Nur das Passwort steht im Weg
Bekannt oder erraten – mehr braucht es beim Passwort nicht für den vollen Zugriff. An Anmeldeseiten, die aus dem Internet erreichbar sind, probieren Programme automatisch Passwörter aus – ohne Sperre unbegrenzt.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit für Wittingen
Mit Website-Sicherheit für Wittingen schütze ich Website, Shop und Webanwendungen vorbeugend, bevor etwas passiert – samt Servern, Datenbanken und Zugängen, die dahinterliegen. Wer sich anmeldet, braucht außer dem Passwort einen zweiten Faktor, etwa einen Code vom Handy, und automatisierte Versuche laufen in eine Sperre. Rechte bekommt jede Rolle nur so weit wie nötig, Dateirechte ebenso, und Eingaben werden geprüft, bevor die Datenbank sie erhält. Für Unbefugte soll es danach keinen Durchgang mehr zu Daten oder Verwaltung geben. Ganz ohne Risiko ist trotzdem nichts, was am Internet hängt.
Werktags antworte ich dir innerhalb von 24 Stunden. Das Erstgespräch dauert etwa eine Stunde; wir besprechen, welche Systeme bei dir im Einsatz sind und welche Daten sie enthalten. Ob wir uns per Video oder am Telefon unterhalten, bestimmst du. Bevor ich anfange, steht nach der Bestandsaufnahme der Preis.
Was Website und Verwaltung offen lässt
Die Agentur, die vor Jahren die Website gebaut hat, kann sich immer noch einloggen – mit demselben Konto wie Chefin und Aushilfe. So etwas passiert, wenn bei der Einrichtung das Funktionieren zählte und Schutz kein Thema war. Oft hängt die Anmeldung zudem an einem einzigen Passwort, und Formulare nehmen ungeprüft jede Eingabe an. Das kennt ein Metallbaubetrieb ebenso wie eine Zahnarztpraxis, ein Café, ein Onlineshop oder ein Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Gemeinsames Konto mit Vollzugriff
Chefin, Aushilfe und die frühere Agentur teilen sich ein Konto, das alles darf, und auch Ehemalige kommen noch hinein. Gerät dieses Passwort nach draußen, öffnet es jeden Bereich.
SQL-Injection durch fehlende Eingabeprüfung
Kontaktformular, Upload für Baupläne oder Kundenportal reichen weiter, was eingetippt oder hochgeladen wird. Verbirgt sich darin ein Datenbankbefehl (SQL-Injection) oder Schadcode in einer Datei, kann ein ungeschütztes System das ausführen und dabei zum Beispiel Kundendaten preisgeben.
Bestand · Server · Dateien · Anmeldung
WordPress, Shop und Software: was ich absichere
Welche Bausteine dein Betrieb benötigt, steht im Angebot.
-
Zugänge
Zugänge erfassen
Am Anfang steht eine vollständige Liste aller Zugänge – auch zu Datenbank, Server, Hoster und Domain – mit Person und Rechten. Ich sehe mir außerdem an, was ohne Anmeldung von außen sichtbar ist, Benutzernamen oder Versionsnummern zum Beispiel. Daraus leite ich den Schutzplan ab.
-
Server
Server und Datenbank: dicht nach außen
Auf eigenen Servern bleibt nur, was gebraucht wird; angemeldet wird per Schlüsseldatei statt Passwort. Datenbanken lassen ausschließlich die Programme herein, die sie brauchen – jedes mit separatem Konto und minimalen Rechten. Bei Hosting-Paketen setze ich um, was der Hoster erlaubt.
-
Server
Dateirechte: nur das Nötige
Programme bekommen nur Zugriff auf die Dateien, die sie lesen oder ändern müssen. Upload-Ordner führen keinen Programmcode mehr aus, Konfigurationsdateien mit Zugangsdaten lassen sich von außen nicht abrufen, und der Datei-Editor im Backend, den zum Beispiel WordPress mitliefert, wird abgeschaltet.
-
Eingaben
Eingabeprüfung gegen SQL-Injection
Eingaben aus Formularen, Suchfeldern und Uploads prüft der Server auf erlaubte Zeichen, Länge und Dateiart, bevor er sie verarbeitet. Datenbankzugriffe laufen nur über vorbereitete Abfragen (Prepared Statements); eine Eingabe wird dort nie als Befehl ausgeführt. In eigener Software setze ich das selbst um, bei Erweiterungen prüfe ich es mit Testeingaben.
-
Rollen
Rechte je Rolle
Jede Person bekommt ihren eigenen Zugang mit den Rechten, die zu ihrer Aufgabe passen – Redakteure zum Beispiel ohne Admin-Rechte. Sammelkonten schaffe ich ab. Wer früher mitgearbeitet hat, ob im Betrieb oder als Agentur, verliert nach Rücksprache seinen Zugang – auf der Website wie in Datenbank und Server.
