So schützt Du Deine Website vor Cyberangriffen
Angriffe auf Websites nehmen seit Jahren zu. Laut einer Studie von Verizon erfolgen mehr als 40 % der Attacken auf die Internetpräsenzen kleiner und mittelständischer Unternehmen. WordPress-Seiten sind besonders betroffen. Das meistgenutzte CMS lieben auch Hacker. Umfassende Sicherheitsvorkehrungen helfen, vor Cyberangriffen zu schützen.
Doch welche Gefahren drohen Websites? Laut der Studie von Verizon entfallen 97 % der Sicherheitsverletzungen in der Region Europa, Naher Osten und Afrika auf Angriffe auf Computersysteme und Netzwerke, Web-Anwendungen und Social Engineering.
Die häufigsten Arten von Attacken auf Websites, sogenannte Angriffsvektoren, sind:
Häufig führen Hacker Angriffe nicht manuell, sondern automatisiert durch. Das führt zu massiven Attacken, die ein gut gesichertes System abwehrt.
Jede Website, ob Online-Shop oder Unternehmenspräsenz, ist verantwortlich dafür, sich und die Daten seiner Kunden vor Attacken zu schützen. Auch wenn Hacker keine sensiblen Daten stehlen, sind ein Website-Ausfall oder andere Störungen zeitaufwendig und teuer.
Einige grundlegende Sicherheitsmaßnahmen erschweren ihnen die Arbeit.
Ein SSL-Zertifikat ist seit Inkrafttreten der DSGVO Pflicht. Es verschlüsselt die zwischen Website und Browser übertragenen Daten und erschwert so Datendiebstahl.
Zu erkennen sind gesicherte Seiten am Kürzel »https« in der Adresse. »Https« bedeutet »Hypertext Transfer Protocol Secure«, sicheres Hypertextübertragungsprotokoll. Bis 2018 nutzten Websites überwiegend das Protokoll »http«. Heute werden http-Seiten von den meisten Browsern als unsicher eingestuft und nicht mehr angezeigt.
Eine durch ein SSL-Zertifikat gesicherte Website erkennst Du an einem Schloss in der Adresszeile.
SSL-Zertifikate kannst Du bei Deinem Hoster buchen. Viele Webhosting-Pakete enthalten Zertifikate, die ein Jahr gültig sind. Normalerweise weist der Hosting-Anbieter frühzeitig darauf hin, dass das Zertifikat ausläuft. Wird es nicht aktualisiert, ist die Website unter Umständen nicht mehr erreichbar.
Enthält eine Website Subdomains, benötigen diese ein eigenes SSL-Zertifikat. Die Seite beispiel.de ist also durch das reguläre Zertifikat geschützt. Für die Subdomain test.beispiel.de ist eine eigene Sicherung notwendig. Oder Du buchst beim Hoster direkt ein Wildcard-SSL-Zertifikat. Dieses schützt die Website und alle Subdomains.
Vielleicht erinnerst Du Dich an das Video, in dem die Bundestagsabgeordnete Anke Domscheit-Berg die am häufigsten genutzten Passwörter für E-Mail-Konten aufzählte. Die Top 3: 123456, 12345 und 123456789. Hacker haben leichtes Spiel.
Ein Passwort für den Login bei WordPress sollte komplex sein und folgende Merkmale enthalten:
WordPress empfiehlt automatisch sichere Passwörter.
Bei der Einrichtung von WordPress schlägt das System den Benutzernamen »admin« vor. Auch Hacker wissen das. Ein individueller Benutzername erhöht die Sicherheit.
Es gibt zwei einfache Methoden, den Benutzernamen nachträglich zu ändern:
Ein Backup, die Sicherheitskopie einer Website, verringert die Gefahr eines Hackerangriffs nicht. Stürzt eine Seite ab, lässt sie sich aber problemlos wiederherstellen und erhöht so indirekt die Sicherheit.
