Nur ein Passwort schützt die Anmeldung
Ist das Passwort bekannt oder erraten, ist der Weg ins System frei. Programme probieren an jeder erreichbaren Anmeldeseite automatisch Passwörter durch, und solange keine Sperre greift, beliebig oft.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit in Gifhorn
Website-Sicherheit in Gifhorn bedeutet bei mir: Website, Shop und Webanwendungen vorbeugend absichern, bevor etwas passiert – und dabei die Server, Datenbanken und Zugänge im Hintergrund mitnehmen. Was in Formulare eingegeben wird, prüfe ich, bevor es in die Datenbank gelangt; Dateirechte reduziere ich auf das Nötigste, Rechte verteile ich nach Rolle. Für die Anmeldung kommen ein zweiter Faktor, zum Beispiel ein Code auf dem Handy, und Sperren gegen automatisierte Versuche dazu. Daten und Verwaltung sollen danach nur noch für Berechtigte erreichbar sein. Hundertprozentigen Schutz kann dir dabei niemand versprechen, auch ich nicht.
Innerhalb von 24 Stunden bekommst du werktags eine Antwort auf deine Anfrage. Im etwa einstündigen Erstgespräch geht es darum, welche Systeme dein Betrieb einsetzt und welche Daten darin gespeichert sind. Wir sprechen per Video oder telefonisch, ganz wie du magst. Erst kommt die Bestandsaufnahme, dann der Preis – und beides, bevor ich mit der Arbeit beginne.
Drei Stellen, an denen Systeme offen sind
Ein Terminformular, das jede Eingabe ungefiltert an die Datenbank durchreicht, zeigt das Grundproblem: Bei der Einrichtung zählte, dass alles funktioniert, an Schutz hat keiner gedacht. Dazu kommen ein Passwort als einzige Hürde und Zugänge mit viel zu vielen Rechten. Ob Kfz-Werkstatt, Augenarztpraxis, Schuhgeschäft, Onlineshop oder Zulieferer mit Kundenportal – überall zeigt sich dasselbe Bild.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Gemeinsamer Zugang mit allen Rechten
Aushilfe, Azubi und die frühere Agentur arbeiten mit demselben Konto und vollen Rechten; wer längst nicht mehr dabei ist, kann sich noch anmelden. Gelangt dieses eine Passwort nach draußen, ist jeder Bereich zugänglich.
Ungeprüfte Eingaben und SQL-Injection
Terminbuchung, Rückrufformular oder Datei-Upload reichen alles durch, was jemand eintippt oder hochlädt. Ein eingeschmuggelter Datenbankbefehl – das nennt man SQL-Injection – oder eine Datei voller Schadcode wird von einem ungeschützten System womöglich ausgeführt; im schlimmsten Fall gelangen so Kundendaten nach draußen.
Bestand · Eingaben · Dateien · Login
Absichern, was du nutzt: WordPress, Shop, Software
Im Angebot steht, welche dieser Bausteine du brauchst.
-
Zugänge
Erfassung: wer worauf Zugriff hat
In meine Liste kommt jeder Zugang – zur Website ebenso wie zu Datenbank, Server, Hoster und Domain –, zusammen mit der Person, die ihn nutzt, und ihren Rechten. Dazu schaue ich, was ein Fremder ohne Anmeldung zu sehen bekommt: Benutzernamen etwa oder Versionsnummern. Aus dieser Erfassung entsteht der Schutzplan.
-
Eingaben
SQL-Injection verhindern: Eingaben prüfen
Alles, was in Formulare, Suchfelder oder Uploads gelangt, prüft der Server auf erlaubte Zeichen, passende Länge und zulässige Dateiart. Die Datenbank erhält Eingaben ausschließlich über vorbereitete Abfragen (Prepared Statements); als Befehl ausgeführt werden sie so nie. In deine eigene Software baue ich diese Prüfung ein, Erweiterungen kontrolliere ich mit Testeingaben.
-
Server
Dateirechte nur so weit wie nötig
Jedes Programm kommt nur an die Dateien heran, die es zum Lesen oder Ändern tatsächlich braucht. Was in Upload-Ordnern landet, kann dort nicht als Programm starten; Konfigurationsdateien, in denen Zugangsdaten stehen, bleiben für Außenstehende gesperrt. Den eingebauten Datei-Editor der Verwaltung, den etwa WordPress hat, deaktiviere ich.
-
Anmeldung
Zwei-Faktor-Authentifizierung einrichten
Zum Passwort kommt ein zweiter Beweis, dass wirklich du es bist – etwa eine Zahlenfolge vom Smartphone oder ein Hardware-Schlüssel. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt den zweiten Faktor für jeden Dienst, der ihn anbietet. Einrichten werde ich ihn für dein Team bei Website, Shop und Software – und, sofern Hoster und Domain-Anbieter es erlauben, auch dort. Deine Kunden loggen sich weiter ein wie immer.
