Versionsstände
WordPress-Kern, Theme, alle Erweiterungen und die PHP-Version. Entscheidend ist nicht das Alter allein, sondern ob es für den jeweiligen Bestandteil überhaupt noch Sicherheitspflege gibt.
Vorbeugen
WordPress Sicherheitscheck: den Zustand ehrlich prüfen
Eine Bestandsaufnahme für bestehende Websites, bevor etwas passiert. Sie bekommen einen Bericht mit Befund, Einordnung und einer Liste sinnvoller Maßnahmen. Ohne Prüfsiegel und ohne Panik.
Anlass
Warum eine Prüfung ohne Vorfall sinnvoll ist
Die meisten Menschen schauen erst dann auf die Sicherheit ihrer Website, wenn etwas passiert ist. Das ist verständlich und teuer, weil die Aufräumarbeit dann ein Vielfaches der Vorsorge kostet.
Ein Check beantwortet eine simple Frage: Was wäre nötig, damit hier jemand hereinkommt, und wie schnell würde es auffallen. Aus beiden Antworten ergibt sich, ob Handlungsbedarf besteht. Häufig lautet das Ergebnis, dass drei kleine Dinge fehlen und der Rest in Ordnung ist.
Bestandsseiten unterscheiden sich dabei deutlich von frisch gebauten Websites. Bei einer neuen Seite kennt jemand jede Datei. Bei einer Bestandsseite haben über die Jahre mehrere Menschen gearbeitet, Erweiterungen kamen und gingen, Zugänge wurden vergeben und nie wieder entzogen. Genau deshalb lohnt es sich, den Zustand einmal ehrlich zu prüfen, ohne Rücksicht darauf wer was eingerichtet hat.
Uns ist wichtig, hier gleich mit einer Erwartung aufzuräumen. Wir stellen kein Zertifikat aus und wir verkaufen kein Siegel für die Startseite. Ein Bericht ist eine Momentaufnahme, keine Garantie. Wer Ihnen dauerhafte Sicherheit verspricht, sagt Ihnen nicht die Wahrheit. Was ein Check leisten kann, ist Klarheit darüber wo Sie stehen und was der nächste sinnvolle Schritt ist.
Prüffelder
Neun Bereiche, die wir uns ansehen
Die Prüfung läuft mit Zugang zu Hosting und Website. Ohne Zugang bleibt sie oberflächlich, das sagen wir hier für alle Fälle vorab.
Erweiterungen im Detail
Jede aktive Erweiterung wird gegen bekannte Schwachstellen abgeglichen. Dazu kommt die Frage, ob sie überhaupt gebraucht wird. Verwaiste Pakete sind der häufigste Einstiegsweg, siehe Probleme mit Erweiterungen.
Benutzerkonten
Wer hat Adminrechte, seit wann, und wird das Konto noch benutzt. Alte Zugänge ehemaliger Dienstleister finden wir bei fast jeder zweiten Prüfung. Auch die Passwortqualität und die Zwei-Faktor-Anmeldung gehören dazu.
Anmeldebereich
Ist der Login öffentlich erreichbar, gibt es eine Sperre nach fehlgeschlagenen Versuchen, wie viele Versuche laufen täglich auf. Diese Zahl überrascht die meisten Kunden.
Dateien und Rechte
Abgleich der Kerndateien mit den Originalen, Prüfung der Schreibrechte, Suche nach Dateien, die dort nicht hingehören. Damit fällt auch eine bereits vorhandene Manipulation auf.
Backups
Gibt es automatische Sicherungen, wie lange werden sie aufbewahrt, liegen sie getrennt vom Webserver und hat jemals jemand eine Rücksicherung getestet. Der letzte Punkt ist der wichtigste.
Server und Hosting
Verschlüsselung, Zertifikatslaufzeit, Serverkonfiguration, getrennte Zugänge, Protokollierung. Vieles davon liegt beim Anbieter, lässt sich aber prüfen und im Zweifel ändern.
Datenbank
Zugriffsrechte, Tabellenpräfix, Reste alter Erweiterungen und Auffälligkeiten in Inhalten. Eingeschleuster Code versteckt sich gern in Feldern, die niemand ansieht.
Sichtbarkeit nach außen
Welche Informationen gibt die Seite über sich preis, gibt es offene Verzeichnisse, tauchen fremde Inhalte in Suchergebnissen unter Ihrer Domain auf.
Ergebnis
Was im Bericht steht
Der Bericht ist kurz und für Menschen geschrieben, nicht für andere Techniker. Er hat immer denselben Aufbau.
