Was man selbst tun kann

1. Updates, Updates, Updates

Ganz oben auf der Liste steht, alle Plugins, Themes und auch den WordPress-Core stets aktuell zu halten. Regelmäßige Updates schließen bekannte Sicherheitslücken, die gezielt von Angreifern ausgenutzt werden. Updates bringen also nicht nur neue Funktionen, sondern vor allem wichtige Sicherheits-Patches. 

2. Sinnvolle Benutzerrechte

Nicht jeder Nutzer benötigt Administratorrechte – in der Regel reicht ein einzelner Admin-Zugang völlig aus. Alle weiteren Benutzer sollten nur die Rechte erhalten, die sie tatsächlich brauchen. So lässt sich der Schaden begrenzen, falls ein Benutzerkonto kompromittiert wird. Ein gehackter Redakteurs-Account ist deutlich weniger kritisch als ein Admin-Zugang.

3. Nicht aktive Plugins löschen

Achten Sie darauf, nur Plugins und Themes zu verwenden, die aktiv gepflegt werden. Manchmal verliert der Autor das Interesse oder eine Erweiterung wird aus anderen Gründen nicht mehr aktualisiert. Nicht mehr aktualisierte Themes und Erweiterungen stellen ein großes Sicherheitsrisiko dar und sollten konsequent entfernt werden.
Ähnliches gilt für Plugins und Themes, die nicht aktiv genutzt werden sind. Man probiert ein Plugin oder ein Theme aus und deaktiviert es dann wieder. Auch diese Liste sollte man im Auge behalten. Was nicht gebraucht wird, sollte man löschen.

4. Vertrauenswürdige Quellen nutzen

Beziehen Sie Themes und Plugins ausschließlich aus offiziellen und vertrauenswürdigen Quellen. Vermeintliche Schnäppchen, bei denen kostenpflichtige Erweiterungen kostenlos oder sehr günstig angeboten werden, enthalten in der Regel Schadcode. Der gefährdet Ihre gesamte Website.

5. Sichere Zugänge 

Sie sollten immer mit starken Zugangsdaten arbeiten, das bedeutet vor allem gute Passwörter (siehe Kasten). Verwenden Sie Passwörter auf keinen Fall mehrfach, auch wenn das leichter zu merken ist. Vermeiden Sie den Standard-Benutzernamen „admin“, da dieser bei Brute-Force-Angriffen immer zuerst ausprobiert wird. Jeder Benutzer sollte ein eigenes Konto mit einem sicheren, einzigartigen Passwort haben und nur die notwendigen Rechte erhalten.

6. Nicht am Hosting sparen

Ein guter Hoster schützt seine Server mit einer modernen, abgesicherten Infrastruktur, erstellt regelmäßige Backups und steht bei Problemen mit kompetentem Support zur Seite. Das ist eine wichtige Basis für die Sicherheit Ihrer Website.

Login verstecken?

Diesen Rat liest man recht häufig: Man soll die Login-Seite verstecken. Das ist nicht schwer umzusetzen, der WP-Login bekommt einfach eine andere URL zugewiesen. Ich halte von dieser Maßnahme nicht so viel, denn Angreifer finden auch versteckte Login-Seiten. Legen Sie den Fokus lieber auf starke Benutzernamen und sichere Passwörter.

Und was ist mit Sicherheits-Plugins?

Unter dem Stichwort “Sicherheit” oder “Security” gibt es viele Angebote im Plugin-Verzeichnis. Diese Plugins versprechen schnellen Rundum-Schutz für alle Lebenslagen. Es gibt sie in kostenlosen Versionen über WordPress.org oder in Premium-Versionen gegen eine Jahreslizenz. Sie bieten üblicherweise Funktionen aus den folgenden Bereichen:

• Firewall, d.h. es werden Anmeldeversuche registriert und ggf. die IPs gesperrt, von denen die Versuche kommen.
• Der Malware Scanner prüft die Installation auf potenziellen Schadcode und gleicht die Plugins ab mit Listen von bekannten Sicherheitslücken
• Möglichkeiten, Benutzerkonten und Anmeldung abzusichern, indem z. B. starke Passwörter eingefordert werden

