Nur ein Passwort an der Tür
Das Passwort ist bekannt oder wird erraten? Dann ist der Zugriff komplett. Programme probieren Anmeldeseiten, die im Netz erreichbar sind, automatisch mit Passwörtern durch. Fehlt eine Sperre, probieren sie ohne Ende.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Osnabrück
Meine Website-Sicherheit für Betriebe in Osnabrück setzt vor dem Ernstfall an. Abgesichert werden Website, Shop und Webanwendungen, außerdem Server, Datenbanken und Zugänge. Das heißt konkret: Eingaben prüfe ich auf dem Weg in die Datenbank. Rechte gibt es je Rolle, Dateirechte nur im nötigen Umfang. Zur Anmeldung gehören ein zweiter Faktor, etwa ein Handy-Code, und eine Sperre gegen automatisierte Versuche. Offene Wege zu deinen Daten oder ins Backend sollen danach nicht mehr existieren. Eine Garantie gegen jeden Angriff gibt es dabei nicht.
Antwort auf deine Anfrage: werktags binnen 24 Stunden. Danach ein Erstgespräch von etwa einer Stunde: Welche Systeme laufen bei dir, welche Daten stecken darin? Den Gesprächsweg wählst du: Video oder Telefon. Den Preis bekommst du nach der Bestandsaufnahme, vor dem ersten Handgriff.
Wo Login, Rechte und Eingaben Lücken haben
Über das Upload-Feld für Frachtpapiere landet jede Datei ungeprüft auf dem Server. So geht es Systemen, die auf Funktion getrimmt wurden und nie auf Schutz. Dazu kommen oft ein einziges Passwort als Hürde und Konten mit viel zu vielen Rechten. Betroffen sind Dachdecker, Tierarztpraxis und Buchhandlung genauso wie Onlineshops, Speditionen und Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Ein Login für alle
Disponentin, Werkstudent und eine Agentur von früher nutzen ein gemeinsames Konto mit allen Rechten. Auch Ehemalige kommen noch rein. Ein einziges geleaktes Passwort reicht dann für sämtliche Bereiche.
Ungeprüfte Uploads und SQL-Injection
Upload für Frachtpapiere, Sendungssuche oder Kundenportal: Alles, was dort eingegeben oder hochgeladen wird, geht ungeprüft weiter. Ein versteckter Datenbankbefehl, SQL-Injection genannt, oder eine präparierte Schadcode-Datei läuft auf einem ungeschützten System dann womöglich an. Die Folge: Kundendaten fließen ab.
Liste · Eingaben · Rollen · Dateien
Zugriffsschutz für WordPress, Shop und Software: die sieben Bausteine
Was du davon brauchst, klärt das Angebot.
-
Zugänge
Erst die Liste: alle Zugänge
Jeder Zugang kommt auf eine Liste: Website, Shop, Datenbank, Server, Hoster, Domain. Zu jedem stehen die Person und ihre Rechte. Ich prüfe außerdem die Außensicht: Was verrät das System ohne Anmeldung, etwa Benutzernamen oder Versionsnummern? Diese Liste ist das Fundament des Schutzplans.
-
Eingaben
Eingabeprüfung: kein Platz für SQL-Injection
Formulare, Suchfelder, Uploads: Der Server prüft jede Eingabe auf erlaubte Zeichen, Länge und Dateityp. Den Weg zur Datenbank nimmt sie nur als Parameter einer vorbereiteten Abfrage (Prepared Statement). Als Befehl ausgeführt wird sie dort nie. Bei eigener Software ist die Prüfung fester Teil des Codes; Erweiterungen nehme ich mit Testeingaben unter die Lupe.
-
Rollen
Für jede Person ein eigenes Konto
Jeder im Team bekommt einen eigenen Zugang. Er darf genau das, was die Aufgabe braucht; Admin-Rechte bekommt nur, wer sie für seine Arbeit wirklich braucht. Sammelkonten verschwinden. Alte Konten von Ex-Mitarbeitern oder einer Agentur, mit der du nicht mehr arbeitest, entferne ich nach Rücksprache, und zwar überall: Website, Datenbank, Server.
-
Anmeldung
Zweiter Faktor fürs Team
Passwort plus zweiter Nachweis: ein Einmalcode vom Smartphone oder ein Hardware-Schlüssel. Vom Bundesamt für Sicherheit in der Informationstechnik kommt dieselbe Empfehlung für jeden Dienst, der es ermöglicht. Website, Shop und Software bekommen den zweiten Faktor für jedes Konto deines Teams; Hoster und Domain auch, wenn sie es unterstützen. Für Kunden ändert sich an der Anmeldung nichts.
