Das Passwort ist die einzige Hürde
Ein bekanntes oder erratenes Passwort reicht für den vollen Zugriff. Automatische Programme testen an erreichbaren Anmeldeseiten Passwort um Passwort – und ohne Sperre gibt es dafür keine Grenze.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Celle
Wer Website-Sicherheit für Celle bei mir beauftragt, bekommt Website, Shop und Webanwendungen abgesichert, bevor etwas passiert – mitsamt Servern, Datenbanken und Zugängen im Hintergrund. Automatisierte Anmeldeversuche laufen gegen eine Sperre, und beim Einloggen ist neben dem Passwort ein zweiter Faktor fällig, etwa ein Code auf dem Handy. Jede Rolle erhält nur ihre Rechte, Dateirechte bleiben auf das Nötige beschränkt, und Eingaben prüfe ich, ehe sie in die Datenbank gelangen. Danach sollen Unbefugte keinen Zugang mehr zu Verwaltung und Daten finden. Eine Sicherheit ohne jedes Restrisiko kann ich dir trotzdem nicht versprechen.
Werktags reagiere ich auf deine Anfrage binnen 24 Stunden. Etwa eine Stunde nimmt das Erstgespräch in Anspruch: Welche Systeme setzt du ein, welche Daten liegen darin? Das Gespräch findet per Video oder am Telefon statt – was dir lieber ist. Den Preis erfährst du nach der Bestandsaufnahme und vor Beginn der Arbeit.
Anmeldung, Rechte, Eingaben: was offen steht
Eine Saisonkraft, der frühere Webdesigner und das ganze Team teilen sich ein Admin-Konto – typisch für Systeme, bei denen die Funktion zählte und Schutz nie Thema war. Häufig kommen ein Passwort als einzige Hürde und Formulare ohne Filter dazu. Das gilt für einen Gartenbaubetrieb wie für eine Hautarztpraxis, einen Juwelier, Onlineshops oder Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Ein Admin-Konto für das ganze Team
Saisonkraft, Team und der frühere Webdesigner nutzen ein Konto mit allen Rechten, und auch Ausgeschiedene melden sich noch an. Taucht das Passwort irgendwo auf, sind damit sämtliche Bereiche zugänglich.
Ungeprüfte Eingaben öffnen der SQL-Injection die Tür
Bestellformular, Produktsuche oder Login-Bereich leiten weiter, was eingegeben oder hochgeladen wird. Schmuggelt jemand so einen Datenbankbefehl ein (SQL-Injection) oder lädt Schadcode als Datei hoch, führt ein ungeschütztes System das unter Umständen aus – und Kundendaten können abfließen.
Erfassen · Sperren · Rollen · Abschotten
WordPress, Shop und Software gegen Angriffe absichern
Im Angebot steht, welche Bausteine dein Betrieb braucht.
-
Zugänge
Alle Zugänge erfassen
Ich erstelle eine Liste aller Zugänge, eingeschlossen Datenbank, Server, Hoster und Domain, und notiere zu jedem die Person und ihre Rechte. Zusätzlich prüfe ich, was Außenstehende ohne Anmeldung sehen, etwa Benutzernamen oder Versionsnummern. Diese Erfassung ist die Grundlage für den Schutzplan.
-
Anmeldung
Brute-Force-Schutz mit Anmeldesperre
Nach einigen Fehlversuchen ist die Anmeldung eine Zeit lang gesperrt; Benutzernamen sind von außen nicht mehr auszulesen. Wenn es in deinen Arbeitsalltag passt, kommt nur noch dein Team auf die Anmeldeseite der Verwaltung.
-
Anmeldung
Zwei-Faktor-Authentifizierung fürs Team
Das Passwort allein reicht dann nicht mehr: Dazu kommt ein Code aus einer Handy-App oder ein Hardware-Schlüssel. Genau das rät auch das Bundesamt für Sicherheit in der Informationstechnik für jeden Dienst, der einen zweiten Faktor zulässt. Eingerichtet wird er für alle Team-Konten bei Website, Shop und Software – und bei Hoster und Domain, wenn die das unterstützen. Deine Kundinnen und Kunden melden sich unverändert an.
-
Rollen
Eigene Konten, Rechte nach Rolle
Jede Person bekommt einen persönlichen Zugang, ausgestattet mit genau den Rechten für ihre Aufgabe – Redakteure etwa ohne Admin-Rechte. Gemeinsam genutzte Zugänge löse ich auf und entferne, nach Rücksprache, Altkonten früherer Mitarbeiter oder Agenturen, auch in Datenbank und auf dem Server.
