Anmeldung ohne zweite Hürde
Ein geratenes oder irgendwo aufgeschnapptes Passwort reicht, um alles zu verwalten. Automatisierte Programme hämmern auf erreichbare Anmeldeseiten ein, Passwort für Passwort; eine Sperre, die das beendet, fehlt.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Lüneburg
Damit erst gar nichts passiert, biete ich Website-Sicherheit für Lüneburg als Vorsorge an: Website, Shop und Webanwendungen werden geschützt, dazu Server, Datenbanken und alle Zugänge, die daran hängen. Erst kommt die Anmeldung: Sie verlangt außer dem Passwort noch einen Handy-Code oder Hardware-Schlüssel als zweiten Faktor, und eine Sperre bremst automatisierte Versuche aus. Dann die Rechte: Jede Rolle bekommt ihre eigenen, Dateirechte bleiben auf das Nötige begrenzt. Und keine Eingabe gelangt ungeprüft in die Datenbank. Wer nicht berechtigt ist, soll anschließend weder Daten noch Verwaltung erreichen. Eine Sicherheit von hundert Prozent kann es nicht geben.
Schreibst du mir, kommt meine Antwort werktags innerhalb von 24 Stunden. Das rund einstündige Erstgespräch klärt, mit welchen Programmen du arbeitest und was für Daten darin stecken. Wir sprechen per Video oder am Telefon, ganz wie du möchtest. Den Preis nenne ich nach der Bestandsaufnahme, vor dem Start.
Warum Zugänge, Login und Formulare so oft Angriffsfläche bieten
Der Fotograf, der vor zwei Jahren die Zimmerbilder hochgeladen hat, besitzt noch immer einen Admin-Zugang. Eingerichtet wurde damals, damit alles läuft; an Schutz dachte niemand. Meist ist ein Passwort die einzige Hürde, und Formulare lassen jede Eingabe durch. Das gilt für Bäckerei und Hausarztpraxis genauso wie für die Modeboutique in der Altstadt, für Onlineshops und für Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Alte Zugänge, die keiner löscht
Fotograf, Ferienaushilfe und Inhaberin teilen ein Konto mit vollen Rechten. Wer längst nicht mehr für den Betrieb arbeitet, kommt weiterhin hinein. Kennt ein Fremder dieses Passwort, ist jeder Bereich für ihn erreichbar.
SQL-Injection durch Formulare ohne Kontrolle
Was in Buchungsanfrage, Suchfeld oder Kundenportal landet, geht ohne Prüfung weiter. Ein eingeschleuster Datenbankbefehl, die sogenannte SQL-Injection, oder eine Datei, in der Schadcode steckt, kann dann auf einem ungeschützten System laufen und Kundendaten preisgeben.
Erfassen · Rollen · Server · Login
So wird abgesichert: WordPress, Shop und Software
Erst die Bestandsaufnahme, dann das Angebot: Darin steht, was du davon brauchst.
-
Zugänge
Erst alle Zugänge auf den Tisch
Erst einmal kommen alle Zugänge auf den Tisch, ob Website, Datenbank, Server, Hoster oder Domain, jeweils mit der Person und ihren Rechten. Dann sehe ich mir an, was von außen ohne Anmeldung zu erkennen ist, etwa sichtbare Benutzernamen oder Versionsnummern. Auf diese Liste stützt sich der Schutzplan.
-
Rollen
Ein Konto pro Person, Rechte nach Rolle
Jede Person bekommt ein persönliches Konto, und dessen Rechte richten sich nach der Aufgabe; die Rezeption etwa pflegt Zimmerpreise ohne Admin-Rechte. Konten, die sich mehrere teilen, löse ich auf, und Zugänge früherer Mitarbeiter oder Dienstleister entferne ich nach Rücksprache, die Datenbank und den Server eingeschlossen.
-
Server
Server dicht, Datenbank nur für Berechtigte
Erst schalte ich auf einem eigenen Server ab, was nicht gebraucht wird, dann stelle ich die Anmeldung auf Schlüsseldatei statt Passwort um. Die Datenbank sprechen nur Programme an, die sie brauchen, jedes mit eigenem Konto und den kleinstmöglichen Rechten. Bei einem Hosting-Paket richte ich ein, was der Hoster zulässt.
-
Anmeldung
Brute-Force-Schutz: erst Fehlversuche, dann Pause
Nach einigen falschen Anmeldungen ist erst einmal Schluss: Die Anmeldung pausiert für eine Weile. Benutzernamen sieht von außen niemand mehr, und wenn es zu deinem Alltag passt, bleibt die Anmeldeseite der Verwaltung deinem Team vorbehalten.