Viele der Funktionen kann auch ein gutes Hosting übernehmen. Je nachdem, welche Sicherheitsstandards Ihr Hosting hat, kann es sogar sein, dass Sie dort gar keine Sicherheitsplugins installieren dürfen. Das ist dann kein Nachteil, sondern ein Zeichen dafür, dass das Hostingunternehmen das Thema ernst nimmt und sich darum kümmert. Häufig können Sie einzelne Aspekte in Ihrem Kundenmenü konfigurieren.

Der Charme eines Sicherheitsplugins ist, dass es Benutzer:innen an die Hand nimmt und alle oben genannten Sicherheitsaspekte einmal durchgeht. Die Funktionen werden in einem Dashboard zusammengeführt, wo alles übersichtlich dargestellt und (idealerweise) gut erklärt wird. Wenn man allerdings mehr als nur die Basis-Funktionen nutzen möchte, braucht man in der Regel die bezahlte Version. Für alle, die einen eher günstigen Hosting-Tarif haben, kann ein Sicherheits-plugin die Sicherheit der Website erhöhen.

Anstatt eine große Erweiterung mit vielen Funktionen zu installieren, kann man viele Aspekte aber auch einzeln regeln. Man kann z.B. ein Plugin installieren, das starke Passwörter erzwingt und am besten gleich 2-Faktor-Authentifizierung für bestimmte Benutzergruppen einfordert. Oder eines, das nur eine gewisse Anzahl an Anmeldeversuchen erlaubt.
Auch einen Sicherheitsscan kann ich anders bekommen, es gibt Plugins und Dienste, die diese Dienstleistung anbieten, kostenlos oder bezahlt. Häufig kommt so etwas auch zusammen mit der Backup-Funktion: Ein Plugin, das regelmäßig Backups erstellt und die möglichst zu einem anderen Server schickt, kann in der Regel auch einen Sicherheitsscan initiieren.

Fazit Sicherheitsplugins

Sicherheitsplugins können helfen, das komplexe Thema Sicherheit besser erfassbar zu machen. Manches mag auf den zweiten Blick nicht unbedingt notwendig sein – ich denke da beispielsweise an das Verstecken des WordPress Logins. Aber, richtig eingesetzt, können diese Plugins sinnvoll sein.

Dabei muss man berücksichtigen, dass man gerade bei Sicherheitsplugins penibel darauf achten muss, Updates zu machen. Denn diese Tools haben weitreichende Rechte im System und greifen tief in eine Website ein. Wenn hier eine Sicherheitslücke offen bleibt, wird das Sicherheitsplugin selbst zum Sicherheitsrisiko.

Wie sinnvoll ein Sicherheitsplugin ist, kommt nicht zuletzt auf das Hosting an. Wenn Ihre Website bei einem Anbieter gehostet wird, der bereits ausgeklügelte Firewalls und Malware-Schutz anbietet, bringt das Installieren einer zusätzlichen Erweiterung keinen großen Mehrwert. Sicherheitsplugins können außerdem zu einem trügerischen Sicherheitsgefühl führen: Wenn schwache Passwörter unterwegs sind oder es viele unbeobachtete Admin-Accounts gibt, steht die Hintertür weit offen. Das kann auch das Sicherheitsplugin nicht verhindern.

The post WordPress einfach und wirkungsvoll absichern has first been published on start the loop_.

Sichere Passwörter verwaltet man am besten mit einem Passwort-Manager. So ein Programm merkt sich alle Passwörter und speichert sie sicher und verschlüsselt ab. Man kann damit seine Passwörter übersichtlich sortieren und ordnen. Man kann sich Notizen machen und sieht unter anderem, wann man ein Passwort zuletzt geändert hat.

