Passwort als einzige Sperre
Mit dem richtigen Passwort, erraten oder ausgespäht, ist der volle Zugriff möglich. Erreichbare Anmeldeseiten werden von Programmen automatisch mit Passwörtern beschossen; ohne Sperre unbegrenzt.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Hildesheim
Website-Sicherheit für Hildesheim übernehme ich vorbeugend: Abgesichert werden Website, Shop und Webanwendungen, bevor ein Angriff stattfindet, einschließlich aller Server, Datenbanken und Konten im Hintergrund. Eingaben laufen durch eine Prüfung, bevor die Datenbank sie verarbeitet. Rechte werden je Rolle vergeben, Dateirechte auf das Nötige beschränkt. Beim Anmelden ist neben dem Passwort ein Handy-Code als zweiter Faktor nötig, und automatisierte Versuche stoppt eine Sperre. Ziel der Härtung: keine offene Hintertür zu Daten und Verwaltung. Unverwundbar wird ein System dadurch nicht.
Werktags ist deine Anfrage nach spätestens 24 Stunden beantwortet. Das Erstgespräch dauert etwa eine Stunde; Thema sind die Systeme im Betrieb und die Daten, die dort liegen. Gesprochen wird per Video oder Telefon, je nachdem, was dir lieber ist. Der Preis steht nach der Bestandsaufnahme fest, bevor irgendetwas umgestellt wird.
Typische Einfallstore: Anmeldung, Rechte, Eingaben
Ins Anmeldefeld des Kundenportals lässt sich statt eines Benutzernamens ein Datenbankbefehl tippen, und das System führt ihn aus. Dahinter steckt fast immer dasselbe: Eingerichtet wurde auf Funktion, nicht auf Schutz. Oft kommt hinzu, dass ein Passwort die einzige Hürde ist und Zugänge viel mehr dürfen als nötig. Betroffen sind Schlosserei, Kieferorthopädie-Praxis und Sanitätshaus ebenso wie Onlineshops und Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Sammelzugang für Team und frühere Helfer
Team, Werkstudentin und die frühere Agentur nutzen ein gemeinsames Konto, das alles darf; auch Ausgeschiedene kommen noch hinein. Wird dieses eine Passwort bekannt, sind sämtliche Bereiche zugänglich.
Ungeprüfte Eingaben und das Risiko SQL-Injection
Anmeldefeld, Upload für Zeichnungen oder Suchfeld im Shop reichen weiter, was eingegeben oder hochgeladen wird. Ein Befehl an die Datenbank, als SQL-Injection bekannt, oder eine Datei mit Schadcode wird so eingeschleust, und ein ungeschütztes System verarbeitet sie womöglich als Anweisung; Kundendaten können so nach außen gelangen.
Erfassung · Prüfung · Server · Faktor
Zugriffsschutz und Härtung: was bei WordPress, Shop und Software passiert
Im Angebot wird festgehalten, welche Punkte für dich gelten.
-
Zugänge
Inventur aller Zugänge
Erfasst wird jeder Zugang samt Person und Rechten, und zwar überall: Website, Datenbank, Server, Hoster, Domain. Dazu kommt ein Blick von außen: Verrät die Seite ohne Login Benutzernamen oder Versionsnummern? Aus dieser Inventur entsteht der Schutzplan.
-
Eingaben
Eingabeprüfung und Prepared Statements
Ob Formular, Suchfeld oder Upload: Geprüft wird serverseitig, ob Zeichen, Länge und Dateityp erlaubt sind. Datenbankabfragen werden vorbereitet (Prepared Statements), Eingaben fließen nur als Werte hinein und nie als Befehl; so wird SQL-Injection verhindert. In eigene Software wird das eingebaut, Erweiterungen werden mit Testeingaben geprüft.
-
Server
Abschottung von Server und Datenbank
Auf eigenen Servern wird abgeschaltet, was nicht gebraucht wird, und angemeldet wird nur noch mit Schlüsseldatei. Datenbankzugriff haben ausschließlich Programme, die ihn benötigen, jeweils mit einem eigenen Konto und knapp bemessenen Rechten. Im Hosting-Paket wird eingestellt, was der Hoster zulässt.
-
Anmeldung
Zwei-Faktor-Anmeldung
Ein zweiter Nachweis ergänzt das Passwort: ein Zahlencode, den eine Smartphone-App erzeugt, oder ein Hardware-Schlüssel. Das BSI als Bundesbehörde für IT-Sicherheit empfiehlt den zweiten Faktor, wo immer ein Dienst ihn anbietet. Das Team bekommt ihn für Website, Shop und Software, und wenn es geht, auch für die Konten bei Hoster und Domain. Kunden merken an ihrer Anmeldung keinen Unterschied.
