Website-Sicherheit — die Grundlagen, die wirklich schützen.

Wie Angriffe wirklich ablaufen.

Das Bild vom Hacker, der sich gezielt eine bestimmte Website vornimmt, trifft auf die wenigsten Fälle zu. Die Realität ist Masse: Programme durchsuchen das Netz ständig nach Websites mit bekannten Lücken, probieren gestohlene Passwörter aus, füllen Formulare mit Spam.

Daraus folgt eine gute Nachricht: Wer die Grundlagen konsequent umsetzt, ist für diese Programme kein lohnendes Ziel. Sie suchen die offenen Türen, nicht die verschlossenen (Bot-Verkehr).

Die Grundlagen.

Zugänge.

Gestohlene, erratene oder vergessene Zugänge sind das zweite große Einfallstor. Zwei-Faktor-Anmeldung für Verwaltungsbereich, Hosting, Domain und Mail macht gestohlene Passwörter weitgehend nutzlos. Alte Zugänge ehemaliger Mitarbeiter und Dienstleister gehören entfernt (Zwei-Faktor, Verwaltungsbereich).

Updates.

Veraltete Software ist das häufigste Einfallstor. Sicherheitsupdates gehören zeitnah eingespielt — mit Sicherung vorher und Prüfung danach. Ungenutzte Erweiterungen werden gelöscht, verwaiste ersetzt. Und wenn ein System keine Updates mehr bekommt, steht ein Umstieg an (Veraltete Software).

Schutz im Browser.

Sicherheitsheader legen fest, wie der Browser mit der Website umgeht: nur verschlüsselt, nur Skripte aus erlaubten Quellen, keine Einbettung in fremde Seiten. Sie verhindern keine Lücken auf dem Server, begrenzen aber den Schaden, wenn doch etwas durchrutscht (Sicherheitsheader).

Sicherungen.

Getrennt vom Server, weit genug zurückreichend, regelmäßig zur Probe wiederhergestellt. Eine Sicherung, die nie getestet wurde, ist eine Hoffnung (Backup-Strategie).

Der Ernstfall.

Wenn eine Website gehackt wurde, entscheidet die Reihenfolge: Spuren sichern, Zugänge sperren, Ausmaß feststellen, Einfallstor finden, gründlich bereinigen, alle Zugänge erneuern. Wer hektisch zurücksetzt, ohne das Einfallstor zu kennen, ist oft bald wieder betroffen (Website gehackt).

Sind personenbezogene Daten betroffen, kann eine Meldung an die Aufsichtsbehörde nötig sein — in vielen Fällen binnen 72 Stunden (Datenpanne). Warnt Google vor der Website, wird nach der Bereinigung eine Überprüfung beantragt (Als gefährlich markiert).

Was ich nicht bin.

Ich bin kein zertifizierter Penetrationstester und kein Rechtsanwalt. Für Anwendungen mit sehr hohem Schutzbedarf gehört zusätzlich ein spezialisierter Prüfer dazu, für Meldepflichten und rechtliche Fragen eine Rechtsberatung.

Was ich biete: die Grundlagen, die den Großteil realer Angriffe abwehren, sauber umgesetzt, und schnelle, gründliche Hilfe im Ernstfall.

Alle Anleitungen.

Wie ich arbeite.

1. Bestandsaufnahme: System, Versionen, Erweiterungen, Zugänge, Sicherungen, Header.
2. Bewertung nach Dringlichkeit — was sofort, was bald, was in die Pflege.
3. Umsetzung der dringenden Punkte.
4. Grundlagen einrichten: Zwei-Faktor, Sicherungen, Überwachung, Header.
5. Dokumentation und ein kurzer Notfallplan.
6. Laufende Pflege, wenn gewünscht.

Website-Sicherheit gehört zu meiner täglichen Arbeit, und ich erkläre als Dozent regelmäßig, wie Angriffe wirklich ablaufen. Ich habe zahlreiche kompromittierte Websites bereinigt — und weiß deshalb, welche Grundlagen in der Praxis den Unterschied machen.

Wie es weitergeht.

Schreib mir die Adresse deiner Website, das System und was dich beunruhigt. Wenn die Website gerade angegriffen wird oder gehackt wurde, schreib das in die erste Zeile — dann sehe ich es sofort.

Wenn du vorbeugen willst: Ich mache eine Bestandsaufnahme und sage dir, wo deine Website heute steht und was am dringendsten ist.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Website-Sicherheit gehört zu meiner täglichen Arbeit — ich härte WordPress, TYPO3, Shopware und eigene PHP-Anwendungen, richte Sicherungen und Überwachung ein und habe zahlreiche kompromittierte Websites bereinigt. Als Dozent erkläre ich regelmäßig, wie Angriffe auf Websites tatsächlich ablaufen.

Ich bin kein zertifizierter Penetrationstester und behaupte das auch nicht. Was ich biete: die Grundlagen, die den Großteil realer Angriffe abwehren, sauber umgesetzt — und eine ehrliche Einschätzung, wann zusätzlich ein spezialisierter Prüfer sinnvoll ist.

Was du bekommst: eine Bestandsaufnahme in verständlicher Sprache, Maßnahmen nach Dringlichkeit und eine Website, die nicht beim ersten automatisierten Angriff fällt.