Anmeldung nur mit Passwort
Wer das Passwort kennt oder errät, ist drin. Programme probieren an erreichbaren Anmeldeseiten automatisch Passwörter aus; ohne Sperre können sie das beliebig oft.
Jan Bittenbinder
Du sprichst direkt mit mir, und ich setze die Arbeiten selbst um. Webdesign seit 2020.
Website-Sicherheit in Wolfsburg
Bei der Website-Sicherheit in Wolfsburg sichere ich Website, Shop und Webanwendungen ab, bevor etwas passiert, samt den Servern, Datenbanken und Zugängen dahinter. Die Anmeldung schütze ich mit einem zweiten Faktor, etwa einem Code vom Handy, und mit Sperren gegen automatisierte Versuche. Rechte vergebe ich je Rolle, Dateirechte beschränke ich auf das Nötige, und Eingaben prüfe ich, bevor sie in die Datenbank gehen. Angreifern soll kein offener Weg zu deinen Daten oder zur Verwaltung bleiben. Unangreifbar wird kein System.
Auf deine Anfrage antworte ich werktags innerhalb von 24 Stunden. Im Erstgespräch klären wir in etwa einer Stunde, welche Systeme dein Betrieb nutzt und welche Daten dort liegen. Wir sprechen bei dir im Betrieb in Wolfsburg und Umgebung, per Video oder am Telefon, wie du willst. Nach der Bestandsaufnahme nenne ich dir den Preis, bevor ich anfange.
Warum Websites und Zugänge oft offen stehen
Viele Websites, Shops und Programme sind eingerichtet, damit sie laufen, nicht damit sie geschützt sind: Die Anmeldung braucht nur ein Passwort, Zugänge haben zu viele Rechte, Formulare nehmen alles an. Das gilt für den Handwerksbetrieb ebenso wie für Praxis, Laden, Onlineshop oder Zulieferer mit Kundenportal.
Beispiel: Zugänge, Versuche, Systeme und Eingaben in den Grafiken sind erfunden.
Ein Zugang für alle, mit allen Rechten
Team, frühere Agentur und Aushilfe nutzen denselben Zugang mit allen Rechten, und wer längst weg ist, kommt noch hinein. Gerät das Passwort in falsche Hände, steht alles offen.
Ungeprüfte Eingaben ermöglichen SQL-Injection
Kontaktformular, Suchfeld, Upload oder Kundenportal geben weiter, was jemand eintippt oder hochlädt. Steckt darin ein Befehl an die Datenbank (SQL-Injection) oder eine Datei mit Schadcode, kann ein ungeschütztes System das ausführen und etwa Kundendaten herausgeben.
Anmeldung · Rollen · Eingaben · Server
WordPress, Shop und Software absichern
Welche davon dein Betrieb braucht, steht im Angebot.
-
Zugänge
Zugänge erfassen: wer wo hineinkommt
Ich liste jeden Zugang auf, auch die zu Datenbank, Server, Hoster und Domain, jeweils mit Person und Rechten. Dazu prüfe ich, was von außen ohne Anmeldung sichtbar ist, etwa Benutzernamen oder Versionsnummern. Daraus entsteht der Schutzplan.
-
Anmeldung
Zwei-Faktor-Authentifizierung für dein Team
Zum Passwort kommt ein zweiter Nachweis, etwa ein Code aus einer App auf dem Handy oder ein Sicherheitsschlüssel. Das Bundesamt für Sicherheit in der Informationstechnik rät dazu, sobald ein Dienst es ermöglicht. Ich richte ihn für die Zugänge deines Teams zu Website, Shop und Software ein, wo möglich auch für Hoster und Domain; deine Kunden melden sich weiter wie gewohnt an.
-
Anmeldung
Brute-Force-Schutz für die Anmeldung
Nach einigen Fehlversuchen sperre ich die Anmeldung für eine Weile, und Benutzernamen sind von außen nicht mehr zu sehen. Wo es zu deinem Alltag passt, erreicht die Anmeldeseite der Verwaltung nur noch dein Team.
-
Rollen
Rechte je Rolle statt Zugang für alle
Jede Person bekommt einen eigenen Zugang mit genau den Rechten, die ihre Aufgabe braucht: Wer Texte pflegt, braucht keine Verwaltungsrechte. Gemeinsame Zugänge löse ich auf, alte Konten früherer Mitarbeiter oder Agenturen entferne ich nach Rücksprache, auch bei Datenbank und Server.
-
Server
Dateirechte auf das Nötige beschränken
Programme auf dem Server dürfen nur die Dateien lesen und ändern, die sie brauchen. In Upload-Ordnern lässt sich kein Programmcode mehr starten, Konfigurationsdateien mit Zugangsdaten sind von außen nicht abrufbar, und den Datei-Editor in der Verwaltung, wie ihn WordPress hat, schalte ich ab.