WordPress bietet zahlreiche Plugins, die automatisch oder manuell Backups durchführen. Uns hat Updraft Plus überzeugt.
Ebenso wichtig wie Backups sind Updates von WordPress, Themes und Plugins, um Sicherheitslücken veralteter Versionen zu schließen.
Auch PHP, die Programmiersprache, auf der WordPress läuft, sollte möglichst aktuell sein. Dies verbessert die Sicherheit und die Ladezeit. Wir nutzen eine noch unterstützte statt der neuesten Version. Aktuelle PHP-Versionen führen vereinzelt zu Funktionsproblemen auf der Website.
System und Erweiterungen zu aktualisieren, ist bei WordPress einfach. Im Backend findest Du unter »Dashboard« den Unterpunkt »Aktualisierungen«. Die Übersicht listet auf, für welche Plugins und Themes neue Versionen verfügbar sind und ob WordPress aktuell ist.
In folgender Reihenfolge aktualisierst Du eine Website sicher:
Um WordPress aktuell zu halten, kannst Du unter »Dashboard« im Bereich »Aktualisierungen« die automatische Aktualisierung aktivieren.
Die meisten Angriffe von Hackern und Bots finden bei WordPress auf veraltete Plugins und Themes statt. Den Effekt regelmäßiger Aktualisierungen erläuterten wir im vorherigen Punkt. Entscheidend ist auch die Auswahl von Plugins und Themes. Sie sollten
Lösche ungenutzte Plugins und Themes aus dem System. Hacker können auf den Quellcode von deaktivierten Erweiterungen zugreifen. Diese »Einfallstore« sind leicht zu knacken, da nicht genutzte Plugins oder Themes schnell vergessen und nicht aktualisiert werden.
Ein Pingback ist ein automatischer Hinweis im WordPress-Backend, wenn eine andere Seite einen Beitrag oder eine Seite verlinkt. Diese Funktion bietet eine Angriffsfläche für DDos-Attacken.
Pingbacks sind bei WordPress standardmäßig aktiv, lassen sich aber leicht deaktivieren. Gehe unter »Einstellungen« auf den Unterpunkt »Diskussion«. Unter »Standardeinstellungen für Beiträge« findest Du den Eintrag »Erlaube Link-Benachrichtigungen von anderen Blogs (Pingbacks und Trackbacks) bei neuen Beiträgen«. Entferne das Häkchen und Pingbacks sind grundsätzlich ausgeschaltet.
Pingbacks und Trackbacks lassen sich bei WordPress leicht deaktivieren.
Trackbacks sind übrigens das Gegenteil von Pingbacks. Die Funktion informiert andere Websites, wenn Du auf einer WordPress-Seite einen Link zu ihrer Domain setzt.
Brute-Force-Attacken gehören zu den größten Gefahren für Websites. Ein sicheres Passwort ist der erste Schritt, um diese Angriffe abzuwehren. Login-Versuche von derselben IP-Adresse nach mehrmaliger Eingabe eines falschen Passworts zu sperren, ist zusätzlich effektiv.
Einige Hoster aktivieren die Login-Begrenzung automatisch. Stellt Dein Anbieter diese Funktion nicht bereit, übernimmt z. B. das All-in-One Security-Plugin diese Aufgabe.
Ein guter Hoster ist entscheidend für die Sicherheit einer Website. Wir nutzen den WordPress-Hoster raidboxes. Der Anbieter sollte viel Speicherplatz zur Verfügung stellen, um DDos-Attacken abzufangen, und umfangreiche Sicherheitsmaßnahmen wie die Begrenzung von Login-Versuchen.
In unserem Beitrag »Webhosting« erfährst Du, was einen zuverlässigen Hoster ausmacht. Stellt der Anbieter einige Sicherheitsfunktionen nicht zur Verfügung, hilft ein Security-Plugin.