-
Server
Dateirechte: so wenig wie möglich
Programme lesen und schreiben nur die Dateien, die sie brauchen. In Upload-Ordnern läuft kein Programmcode. Wer von außen kommt, erreicht keine Konfigurationsdatei mit Zugangsdaten. Den Datei-Editor in der WordPress-Verwaltung schalte ich ab.
-
Server
Server und Datenbank: nur das Nötige offen
Auf eigenen Servern kommt weg, was keiner braucht. Angemeldet wird per Schlüsseldatei, nicht per Passwort. Ein Datenbankzugang existiert nur für Programme, die ihn brauchen, und jedes hat ein eigenes Konto mit wenigen Rechten. Beim Hosting-Paket gehe ich bis an die Grenze dessen, was der Hoster erlaubt.
-
Anmeldung
Brute-Force-Schutz
Wer mehrmals danebenliegt, wird für eine Weile ausgesperrt. Benutzernamen verrät die Seite nach außen nicht mehr. Und wo es zum Arbeitsalltag passt, sieht nur dein Team die Anmeldeseite der Verwaltung.
Wie läuft das ab?
Erst prüfen, dann härten: jede Maßnahme getestet
Kontakt halten wir per Telefon, E-Mail oder WhatsApp. Arbeitsbeispiele gibt es auf Anfrage, ohne fremde Kundendaten und ohne Kundenzugänge.
-
Erstgespräch, dann Überblick
Wir legen fest, was geschützt wird: Website, eigene Software, die Konten bei Hoster und Domain. Danach ermittle ich die Anmeldungen je Person und alles, was das Internet erreichen kann. Bereits befallen? Dann zuerst die Hack-Soforthilfe.
-
Festpreis, danach Schutzplan
Das Angebot nennt einen Festpreis und die Systeme, um die es geht. Härten heißt: Unnötiges abschalten, Löcher schließen, Zugriffe einschränken. Nach deiner Zusage schreibe ich den Schutzplan. Er zeigt für jedes System die Schritte, ihre Reihenfolge und wer im Team was tut.
-
Härten, testen, freischalten
Ich setze die Maßnahmen einzeln um, wo möglich zuerst an einer Testkopie. So laufen Website und Programme weiter. Jede Maßnahme muss einen Test bestehen, bevor sie für alle gilt: Falsche Anmeldungen lösen die Sperre aus. Formulareingaben, die nicht sein dürfen, werden abgelehnt. Jede Rolle sieht nur ihren Teil. Zum Schluss eine Testanfrage: Kommen echte Kunden noch durch?
-
Umstellen und übergeben
Danach arbeitet jedes Teammitglied mit eigenem Login und zweitem Faktor; bei Problemen helfe ich. Willst du es schwarz auf weiß, schreibe ich einen Bericht: eingerichtet, getestet, offen. Rechtsberatung ist das nicht. Auch ein Penetrationstest, bei dem unabhängige Prüfer einen echten Angriff nachstellen, bleibt eine eigene Sache.
Wie lange dauert das?Ein paar Tage oder einige Wochen, je nach Systemlandschaft
Wie lange Absichern und Umstellen dauern
Auf Wunsch gibt es einen groben Zeitplan nach deinem Bedarf. Umstellungen für dein Team kündige ich an. Der zweite Faktor wird erst Pflicht, wenn ihn alle im Team eingerichtet haben. Feste Dauer? Sage ich nicht zu.
- StartErstgespräch, Bestandsaufnahme
- DannFestpreis, Schutzplan
- DanachHärten, testen
- AbschlussUmstellung, Übergabe
- Weitergeschützter Betrieb
Eigene Software, ein selbst betriebener Server, eine lange Liste an Zugängen: Jedes davon verlängert die Dauer gegenüber einer reinen Website.
System nicht absicherbar – was dann?
Scheitert die geplante Absicherung an einem System, melde ich mich mit drei Optionen: ersetzen, abschotten, abschalten.
Du triffst die Wahl.
Was kostet das?Einmalig bezahlt, kein Vertrag
Website-Sicherheit Osnabrück: was die Absicherung kostet
Härtung: Festpreis. Spätere Änderungen an Zugängen und Rechten: auf Zuruf oder, wenn ich die Website warte, in der Wartung.
HärtungFestpreis, einmalig
Es bleibt bei diesem einen Auftrag; einen Vertrag mit Laufzeit schließt du nicht ab.
