobetrieb genauso wie die Orthopädiepraxis, den Optiker in der City, einen Onlineshop oder den Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Mehr als das richtige Passwort braucht es nicht, um voll zuzugreifen, ob es erraten oder abgegriffen wurde. Automatische Programme klopfen öffentlich erreichbare Anmeldeseiten mit Passwortlisten ab; fehlt eine Sperre, dürfen sie es unbegrenzt oft versuchen.
Inhaber, Messe-Aushilfe und die frühere Agentur melden sich mit demselben Konto an, und das darf alles. Wer nicht mehr dabei ist, hat den Zugang trotzdem noch. Kommt dieses eine Passwort abhanden, ist damit jeder Bereich erreichbar.
Rückrufformular, Stellenbörse mit Lebenslauf-Upload oder Kundenkonto im Shop leiten weiter, was eingetippt oder hochgeladen wird. Tippt jemand statt eines Namens einen Befehl an die Datenbank ein, das nennt sich SQL-Injection, oder lädt eine präparierte Datei mit Schadcode hoch, führt ein ungeschütztes System womöglich genau das aus; im schlimmsten Fall wandern Kundendaten nach draußen.
Bestand · Rollen · Sperre · Zwei-Faktor
Welche Maßnahmen bei dir anstehen, steht später im Angebot.
Zugänge
Für jeden Zugang notiere ich, wer ihn nutzt und was er darf, von der Website bis zu Datenbank, Server, Hoster und Domain. Außerdem sehe ich nach, was ein Fremder ohne Anmeldung erfährt, zum Beispiel Benutzernamen oder Versionsnummern. Aus dieser Liste entwickle ich den Schutzplan.
Rollen
Jede Person erhält ihr eigenes Konto, und das darf genau so viel, wie ihre Aufgabe verlangt; eine Mitarbeiterin, die nur Stellenanzeigen einstellt, arbeitet zum Beispiel ohne Administratorrechte. Sammelkonten löse ich auf. Konten früherer Mitarbeiter oder Agenturen lösche ich nach Rücksprache, ebenso in Datenbank und auf dem Server.
Anmeldung
Nach mehreren falschen Passwörtern sperrt sich die Anmeldung für eine gewisse Zeit, und Benutzernamen lassen sich von außen nicht mehr auslesen. Wo es den Alltag nicht stört, schränke ich außerdem ein, wer die Anmeldeseite der Verwaltung erreicht: nur noch dein Team.
Anmeldung
Beim Anmelden reicht das Passwort nicht mehr: Zusätzlich verlangt die Seite einen Einmalcode, den eine App auf dem Handy erzeugt, oder einen Hardware-Schlüssel. Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sollte man diesen zweiten Faktor nutzen, sobald ein Dienst ihn anbietet. Eingerichtet wird er für jedes Team-Konto bei Website, Shop und Software, nach Möglichkeit auch beim Hoster und für die Domain. Deine Kundschaft merkt beim Anmelden keinen Unterschied.
Server
Läuft ein eigener Server, deaktiviere ich alles, was keiner braucht, und lasse die Anmeldung dort nur noch mit Schlüsseldatei zu, nicht mehr mit Passwort. An die Datenbank kommen nur die Programme heran, die sie wirklich brauchen; für jedes lege ich ein separates Datenbankkonto mit knappen Rechten an. Im Hosting-Paket nutze ich alle Schalter, die der Anbieter freigibt.
Eingaben
Bevor eine Eingabe aus Formular, Suchfeld oder Upload weiterverarbeitet wird, kontrolliert der Server Zeichen, Länge und Dateityp. Mit der Datenbank spricht die Website nur über vorbereitete Abfragen, auch Prepared Statements genannt; so wird eine Eingabe dort nie zum Befehl, und genau das verhindert SQL-Injection. In eigene Software programmiere ich das ein; Erweiterungen prüfe ich mit gezielten Testeingaben.
Server
Auf dem Server greift jedes Programm nur auf die Dateien zu, mit denen es tatsächlich arbeitet. In Upload-Ordnern startet kein Programmcode mehr, die Konfiguration mit ihren Zugangsdaten bleibt für Außenstehende unsichtbar, und der eingebaute Datei-Editor im WordPress-Backend wird deaktiviert.
Wie läuft das ab?
Absprachen laufen über Anruf, E-Mail oder WhatsApp. Ein Arbeitsbeispiel bekommst du auf Anfrage gezeigt; Daten und Zugänge anderer Kunden sind darin nicht enthalten.
Zuerst bestimmen wir, was unter den Schutz fällt: die Website, eigene Programme, dazu dein Konto beim Hoster und das bei deinem Domain-Anbieter. Dann verschaffe ich mir ein Bild davon, wer sich an welcher Stelle anmeldet und was davon aus dem Netz heraus erreichbar ist. Hat es die Website schon erwischt, steht die Hack-Soforthilfe am Anfang.
Das Angebot zum Festpreis nennt die Systeme, die ich härte. Härten bedeutet: Was niemand braucht, wird abgeschaltet, geschlossen oder eingeschränkt. Nach deinem Ja schreibe ich den Schutzplan: für jedes System die Maßnahmen, ihre Abfolge und die Handgriffe, die dein Team übernimmt.
Wo es geht, probiere ich jede Maßnahme zuerst auf einer Testkopie aus, damit Website und Programme ungestört weiterlaufen. Vor der Freischaltung muss jede ihren Test bestehen: Nach einer Serie falscher Anmeldungen hat die Sperre zu greifen, verbotene Eingaben im Formular haben abzuprallen, und keine Rolle darf mehr sehen als vorgesehen. Mit einer Testanfrage stelle ich am Ende sicher, dass echte Kunden weiterhin durchkommen.
