Den Verwaltungsbereich absichern — die Tür, durch die alles geht.

Warum der Verwaltungsbereich Ziel ist.

Automatisierte Programme durchsuchen das Netz ständig nach Anmeldeseiten und probieren Kombinationen aus Benutzernamen und Passwörtern — oft aus Listen, die bei anderen Diensten gestohlen wurden. Jede Website mit einem bekannten System bekommt solche Versuche, unabhängig von ihrer Größe.

Das ist kein gezielter Angriff, sondern Masse. Und gegen Masse helfen einfache Maßnahmen sehr gut (Bot-Verkehr).

Benutzer und Rechte.

• Nur so viele Administratoren wie nötig — oft reichen ein oder zwei.
• Redakteure bekommen Redaktionsrechte, keine Administratorrechte.
• Eigene Zugänge für jede Person, keine geteilten.
• Kein Standard-Benutzername wie „admin“.

Jeder Zugang mit weitreichenden Rechten ist ein mögliches Einfallstor. Weniger davon heißt weniger Risiko (Rollen und Rechte).

Passwörter.

Lange, einzigartige Passwörter, die nirgendwo sonst verwendet werden — am einfachsten mit einem Passwortmanager. Ein Passwort, das schon bei einem anderen Dienst in einem Datenleck aufgetaucht ist, wird früher oder später ausprobiert.

Zwei-Faktor-Anmeldung.

Für alle Benutzer mit weitreichenden Rechten ist sie Pflicht. Sie macht gestohlene Passwörter weitgehend nutzlos (Zwei-Faktor-Anmeldung).

Anmeldeversuche begrenzen.

Nach einigen fehlgeschlagenen Versuchen wird die Anmeldung für eine Weile gesperrt — für die Adresse oder den Benutzernamen. Das macht massenhaftes Ausprobieren unwirtschaftlich. Viele Systeme bringen das mit, sonst helfen Erweiterungen oder Regeln auf Serverebene.

Zugriff beschränken.

Wo es möglich ist, wird der Verwaltungsbereich nur für bekannte Adressen freigegeben — etwa das Büronetz. Alternativ schützt eine vorgeschaltete Anmeldung auf Serverebene den Bereich zusätzlich.

Bei wechselnden Arbeitsorten ist das nicht immer praktikabel. Dann tragen Zwei-Faktor und Begrenzung der Versuche die Hauptlast.

Andere Adresse?

Die Anmeldeseite unter einer anderen Adresse zu verstecken, reduziert die Zahl automatisierter Versuche deutlich. Das entlastet Server und Protokolle.

Ein echter Schutz ist es nicht: Wer gezielt sucht, findet die Seite. Es ist eine sinnvolle Ergänzung, kein Ersatz für die anderen Maßnahmen.

Alte Zugänge.

Ein häufiger Fund bei Prüfungen: Zugänge ehemaliger Mitarbeiter, früherer Agenturen, längst beendeter Projekte — teils mit Administratorrechten und einfachen Passwörtern. Jeder davon ist ein offenes Fenster.

Regelmäßig — etwa halbjährlich — alle Benutzer durchgehen und entfernen, was nicht mehr gebraucht wird. Bei jedem Personal- oder Dienstleisterwechsel sofort.

Protokolle.

Protokolle über Anmeldungen zeigen, wer sich wann angemeldet hat und welche Versuche scheiterten. Ungewöhnliche Anmeldungen — andere Uhrzeit, anderes Land, unbekannter Benutzer — sind ein frühes Warnzeichen (Website gehackt).

Erweiterungen im Verwaltungsbereich.

Nicht nur Benutzer, auch Erweiterungen können den Verwaltungsbereich öffnen: Eine Lücke in einer Erweiterung kann Angreifern erlauben, ohne Anmeldung Administratorrechte zu bekommen. Deshalb gehört zur Absicherung des Verwaltungsbereichs auch, Erweiterungen aktuell zu halten und ungenutzte zu entfernen.

Ebenso wichtig: Neue Erweiterungen dürfen nur Administratoren installieren — und die sollten vorher prüfen, ob die Erweiterung gepflegt wird (Veraltete Software).

Eine Checkliste.

1. Benutzer prüfen, unnötige entfernen, Rechte anpassen.
2. Zwei-Faktor für alle mit weitreichenden Rechten.
3. Anmeldeversuche begrenzen.
4. Zugriff beschränken, wo möglich.
5. Protokolle einrichten und gelegentlich ansehen.
6. Halbjährlich wiederholen.

Wenn du nicht weiterkommst.

Wenn du den Verwaltungsbereich deiner Website gründlich absichern willst. Ich sehe mir deine Website an, sage dir, wo die Risiken liegen, und setze um, was nötig ist. Die Übersicht findest du unter Website-Sicherheit; wenn es gerade brennt, hilft der Notfall-Support.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Website-Sicherheit gehört zu meiner täglichen Arbeit — ich härte WordPress, TYPO3, Shopware und eigene PHP-Anwendungen, richte Sicherungen und Überwachung ein und habe zahlreiche kompromittierte Websites bereinigt. Als Dozent erkläre ich regelmäßig, wie Angriffe auf Websites tatsächlich ablaufen.

Ich bin kein zertifizierter Penetrationstester und behaupte das auch nicht. Was ich biete: die Grundlagen, die den Großteil realer Angriffe abwehren, sauber umgesetzt — und eine ehrliche Einschätzung, wann zusätzlich ein spezialisierter Prüfer sinnvoll ist.

Was du bekommst: eine Bestandsaufnahme in verständlicher Sprache, Maßnahmen nach Dringlichkeit und eine Website, die nicht beim ersten automatisierten Angriff fällt.