-
Eingaben
Eingaben prüfen und vor SQL-Injection schützen
Was in Formulare, Suchfelder oder Uploads kommt, wird auf dem Server auf erlaubte Zeichen, Länge und Dateityp geprüft. An die Datenbank gehen Eingaben nur über vorbereitete Abfragen (Prepared Statements), damit sie dort nie als Befehl laufen; das schützt vor SQL-Injection. In eigener Software baue ich das ein, bei Erweiterungen prüfe ich es mit Testeingaben.
-
Server
Server und Datenbank abschotten
Auf eigenen Servern schalte ich ab, was nicht gebraucht wird, und erlaube die Anmeldung nur noch mit Schlüsseldatei statt Passwort. Datenbanken erreichen nur die Programme, die sie brauchen, mit eigenem Konto und den nötigen Rechten. Bei einem Hosting-Paket stelle ich ein, was der Hoster zulässt.
Wie läuft das ab?
Website härten und jede Maßnahme vorher testen
Abgestimmt wird per Telefon, E-Mail oder WhatsApp. Ein Arbeitsbeispiel zeige ich dir auf Anfrage, ohne Daten oder Zugänge von Kunden.
-
Erstgespräch und Bestandsaufnahme
Wir legen fest, welche Systeme abgesichert werden, von der Website über eigene Software bis zu den Konten bei Hoster und Domain. Danach verschaffe ich mir einen Überblick, wer sich wo anmeldet und welche Systeme aus dem Internet erreichbar sind. Ist deine Website schon befallen, kommt zuerst die Hack-Soforthilfe.
-
Schutzplan und Preis
Nach der Bestandsaufnahme bekommst du das Angebot mit Festpreis für die Härtung. Darin steht, welche Systeme ich härte, also wo ich abschalte, schließe und einschränke, was niemand braucht. Nach deiner Zusage folgt der Schutzplan: welche Maßnahme an welchem System, in welcher Reihenfolge und wer aus deinem Team dabei etwas tun muss.
-
Härtung und Gegenproben
Ich richte die Maßnahmen nacheinander ein, wo möglich zuerst auf einer Testkopie, damit Website und Programme weiterlaufen. Jede teste ich, bevor sie für alle gilt. Ich melde mich mehrmals falsch an, bis die Sperre greift, gebe in Formulare Eingaben ein, die abgewiesen werden müssen, und prüfe, ob jede Rolle nur sieht, was sie sehen soll. Eine Testanfrage zeigt, dass echte Kunden weiter durchkommen.
-
Umstellung und Übergabe
Danach stellt dein Team auf eigene Zugänge mit zweitem Faktor um; ich helfe, wenn es hakt. Einen Bericht, was ich eingerichtet und getestet habe und was offen bleibt, bekommst du auf Wunsch; eine Rechtsberatung ist er nicht. Einen Penetrationstest, also einen Angriffsversuch durch unabhängige Prüfer, ersetzt das nicht.
Wie lange dauert das?Tage bis Wochen, je nach Systemen
Wie lange Härtung und Umstellung dauern
Auf Wunsch machen wir einen ungefähren Zeitplan nach deinem Bedarf. Umstellungen, die dein Team betreffen, kündige ich vorher an, und der zweite Faktor gilt erst, wenn alle aus deinem Team ihn eingerichtet haben. Eine feste Dauer sage ich nicht zu.
- ZuerstErstgespräch und Bestandsaufnahme
- DanachSchutzplan und Preis
- DannHärtung und Gegenproben
- AnschließendUmstellung und Übergabe
- SpäterSchutz im Alltag
Mit eigener Software, eigenem Server oder vielen Zugängen dauert es länger als bei einer Website.
Wenn sich ein System nicht absichern lässt
Lässt sich ein System nicht wie geplant absichern, sage ich dir das und schlage vor, es zu ersetzen, abzuschotten oder abzuschalten.
Was davon passiert, entscheidest du.
Was kostet das?Einmaliger Auftrag, keine Laufzeit
Website-Sicherheit Wolfsburg: Kosten und Festpreis
Die Härtung mache ich zum Festpreis, die spätere Pflege von Zugängen und Rechten auf Zuruf oder in der Wartung.
HärtungFestpreis, einmalig
Die Härtung ist ein einmaliger Auftrag; ein Vertrag mit Laufzeit entsteht daraus nicht.
Zugänge pflegenauf Zuruf oder in der Wartung
Schutzplan, Härtung und Tests im Festpreis
Enthalten sind das Erfassen aller Zugänge, der Schutzplan, das Einrichten der Schutzmaßnahmen und die Tests.