-
Anmeldung
Brute-Force-Schutz
Einige Fehlversuche, und die Anmeldung ist eine Weile gesperrt; Benutzernamen sind nach außen nicht mehr sichtbar. Passt es zu deinen Abläufen, bleibt die Login-Seite der Verwaltung für alle außerhalb deines Teams verschlossen.
-
Anmeldung
Zwei-Faktor-Authentifizierung
Neben dem Passwort braucht es einen zweiten Nachweis – einen Code, den eine Handy-App erzeugt, oder einen Hardware-Schlüssel. Wo ein Dienst diese Möglichkeit bietet, rät das Bundesamt für Sicherheit in der Informationstechnik, sie zu nutzen. Dein Team bekommt den zweiten Faktor für Website, Shop und Software, und wenn Hoster und Domain-Anbieter mitspielen, auch dort. Für deine Kunden bleibt die Anmeldung, wie sie ist.
Wie läuft das ab?
Härtung mit Test vor jedem Schritt
Abstimmen können wir uns über WhatsApp, Mail oder Telefon. Ein Arbeitsbeispiel gibt es auf Anfrage – eines, in dem keine Kundendaten und keine Kundenzugänge stecken.
-
Erstgespräch und Bestandsaufnahme
Erst klären wir den Umfang: Website, eigene Software und die Konten, die du bei Hoster und Domain-Anbieter hast. Anschließend sammle ich, wer welche Anmeldung benutzt und welche Teile deiner Systeme vom Internet aus zu erreichen sind. Wurde die Website schon befallen, kommt die Hack-Soforthilfe an erster Stelle.
-
Schutzplan und Preis
Das Festpreisangebot listet die Systeme, die gehärtet werden. Härten heißt dabei: weg mit Überflüssigem, zu mit offenen Stellen, Zugriffe nur noch so weit wie nötig. Mit deinem Ja entsteht der Schutzplan; er hält fest, was ich an welchem System tue, wann ich es tue und welche Aufgaben dein Team übernimmt.
-
Härtung und Gegenproben
Nacheinander kommen die Maßnahmen dran, wenn es geht zuerst an einer Testkopie – der Betrieb soll ja weiterlaufen. Erst nach einem Test wird eine Maßnahme scharf: Falsche Anmeldungen müssen zur Sperre führen, unerlaubte Formulareingaben abgewiesen werden, und jede Rolle sieht nur ihren Bereich. Ganz am Ende schicke ich eine Testanfrage ab, um zu sehen, ob Kundenanfragen weiter durchkommen.
-
Umstellung und Übergabe
Danach melden sich alle im Team mit eigenem Zugang und zweitem Faktor an; wenn es hakt, helfe ich. Möchtest du es schriftlich, bekommst du einen Bericht: was steht, was getestet ist, was noch offen bleibt. Eine Rechtsberatung ist er nicht, und einen Penetrationstest – den Angriffsversuch unabhängiger Prüfer – ersetzt er auch nicht.
Wie lange dauert das?Tage oder Wochen – je nach System
Wann dein Schutz steht: Zeitplan und Umstellung
Ein ungefährer Zeitplan nach deinem Bedarf ist auf Wunsch möglich. Was sich für dein Team ändert, kündige ich vorher an. Den zweiten Faktor mache ich erst verbindlich, wenn wirklich jeder im Team ihn eingerichtet hat. Wie lange es genau dauert, sage ich nicht fest zu.
- AnfangsErstgespräch und Bestandsaufnahme
- Als NächstesSchutzplan und Preis
- DannHärtung mit Gegenproben
- Zum SchlussUmstellung, Übergabe
- DanachSchutz im Alltag
Je mehr dazukommt – eigene Software, ein eigener Server, viele Zugänge –, desto länger dauert es im Vergleich zu einer reinen Website.
Wenn Absichern nicht wie geplant klappt
Klappt die Absicherung eines Systems nicht wie geplant, sage ich dir das und schlage vor, das System zu ersetzen, abzuschotten oder abzuschalten.
Welche Lösung es wird, liegt bei dir.
Was kostet das?Einmalig, ohne Folgevertrag
Website-Sicherheit Wittingen: Kosten und Leistungsumfang
Die Härtung gibt es zum Festpreis; um Zugänge und Rechte kümmere ich mich später auf Zuruf oder über die Wartung.
HärtungFestpreis, einmalig
Es ist ein einmaliger Auftrag, und ein Vertrag mit Laufzeit kommt dadurch nicht zustande.
Zugänge pflegenauf Zuruf oder in der Wartung
Das umfasst der Festpreis
Enthalten sind die Erfassung sämtlicher Zugänge, der Schutzplan, die eingerichteten Schutzmaßnahmen und die Tests dazu.