-
Anmeldung
Login mit zweitem Faktor
Erst das Passwort, dann ein zweiter Nachweis: eine Zahl aus der Authenticator-App auf dem Handy oder ein Hardware-Schlüssel. Laut Bundesamt für Sicherheit in der Informationstechnik ist das ratsam, wo immer ein Dienst es erlaubt. Für alle Team-Zugänge bei Website, Shop und Software kommt er dazu, und bei Hoster und Domain-Anbieter auch, wenn sie es unterstützen. Für Gäste und Kunden bleibt die Anmeldung unverändert.
-
Eingaben
Eingabeprüfung als Schutz vor SQL-Injection
Erst die Kontrolle, dann die Verarbeitung: Was über Formular, Suchfeld oder Upload kommt, muss auf dem Server bei Zeichen, Länge und Dateityp passen. An die Datenbank gehen Eingaben ausschließlich als Teil vorbereiteter Abfragen (Prepared Statements), nie als Befehl. Bei eigener Software gehört das zu meiner Umsetzung, bei Erweiterungen zu meinen Tests mit bewusst falschen Eingaben.
-
Server
Dateirechte auf das Minimum
Ein Programm darf nur an die Dateien, mit denen es arbeitet. In Upload-Ordnern kann kein Code starten, Konfigurationsdateien mit Zugangsdaten sind für Außenstehende nicht zu öffnen, und bei WordPress schalte ich den Datei-Editor der Verwaltung ab.
Wie läuft das ab?
Härten in vier Schritten, mit Test vor jeder Freigabe
Wir stimmen uns per WhatsApp, E-Mail oder Telefon ab. Arbeitsbeispiele zeige ich dir gern, wenn du fragst; Kundendaten und Zugänge meiner Kunden bleiben dabei außen vor.
-
Umfang klären, Bestand aufnehmen
Erst legen wir fest, was abgesichert wird: Website, eigene Software, außerdem die Logins bei Hoster und Domain-Anbieter. Dann ermittle ich, wer sich an welchen Stellen anmeldet und welche Teile von außen offen zugänglich sind. Ist schon etwas befallen, kümmern wir uns zuerst mit der Hack-Soforthilfe darum.
-
Angebot mit Festpreis, dann Schutzplan
Dann folgt das Angebot zum Festpreis; es nennt jedes System, das gehärtet wird. Härten heißt dabei: abschalten, was keiner nutzt, zumachen, was offen ist, und begrenzen, wer was darf. Erst wenn du zusagst, schreibe ich den Schutzplan: welche Maßnahme für welches System, wann sie drankommt und welche Aufgabe dein Team bekommt.
-
Härten mit Gegenprobe
Dann setze ich die Maßnahmen um, eine nach der anderen, wenn möglich erst auf einer Testkopie; der Betrieb läuft so weiter. Erst nach bestandenem Test wird eine Maßnahme freigeschaltet: Bei absichtlich falschen Anmeldungen muss die Sperre greifen, unzulässige Eingaben müssen abgewiesen werden, und keine Rolle darf über ihren Bereich hinaussehen. Ob echte Kunden noch durchkommen, zeigt am Ende eine Testanfrage.
-
Umstellung, dann Übergabe
Erst zieht dein Team auf persönliche Logins mit zweitem Faktor um; klappt etwas nicht, helfe ich. Dann gibt es auf Wunsch einen Bericht über alle Maßnahmen, ihre Testergebnisse und noch offene Punkte. Rechtsberatung steckt darin keine. Und wer einen Penetrationstest braucht, also einen Angriff durch unabhängige Prüfer zur Probe, bekommt ihn damit nicht.
Wie lange dauert das?Erst Tage, bei mehr Systemen auch Wochen
Wann Härtung und Umstellung fertig sind
Ob wir einen ungefähren Zeitplan aufstellen, entscheidest du; er richtet sich dann nach deinem Bedarf. Dein Team weiß vorher, was sich ändert, und den zweiten Faktor schalte ich erst verpflichtend, wenn jede Person ihn hat. Feste Dauer: keine Zusage.
- ErstErstgespräch, Bestandsaufnahme
- DannSchutzplan, Festpreis
- DanachHärtung und Tests
- ZuletztUmstellung, Übergabe
- Von da anSchutz im Betrieb
Mit eigener Software, einem eigenen Server oder vielen Zugängen braucht es mehr Zeit als bei einer einzelnen Website.
Wenn ein System nicht mitspielt
Erst sage ich dir, dass ein System sich nicht wie geplant absichern lässt, dann bekommst du drei Vorschläge: ersetzen, abschotten oder abschalten.
Was davon geschieht, bestimmst du.
Was kostet das?Einmal Festpreis, kein Folgevertrag
Website-Sicherheit Lüneburg: Kosten, Festpreis, Ausnahmen
Erst die Härtung zum Festpreis. Später kommen manchmal Leute dazu oder gehen; die Zugänge passe ich dann auf Zuruf an, bei Websites in meiner Wartung über die Wartung.
HärtungFestpreis, einmalig
Die Härtung endet mit der Übergabe; einen Vertrag mit Laufzeit gibt es nicht.