-
Anmeldung
Brute-Force-Schutz gegen Rateversuche
Wer mehrmals das falsche Passwort eingibt, wird für einige Zeit ausgesperrt, und Benutzernamen bleiben von außen verborgen. Lässt es sich mit deinem Alltag vereinbaren, sperre ich die Anmeldeseite der Verwaltung für alle außer deinem Team.
-
Rollen
Rollen statt Vollzugriff für alle
Jede Person im Team erhält ihren persönlichen Zugang, zugeschnitten auf das, was sie tun muss – eine Aushilfe für Beiträge etwa ohne Admin-Rechte. Gemeinsame Zugänge verschwinden; Konten von Ehemaligen oder einer früheren Agentur lösche ich nach Rücksprache mit dir, in Datenbank und Server genauso.
-
Server
Server und Datenbanken nach außen schließen
Betreibst du einen eigenen Server, kommt alles Unnötige weg, und angemeldet wird sich per Schlüsseldatei statt Passwort. Datenbanken sind nur für die Programme erreichbar, die sie benötigen, und jedes nutzt ein eigenes Konto mit minimalen Rechten. Im Hosting-Paket gehe ich so weit, wie der Hoster mich lässt.
Wie läuft das ab?
Härten mit Probe: jede Maßnahme vorher getestet
Abstimmen können wir uns am Telefon, per Mail oder über WhatsApp. Möchtest du ein Arbeitsbeispiel sehen, bekommst du eins – ohne Daten oder Zugänge meiner Kunden.
-
Erstgespräch und Bestandsaufnahme
Zuerst legen wir fest, was ich absichere – Website, eigene Software, außerdem deine Konten beim Hoster und beim Domain-Anbieter. Anschließend kläre ich zwei Fragen: Wer meldet sich wo an? Und welche Systeme sind von außen über das Internet erreichbar? Ist die Website bereits befallen, beginnen wir mit der Hack-Soforthilfe.
-
Schutzplan und Preis
Du bekommst ein Festpreisangebot mit allen Systemen, die gehärtet werden. Härten bedeutet, Unnötiges abzuschalten, Lücken zu schließen und Zugriffe einzuschränken. Sagst du zu, entsteht der Schutzplan. Er legt fest, was an jedem System passiert, in welcher Abfolge, und was dein Team selbst erledigt.
-
Härtung und Gegenproben
Umgesetzt wird Schritt für Schritt – wo es geht, erst an einer Testkopie, sodass der laufende Betrieb nicht stillsteht. Gültig wird eine Maßnahme erst nach meinem Test: Fehlanmeldungen, bis die Sperre auslöst; Formulareingaben, die abgewiesen werden müssen; ein Blick darauf, was jede Rolle sieht. Zuletzt schicke ich eine Testanfrage ab, um zu prüfen, ob Anfragen von Kunden weiterhin ankommen.
-
Umstellung und Übergabe
Zum Schluss arbeitet dein Team mit eigenen Zugängen und zweitem Faktor; wo es hakt, helfe ich. Einen Bericht über Eingerichtetes, Getestetes und Offenes gibt es auf Wunsch; Rechtsberatung ist das nicht. Auch einen Penetrationstest – einen Angriffsversuch durch unabhängige Prüfer – ersetzt er nicht.
Wie lange dauert das?Je nach Umfang Tage bis Wochen
Wie viel Zeit Härtung und Umstellung brauchen
Einen ungefähren Zeitplan stimmen wir auf Wunsch nach deinem Bedarf ab. Umstellungen, die dein Team spüren wird, kündige ich vorher an; verpflichtend wird der zweite Faktor erst, wenn ihn alle eingerichtet haben. Eine verbindliche Gesamtdauer gibt es von mir nicht.
- Zu BeginnErstgespräch und Bestandsaufnahme
- Im AnschlussSchutzplan und Preis
- DannHärtung mit Tests
- Zum AbschlussUmstellung, Übergabe
- DauerhaftSchutz im Alltag
Länger dauert es, wenn neben der Website noch eigene Software, ein selbst betriebener Server oder eine große Zahl an Zugängen dazukommt.
Wenn ein System nicht abzusichern ist
Gelingt es nicht, ein System wie geplant abzusichern, erfährst du das von mir, zusammen mit dem Vorschlag, es zu ersetzen, abzuschotten oder abzuschalten.
Welcher Weg es wird, entscheidest du.
Was kostet das?Einmal beauftragen, keine Bindung
Website-Sicherheit Gifhorn: Kosten als Festpreis
Für die Härtung zahlst du einen Festpreis. Um spätere Änderungen an Zugängen und Rechten kümmere ich mich auf Zuruf – oder in der Wartung, wenn ich deine Website ohnehin warte.
HärtungFestpreis, einmalig
Ein Vertrag mit Laufzeit entsteht aus der Härtung nicht; sie ist ein einmaliger Auftrag.