-
Server
Server und Datenbank abschotten
Auf eigenen Servern deaktiviere ich überflüssige Dienste und stelle die Anmeldung von Passwort auf Schlüsseldatei um. Datenbanken lassen nur die Programme zu, die sie brauchen, jedes über ein eigenes Konto mit minimalen Rechten. In einem Hosting-Paket nehme ich die Einstellungen vor, die der Hoster erlaubt.
-
Server
Dateirechte begrenzen
Programme dürfen nur lesen und ändern, was sie brauchen. In Upload-Ordnern wird kein Programmcode mehr ausgeführt, Konfigurationsdateien mit Zugangsdaten sind von außen gesperrt, und den Datei-Editor im Verwaltungsbereich, den zum Beispiel WordPress mitbringt, schalte ich ab.
-
Eingaben
Eingabeprüfung gegen SQL-Injection
Ob Formulareingabe, Suchbegriff oder Upload: Der Server lässt nur durch, was bei Zeichen, Länge und Dateityp zulässig ist. Mit der Datenbank sprechen Programme nur noch über vorbereitete Abfragen (Prepared Statements), damit eine Eingabe nie als Befehl ausgeführt wird. Eigene Software bekommt diese Prüfung von mir eingebaut, Erweiterungen teste ich mit Testeingaben.
Wie läuft das ab?
Website härten: erst testen, dann freischalten
Absprachen treffen wir per Anruf, Mail oder WhatsApp. Ein Arbeitsbeispiel kann ich dir auf Anfrage zeigen, allerdings ohne Kundendaten und Kundenzugänge.
-
Erstgespräch und Bestandsaufnahme
Gemeinsam schauen wir, was unter den Schutz fällt: Website, eigene Software und deine Konten bei Hoster und Domain-Anbieter. Dann prüfe ich, wer sich wo anmeldet und was aus dem Internet erreichbar ist. Ist die Website schon befallen, hat die Hack-Soforthilfe Vorrang.
-
Schutzplan und Festpreis
Nach der Bestandsaufnahme bekommst du ein Angebot zum Festpreis, in dem die zu härtenden Systeme stehen – härten heißt, Unnötiges abzuschalten, offene Stellen zu schließen und Rechte einzuschränken. Mit deiner Zusage entsteht der Schutzplan: Maßnahme je System, Reihenfolge und die Aufgaben für dein Team.
-
Härtung und Gegenproben
Ich richte eine Maßnahme nach der anderen ein, möglichst zuerst auf einer Testkopie, sodass Website und Programme im Betrieb bleiben. Getestet wird jede, bevor sie freigeschaltet ist: Falsche Anmeldungen müssen die Sperre auslösen, unzulässige Formulareingaben müssen abgewiesen werden, und jede Rolle darf nur ihren Bereich sehen. Mit einer Probeanfrage prüfe ich zum Schluss, ob reguläre Anfragen von Kunden noch ankommen.
-
Umstellung und Übergabe
Dein Team wechselt danach auf eigene Zugänge mit zweitem Faktor, und bei Schwierigkeiten helfe ich. Auf Wunsch schreibe ich einen Bericht, was eingerichtet und getestet wurde und was offen ist; eine Rechtsberatung ist er nicht. Er ersetzt auch keinen Penetrationstest, bei dem unabhängige Prüfer einen Angriff versuchen.
Wie lange dauert das?Tage oder Wochen, abhängig von den Systemen
Dauer: von der Härtung bis zur Umstellung
Auf Wunsch planen wir grob nach deinem Bedarf, wann was passiert. Umstellungen, die dein Team betreffen, kündige ich an, und den zweiten Faktor mache ich erst zur Pflicht, wenn alle im Team ihn eingerichtet haben. Feste Termine für das Ende sage ich nicht zu.
- Am StartErstgespräch und Bestandsaufnahme
- Als NächstesSchutzplan und Festpreis
- DannHärtung und Gegenproben
- Am EndeUmstellung und Übergabe
- WeiterhinSchutz im Alltag
Mehr Zeit braucht es, wenn nicht nur eine Website, sondern auch eigene Software, ein eigener Server oder zahlreiche Zugänge dazugehören.
Kein planmäßiger Schutz möglich
Kann ich ein System nicht so absichern wie geplant, melde ich das und schlage dir vor, es zu ersetzen, abzuschotten oder abzuschalten.
Wie es weitergeht, entscheidest du.
Was kostet das?Einmaliger Festpreis ohne Vertragsdauer
Website-Sicherheit Celle: Kosten der Härtung
Die Härtung kostet einen Festpreis; Zugänge und Rechte pflege ich anschließend auf Zuruf oder als Teil der Wartung.
HärtungFestpreis, einmalig
Mit der Härtung gehst du keinen Vertrag mit Laufzeit ein; sie ist ein einmaliger Auftrag.
