Login nur per Passwort
Was braucht ein Angreifer? Nur das Passwort, erraten oder irgendwo erbeutet. An erreichbaren Anmeldeseiten testen Programme automatisch Passwort für Passwort, und ohne Sperre hält sie nichts auf.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Oldenburg
Website-Sicherheit für Oldenburg: Ich mache Website, Shop und Webanwendungen vorbeugend dicht, bevor jemand eine Lücke findet, und nehme Server, Datenbanken und Zugänge gleich mit. Was gehört dazu? Ein zweiter Faktor beim Anmelden, zum Beispiel ein Code vom Handy, und eine Sperre, an der automatisierte Versuche abprallen. Jede Rolle bekommt nur ihre Rechte, Dateien nur die nötigen Rechte, und jede Eingabe wird geprüft, bevor sie in der Datenbank ankommt. Am Ende führt kein ungesicherter Pfad mehr zu Daten oder Verwaltung. Dass ein Angreifer nie einen Weg findet, verspreche ich trotzdem nicht.
Auf deine Anfrage bekommst du werktags innerhalb von 24 Stunden eine Rückmeldung. Im Erstgespräch, etwa eine Stunde, geht es um zwei Fragen: Welche Systeme nutzt dein Betrieb, und welche Daten liegen darin? Ob per Video oder am Telefon, entscheidest du. Sobald die Bestandsaufnahme durch ist, nenne ich dir den Preis, noch bevor ich etwas ändere.
Woran es beim Schutz von Login, Rechten und Formularen hapert
Der Werkstudent, der die Website mit aufgebaut hat, arbeitet längst woanders, sein Admin-Login funktioniert noch. Das passiert, wenn Website, Shop oder Programm auf Funktion statt auf Schutz eingerichtet wurden. Meist hängt die Anmeldung dann an einem einzigen Passwort, und Formulare filtern nichts. Ob Tischlerei, Psychotherapiepraxis, Fahrradladen, Onlineshop oder Zulieferer mit Kundenportal: Das Muster wiederholt sich.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Ein Konto für Team, Ehemalige und Dienstleister
Team, früherer Werkstudent und die Agentur von damals arbeiten mit demselben Konto, das alles darf. Wer gegangen ist, kommt weiter hinein. Wird dieses Passwort bekannt, hat ein Angreifer überall Zutritt.
SQL-Injection: Formulare ohne Prüfung
Anmeldeformular für Kurse, Suche im Shop oder Kundenportal nehmen alles an, was getippt oder hochgeladen wird. Was, wenn darin ein Datenbankbefehl steckt (SQL-Injection) oder eine Schadcode-Datei? Auf einem ungeschützten System kann so etwas tatsächlich laufen, und Kundendaten gehen nach draußen.
Bestand · Sperre · Rollen · Prüfung
Website absichern: WordPress, Shop und Software im Einzelnen
Was dein Betrieb davon braucht, legen wir im Angebot fest.
-
Zugänge
Wer hat wo Zugang? Die Bestandsliste
Ich erfasse jeden Zugang mit der Person dahinter und ihren Rechten, bei Website und Shop ebenso wie bei Datenbank, Server, Hoster und Domain. Was sieht ein Fremder, ohne sich anzumelden? Auch das prüfe ich, etwa ob Benutzernamen oder Versionsnummern offen sichtbar sind. Auf dieser Grundlage entsteht der Schutzplan.
-
Anmeldung
Brute-Force-Schutz mit Zeitsperre
Bei mehreren Fehlversuchen hintereinander macht die Anmeldung eine Weile dicht. Benutzernamen sind dann von außen nicht mehr abzulesen. Und wenn es deinen Alltag nicht stört, schränke ich den Zugriff auf die Anmeldeseite der Verwaltung auf dein Team ein.
-
Rollen
Rechte nach Rolle, Konto pro Person
Wer was darf, hängt an der Aufgabe: Jede Person bekommt ein eigenes Konto mit genau diesen Rechten, die Aushilfe an der Kasse etwa ohne Admin-Rechte. Gemeinsame Konten löse ich auf. Zugänge von früheren Mitarbeitern oder Agenturen nehme ich nach Rücksprache heraus, in Datenbank und auf dem Server genauso.
-
Eingaben
Eingaben serverseitig prüfen gegen SQL-Injection
Jede Eingabe, ob aus Formular, Suchfeld oder Upload, muss auf dem Server eine Prüfung bestehen: erlaubte Zeichen, passende Länge, zulässiger Dateityp. Zur Datenbank geht sie nur über vorbereitete Abfragen, die sogenannten Prepared Statements, und kann dort nicht als Befehl laufen. In eigene Software des Betriebs baue ich die Prüfung ein; Erweiterungen prüfe ich, indem ich ihnen gezielt falsche Eingaben schicke.