Zugänge pflegenauf Zuruf oder in der Wartung
Inklusive: Zugänge, Schutzplan, Tests
Im Festpreis enthalten sind die Erfassung aller Zugänge, der Schutzplan, die Einrichtung der Schutzmaßnahmen und die Tests.
Was ich einrichte, verbleibt bei dir; was trennbar ist, läuft auf deinen Namen.
Geht bei meiner Arbeit etwas schief, bringe ich es ohne neuen Preis in Ordnung.
Erstgespräch, Bestandsaufnahme und Angebot? Kostenlos und ohne jede Verpflichtung.
Lizenzen oder Hardware-Schlüssel tauchen mit ihrem Preis vorab im Angebot auf und werden auf deinen Namen gekauft. Außen vor bleiben Rechtsberatung, Zertifizierungen und deine Büro-IT – Arbeitsplätze, Firmennetz, E-Mail-Postfächer.
Extra: eigene Software ohne Eingabeprüfung
Reicht deine eigene Software Eingaben ungeprüft an die Datenbank weiter, steht der nötige Umbau mit eigenem Preis im Angebot. Den Austausch einer Erweiterung (Plugin), für die es keine sichere Fassung gibt, übernehme ich dagegen im Festpreis. Fehlt für eine Funktion ein sicherer Ersatz, wird ihr Neubau zu einem eigenen Auftrag. Und blockiert dein Hoster nötige Einstellungen, ziehe ich die Website ohne Aufpreis um.
Davon hängt der Aufwand ab
- Wie viele Systeme ich absichere
- Wie viele Personen mit welchen Rollen Zugang brauchen
- Hosting-Paket oder eigener Server
- Ob deine Systeme einen zweiten Faktor bereits unterstützen
- Ob eigene Software mit Formularen beteiligt ist
- Wie viele alte Zugänge ich prüfen muss
Mit der Bestandsaufnahme ist der Festpreis klar, und dabei bleibt es, selbst wenn eine Einstellung länger dauert. Kommen Systeme dazu oder ändert sich Abgesprochenes grundlegend, erfährst du die Mehrkosten vorab.
Brauchen neue Leute später einen Zugang mit passenden Rechten oder muss ein Zugang von jemandem weg, der nicht mehr dabei ist, erledige ich das auf Zuruf als einzelnen Auftrag. Warte ich deine Website, steckt das schon in Wartung & Hosting, ebenso Updates und Sicherungen. Die Härtung lässt sich aber auch allein beauftragen.
Website-Sicherheit testen statt benoten
Was ich kontrolliere
- Ob jeder Team-Zugang mit zweitem Faktor und passender Rolle eingerichtet ist
- Ob Sperren und Eingabeprüfung im Test greifen und Fehlversuche protokolliert werden
- Wie künftige Angriffe ablaufen, kann niemand voraussagen
Kein Beleg für Schutz
- Das Schloss im Browser: HTTPS sichert nur den Weg der Daten
- Eine Bestnote von einem Gratis-Scanner im Netz – er kennt nur die Außenansicht, von Rechten und Konten weiß er nichts
- Ein Sicherheits-Plugin, dessen Einstellungen nie jemand angefasst hat
- Gute Passwörter, die ein früherer Dienstleister bis heute kennt
Ein Test ist eine Momentaufnahme. In Programmen werden ständig neue Lücken bekannt – Updates und Sicherungen sind deshalb Aufgabe der Wartung.
Was du für den Zugriffsschutz beiträgst
Die Zugänge brauche ich einmal, gleich zu Beginn. Was danach noch von dir kommt: Angaben zu Personen, die Umstellung im Team und deine Entscheidungen.
Zugänge zu Systemen, Hoster und Domain
Für Website, Software, Server, Hoster und Domain bekomme ich Zugang auf dem Weg, der dir am liebsten ist. Du kannst mich jederzeit wieder entfernen oder schlicht das Passwort ändern.
Personen und ihre Aufgaben
Nenne mir, wer intern und extern auf welche Systeme zugreift und was er dort zu tun hat. Daraus entstehen die Rollen; Leute, die nicht mehr dabei sind, verlieren ihren Zugang.
Zweiter Faktor, Notfallcodes
Den zweiten Faktor richtet jede Person selbst ein, mit dem eigenen Handy oder einem Hardware-Schlüssel. Ich erkläre einmal, wie es geht, und helfe bei Problemen. Die Notfallcodes für ein verlorenes Handy hebst du an einem sicheren Ort auf.
Entscheidungen bei dir, Absprache mit der IT
Wie eng wir uns abstimmen und ob du zum Beispiel den Schutzplan vorab sehen willst, legst du fest; was wegfallen muss, entscheidest du. Gibt es eine Agentur oder einen IT-Dienstleister, sitzen sie mit am Tisch; an ihren Systemen teste oder ändere ich nichts ohne ihr Einverständnis.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.