Dann wechselt dein Team auf persönliche Zugänge mit zweitem Faktor; wenn es irgendwo hakt, helfe ich. Auf Wunsch bekommst du schriftlich, was eingerichtet ist, was die Tests ergeben haben und wo noch etwas offen ist. Eine Rechtsberatung ist dieser Bericht nicht, und einen Penetrationstest, also einen Einbruchsversuch durch unabhängige Prüfer, ersetzt er auch nicht.
Wie lange dauert das?Wenige Tage oder mehrere Wochen, je nach den Systemen
Einen groben Zeitplan nach deinem Bedarf stellen wir auf, wenn du das möchtest. Alle Umstellungen im Team kündige ich rechtzeitig an. Den zweiten Faktor erzwinge ich nicht vorzeitig: Er gilt ab dem Tag, an dem jede Person im Team ihn eingerichtet hat. Auf ein festes Enddatum lege ich mich nicht fest.
Eine einzelne Website ist schneller gehärtet als eine Umgebung mit eigenen Programmen, selbst betriebenem Server oder einer langen Liste an Zugängen.
Bekomme ich ein System nicht so abgesichert wie geplant, erfährst du es von mir, zusammen mit drei Vorschlägen: ersetzen, abschotten oder abschalten.
Welcher davon umgesetzt wird, bestimmst du.
Was kostet das?Einmal härten, keine Laufzeit
Für die Härtung gibt es einen Festpreis. Um Zugänge und Rechte, die sich später ändern, kümmere ich mich auf Zuruf; warte ich die Website, läuft das über die Wartung.
HärtungFestpreis, einmalig
Ein Abo entsteht daraus nicht: Die Härtung ist ein einzelner Auftrag ohne Laufzeit.
Zugänge pflegenauf Zuruf oder in der Wartung
Abgedeckt sind die Liste aller Zugänge, der Schutzplan, das Einrichten aller Schutzmaßnahmen und sämtliche Tests.
Was ich einrichte, gehört anschließend dir; Konten, die sich trennen lassen, laufen auf deinen Namen.
Für Fehler in meiner Arbeit zahlst du nichts nach; ich behebe sie.
Bis zum Auftrag ist alles kostenlos und unverbindlich: Erstgespräch, Bestandsaufnahme, Angebot.
Brauchst du Lizenzen oder einen Hardware-Schlüssel für den zweiten Faktor, siehst du den Preis vorher im Angebot, und die Rechnung läuft auf deinen Namen. Rechtsberatung und Zertifizierungen gehören nicht dazu, ebenso wenig die IT im Büro: Rechner, Firmennetz, E-Mail-Postfächer.
Muss eigene Software umgebaut werden, damit sie Eingaben vor der Datenbank prüft, bekommt das einen eigenen Preis im Angebot. Ein Plugin ohne sichere Fassung tausche ich dagegen im Rahmen des Festpreises aus. Eine Funktion, für die kein sicherer Ersatz existiert, neu zu bauen, ist ein eigener Auftrag. Stellt sich der Hoster bei nötigen Einstellungen quer, kostet dich der Wechsel zu einem anderen Hoster keinen Aufpreis.
Sobald die Bestandsaufnahme gemacht ist, steht der Festpreis, und er bleibt, auch wenn eine Einstellung mehr Zeit kostet als gedacht. Neue Systeme oder eine grundlegend geänderte Absprache bedeuten Mehrkosten, die du vorher erfährst.
Kommt jemand neu ins Team oder geht jemand, richte ich den Zugang mit den passenden Rechten ein oder entferne ihn, auf Zuruf und jeweils als einzelner Auftrag. Ist deine Website bei mir in der Wartung, deckt Wartung & Hosting das schon ab, dazu Updates und Sicherungen. Buchen kannst du die Härtung trotzdem für sich allein.
Eine Prüfung zeigt immer nur, wie es an diesem einen Tag aussieht. Weil in Programmen ständig neue Lücken auftauchen, kümmert sich die Wartung um Updates und Sicherungen.
Am Anfang gibst du mir einmal die Zugänge. Später brauche ich nur noch Angaben zu den Personen, deine Hilfe bei der Umstellung im Team und deine Entscheidungen.
Zugang brauche ich zu Website, Software, Server, Hoster und Domain; auf welchem Weg, entscheidest du. Entfernen kannst du mich jederzeit, ebenso das Passwort ändern.
Schreib mir auf, welche Leute intern und extern welche Systeme nutzen und wofür. Aus diesen Angaben entwerfe ich die Rollen, und Ehemalige verlieren dabei ihren Zugang.
Ob Handy-App oder Hardware-Schlüssel: Das Einrichten übernimmt jede Person für ihr eigenes Gerät. Den Ablauf erkläre ich einmal; bei Problemen bin ich da. Für den Fall, dass ein Handy wegkommt, gibt es Notfallcodes; die gehören an einen sicheren Platz, den du bestimmst.
Du entscheidest, wie viel wir vorher besprechen, ob du etwa den Schutzplan vor dem Start freigibst, und was am Ende wegfallen darf. Systeme, die eine Agentur oder ein IT-Dienstleister betreibt, fasse ich nur mit deren Zustimmung an, auch für Tests; beide beziehe ich in die Abstimmung ein.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.