-
Rollen
Persönliche Konten mit passenden Rechten
Für jede Person gibt es ein eigenes Konto, zugeschnitten auf ihre Aufgabe; Admin-Rechte haben danach nur noch die, die sie wirklich brauchen. Sammelzugänge verschwinden. Konten von Ehemaligen, ob Angestellte oder Agentur, werden nach Rücksprache gelöscht, in Website und Datenbank ebenso wie auf dem Server.
-
Anmeldung
Brute-Force-Schutz für die Anmeldeseite
Nach mehreren Fehlversuchen wird die Anmeldung zeitweise gesperrt; wie die Benutzer heißen, bleibt nach außen verborgen. Wo es der Arbeitsalltag zulässt, wird die Anmeldeseite der Verwaltung nur für das Team freigegeben.
-
Server
Begrenzte Dateirechte
Lesen und ändern darf ein Programm nur seine eigenen Dateien. Upload-Ordner sind für Programmcode gesperrt, Dateien, die Zugangsdaten enthalten, lassen sich aus dem Netz nicht öffnen, und den Datei-Editor, den WordPress in der Verwaltung anbietet, gibt es danach nicht mehr.
Wie läuft das ab?
Website härten, jede Maßnahme vorab geprüft
Für Absprachen gibt es Telefon, E-Mail und WhatsApp. Auf Anfrage wird ein Arbeitsbeispiel gezeigt, aus dem Kundendaten und Kundenzugänge entfernt sind.
-
Bestandsaufnahme der Systeme
Zuerst wird festgelegt, was abgesichert wird: Website, eigene Software, Hoster-Konto, Domain. Danach wird jede Anmeldung einer Person zugeordnet, und es wird geprüft, welche Systeme öffentlich im Netz stehen. Gibt es bereits einen Befall, wird zuerst mit der Hack-Soforthilfe aufgeräumt.
-
Festpreisangebot, danach der Plan
Das Angebot zum Festpreis führt jedes zu härtende System auf. Gemeint ist damit: Überflüssiges wird stillgelegt, Offenes verschlossen, zu weit Gefasstes begrenzt. Ist der Auftrag erteilt, entsteht der Schutzplan mit allen Maßnahmen je System, ihrer Reihenfolge und den Aufgaben deines Teams.
-
Einrichtung mit Gegenproben
Eingerichtet wird Schritt für Schritt, und wo es geht, läuft alles erst über eine Testkopie, damit der laufende Betrieb ungestört bleibt. Vor der Freischaltung wird jede Maßnahme getestet: Bei absichtlichen Fehlanmeldungen hat die Sperre anzuspringen, verbotene Formulareingaben müssen scheitern, und für jede Rolle wird geprüft, ob sie wirklich nur ihren Ausschnitt sieht. Eine Testanfrage zeigt am Ende, dass reguläre Kundenanfragen weiter ankommen.
-
Team-Umstellung und Bericht
Das Team wechselt anschließend auf persönliche Zugänge mit zweitem Faktor; bei Problemen helfe ich. Ein schriftlicher Bericht, eingerichtet, getestet, offen, folgt auf Wunsch; Rechtsberatung enthält er keine, und ein Penetrationstest, also ein Angriffsversuch unabhängiger Prüfer, wird dadurch nicht überflüssig.
Wie lange dauert das?Tage bis Wochen, abhängig vom Umfang
Dauer der Härtung und der Umstellung im Team
Wird ein Zeitplan gewünscht, entsteht er grob und nach deinem Bedarf. Umstellungen, die das Team betreffen, werden vorher angekündigt; verbindlich gilt der zweite Faktor ab dem Moment, in dem ihn das ganze Team eingerichtet hat. Eine feste Dauer wird nicht zugesagt.
- AnfangErstgespräch, Bestandsaufnahme
- DannFestpreis und Schutzplan
- AnschließendHärtung mit Test
- DanachTeam stellt um, Übergabe
- LangfristigSchutz im Tagesgeschäft
Je mehr eigene Software, Serverbetrieb und Zugänge dazukommen, desto länger dauert es gegenüber einer einzelnen Website.
Grenzen der Absicherung
Klappt es bei einem System nicht mit der geplanten Absicherung, erfährst du das offen. Mein Vorschlag ist dann einer von drei Wegen: ersetzen, abschotten oder abschalten.
Die Wahl triffst du.
Was kostet das?Einmaliger Festpreis, keine Bindung
Website-Sicherheit Hildesheim: Festpreis und Leistungsumfang
Die Härtung wird zum Festpreis berechnet; spätere Änderungen an Zugängen und Rechten laufen auf Zuruf oder, bei einer gewarteten Website, über die Wartung.
HärtungFestpreis, einmalig
Ein Laufzeitvertrag folgt aus der Härtung nicht; es bleibt bei einem einmaligen Auftrag.
Zugänge pflegenauf Zuruf oder in der Wartung
Was im Festpreis steckt
Zugangsliste, Schutzplan, eingerichtete Schutzmaßnahmen und sämtliche Tests: Das alles deckt der Festpreis ab.
