Sicherheit

Ein immer wieder beliebtes Thema bei Webauftritten.

Wie bekomme ich meine Seite absolut sicher?
Antwort: Überhaupt nicht!

Bei Webauftritten, insbesondere mit einem sehr beliebten CMS-System, wie WordPress, sind natürlich immer wieder Personen unterwegs, die versuchen, in die Systeme einzubrechen und dann für ihre Zwecke zu nutzen.

Einige Hinweise will ich trotzdem geben.

1. Sicheres Kennwort
   Wenn Du schon die beliebten Kennwörter abc123 oder kennwort oder ähnliches verwendest, darfst Du Dich nicht wundern. Verwende ein sicheres Kennwort, mindestens 12 Stellen, Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen. Und das Kennwort sollte auch nicht einen Begriff darstellen. Inzwischen wird von den meisten Browsern ein sicheres Kennwort angeboten, dass Du dann auch dort speichern kannst, ebenso bei der Anlage eines Users durch WordPress.
   
2. Der Admin sollte nicht die Nr. 1 haben!
   Gehe zum Dashboard, Benutzer und richte einige weitere User ein. Einer davon erhält Admin-Rechte. Melde Dich mit dem neuen User an und lösche den bisherigen Admin und die „Test“-User, die Du nicht benötigst. Da viele „Böse“ versuchen, über die User-Nummer 1 den Admin zu finden und dann mit einem Passwortgenerator das Kennwort ermitteln wollen, scheitern sie schon an dieser Stelle.
   
3. Benutze ein Sicherheitstool!
   Ich habe seit Jahren die kostenlose Version von WordFence im Einsatz. Bei Unternehmensseiten oder Vereinen ist der Abschluss eines AV-Vertrages dringend anzuraten, da WordFence in den USA sitzt. Hier werden die üblichen Einbrüche in Systeme zumindest aufgehalten. Bislang hatte ich nur Probleme, weil ein Provider-Server gehackt wurde und ausführbare Dateien auf unserer Seite mit einmal vorhanden waren. Das ließ sich aber mit dem Wiedereinspielen einer Datensicherung heilen. Anschließend waren wir schlauer und hatten dort dann auch WordFence im Einsatz.
   Bei WordFence erhältst Du immer Hinweise darauf, dass wieder jemand versucht, sich als Admin einzulocken. Ach so, der Name Deines neuen Administrators darf natürlich nicht Admin lauten!
   
4. 2FA
   Um – zumindest – das Admin-Kennwort weiter abzusichern, ist es sehr ratsam, eine Zwei-Faktor-Authentifizierung einzurichten. Dieses bietet das WordFence-Plugin mit an. Als Generator benutze ich auf meinem IPhone 2FAS Auth. Problemlos.
   
5. Themes und Plugins
   Wie immer – jeder der schon einmal selbst programmiert hat, weiß es – sind Programme fehlerhaft, natürlich nicht sofort schwerwiegend, sondern möglicherweise erst in der Folgezeit. Insbesondere dann, wenn die WordPress-Version sich ändert und der Programmierer des Plugin seinerzeit die entstehende Lücke gar nicht erkennen konnte.
   Hier ist es immer wichtig, auch die Plugins permanent zu aktualisieren und diese möglichst nur aus dem WordPress-Verzeichnis heraus zu installieren. Dabei solltest Du auf die Anzahl der Installationen und die Bewertung achten. Eine hohe Anzahl mit einer mittelguten Bewertung ist dem vorzuziehen, bei dem nur eine geringe Anzahl mit einer sehr guten Bewertung steht.
   Bei Plugins, die nur extern zu erhalten sind, muss sehr sorgfältig auf die Reputation des Unternehmens und die Beurteilung ihrer Arbeit geachtet werden. Ich habe schon häufig unsauber programmierte Dinge gesehen – egal woher – (fehlendes php-Ende, fehlende Kommentierung, unsaubere Aufrufe von Funktionen), die die Funktion des Plugins oder Themes im Moment nicht beeinflussen, aber für einen „Einbruch“ prädestiniert sind.
   Also immer Vorsicht!
   
6. SSL
   Vor wenigen Jahren noch etwas Neues, inzwischen alltäglich: Die Absicherung der Seite mit einem SSL-Zertifikat, so dass sie durch https:// erreichbar ist. Hinzu muss natürlich eine Umleitung von http:// auf https:// treten, die einige Hoster schon automatisch anbieten. Ansonsten ein Eintrag in die functions.php und fertig