Vorbeugen ist der Kern meiner Website-Sicherheit für Göttingen: Website, Shop und Webanwendungen schütze ich, solange es noch keinen Vorfall gab, einschließlich der Server, Datenbanken und Zugänge, auf denen sie aufbauen. Kurz gesagt: Eingaben werden geprüft, bevor sie in die Datenbank dürfen; Dateirechte bleiben so knapp wie möglich; Rechte gibt es je Rolle. Beim Login kommen ein zweiter Faktor, etwa ein Einmalcode auf dem Handy, und eine Sperre dazu, die automatisierte Versuche abfängt. Danach soll weder zu den Daten noch zur Verwaltung ein offener Zugang übrig sein. Wer dir perfekte Sicherheit verspricht, verspricht zu viel; ich tue es nicht.
Werktags bekommst du binnen 24 Stunden Antwort auf deine Anfrage. Das Erstgespräch, ungefähr eine Stunde, dreht sich um deine Systeme und die Daten darin. Wir führen es per Video oder telefonisch, so wie es dir passt. Mit der Bestandsaufnahme steht der Preis; begonnen wird erst danach.
Im Suchfeld eines Onlineshops für Laborbedarf lässt sich statt eines Produktnamens ein Datenbankbefehl eintippen, und das System führt ihn aus. Das heißt meist: Bei der Einrichtung ging es ums Funktionieren, nicht um Schutz. Häufig schützt dann auch nur ein Passwort die Anmeldung, und Zugänge haben viel mehr Rechte als nötig. Das trifft Sanitärbetrieb, Ergotherapiepraxis und Copyshop ebenso wie Onlineshops oder Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Ein Passwort, das jemand kennt oder errät, öffnet den kompletten Zugang. Das heißt: Programme rufen erreichbare Anmeldeseiten auf und probieren automatisch eine lange Liste von Passwörtern durch; fehlt eine Sperre, endet das nie.
Doktorandin, Inhaber und der frühere Webentwickler melden sich mit einem gemeinsamen Konto an, das alles darf; Ehemalige kommen nach wie vor hinein. Ein einziges bekannt gewordenes Passwort öffnet dann jeden Bereich.
Suchfeld, Kontaktformular mit Anhang oder Kundenportal reichen ungeprüft weiter, was jemand tippt oder hochlädt. Ein darin versteckter Befehl an die Datenbank heißt SQL-Injection; er kann, genau wie eine Datei voller Schadcode, auf einem ungeschützten System ausgeführt werden und zum Beispiel Kundendaten freigeben.
Zugänge · Dateien · Eingaben · Sperre
Das Angebot legt fest, welche Maßnahmen bei dir dazugehören.
Zugänge
Kurz gesagt: Jeder Zugang landet mit Person und Rechten auf einer Liste; Datenbank, Server, Hoster und Domain gehören dazu. Außerdem prüfe ich, was jemand ohne Anmeldung von außen sieht, zum Beispiel Benutzernamen oder Versionsnummern. Diese Übersicht ist der Ausgangspunkt für den Schutzplan.
Server
Ein Programm bekommt Rechte nur für die Dateien, die es tatsächlich bearbeitet. Das heißt: Was in Upload-Ordnern liegt, kann nicht als Programm laufen, Zugangsdaten in der Konfiguration bleiben für Außenstehende gesperrt, und der Datei-Editor in der Verwaltung, etwa bei WordPress, ist abgeschaltet.
Eingaben
Der Server kontrolliert jede Eingabe aus Formular, Suchfeld oder Upload: Sind Zeichen, Länge und Dateiart zulässig? Mit der Datenbank kommuniziert die Anwendung nur über vorbereitete Abfragen, englisch Prepared Statements; deshalb wird aus einer Eingabe dort nie ein Befehl. Bei eigener Software setze ich das im Code um; Erweiterungen teste ich gezielt mit Testeingaben.