- Eine Seite Zusammenfassung, verständlich auch für die Geschäftsführung
- Die Befunde nach Dringlichkeit sortiert, jeweils mit einer Einschätzung der Folgen
- Konkrete Maßnahmen mit Aufwand, getrennt nach sofort, bald und irgendwann
- Was Sie selbst erledigen können und wofür jemand mit Zugang gebraucht wird
- Eine Notiz zu Punkten die wir nicht beurteilen konnten und warum
Der Bericht gehört Ihnen. Sie können damit zu uns kommen, zu Ihrer bisherigen Agentur gehen oder ihn einfach ablegen. Wir koppeln die Prüfung nicht an einen Folgeauftrag, weil das Ergebnis sonst nicht glaubwürdig wäre.
Typische Funde
Was wir am häufigsten finden
- Adminkonten von Dienstleistern, deren Zusammenarbeit vor Jahren endete.
- Eine Erweiterung mit bekannter Lücke, für die seit Monaten eine Aktualisierung bereitliegt.
- Backups, die zwar laufen, aber auf demselben Server liegen wie die Website.
- Eine PHP-Version ohne Sicherheitspflege, die niemand umstellt weil das Theme blockiert.
- Hunderte Anmeldeversuche pro Tag, ohne jede Sperre.
Keiner dieser Punkte ist dramatisch für sich. Kommen drei zu Stande, wird es unangenehm. Die gute Nachricht ist, dass sich die meisten davon an einem Vormittag beheben lassen.
Wenn schon etwas passiert ist
Dann ist ein Check der falsche Schritt. Bei Verdacht auf eine Manipulation gilt die Reihenfolge aus Vorgehen nach einem Angriff: erst sichern, dann prüfen, dann bereinigen.
Danach
Welche Maßnahmen sich lohnen
Aus dem Bericht folgt meist eine überschaubare Liste. Wir sortieren sie nach Wirkung und nicht nach Aufwand, damit Sie und wir uns im klaren darüber sind was zuerst passieren sollte.
| Maßnahme | Wirkung | Aufwand |
|---|---|---|
| Alte Adminkonten entfernen, Passwörter erneuern | hoch | eine Stunde |
| Zwei-Faktor-Anmeldung für alle Adminkonten | hoch | ein bis zwei Stunden |
| Ausstehende Aktualisierungen kontrolliert einspielen | hoch | halber bis ganzer Tag |
| Backups extern lagern und Rücksicherung testen | hoch | halber Tag |
| Verwaiste Erweiterungen ersetzen oder entfernen | mittel bis hoch | ein bis drei Tage |
| PHP-Version anheben | mittel | abhängig vom Theme |
| Anmeldebereich schützen und Versuche begrenzen | mittel | eine Stunde |
Wenn sich beim Durchgehen zeigt, dass die Liste jedes Jahr länger wird, ist das ein Hinweis auf etwas Grundsätzlicheres. Dann reden wir mit einander über Struktur statt über Einzelmaßnahmen, entweder in Richtung Aufräumen im System oder in Richtung Ablösung des Unterbaus. Ohne öffentliches Login und ohne Erweiterungen entfallen die meisten Punkte aus dieser Tabelle von selbst.
Häufige Fragen
Fragen zur Prüfung
Wie lange dauert ein Sicherheitscheck?
Mit vollständigem Zugang meist ein halber bis ein ganzer Arbeitstag, den Bericht eingerechnet. Bei sehr großen Installationen oder mehreren Domains entsprechend länger. Den Rahmen nennen wir vorher.
Brauchen Sie dafür Adminrechte?
Für die vollständige Prüfung ja, dazu einen Zugang zum Hosting. Ein eingeschränkter Check von außen ist möglich, sieht aber nur einen Teil. Sie können den Zugang nach Abschluss selbstverständlich wieder entziehen.
Verändern Sie dabei etwas an meiner Website?
Nein. Die Prüfung ist rein lesend. Änderungen passieren erst, wenn Sie sie beauftragen. Falls uns dabei eine akute Manipulation auffällt, melden wir uns sofort und besprechen das weitere Vorgehen mit Ihnen.
Wie oft sollte so eine Prüfung stattfinden?
Bei einer normalen Unternehmenswebsite einmal im Jahr, dazu nach größeren Änderungen wie einem Hosterwechsel oder einem Relaunch. Wichtiger als die Häufigkeit ist allerdings, dass die laufende Pflege stimmt.
Bekomme ich ein Siegel für meine Website?
Nein, und wir raten davon ab. Ein Siegel behauptet einen Zustand der schon am nächsten Tag anders sein kann. Es weckt bei Ihnen und Ihren Besuchern eine Sicherheit die niemand einlösen kann. Sie bekommen stattdessen einen Bericht mit Datum.
Nächster Schritt
Lieber jetzt nachsehen als später aufräumen
Nennen Sie uns die Adresse Ihrer Website und ob Sie Zugang bereitstellen können. Wir melden uns mit Umfang, Dauer und Preis, bevor irgendetwas beginnt.