Zugänge pflegenauf Zuruf oder in der Wartung
Enthalten im Festpreis
Erfasst werden alle Zugänge, danach Schutzplan, Einrichten der Maßnahmen und sämtliche Tests: alles im Festpreis.
Was ich einrichte, bleibt deins, und abtrennbare Konten führe ich auf deinen Namen.
Für einen Fehler meinerseits zahlst du nichts extra; ich behebe ihn.
Kostenlos und ohne Bindung bleiben Erstgespräch, Bestandsaufnahme und Angebot.
Für Lizenzen oder Hardware-Schlüssel steht der Preis vorab im Angebot, und Eigentümer wirst du. Nicht zur Leistung gehören Rechtsberatung und Zertifizierungen, auch nicht die Büro-IT mit Rechnern, Netz und Mail.
Extra: Umbau, Neubau, Umzug
Erst prüfe ich, ob deine eigene Software Eingaben vor der Datenbank kontrolliert; fehlt das, steht der Umbau gesondert im Angebot. Plugins ohne sichere Fassung auszutauschen, steckt dagegen im Festpreis. Eine Funktion ohne sicheren Ersatz neu zu entwickeln, vereinbaren wir separat als eigenen Auftrag. Und macht der Hoster nötige Einstellungen unmöglich, ist der Umzug woandershin ohne Aufpreis.
Was den Aufwand ausmacht
- Wie viele Systeme geschützt werden
- Wie viele Personen in welchen Rollen Zugang brauchen
- Ob ein eigener Server läuft oder ein Hosting-Paket
- Ob deine Systeme den zweiten Faktor bereits anbieten
- Ob eigene Software mit Formularen eine Rolle spielt
- Wie viele frühere Zugänge zu prüfen sind
Nach der Bestandsaufnahme gibt es einen festen Preis, und der bleibt, egal wie viel Mühe eine einzelne Einstellung macht. Erst wenn Systeme dazukommen oder sich Abgesprochenes grundlegend ändert, wird es teurer, und das sage ich dir vorher.
Wer später neu ins Team kommt, bekommt auf Zuruf einen Zugang mit den passenden Rechten, und wer geht, verliert ihn; beides ist jeweils ein eigener Auftrag. Ist die Website Teil meiner Wartung & Hosting, ist das inklusive, Updates und Sicherungen auch. Die Härtung allein geht ebenfalls.
Echte Tests statt hübscher Prüfnoten
Prüfung in drei Punkten
- Hat jedes Teammitglied einen zweiten Faktor und eine passende Rolle?
- Greifen Sperren und Eingabeprüfung bei meinen Tests, und landen Fehlversuche im Protokoll?
- Wie sich ein Angriff von morgen verhält, weiß heute niemand
Sieht nach Schutz aus, belegt ihn aber nicht
- Ein Schloss in der Browserleiste, denn HTTPS sorgt nur für eine verschlüsselte Verbindung
- Eine gute Note von einem Gratis-Scanner, der nur die Außenseite betrachtet und von Konten oder Rechten nichts weiß
- Ein Sicherheits-Plugin, bei dem nach der Installation nichts eingestellt wurde
- Ein langes Passwort, mit dem auch der frühere Fotograf noch hineinkommt
Ein Test hält nur fest, was am Prüftag stimmt. Neue Programmlücken werden ständig gefunden; Updates und Sicherungen sind deshalb Teil der Wartung.
Erst die Rollen, dann die Umstellung: so bereitest du den Zugriffsschutz vor
Erst die Zugänge, einmal zu Beginn. Später zählen nur noch Angaben zu Personen, die Mithilfe deines Teams beim Umstieg und deine Entscheidungen.
Zugänge: einmal geben, jederzeit zurücknehmen
Ob Website, Software, Server, Hoster oder Domain: Die Zugänge bekomme ich auf dem Weg, den du wählst. Zurücknehmen kannst du sie jederzeit, auch einfach per neuem Passwort.
Wer braucht welches System?
Erst erfahre ich von dir, welche Leute im Betrieb und außerhalb mit welchem System arbeiten und wofür; daraus entstehen dann die Rollen. Ausgeschiedene bleiben danach draußen.
Einrichtung des zweiten Faktors
Jede Person verbindet ihren eigenen zweiten Faktor mit ihrem Konto, per Handy-App oder Hardware-Schlüssel. Einmal erkläre ich den Ablauf, danach helfe ich bei Fragen. Für ein verlorenes Handy braucht es Notfallcodes; die bewahrst du sicher auf.
Abstimmen und entscheiden
Erst entscheidest du, wie oft wir uns abstimmen und ob der Schutzplan vorab zu dir geht, später, was wegfallen darf. Gibt es einen IT-Dienstleister oder eine Agentur, kommen sie mit dazu; an deren Systemen arbeite und teste ich nur, wenn sie einverstanden sind.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.