Passwort-Manager bieten auch Abhilfe bei einem sehr weit verbreiteten Sicherheits-Problem: Dasselbe Passwort wird mehrfach verwendet. Ich hatte auch mal so ein „schönes“ Passwort, das ich an vielen verschiedenen Orten eingesetzt habe. Damit erhöht sich leider das Risiko massiv, dass Zugangsdaten in falsche Hände geraten. Es reicht eine geleakte Liste, auf der das Passwort auftaucht.

Passwort-Manager gibt es für alle Betriebssysteme (Windows, Mac, Linux) sowie für Smartphones und mobile Geräte (Android, iOS). Die Programme sind recht komfortabel, sie bringen beispielsweise eine Erweiterung für Webbrowser mit. Das Programm merkt sich dann die URL einer Login-Seite und schlägt gleich die richtige Kombination aus Username und Passwort vor.

Das kann beispielsweise auch verhindern, dass die Login-Daten in eine Fake-Website eingegeben werden, da der Passwort-Manager die falsche URL nicht identifizieren kann. Man kann die Login-Daten natürlich immer von Hand eingeben. Aber möglicherweise genügt die kurze Irritation, dass der Login nicht klappt, um zu begreifen, dass etwas faul ist.

Hier sind drei der bekanntesten Passwortmanager-Programme 

1. 1Password – Ein weit verbreiteter Passwort-Manager mit vielen Funktionen für Einzelpersonen und Teams.
   Zur Website von 1Password
2. Bitwarden – Open-Source-Passwortmanager mit sicherer Verschlüsselung und plattformübergreifender Nutzung.
   Zur Website von Bitwarden
3. Keeper – Ein Passwort-Manager, der das sichere Teilen von Passwörtern erleichtert
   Zur Website von Keeper

Die Verbraucherzentrale NRW hat einen informativen Artikel zum Thema Passwort-Manager veröffentlicht. Auch bei der Stiftung Warentest gibt es einen Vergleich.

The post Passwort-Manager has first been published on start the loop_.

Shops speichern Zahlungsdaten, Mitglieder-Websites haben Benutzerkonten. Diese Daten – Namen, E-Mail-Adressen, Passwörter, Zahlungsinformationen – kann man stehlen und zu Geld machen. Bei einer Website, auf der Nutzer-Daten gespeichert werden, sind häufig die Daten das Ziel eines Angriffs. 

Aber was ist, wenn auf der Website gar keine Nutzer-Daten vorkommen? Schützt mich das automatisch gegen Angriffe? Leider nicht. Denn nicht nur Daten sind für Angreifer interessant. 

Kontrolle über die Website

Eine Website unter ihre Kontrolle zu bringen ist das weitaus häufigste Motiv, warum Kriminelle eine Website angreifen. Das Ziel ist es dabei, Admin-Zugriff oder Server-Zugriff zu bekommen. Wer Zugang hat, kann Schadcode einbauen. Über kompromittierte Websites werden Spam-Mails versendet, sie enthalten Weiterleitung auf Phishing-Seiten oder sie werden zum Hosten von Malware eingesetzt. Die Möglichkeiten, eine Website für kriminelle Zwecke einzusetzen, sind vielfältig: Glücksspiel, Pornografie, Fake-Shops, SEO-Spam (Backlinks für andere Seiten), Affiliate-Betrug und so weiter. 

Dass eine Website Schadcode enthält, erkennen die Suchmaschinen-Bots häufig vor den Besitzern selber. Die Website wird dann als gefährlich eingestuft und die Suchmaschine zeigt die Website nicht mehr an. Sie wird so quasi nicht mehr erreichbar. Auch dazugehörige Mailadressen sind von einer solchen Sperre (Blacklisting) betroffen. Alle Mails werden als Spam markiert.

So entsteht relativ schnell ein ziemlich umfangreicher Schaden. Den zu bereinigen, ist mit viel Arbeit verbunden. Ohne die Hilfe eines professionellen Dienstleisters geht es meistens nicht. Denn selbst, wenn man Schadcode aufspürt und löscht, die Angreifer haben ziemlich sicher eine offene „Backdoor“ hinterlassen, über die sie jederzeit neuen Schadcode einschleusen können. Die zu finden ist nicht einfach. Und dafür, den guten Ruf der Seite und das Suchmaschinen-Ranking wieder aufzubauen, gibt es ebenfalls keine schnelle Lösung.