Eingerichtetes gehört dir, und was trennbar ist, steht auf deinem Namen.
Einen Fehler in meiner Arbeit behebe ich ohne neuen Preis.
Ob Erstgespräch, Bestandsaufnahme oder Angebot – nichts davon kostet etwas, nichts davon verpflichtet dich.
Was Lizenzen oder Hardware-Schlüssel kosten, liest du vorher im Angebot; Käufer bist du, auf deinen Namen. Keine Rechtsberatung, keine Zertifizierungen und keine Büro-IT – Arbeitsplätze, Firmennetz und E-Mail-Postfächer bleiben außen vor.
Eigener Preis: Umbau, Neubau einer Funktion
Lässt deine eigene Software Eingaben ungeprüft in die Datenbank, wird ihr Umbau gesondert berechnet; der Preis steht im Angebot. Der Ersatz einer Erweiterung (Plugin) ohne sichere Fassung steckt dagegen im Festpreis. Findet sich für eine Funktion kein sicherer Ersatz, muss sie neu entstehen – das läuft als eigener Auftrag. Verhindert dein Hoster nötige Einstellungen, übernehme ich den Umzug zu einem anderen ohne Aufpreis.
Sechs Dinge bestimmen den Aufwand
- Wie viele Systeme dazugehören
- Wie viele Menschen und Rollen Zugänge haben
- Hosting-Paket oder eigener Server im Einsatz
- Ob die Systeme Zwei-Faktor schon unterstützen
- Ob eigene Software mit Formularen eingebunden ist
- Wie viele Altzugänge auf den Prüfstand müssen
Den Festpreis kennst du nach der Bestandsaufnahme. Kostet eine Einstellung mehr Mühe als gedacht, bleibt es beim Festpreis. Zusätzliche Systeme oder eine grundlegend andere Vereinbarung kosten mehr – das sage ich dir vorab.
Später gilt: Neue Mitarbeiter bekommen auf Zuruf einen Zugang mit passenden Rechten, Ausgeschiedene verlieren ihren – jeweils als einzelner Auftrag. Bei einer Website, die ich in Wartung & Hosting betreue, ist das schon enthalten, so wie Updates und Sicherungen. Die Härtung lässt sich auch ohne alles Weitere buchen.
Was ich teste – und was keine Note belegt
Mein Prüfprogramm
- Für jeden Team-Zugang: zweiter Faktor eingerichtet, Rolle passend
- Sperren und Eingabeprüfung greifen im Test, Fehlversuche stehen im Protokoll
- Ob künftige Angriffe ins Leere laufen, kann niemand sagen
Wirkt sicher, belegt aber nichts
- Ein Schloss-Symbol im Browser – es zeigt nur eine verschlüsselte Übertragung per HTTPS
- Ein Lob vom Gratis-Scanner im Netz, der bloß die Außenseite kennt und weder Rechte noch Konten sieht
- Ein Sicherheits-Plugin, das nie eingerichtet wurde
- Ein Passwort, das zwar stark ist, aber auch der Ex-Agentur noch bekannt ist
Jeder Test bildet nur den Stand seines Prüftags ab. Programme bekommen laufend neue Lücken; Updates und Sicherungen sind deshalb Sache der Wartung.
Vorbereitung im Team: Personen, Rollen, zweiter Faktor
Einmal am Start: die Zugänge. Danach brauche ich von dir nur noch Angaben zu Personen, deine Mithilfe bei der Team-Umstellung und Entscheidungen.
Zugänge zu allen Systemen
Für Hoster, Domain, Website, Software und Server bekomme ich Zugänge – wie, bestimmst du. Entfernen kannst du mich jederzeit, ein neues Passwort setzen ebenso.
Personen und Aufgaben
Erzähl mir, wer im Betrieb und von außerhalb an welches System muss und wozu. Aus diesen Angaben baue ich die Rollen, und Ausgeschiedene haben danach keinen Zugang mehr.
Eigenes Gerät, eigene Notfallcodes
Jede Person aktiviert den zweiten Faktor selbst – auf ihrem Handy oder mit einem Hardware-Schlüssel. Eine Erklärung von mir gibt es einmal, Hilfe immer dann, wenn es klemmt. Für ein verlorenes Handy gibt es Notfallcodes; die verwahrst du sicher.
Abstimmung, Entscheidungen, IT
Du bestimmst den Takt der Abstimmung und ob du Dinge wie den Schutzplan vorher prüfen willst; was wegfallen muss, entscheidest du. Agentur oder IT-Dienstleister hole ich mit ins Boot – getestet oder verändert wird an ihren Systemen nur, wenn sie zustimmen.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.