-
Anmeldung
Zwei-Faktor-Authentifizierung
Zum Passwort gehört dann ein zweiter Nachweis: ein Einmalcode aus der Handy-App oder ein Hardware-Schlüssel. Das BSI, also die Bundesbehörde für Informationssicherheit, empfiehlt das überall dort, wo ein Dienst es anbietet. Eingerichtet wird er für alle Konten deines Teams bei Website, Shop und Software, wo machbar auch für Hoster und Domain. Wer bei dir als Kunde ein Konto hat, meldet sich weiter wie gewohnt an.
-
Server
Dateirechte nach dem Mindestprinzip
Was ein Programm lesen oder ändern darf, beschränke ich auf seine eigenen Dateien. Ein Upload-Ordner ist kein Ort mehr, an dem Programmcode starten kann. Zugangsdaten in Konfigurationsdateien sind von außen nicht abrufbar. Und WordPress verliert seinen eingebauten Datei-Editor im Backend.
-
Server
Weniger Angriffsfläche auf Server und Datenbank
Auf einem eigenen Server bleibt nur aktiv, was gebraucht wird; anmelden kann man sich dort nur noch mit Schlüsseldatei, ein Passwort reicht nicht mehr. Die Datenbank nimmt nur Verbindungen von den Programmen an, die sie brauchen; jedes Programm hat dafür ein eigenes Konto, das nur das Nötigste darf. Bei einem Hosting-Paket ist der Rahmen das, was der Hoster einstellen lässt; den schöpfe ich aus.
Wie läuft das ab?
Jede Maßnahme erst getestet, dann eingeschaltet: der Ablauf
Wie wir uns abstimmen? Am Telefon, über WhatsApp oder per Mail. Fragst du nach einem Arbeitsbeispiel, bekommst du eins zu sehen, aber ohne Kundendaten und ohne Zugänge meiner Kunden.
-
Bestandsaufnahme: was, wer, wo?
Im Gespräch klären wir, was abgesichert wird: Website, eigene Software und dein Konto beim Hoster sowie beim Domain-Anbieter. Im Anschluss gehe ich jede Anmeldung durch und prüfe, welche Teile deiner Systeme von außen erreichbar sind. Und wenn die Website schon befallen ist? Dann kommt erst die Hack-Soforthilfe.
-
Angebot und Schutzplan
Härten bedeutet: Überflüssiges geht aus, Lücken gehen zu, Rechte werden knapper. Welche Systeme das betrifft, steht im Festpreisangebot. Sagst du zu, schreibe ich den Schutzplan: Welche Maßnahme kommt an welches System, in welcher Reihenfolge, und was muss dein Team tun?
-
Einrichten, testen, freigeben
Die Maßnahmen kommen nacheinander, wenn möglich zuerst auf eine Testkopie, damit dein Betrieb nicht stillsteht. Bevor eine Maßnahme für alle gilt, teste ich sie: Provoziere ich Fehlanmeldungen, muss die Sperre greifen; schicke ich unzulässige Eingaben ab, müssen sie abprallen; und keine Rolle bekommt mehr zu sehen, als für sie gedacht ist. Eine Testanfrage am Schluss zeigt, ob echte Kunden noch durchkommen.
-
Umstieg und Bericht
Jetzt zieht jedes Teammitglied auf ein eigenes Konto mit zweitem Faktor um, und ich unterstütze, wo es nötig ist. Möchtest du einen Bericht über das Eingerichtete, die Tests und offene Punkte? Bekommst du; eine Rechtsberatung ist er nicht. Ein Penetrationstest, bei dem unabhängige Fachleute versuchen einzubrechen, ist damit nicht ersetzt.
Wie lange dauert das?Tage oder Wochen, je nachdem, was abzusichern ist
Wie lange dauert es, bis der Schutz steht?
Einen ungefähren Zeitplan nach deinem Bedarf? Gern, wenn du ihn willst. Umstellungen, die dein Team spürt, kündige ich vorher an. Der zweite Faktor bleibt freiwillig, bis ihn jede Person eingerichtet hat; erst dann wird er Pflicht. Wie lange es am Ende dauert, lege ich nicht verbindlich fest.
- ErstGespräch, Bestandsaufnahme
- DanachSchutzplan mit Festpreis
- DannHärtung, mit Test
- Am EndeTeam umstellen, Übergabe
- Im Alltaggeschützt weiterarbeiten
Kommen eigene Software, ein selbst betriebener Server oder viele Konten hinzu, verlängert das die Arbeit; eine einzelne Website geht schneller.
Und wenn ein System sich nicht absichern lässt?
Dann sage ich es dir offen und schlage einen von drei Wegen vor: das System ersetzen, abschotten oder abschalten.
Welchen Weg wir gehen, bestimmst du.
Was kostet das?Einmal zahlen, ohne Laufzeit
Website-Sicherheit Oldenburg: Festpreis, Umfang, Extras
Was kostet die Härtung? Einen Festpreis. Neue oder wegfallende Zugänge und Rechte übernehme ich später auf Zuruf oder, wenn ich deine Website warte, in der Wartung.