Menschen gehören zu den größten Sicherheitslücken. Oft unbewusst. Laut der bereits erwähnten Verizon-Studie von 2022 verursachten 82 % der Sicherheitsverletzungen in Unternehmen Menschen, z. B. durch gestohlene Anmeldedaten.
Unternehmen sollten den Zugriff auf ihre Website beschränken, um diesen Risikofaktor zu minimieren. Bei WordPress lassen sich unter »Benutzer« >> »Neu hinzufügen« unterschiedliche Rollen zuordnen:
Benutzerrollen sollten grundsätzlich nach Qualifikation vergeben werden. Wer für Inhalte zuständig ist, mit den technischen Aspekten einer Website aber nichts am Hut hat, benötigt keinen Administratoren-Zugriff. Verlässt ein Mitarbeitender das Unternehmen, sollte der Zugang umgehend gelöscht werden.
Interne Sicherheitslecks entstehen selten durch unzuverlässige Angestellte. Ein häufiger Grund ist vielmehr Unwissenheit. Schwache Passwörter z. B. bieten eine Angriffsfläche. Auch Identitätsdiebstahl durch Social Engineering wird vermehrt zum Problem.
Das Thema Sicherheit umfasst nicht nur Angriffe von Hackern und automatisierten Bots. Eine Unternehmenswebsite sollte sich auch vor dem Risiko einer Abmahnung schützen.
Seit Inkrafttreten der Datenschutz-Grundverordnung 2018 mahnen Anwälte zunehmend Unternehmen ab, weil Ihre Websites nicht den Vorgaben der DSGVO entsprechen.
Selten führt ein Hackerangriff zum Ausfall einer Website. Achte auf kleine Anzeichen, die auf eine Attacke hindeuten:
Ist Deine Website mit der Google Search Console verknüpft, findest Du im Bereich »Sicherheit & manuelle Maßnahmen« Hinweise zu Sicherheitsproblemen. Fällt Google Schadsoftware auf Deiner Website auf, erhältst Du umgehend eine Mail. Auch ein guter Webhoster wird Dich informieren, wenn beim Sicherheitscheck Unregelmäßigkeiten auffallen.
Überprüfe Deine Website auch regelmäßig als »Besucher«. Sieht die Seite anders aus oder schlagen Browser oder Sicherheitssoftware Alarm, sind umgehende Maßnahmen erforderlich. Erkennt Google Deine Website als Sicherheitsrisiko für Besucher, findet sich schnell ein entsprechender Hinweis in den Google-Suchergebnisseiten. Diesen Image-Gau solltest Du vermeiden.
Ein regelmäßiger Sicherheitscheck prüft, ob Deine Website von Malware betroffen ist. Unter https://www.experte.de/security-check kannst Du einen kostenlosen Test durchführen.
Trotz aller Vorsichtsmaßnahmen kann es Hackern gelingen, Zugriff auf eine Website zu erhalten. Oftmals bleibt ein erfolgreicher Angriff lange unbemerkt und kann enormen Schaden anrichten, insbesondere wenn die Website personenbezogene Daten verarbeitet.
Wurde eine Seite gehackt, reicht es oft aus, alle Passwörter zu ändern. Zumindest wenn alle anderen Maßnahmen umgesetzt sind. Erfolgt die Attacke von anderer Seite, z. B. durch eine XSS-Attacke, muss die Malware gefunden und entfernt werden.
Einfache Maßnahmen helfen, eine Website umfassend vor Angriffen zu schützen. Grundsätzlich gilt: Prävention ist günstiger als Schadensbeseitigung. Daher sorgen wir von Anfang an dafür, dass die WordPress-Websites unserer Kunden dauerhaft sicher sind.
Vereinbare direkt einen Termin für ein erstes Gespräch.
Oder gib uns einfach ein Zeichen via Telefon 07131 1240396 oder E-Mail an hallo@dieatemraeuber.de.