Hier ist es von Vorteil, ein Hosting zu haben, das Sicherheit der Server großschreibt. In dem Fall findet hoffentlich der Scanner des Hosters den Schadcode vor den Suchmaschinen, die Website wird sofort offline genommen. Das ist zwar auch nicht schön, verhindert aber in der Regel die Probleme, die durch ein Blacklisting entstehen.

The post Wovor müssen wir uns da eigentlich schützen? has first been published on start the loop_.

Neue Versionen für Plugins kommen relativ häufig, je nach Anzahl der in einer Website eingesetzten Plugins sind fast täglich Updates fällig. Der WordPress-Core, also das WordPress CMS selbst, bekommt etwa alle 1 bis 2 Monate kleine Updates, etwa zweimal im Jahr kommt eine neue Version. Auch Themes bekommen Updates, aber hier ist die Frequenz weniger hoch als bei Plugins. Updates sind häufig sicherheitsrelevant. Das heißt, bietet ein Plugin ein Update an, sollte man das nicht ignorieren.

Updates, die eine bekannte Sicherheitslücke schließen, sollten immer so schnell wie möglich ausgeführt werden.

Welche Plugins sollen automatisch aktualisiert werden?

Ich für mich teile Plugins grob in drei Gruppen ein:

• Plugins, die, indirekt oder direkt, wichtig sind für die SICHERHEIT der Website. Das kann eines der gängigen Sicherheitsplugins sein, Plugins, die Backups erstellen und vergleichbare Plugins. Ihnen gemein ist, dass sie mit der Darstellung der Website nichts zu tun haben. Gleichzeitig haben sie meistens weitreichende Befugnisse und können so schnell zum Risiko werden.
• Plugins, die essenziell sind für die DARSTELLUNG und FUNKTION der Website. Das wäre zum Beispiel WooCommerce für einen Shop, LearnDash für eine e-Learning Plattform, und natürlich die ganzen Ergänzungsplugins, die man rundherum braucht.
• Plugins, die die Darstellung und Funktion nicht beeinträchtigen, aber nützliche Tools sind. Hierzu gehören etwa „KoKo Analytics“, „Yoast SEO“, „Enable Media Replace“, Maintenance Plugins oder so etwas wie „Admin Columns“.

Bevor man für ein Plugin automatische Updates aktiviert, muss man sich folgende Fragen stellen:

• Wie hoch ist das Risiko, das entsteht, wenn dieses Plugin in einer veralteten Version läuft?
• Wie groß ist die Gefahr, dass durch das automatische Update etwas an der Website kaputtgeht? Also dass beispielsweise die Darstellung nicht mehr funktioniert, oder der Shop ein Problem bekommt?

Zusätzlich können immer Konflikte entstehen, wenn zwei Plugins sich nach einem Update in die Haare kriegen. Das kann man leider nicht völlig ausschließen.

Plugins, die ich in der Regel automatisch aktualisieren lasse

Die Plugins der ersten Gruppe, also sicherheitsrelevant, aber im Hintergrund arbeitend, stehen bei mir meist ganz oben auf der Liste für automatische Updates. Gerade, falls eine Sicherheitslücke bekannt wird, möchte ich, dass diese so schnell wie möglich geschlossen wird.

Auch für die Plugins der dritten Gruppe nutze ich häufig die automatische Aktualisierung. Das betrifft alle nützliche Tools, die aber nicht direkt mit der Darstellung der Website für Besucher:innen zu tun haben. In der Regel verursachen sie keine Fehler, die die Funktion der Website beeinträchtigen.

