Weltweit steigt die Zahl der verseuchten oder gehackten Webseiten. Dieser Umstand liegt daran, weil unzählige Webseiten-Betreiber sehr sorglos sind. Es werden eben keine aktuellen Software-Versionen verwendet, Sicherheitsmechanismen werden nicht gepflegt, Warnungen werden in den Wind geschlagen. Diese Sorglosigkeit treibt – nun ja – Hacker dazu, genau solche Seiten immer wieder zu suchen und anzugreifen, damit diese für ihre Zwecke genutzt werden können. Über so etwas sollte man sich nicht wundern.
Wie Sie wissen, nutze ich WordPress. Ich habe oft genug von mir gegeben, dass WordPress sicherlich nicht der Weisheit letzter Schluss ist. Gerade durch den Einsatz von Erweiterungen bohrt man gegebenenfalls Löcher in die Schutzhülle von WordPress. Wenn dann noch dazu die Erweiterungen keine Updates liefern oder dann diese Updates einfach nicht installiert werden, wird WordPress wie ein Schweizer Käse. Und diesen Umstand nutzen Angreifer bewusst aus. Jetzt stellt sich die Frage, was man denn dagegen tun kann.
Jeder Betreiber einer Webseite sollte die Google Search Console in seinen Favoriten gespeichert haben. In regelmäßigen Abständen sollte man dort überprüfen, ob irgendwas außer der Norm ist. Im Dashboard sieht man Crawling-Fehler, eine Gesamtzahl von Klicks und die übermittelten URLs. Im Nachrichtenbereich sollte man schauen, ob Google irgendwas meldet. Immens wichtig ist der Bereich der Suchdarstellung oder die Suchanfragen oder, oder, oder… Es gibt genügend Hinweise, was wo und wie zu handhaben ist. Das muss ich für diesen Text nicht auseinander nehmen. Mir geht es um etwas anderes.
Nehmen wir mal an, Sie besuchen irgendeine Ihrer Lieblingsseiten, und plötzlich meldet Ihr Browser ein Sicherheitsproblem mit der Seite. Nehmen wir an, der Betreiber der Seite erhält eine Nachricht von Ihnen. Man könnte dann als Betreiber hergehen und mal in der Search Console nach Sicherheitsproblemen schauen. Manchmal melden Browser oder irgendwelche Software auf Rechnern und Smartphones auch irgendwas falsch. Es gibt den Reiter „Sicherheitsprobleme“. Und den sollte man in jedem Fall im Auge behalten.
Es gibt verschiedene Hacks auf Webseiten. Ob nun gehackte Seiten auf zwielichtige Seiten weiterleiten oder japanischen Text anzeigen oder Links verdeckt beinhalten, man muss sich darum kümmern. Glücklicherweise wurde eine Vielzahl von Warnungen von den Betreibern behoben. Insofern ist uns Webseiten-Betreibern die Gefahr schon bewusst. Nun muss man sich darum kümmern, dass es erst gar nicht dazu kommen kann. Viele Webseiten finanzieren sich über Werbung. Und wenn die Nutzung der Werbeblocker zurückgeht, können wir unseren Besuchern auch als Gegenleistung sichere Webseiten bieten.
Dennoch bleibt das Internet unsicher. Die Welt ist gefährlich geworden. Aber die Geräte, die eine Internetverbindung erfordern, sind mehr geworden. Mit anderen Worten sind die Probleme gewachsen. Wenn nicht jeder seinen Teil dazu beiträgt, dass die Sicherheit im Internet so hoch wie möglich ist, geben wir Kriminellen nur unnütz Bewegungsspielraum, den sie gar nicht verdienen. Darum sollten alle – Nutzer, Betreiber, Anbieter etc. – die genutzte Technologie so aktuell wie möglich halten und immer einen Schritt weiter denken. Sonst ist das Internet bald kaputt.
Hallo Henning,
die Sicherheit meiner CMS-Installationen wird bei mir gross geschrieben. Ich habe auf der Domain Wpzweinull.ch um die 30 CMS-Installationen eines Blogs, Portals oder Forums. Das muss uptodate gehalten werden und beinah täglich besuche ich die offiziellen CMS-Webseiten und bin täglich auf GitHub in den Repositories und den Releases, um stets auf dem Laufenden zu sein. Alles muss bei mir top aktuell gehalten werden.
WP-Updates erscheinen täglich, insbesondere die Updates der Plugins oder auch der Themes. Darum muss sich jeder Blog-Admin rechtzeitig kümmern, denn sonst öffnet sich wirklich die Tür für alle möglichen Hacker aus aller Welt. Limit Login Attempts, Username Changer und Edit Author Slug gehören zu meiner Standardausrüstung in den WP-Blogs.
Managed Server bei All-inkl. hat die neueste Ubuntu-Version mit PHP 5.6/7.1 und MySQL 5.6. Alles top aktuell und dafür sorgen ich und der Webhoster. Mein Rootserver wird stets upgedatet, was man mit diesem SSH-Befehl tun kann.
yum update
Plesk muss immer aktuell gehalten werden und auch Mod Security sowie IP-Adressen-Sperre gehören dazu. Ich habe aber auf etlichen Blogs Wordfence Security wieder entfernt, weil es mich nicht mal JS und verschiedene Scripte einbinden lässt. Das ging mir so auf die Nerven, dass ich gleich nur Limit Login Attempts installierte und nur noch das einsetze.