Zugänge pflegenauf Zuruf oder in der Wartung
Was der Festpreis abdeckt
Zugänge erfassen, Schutzplan schreiben, Schutzmaßnahmen einrichten, alles testen: Das deckt der Festpreis.
Eingerichtetes bleibt dein Eigentum; Trennbares steht auf deinem Namen.
Mein Fehler? Dann korrigiere ich ohne neuen Preis.
Erstgespräch, Bestandsaufnahme, Angebot: kostenlos und unverbindlich.
Lizenzen oder Hardware-Schlüssel für den zweiten Faktor? Ihr Preis steht vorher im Angebot, und sie gehören dir. Ausgeschlossen sind Rechtsberatung, Zertifizierungen und Büro-IT wie Firmennetz, Arbeitsrechner und Postfächer.
Eigener Preis: Software-Umbau und Neubau
Eigene Software ohne Eingabeprüfung umzubauen, berechne ich gesondert, mit Preis im Angebot. Den Austausch eines Plugins ohne sichere Fassung deckt dagegen der Festpreis ab. Fehlt ein sicherer Ersatz ganz, entsteht die Funktion neu, in einem eigenen Auftrag. Blockiert der Hoster nötige Einstellungen, ist der Umzug ohne Aufpreis.
Sechs Größen für den Aufwand
- Anzahl der Systeme
- Wie viele Leute mit welchen Rollen Zugang brauchen
- Eigener Server oder Hosting-Paket
- Ob der zweite Faktor in deinen Systemen schon vorgesehen ist
- Ob eigene Software mit Eingabefeldern beteiligt ist
- Wie viele Altzugänge auf die Liste kommen
Ist die Bestandsaufnahme fertig, gilt ein Festpreis. Macht eine Einstellung mehr Arbeit, ändert das nichts. Mehr kostet es nur, wenn Systeme hinzukommen oder sich die Absprache grundlegend ändert; das sage ich dir vorher.
Später gilt: Wer neu dazukommt, bekommt auf Zuruf seine Rechte; wer geht, verliert seinen Zugang. Beides erledige ich als einzelnen Auftrag. Bei einer Website in meiner Wartung ist das in Wartung & Hosting schon drin, zusammen mit Updates und Sicherungen. Die Härtung gibt es auch einzeln.
Schutz nachweisen: echte Proben statt Prüfnoten
Was ich nachweise
- Jedes Team-Konto hat seinen zweiten Faktor und die richtige Rolle
- Sperre und Eingabeprüfung bestehen den Test; jeder Fehlversuch ist protokolliert
- Künftige Angriffe kann niemand vorhersagen
Trügerische Belege
- HTTPS mit Schloss im Browser: verschlüsselt ist nur der Transport
- Bestnote eines Gratis-Scanners: Er kennt nur die Außenseite, keine Rechte, keine Konten
- Ein Sicherheits-Plugin, nie eingestellt
- Ein sicheres Passwort, von dem der frühere IT-Partner bis heute weiß
Getestet ist immer nur der Stand von heute. Weil neue Programmlücken laufend auftauchen, sind Updates und Sicherungen Aufgabe der Wartung.
Zugriffsschutz vorbereiten: Personen, Rollen, Umstellung
Deine Zugänge brauche ich einmal. Danach zählen nur noch drei Dinge: wer welche Aufgabe hat, wie das Team umstellt und was du entscheidest.
Zugänge, wie du willst
Hoster, Domain, Website, Software, Server: Den Weg wählst du. Mich wieder rauszunehmen geht jederzeit, ein Passwortwechsel genügt dafür auch.
Wer greift worauf zu?
Sag mir, welche Personen aus dem Betrieb und von draußen welches System brauchen und für welche Aufgabe. Daraus entstehen die Rollen. Wer weg ist, verliert seinen Zugang.
Zweiter Faktor: selbst einrichten
Für den zweiten Faktor nutzt jede Person ihr eigenes Handy oder einen Hardware-Schlüssel und richtet ihn selbst ein. Wie es geht, zeige ich einmal; klemmt es danach, bin ich da. Geht ein Handy verloren, helfen Notfallcodes weiter; die bewahrst du sicher auf.
Abstimmung, Entscheidung, IT
Wie eng wir uns abstimmen, legst du fest, auch ob du den Schutzplan vorher siehst. Was wegfällt, entscheidest du. Hast du eine Agentur oder einen IT-Dienstleister, kommen sie mit an den Tisch; ihre Systeme fasse ich für Tests oder Änderungen nur an, wenn sie zustimmen.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.