Henning Uhle

Es ist gut möglich, dass das Alles schon lange bekannt ist. Aber wie das eben immer ist, manchmal muss man auf Gefahren für Webseiten mit dem Hammer hinweisen. Viele werden sich fragen, was man denn da für einen Hermann draus macht. Aber am Ende ist es wirklich so, dass für viele in der eigenen Webseite die Identität liegt oder sogar so etwas wie das Lebenswerk. Was meinen Sie denn, warum es die vielen Hinweise gibt, wie man eine Webseite absichern soll? Wir wollen mal schauen, was Hacker alles mit einer Webseite anstellen können.

Webseiten sind naturgemäß über das Internet erreichbar. Das macht sie logischerweise angreifbar. Einerseits sind es die Webseiten selbst, andererseits die Server, auf denen sie liegen. In Server kann eingebrochen werden, wie immer wieder Berichte zeigen. Und was ist mit Webseiten? Speziell, was WordPress betrifft, kann man da schnell ein Opfer werden, wenn man nicht aufpasst. Das Problem ist – wie übrigens bei allen Content Management Systemen – die Tatsache, dass es keine absolute Sicherheit gibt. Sonst müsste man seine Webseite abstellen.

Wenn eine Webseite aus irgendeinem Grund gehackt wurde, gibt es verschiedene Möglichkeiten, was damit passieren kann. Kein Hacker macht irgendwas, nur um seinen Spaß zu haben. Das war einmal, als da irgendwelche lustigen Männchen über den Inhalt tanzten. Jetzt passiert viel mehr, was auch alles irgendwie sein eigenes Ziel verfolgt. Dabei ist natürlich auch die Verunstaltung, wie bisher. Aber die hat dann auch so seinen Sinn.

Die Verunstaltung – das so genannte Defacing – wird vor allem politisch motiviert genutzt. Ich kann mich daran erinnern, dass es Meldungen gab, dass persönliche Webseiten von Politikern oder die Webauftritte von extremistischen Vereinigungen mit irgendwelchem Zeug zu gepflastert wurden. Teils mit entgegen gesetzten politischen Aussagen, teils zur Irreführung und dergleichen. Die eigentlichen Inhalte wurden ersetzt oder überblendet. Die Hacker, die das tun, wollen Aufmerksamkeit. Für ihre politische Sache.

Zu einer Webseite gehört ja auch eine Domain. Jetzt ist es so, dass da Email-Adressen dazu gehören. Und was passiert, wenn man einem Webseiten-Betreiber schaden will? Er spammt im Namen des Betreibers herum. Jetzt stellen Sie sich mal vor, hier würde jemand Zugriff bekommen. Der könnte dann hier in Logs herum suchen und die Email-Adressen für seine Zwecke missbrauchen. Oder verkaufen. Oder sonstwas tun. Spam ist ein riesiges Problem. Darum ist es eine der höchsten Pflichten, dass Kontaktdaten von Nutzern unzugreifbar sind.

Aber weil wir gerade bei Spam sind, machen wir doch gleich weiter mit SEO Spam. Es ist ja nicht nur so, dass in den Kommentarspalten unzählige Links platziert werden können, wenn man nicht aufpasst. Aber wurde die Seite gehackt, hat man keine Kontrolle mehr über die Kommentare, weshalb die unkontrolliert Links umher ballern. Aber nicht nur das. Wurde die Seite gehackt, kann sie missbraucht werden, um zusätzliche Seiten mit missbräuchlichem Inhalt zu erstellen.

Es können auch missbräuchliche Weiterleitungen platziert werden. Mit diesen Weiterleitungen können Hacker dann die Webseiten-Besucher zu gefährlichen Inhalten leiten. Das können ganze manipulierte Seiten sein, über die dann per Phishing Nutzerdaten abgegriffen werden können. Und es kann natürlich auf der gehackten Seite Schadsoftware verbreitet werden. Das Alles, um an Nutzerdaten, Kreditkarten-Nummern oder was auch immer zu kommen. Hacker können da sehr erfinderisch sein.

Relativ neu ist das Problem der Ransomware. Wohingegen unzählige Computer und Smartphones blockiert wurden und deren Inhaber erpresst wurden, ist das Problem bei Webseiten noch schwach verbreitet. Das kann sich aber sehr schnell ändern. Da werden komplette Webseiten verschlüsselt und Geld erpresst. Wer da ohne Backup unterwegs ist, hat eigentlich keine Chance.

Am Ende bleibt die Erkenntnis, dass man die Gefahren für Webseiten niemals unterschätzen sollte. Ich meine, es gibt nicht umsonst so viele Warnungen. Schauen Sie mal, wie die Aufteilung der schlimmsten Gefahren derzeit aussieht. Aber es gibt auch Schutzmöglichkeiten. Man kann ja etwas dagegen tun und diverse Mechanismen einfach mal nutzen. Es gibt es doch alles.

Als erstes gilt doch nach wie vor: Aktuelle Software schützt vor vielen Gefahren. Wenn ich WordPress und die dort verwendeten Plugins nicht aktuell halte, darf ich mich nicht wundern, wenn meine Webseite angreifbar wird. Die Entwickler von WordPress können nicht alle Lücken stopfen, dazu sind Hacker einfach zu gewieft. Aber sie tun alles, um möglichst wenige offen zu lassen. So verhält sich das auch mit Plugins. Und hier gilt noch dazu, dass so viele wie nötig und so wenige wie möglich eingesetzt werden sollen.

Dann ist es doch so, dass man den Blog schützen kann, indem man Schutzmechanismen einsetzt. Ich habe das hier mal aufgeschrieben. Zudem darf man den Blog gern gegen Brute Force Attacken schützen, die darauf aus sind, Zugriff auf die Verwaltungsoberfläche zu erlangen. Empfehlenswert ist da so etwas wie „Login Security Solution“ oder etwas ähnliches. Schauen Sie einfach mal, was Ihnen da am meisten zusagt. Es gibt auch entsprechende Anleitungen für diese Lösungen.

Und nichts geht über ein gut gehendes Backup. Ich schrieb ja oben, dass man keine Chance ohne Backup hat. Ich mache nun schon seit längerem mit BackWpUp meine Backups. Und an die kommt kein Hacker ran, weil ich die extern speichere. Automatisiert. Wenn mir das im Endeffekt helfen würde, wäre das wünschenswert. Ich habe mal die Backups getestet, und sie sind valide und funktionstüchtig.

Es gehen viele Blogger viel zu fahrlässig mit WordPress um. Ohne Updates und ohne Schutzmechanismen und ohne Backups sind sie unterwegs. Und dann wundern die sich, wenn sie angegriffen werden. Noch einmal: Es gibt keine absolute Sicherheit. Aber man kann genügend tun, um so wenig wie möglich Einfallstore zu bieten. Oder sehen Sie das irgendwie anders?