HärtungFestpreis, einmalig
Die Härtung ist ein Einmalauftrag und kein Vertrag mit Laufzeit.
Zugänge pflegenauf Zuruf oder in der Wartung
Inklusive: vom Erfassen bis zum Test
Inklusive sind: jeden Zugang erfassen, den Schutzplan erstellen, die Maßnahmen einrichten und alles testen.
Alles Eingerichtete bleibt bei dir; was abtrennbar ist, läuft auf deinen Namen.
Für eigene Fehler stelle ich nichts in Rechnung, ich bessere sie nach.
Für Erstgespräch, Bestandsaufnahme und Angebot zahlst du nichts, und verpflichtet bist du damit zu nichts.
Wenn Lizenzen oder Hardware-Schlüssel nötig sind, stehen ihre Kosten vorher im Angebot; Eigentümer bist du. Nicht dabei sind Rechtsberatung und Zertifizierungen, ebenso wenig deine Büro-Rechner, das Firmennetz und die Postfächer.
Extra und Ausnahmen
Fehlt in deiner eigenen Software die Eingabeprüfung, ist ihr Umbau ein Extra-Posten mit eigenem Preis. Plugins ohne sichere Fassung ersetze ich dagegen zum vereinbarten Festpreis, ohne Aufschlag. Lässt sich eine Funktion nicht sicher ersetzen und muss neu entstehen, ist das ein eigener Auftrag. Verweigert der Hoster nötige Einstellungen, kostet der Umzug zu einem anderen nichts extra.
Was den Preis nach oben oder unten bewegt
- Die Menge der Systeme
- Die Zahl der Personen und ihrer Rollen
- Ob es ein Hosting-Paket ist oder ein eigener Server
- Ob ein zweiter Faktor schon eingebaut ist
- Ob eigene Software mit Formularen mitspielt
- Wie viele alte Konten ich durchsehen muss
Der Festpreis steht, sobald die Bestandsaufnahme durch ist, und bleibt auch dann, wenn eine Einstellung mehr Aufwand macht. Mehrkosten entstehen nur, wenn weitere Systeme dazukommen oder wir die Absprache grundlegend ändern; du kennst sie vorher.
Zugänge für neue Mitarbeiter mit den richtigen Rechten und das Entfernen von Zugängen Ausgeschiedener erledige ich danach auf Zuruf, jeweils als einzelnen Auftrag. Für Websites, die ich warte, steckt das in Wartung & Hosting, samt Updates und Sicherungen. Härtung ohne Wartung? Geht auch.
Woran du echte Absicherung erkennst: Tests, keine Noten
Was meine Prüfung abdeckt
- Ob jedes Konto im Team den zweiten Faktor nutzt und die richtige Rolle hat
- Ob Sperre und Eingabefilter im Test halten; Fehlversuche müssen im Protokoll auftauchen
- Welche Angriffe morgen kommen, weiß heute keiner
Reicht als Beleg nicht
- HTTPS: Das Schloss im Browser sagt nur, dass die Übertragung verschlüsselt ist
- Ein gutes Ergebnis eines kostenlosen Online-Scanners, der nur von außen draufschaut und keine Konten oder Rechte sieht
- Ein Sicherheits-Plugin ohne Einrichtung
- Ein starkes Passwort, das der Werkstudent von damals noch im Kopf hat
Ein Test ist eine Aufnahme vom Prüftag. Programme bekommen immer wieder neue Schwachstellen; darum gehört das Aktualisieren und Sichern in die Wartung.
Zugriffsschutz vorbereiten: Wer bekommt welche Rolle?
Was brauche ich von dir? Einmal die Zugänge, zu Beginn. Danach nur Angaben zu den Personen, deine Mithilfe, wenn das Team umstellt, und Entscheidungen.
Zugänge zu allem, was abgesichert wird
Für Server, Software, Website, Domain und Hoster gibst du mir Zugang, auf dem Weg, der dir passt. Entziehen kannst du ihn jederzeit, auch mit einem neuen Passwort.
Wer arbeitet womit?
Nenne mir alle, die im Betrieb oder von außen auf ein System zugreifen, und was sie dort tun. Aus deinen Angaben werden Rollen, und wer nicht mehr dazugehört, fällt raus.
Eigenes Gerät für den zweiten Faktor
Das Einrichten macht jeder selbst, mit Smartphone-App oder Hardware-Schlüssel. Einmal zeige ich, wie es geht; klappt etwas nicht, springe ich ein. Verschwindet ein Handy, retten dich Notfallcodes; lege sie sicher ab.
Mitreden, entscheiden, mit der IT abstimmen
Du bestimmst, wie viel wir vorab besprechen und ob du den Schutzplan vorher sehen willst; was wegfällt, entscheidest du. Agentur oder IT-Dienstleister binde ich ein; was sie betreiben, fasse ich ohne ihre Zustimmung nicht an, auch nicht zum Testen.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.