Anmeldung
Ein paar falsche Passwörter, und die Anmeldung legt eine Pause ein. Benutzernamen gibt die Seite nach außen nicht mehr preis. Wo es den Arbeitsalltag nicht stört, öffnet sich die Verwaltungsanmeldung nur noch für dein Team.
Anmeldung
Neben dem Passwort verlangt die Anmeldung dann einen zweiten Nachweis, zum Beispiel einen Code aus einer App oder einen Hardware-Schlüssel. Diese Empfehlung gibt ebenso das Bundesamt für Sicherheit in der Informationstechnik, sobald ein Dienst die Möglichkeit bietet. Dein Team nutzt ihn bei Website, Shop und Software, wo es möglich ist auch bei Hoster und Domain. Für deine Kunden bleibt der Login, wie er ist.
Rollen
Jede Person arbeitet mit einem persönlichen Zugang, der genau die Rechte hat, die ihre Aufgabe verlangt; eine Hilfskraft, die Termine einträgt, hat zum Beispiel keine Admin-Rechte. Gemeinsam genutzte Konten fallen weg. Konten von Leuten oder Agenturen, die nicht mehr für dich arbeiten, lösche ich nach Rücksprache, ob in der Website, in der Datenbank oder auf dem Server.
Server
Unnötige Dienste auf einem eigenen Server schalte ich ab, und die Anmeldung funktioniert dort nur noch per Schlüsseldatei. Zur Datenbank lasse ich nur Programme durch, die dort arbeiten müssen, jedes mit einem eigenen, knapp berechtigten Konto. Beim Hosting-Paket gilt, was der Hoster einzustellen erlaubt.
Wie läuft das ab?
Abgestimmt wird über Telefon, E-Mail oder WhatsApp, ganz wie du es magst. Ein Arbeitsbeispiel siehst du auf Anfrage; Kundendaten und Kundenzugänge sind darin nicht enthalten.
Wir bestimmen gemeinsam, was geschützt werden soll: die Website, eigene Software sowie deine Zugänge bei Hoster und Domain. Dann halte ich fest, wer welche Anmeldung nutzt und welche Systeme sich aus dem Netz ansprechen lassen. Gibt es schon einen Befall, ist zuerst die Hack-Soforthilfe dran.
Im Festpreisangebot stehen alle Systeme, die gehärtet werden sollen. Härten heißt kurz gesagt: abschalten, was überflüssig ist, schließen, was offen steht, und einschränken, was zu viel darf. Hast du zugestimmt, entsteht der Schutzplan: Maßnahme für Maßnahme je System, in fester Reihenfolge, mit den Aufgaben für dein Team.
Die Maßnahmen setze ich eine nach der anderen um, möglichst zuerst auf einer Testkopie, damit nichts ausfällt. Freigeschaltet wird erst nach dem Test: Gezielte Fehlanmeldungen müssen die Sperre auslösen, unzulässige Formulareingaben abgelehnt werden, und für jede Rolle prüfe ich, was sie zu sehen bekommt. Eine Probeanfrage zeigt zuletzt, ob echte Kundenanfragen weiter ankommen.
Anschließend wechselt jede Person im Team auf ihren eigenen Zugang samt zweitem Faktor; wo es hängt, helfe ich. Einen Bericht mit dem Eingerichteten, den Testergebnissen und offenen Punkten schreibe ich, wenn du ihn möchtest; Rechtsberatung ist das nicht. Ein Penetrationstest, in dem unabhängige Prüfer selbst angreifen, bleibt etwas anderes.
Wie lange dauert das?Ein paar Tage bis Wochen – der Umfang entscheidet
Möchtest du einen groben Zeitplan, richten wir ihn nach deinem Bedarf aus. Umstellungen für das Team erfährst du vorab; der zweite Faktor wird verbindlich, sobald jede Person ihn eingerichtet hat, nicht früher. Ein festes Datum für den Abschluss nenne ich nicht.
Länger wird es mit eigenen Programmen, einem selbst betriebenen Server oder sehr vielen Konten; eine einzelne Website ist schneller fertig.