Plugins, bei denen ich die Aktualisierung von Hand anstoße

Alle Plugins, die essenziell sind für einen Webshop, eine E-Learning-Plattform oder beispielsweise auch ein Buchungssystem, lasse ich normalerweise nicht automatisch updaten. In der Regel lese ich mir vor dem Aktualisieren das Changelog durch. So erfahre ich, welche Veränderungen das Update mitbringt. Handelt es sich nur um ein kleines Update, ist die Liste entsprechend kurz.
Das hilft mir, potenzielle Fehlerquellen zu sehen. Sprich, ich weiß, wo ich nach dem Update genauer hinschauen muss.

Bei sehr komplexen Systemen, wie einem WooCommerce-Shop oder einer E-Learning-Plattform, muss ich genau hinschauen und gründlich testen. Diese Updates finden idealerweise zuerst in einer Staging-Umgebung statt, also in einer exakten Kopie der Website in derselben Umgebung wie die Live-Website. So kann man aktualisieren, ohne dass es ernste Folgen hat. Falls doch etwas schiefgeht, kann man in Ruhe nach dem Fehler suchen.

Wie aktiviere ich automatische Updates?

Seit der WordPress-Version 3.7 gibt es die Möglichkeit, auf der Plugin-Übersichtsseite zu wählen, dass Updates für ein Plugin automatisch installiert werden sollen. Für die kostenlosen Plugins kommen die Updates in der Regel über WordPress.org. Für Premium-Plugins, für die man über die Website des Plugins oder eine Plattform eine Lizenz gekauft hat, werden diese Updates in der Regel von diesen Websites ausgeliefert. In seltenen Fällen muss man sich die aktuellste Version auch als Datei herunterladen und neu installieren.

Wenn automatische Aktualisierungen aktiviert wurden, werden die in der Regel einmal am Tag durchgeführt. Manchmal steht auf der Plugin-Seite auch, dass eine Aktualisierung in x Stunden geplant ist. Sobald das Update erfolgt ist, sendet das System eine E-Mail an die Adresse des Administrators. Falls es Probleme beim Updaten gab, bekommt man ebenfalls eine Nachricht. Daher ist es wichtig, eine aktuelle E-Mail-Adresse als Admin-Adresse zu nutzen, sodass man diese E-Mails auch bekommt.

Auch die Core-Aktualisierungen vom WordPress-System kann man automatisch updaten lassen. Hier kann man unterscheiden, ob lediglich die „kleinen“ Updates gemacht werden sollen, die in der Regel Sicherheits-Patches enthalten, oder ob auch die „großen“ WordPress-Updates automatisch ausgeführt werden sollen.

Stille Warnsignale beachten

Ab und zu wird ein Plugin nicht mehr weiterentwickelt, das heißt, es gibt irgendwann keine Updates mehr. Das passiert ganz leise, man übersieht diesen Fall sehr leicht. Ein Hinweis ist, wenn die Option „Automatisch Aktualisieren“ verschwindet, sprich, das Plugin kann über das WordPress Repository nicht mehr abgerufen werden.
Meist funktioniert das alte Plugin noch, aber es ist nicht mehr auf dem Stand der Technik und potenziell unsicher. In dem Fall sollte man sich zügig nach Ersatz umschauen.

Eine Ausnahme wäre, wenn die Plugin-Autor:innen das Plugin bewusst aus dem WordPress-Repository nehmen. In diesem Fall würde aber ein Hinweis auftauchen, woher man in Zukunft die Aktualisierungen bekommt, und vor allem, wie man vorgehen muss, dass man sie bekommt.

Wenn ein Update schiefgeht

Es kommt immer mal wieder vor, dass ein Update die Website zum Umkippen bringt. Im schlimmsten Falle sieht man dann nichts mehr außer dem gefürchteten „White Screen of Death“. Dann muss man herausfinden, wer der Übeltäter ist, und nach Möglichkeit auf eine frühere Version des jeweiligen Themes oder Plugins zurückgehen. Sollte das nicht möglich oder sinnvoll sein, muss man überlegen, ob man das Plugin ersetzen oder sogar löschen kann.

The post Automatische Updates has first been published on start the loop_.