Zugänge pflegenauf Zuruf oder in der Wartung
Was der Festpreis enthält
Erfassung aller Zugänge, Schutzplan, Einrichtung der Schutzmaßnahmen und alle Tests sind im Festpreis enthalten.
Eingerichtetes bleibt bei dir, und Trennbares läuft auf deinen Namen.
Ein Fehler meinerseits wird ohne neuen Preis behoben.
Erstgespräch, Bestandsaufnahme und Angebot kosten dich nichts und sind unverbindlich.
Lizenzen oder Hardware-Schlüssel führe ich mit ihren Kosten vorher im Angebot auf, gekauft werden sie auf deinen Namen. Ausgenommen sind Rechtsberatung und Zertifizierungen, ebenso deine Büro-IT: Arbeitsplatzrechner, Firmennetz, E-Mail-Postfächer.
Was zusätzlich kostet
Prüft eigene Software Eingaben nicht vor der Datenbank, kostet der Umbau einen eigenen Preis, der im Angebot steht. Im Festpreis enthalten ist dagegen der Ersatz einer Erweiterung (Plugin), für die keine sichere Fassung existiert. Muss eine Funktion mangels sicheren Ersatzes neu gebaut werden, wird das ein eigener Auftrag. Und sperrt sich dein Hoster gegen nötige Einstellungen, ist der Umzug zu einem anderen ohne Aufpreis.
Aufwand: Systeme, Personen, Software
- Anzahl der Systeme, die ich absichere
- Anzahl der Personen und Rollen mit Zugang
- Ob ein Hosting-Paket genutzt wird oder ein eigener Server läuft
- Ob deine Systeme schon Zwei-Faktor-Anmeldung beherrschen
- Ob eigene Software mit Eingabeformularen dabei ist
- Anzahl der Altzugänge, die ich prüfe
Steht der Festpreis nach der Bestandsaufnahme, bleibt er, selbst wenn eine Einstellung aufwendiger wird. Kommen Systeme dazu oder ändert sich das Vereinbarte grundlegend, nenne ich dir die Kosten im Voraus.
Später lege ich auf Zuruf Zugänge für neue Leute mit passenden Rechten an und lösche die von Ausgeschiedenen, jeweils als Einzelauftrag. Ist deine Website bei mir in Wartung & Hosting, gehört das dort schon dazu, genauso wie Updates und Sicherungen. Die Härtung allein zu buchen, geht aber auch.
Sicherheit belegen: mit Tests, nicht mit Noten
Das prüfe ich nach
- Zweiter Faktor und passende Rolle für jeden Zugang deines Teams
- Sperren und Eingabeprüfung im Test, samt Fehlversuchen im Protokoll
- Ob alle künftigen Angriffe scheitern, weiß niemand
Belegen keinen Schutz
- Ein Schloss in der Adresszeile – HTTPS verschlüsselt lediglich die Übertragung
- Eine gute Note eines Gratis-Scanners, der nur die Außenseite prüft, nicht Rechte und Konten
- Ein Sicherheits-Plugin, an dem nie etwas eingestellt wurde
- Ein gutes Passwort, das der frühere Webdesigner immer noch weiß
Was ein Test zeigt, gilt für den Tag, an dem er lief. Neue Programmlücken kommen laufend ans Licht; darum sind Updates und Sicherungen Teil der Wartung.
So bereitest du die Umstellung im Team vor
Die Zugänge brauche ich einmal am Anfang. Was ich danach noch von dir brauche: wer im Team welche Aufgabe hat, deine Mithilfe beim Umstellen und deine Entscheidungen.
Zugänge vergeben
Ob Hoster, Domain, Website, Software oder Server: Wie du mir Zugang gibst, bestimmst du. Mich wieder zu entfernen oder das Passwort zu ändern, geht jederzeit.
Personen, Systeme, Aufgaben
Du sagst mir, wer aus deinem Betrieb und wer von außen auf was zugreift und welche Aufgabe er dort erledigt. So entstehen die Rollen, und wer gegangen ist, hat danach keinen Zugang mehr.
Zweiter Faktor mit eigenem Gerät
Jede Person richtet den zweiten Faktor auf ihrem eigenen Handy oder mit einem Hardware-Schlüssel ein. Einmal erkläre ich, wie das geht; klappt es nicht, helfe ich weiter. Notfallcodes für den Fall eines verlorenen Handys bewahrst du sicher auf.
Abstimmung mit Agentur und IT
Wie eng wir uns abstimmen und was du vorab einsehen möchtest, zum Beispiel den Schutzplan, bestimmst du; ebenso, was wegfallen muss. Sind Agentur oder IT-Dienstleister beteiligt, hole ich sie dazu; Eingriffe und Tests an ihren Systemen gibt es nur mit ihrem Okay.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.