Eingerichtetes bleibt beim Betrieb, Trennbares wird auf deinen Namen geführt.
Ein Fehler in meiner Arbeit wird ohne neuen Preis korrigiert.
Erstgespräch, Bestandsaufnahme und Angebot sind gratis und ohne Verpflichtung.
Werden Lizenzen oder ein Hardware-Schlüssel gebraucht, kennst du die Kosten aus dem Angebot, bevor gekauft wird; Käufer bist du. Ausgenommen bleiben Rechtsberatung, Zertifizierungen und Büro-IT, also Bürorechner, E-Mail-Postfächer und das Firmennetz.
Mit eigenem Preis oder eigenem Auftrag
Ist eigene Software ohne Eingabeprüfung gebaut, wird ihr Umbau mit eigenem Preis angeboten. Der Ersatz eines Plugins ohne sichere Fassung ist dagegen im Festpreis enthalten. Fehlt jeder sichere Ersatz, wird die Funktion in einem separaten Auftrag neu entwickelt. Blockt der Hoster nötige Einstellungen ab, zieht die Website ohne Aufpreis um.
Wovon der Aufwand abhängt
- Anzahl der abzusichernden Systeme
- Personen und Rollen, die Zugang brauchen
- Server: eigener Betrieb oder Hosting-Paket
- Ob deine Systeme Zwei-Faktor schon können
- Ob Formulare aus eigener Software geprüft werden müssen
- Wie viele Altzugänge durchgesehen werden
Ist die Bestandsaufnahme erledigt, gilt der Festpreis, auch wenn sich eine Einstellung als aufwendig erweist. Mehrkosten gibt es nur bei zusätzlichen Systemen oder grundlegend geänderten Absprachen, und sie werden vorher genannt.
Neue Zugänge mit passenden Rechten anzulegen und Zugänge Ausgeschiedener zu entfernen, übernehme ich später auf Zuruf, und zwar jedes Mal als Einzelauftrag. Bei Websites in meiner Wartung & Hosting ist das bereits enthalten, ebenso Updates und Sicherungen. Gebucht werden kann die Härtung auch ohne Wartung.
Website-Sicherheit nachprüfen: Testergebnisse statt Bewertungen
Geprüft und belegt
- Zweiter Faktor aktiv, Rolle passend zur Aufgabe: für jeden Zugang im Team
- Sperren und Eingabeprüfung, die im Test greifen, mit protokollierten Fehlversuchen
- Ob künftige Angriffe ausnahmslos scheitern, kann niemand voraussagen
Diese Zeichen belegen allein nichts
- HTTPS mit Schloss-Symbol: Verschlüsselt ist nur die Verbindung
- Ein grüner Haken eines Gratis-Online-Checks, der nur von außen prüft und Rechte oder Konten gar nicht kennt
- Ein Sicherheits-Plugin im Auslieferungszustand, nie eingestellt
- Ein sicheres Passwort, das bei einer ehemaligen Agentur noch im Passwortmanager liegt
Tests sind Momentaufnahmen vom Prüftag. In Programmen tauchen laufend neue Lücken auf; Updates und Sicherungen fallen deshalb unter die Wartung.
Was der Betrieb beiträgt: Rollen festlegen, Team umstellen
Die Zugänge werden einmal am Anfang gebraucht. Später sind nur noch drei Beiträge gefragt: Angaben zu Personen, das Umstellen des Teams, deine Entscheidungen.
Zugänge in deiner Hand
Für die Härtung brauche ich Zugang zu allen beteiligten Systemen, vom Hoster über die Domain bis zu Website, Software und Server; auf welchem Weg, entscheidest du. Mich wieder auszusperren, geht jederzeit, auch durch ein neues Passwort.
Angaben zu Personen und Aufgaben
Von dir brauche ich eine Liste der Leute mit Zugriff, intern wie extern, samt ihrer Aufgabe im jeweiligen System. Die Rollen leite ich daraus ab, und wer nicht mehr im Betrieb ist, hat keinen Zugang mehr.
Zweiter Faktor: eigenes Gerät, sichere Codes
Eingerichtet wird der zweite Faktor von jeder Person selbst, per App oder Hardware-Schlüssel. Ich erkläre den Ablauf ein Mal und helfe, wenn etwas nicht geht. Gegen den Verlust eines Handys helfen Notfallcodes, die du sicher verwahren solltest.
Abstimmung, Entscheidungen, IT-Partner
Wie eng abgestimmt wird und ob dir der Schutzplan vor dem Start vorgelegt wird, bestimmst du, ebenso, worauf verzichtet werden muss. Agenturen oder IT-Dienstleister werden einbezogen; an ihren Systemen wird nur mit ihrer Zustimmung getestet oder geändert.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.