Stößt die Absicherung bei einem System an Grenzen, bekommst du von mir drei Möglichkeiten: das System ersetzen, es abschotten oder ganz abschalten.
Die Entscheidung liegt bei dir.
Was kostet das?Festpreis, einmalig, ohne Vertrag
Härten kostet einmalig einen Festpreis. Neue Leute, neue Rechte, gestrichene Zugänge: Das pflege ich danach auf Zuruf oder, bei einer von mir gewarteten Website, über die Wartung.
HärtungFestpreis, einmalig
Kurz gesagt: einmaliger Auftrag, kein Vertrag mit Laufzeit.
Zugänge pflegenauf Zuruf oder in der Wartung
Im Festpreis: alle Zugänge auflisten, den Schutzplan aufstellen, jede Schutzmaßnahme einrichten und prüfen.
Eingerichtetes gehört dir; abtrennbare Konten stehen auf deinem Namen.
Fehler aus meiner Arbeit kosten dich beim Beheben nichts.
Erstgespräch, Bestandsaufnahme und Angebot: ohne Kosten, ohne Verpflichtung.
Falls Lizenzen oder Hardware-Schlüssel nötig sind, nennt das Angebot ihren Preis vorab; die Käufe laufen auf dich. Rechtsberatung und Zertifizierungen sind nicht enthalten, die Büro-IT mit Arbeitsrechnern, Netzwerk und E-Mail-Postfächern ebenfalls nicht.
Hat deine eigene Software keine Eingabeprüfung, bekommt ihr Umbau einen eigenen Preis. Ein Plugin, das es nicht in sicherer Fassung gibt, ersetze ich dagegen im Festpreis. Ohne sicheren Ersatz muss eine Funktion neu gebaut werden; das beauftragst du gesondert. Verhindert der Hoster wichtige Einstellungen, wechselt die Website ohne Aufpreis zu einem anderen.
Kurz gesagt: Der Festpreis steht nach der Bestandsaufnahme und wird nicht höher, auch wenn sich eine Einstellung als mühsamer herausstellt. Nur zusätzliche Systeme oder eine grundlegend geänderte Vereinbarung kosten mehr, und das erfährst du vorher.
Kommen später Leute dazu oder gehen welche, lege ich ihre Zugänge auf Zuruf mit den passenden Rechten an oder entferne sie, jedes Mal als eigener kleiner Auftrag. In Wartung & Hosting ist das schon enthalten, wenn ich deine Website warte, ebenso Updates und Sicherungen. Buchbar ist die Härtung aber auch ohne Wartung.
Was ein Test heute bestätigt, kann morgen schon überholt sein. Laufend werden neue Lücken in Programmen bekannt, und Updates samt Sicherungen sind deshalb ein Fall für die Wartung.
Am Anfang brauche ich deine Zugänge, einmal. Später geht es nur noch um die Personen und ihre Aufgaben, um den Umstieg des Teams und um das, was du entscheidest.
Hoster, Domain, Website, Software, Server: Zugang gibst du mir auf dem Weg, den du wählst. Mich wieder auszuschließen, geht jederzeit, auch per Passwortwechsel.
Welche Leute, intern wie extern, an welchem System arbeiten und wofür, erfahre ich von dir. Daraus mache ich Rollen, und Ehemalige werden ausgetragen.
Den zweiten Faktor aktiviert jeder für sich, per App auf dem eigenen Handy oder mit Hardware-Schlüssel. Die Erklärung gibt es einmal von mir, Unterstützung bei Problemen jederzeit. Für den Notfall, etwa ein verlorenes Handy, gibt es Codes, die du sicher verwahrst.
Den Umfang der Abstimmung bestimmst du, ebenso, ob dir der Schutzplan vorab zur Prüfung vorliegen soll und was am Ende wegfallen darf. Mit Agentur oder IT-Dienstleister stimme ich mich ab; Eingriffe in Systeme, die sie betreiben, gibt es nur mit ihrer Zustimmung, Tests eingeschlossen.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.