Was ich eingerichtet habe, bleibt bei dir, und was sich trennen lässt, läuft auf deinen Namen.
Fällt ein Fehler in meiner Arbeit auf, korrigiere ich ihn ohne neuen Preis.
Erstgespräch, Bestandsaufnahme und Angebot sind kostenlos und unverbindlich.
Kosten für Lizenzen oder Sicherheitsschlüssel stehen vorher im Angebot, gekauft wird auf deinen Namen. Rechtsberatung, Zertifizierungen und die Büro-IT mit Arbeitsplätzen, Firmennetz und E-Mail-Postfächern gehören nicht dazu.
Was extra kostet: Umbau eigener Software
Prüft eigene Software Eingaben nicht, bevor sie in die Datenbank gehen, steht der Umbau mit eigenem Preis im Angebot. Den Ersatz einer Erweiterung (Plugin) ohne sichere Fassung übernehme ich dagegen im Festpreis; muss eine Funktion ohne passenden Ersatz neu gebaut werden, ist das ein eigener Auftrag. Lässt dein Hoster nötige Einstellungen nicht zu, ziehe ich die Website ohne Aufpreis um.
Systeme und Zugänge bestimmen den Aufwand
- Wie viele Systeme abgesichert werden
- Wie viele Personen und Rollen Zugänge brauchen
- Ob du ein Hosting-Paket nutzt oder einen eigenen Server betreibst
- Ob deine Systeme einen zweiten Faktor schon anbieten
- Ob eigene Software mit Formularen dazugehört
- Wie viele alte Zugänge geprüft werden müssen
Der Festpreis steht nach der Bestandsaufnahme fest und ändert sich nicht, wenn eine Einstellung mehr Arbeit macht als gedacht. Kommen Systeme dazu oder ändert sich Abgestimmtes grundlegend, nenne ich dir die Kosten vorher.
Zugänge für neue Leute lege ich danach auf Zuruf mit passenden Rechten an und entferne die von Leuten, die nicht mehr dabei sind, jeweils als einzelnen Auftrag. Warte ich deine Website, ist das in Wartung & Hosting enthalten, ebenso Updates und Sicherungen; die Härtung kannst du auch allein beauftragen.
Website-Sicherheit prüfen: Tests statt Prüfnoten
Was ich prüfe: Anmeldung, Rollen und Eingaben
- Ob jeder Zugang deines Teams einen zweiten Faktor und die passende Rolle hat
- Ob Sperren und Eingabeprüfung bei meinen Tests greifen und Fehlversuche im Protokoll stehen
- Ob jeder künftige Angriff scheitert, weiß niemand
Schloss und Prüfnoten belegen allein keinen Schutz
- Das Schloss neben der Adresse: HTTPS verschlüsselt nur die Verbindung
- Eine gute Note eines kostenlosen Online-Scanners: Er sieht nur, was von außen sichtbar ist, keine Rechte und Konten
- Ein Sicherheits-Plugin, das nie eingestellt wurde
- Ein starkes Passwort, das auch die frühere Agentur noch kennt
Ein Test zeigt den Stand am Tag der Prüfung. Neue Lücken in Programmen werden laufend bekannt; Updates und Sicherungen gehören deshalb zur Wartung.
Zugriffsschutz vorbereiten: Rollen klären, Team umstellen
Die Zugänge brauche ich einmal am Anfang; danach bist du nur für die Angaben zu den Personen, die Umstellung im Team und Entscheidungen gefragt.
Zugänge zu Hoster, Systemen und Domain
Die Zugänge zu Hoster, Domain, Website, Software und Server gibst du mir, wie es dir passt; du kannst mich jederzeit entfernen oder das Passwort ändern.
Wer worauf zugreift und mit welcher Aufgabe
Du nennst mir, wer aus deinem Betrieb und von außen worauf zugreift und was die Person dort tun muss. Daraus entstehen die Rollen; wer nicht mehr dabei ist, verliert seinen Zugang.
Zweiten Faktor einrichten, Notfallcodes sichern
Den zweiten Faktor richtet jede Person mit ihrem eigenen Handy oder Sicherheitsschlüssel ein; ich erkläre es einmal und helfe, wenn es hakt. Notfallcodes für ein verlorenes Handy bewahrst du sicher auf.
Eingriffe mit dir und deiner IT abstimmen
Wie eng wir uns abstimmen und was du vorher sehen willst, etwa den Schutzplan, legst du fest; muss etwas wegfallen, entscheidest du. Arbeitest du mit einer Agentur oder einem IT-Dienstleister, stimme ich mich mit ihnen ab; an Systemen, die sie betreiben, teste oder ändere ich nur mit ihrer Zustimmung.
Erstgespräch und Bestandsaufnahme.
Beides kostet dich nichts.