Website-Check auf Sicherheitslücken

Hat meine Website eine Sicherheitslücke, und woran erkenne ich das?

Eine Sicherheitslücke ist eine Schwachstelle in der Software oder in den Einstellungen einer Website, die es anderen ermöglicht, ohne Erlaubnis Aktionen auszuführen. Die meisten Lücken machen sich nicht bemerkbar: Die Website lädt normal, Bestellungen gehen ein, Formulare funktionieren. Deshalb ist der Gedanke „Meine Website läuft, also gibt es kein Problem“ trügerisch.

Dennoch können einige Anzeichen auf ein Problem hindeuten. Wenn Sie eines der folgenden bemerken, empfehlen wir, Ihre Website ohne Zeitverlust prüfen zu lassen:

• Unerwartete Weiterleitungen: Besucher oder Nutzer, die über Google kommen, landen auf einer anderen Website.
• Unbekannte Suchergebnisse: Bei Google erscheinen unter dem Namen Ihrer Website Seiten in fremden Sprachen oder mit Inhalten zu Medikamenten oder Glücksspiel.
• Unbekannte Konten: Im Verwaltungsbereich gibt es ein Administratorkonto, das Sie nicht angelegt haben.
• Warnungen: Eine Meldung zu Sicherheitsproblemen in der Search Console, ein „Nicht sicher“-Hinweis im Browser oder eine Warn-E-Mail Ihres Hosting-Anbieters.
• Unerklärliche Langsamkeit: Obwohl der Traffic nicht steigt, sind die Serverressourcen ausgelastet und die Website wird langsam.
• Probleme mit Formularen und E-Mails: Über Formulare kommen sinnlose Einsendungen, oder von Ihrer Domain werden E-Mails verschickt, die Sie nicht gesendet haben.

Was prüfen wir beim Sicherheitslücken-Check?

Die Sicherheit einer Website hängt nicht von einer einzelnen Einstellung ab, sondern von mehreren miteinander verbundenen Ebenen. Bei der Prüfung untersuchen wir jede Ebene einzeln und fassen die Ergebnisse in einem Bericht zusammen.

Warum sind PHP-Lücken so häufig Thema?

PHP ist die Programmiersprache, auf der ein sehr großer Teil der Websites im Internet läuft; WordPress, viele E-Commerce-Plattformen und Unternehmenswebsites basieren darauf. Wird in PHP eine Lücke entdeckt, ist deshalb nicht nur eine einzelne Website gefährdet, sondern eine unüberschaubare Zahl von Websites mit derselben Version gleichzeitig.

Ein wichtiges Detail: PHP läuft auf dem Server. Ein Update von WordPress oder den Plugins aktualisiert PHP nicht; die Korrektur spielt der Hosting-Anbieter oder das Team ein, das den Server betreut. Ältere PHP-Versionen, deren Sicherheitsunterstützung ausgelaufen ist, erhalten für neue Lücken keine Korrekturen mehr. Die jüngsten PHP-Lücken und wie die Sichtbarkeit in der Suche erhalten bleibt, wenn die Website vorübergehend abgeschaltet werden muss, haben wir in unserer Nachricht im UNIT Journal zur Regel für Patch- und Wartungsseiten bei PHP-Lücken beschrieben.

Wie führen wir den Sicherheitscheck durch?

Wir beginnen die Prüfung nur mit schriftlicher Erlaubnis des Website-Inhabers und nachdem wir den Umfang gemeinsam festgelegt haben. Die eingesetzten Methoden schaden der Website nicht, löschen keine Daten und erzeugen keine Last, die das Erlebnis der Besucher stören würde.

• Bestandsaufnahme: Wir listen die Versionen von PHP, Datenbank, Content-Management-System, Theme und Plugins auf.
• Abgleich mit bekannten Lücken: Jede Komponente gleichen wir mit öffentlich zugänglichen Sicherheitsmeldungen ab.
• Prüfung von außen: Wir kontrollieren, was ein Besucher oder ein automatisiertes Werkzeug von der Website sehen kann: offen liegende Dateien, Fehlermeldungen, Login-Seiten, Header.
• Prüfung der Konfiguration: Sobald Zugang besteht, sehen wir Server-, Panel- und Domaineinstellungen durch.
• Prüfung von Code und Dateien: Falls nötig, suchen wir in den Dateien der Website nach unerwarteten Änderungen, Hintertüren oder Schadcode.

Was tun wir, wenn eine Lücke gefunden wird?

Jeden Befund ordnen wir nach Auswirkung und danach, wie leicht er sich ausnutzen lässt, einer von drei Gruppen zu: sofort zu schließen, kurzfristig eingeplant und in der nächsten Wartungsphase zu behandeln. Der Bericht beschreibt in verständlicher Sprache, worum es bei jedem Befund geht, warum er wichtig ist und wie er geschlossen wird.

Updates testen wir nach einem Backup möglichst zuerst in einer Testumgebung und spielen sie danach auf der Live-Website ein. Für Korrekturen auf Serverseite übernehmen wir auch die Abstimmung mit Ihrem Hosting-Anbieter. Wurde die Website kompromittiert, entfernen wir den Schadcode, erneuern Passwörter und Zugangsschlüssel, suchen nach Hintertüren und beantragen bei Bedarf über die Search Console eine erneute Überprüfung.

Wie bleibt die Sichtbarkeit in der Suche bei Updates erhalten?

Für einen dringenden Patch kann es nötig sein, die Website kurz abzuschalten. Zeigen die Seiten in dieser Zeit eine Fehlerseite, kann bei Suchmaschinen der Eindruck entstehen, die Website sei entfernt worden. Richtig ist es, während der Wartung den Statuscode zurückzugeben, der eine vorübergehende Unterbrechung meldet, diese Zeit so kurz wie möglich zu halten und dafür zu sorgen, dass die robots-Datei erreichbar bleibt.

Bei kompromittierten Websites gehört es ebenfalls zur Arbeit, fremde Seiten aus dem Index der Suchmaschinen zu entfernen und Warnhinweise aufheben zu lassen. Diese Schritte setzen wir gemeinsam mit unserem SEO-Team um und beobachten Crawling-Fehler und Sicherheitsmeldungen in der Search Console.

Was unterscheidet einen Sicherheitscheck von einem Penetrationstest?

Ein Sicherheitslücken-Check konzentriert sich darauf, bekannte Schwachstellen einer Website zu finden und zu priorisieren: Welche Software ist veraltet, welche Einstellung fehlt, welche Datei liegt offen. Ein Penetrationstest dagegen ist eine umfassendere und längere Arbeit, die den Weg eines Angreifers nachahmt und prüft, ob sich diese Schwachstellen tatsächlich ausnutzen lassen.

Für die meisten Unternehmenswebsites und kleinen Onlineshops ist ein regelmäßiger Sicherheitscheck mit anschließendem Schließen der Lücken der richtige Anfang. Bei Projekten mit Zahlungsinfrastruktur, großer Kundendatenbank oder gesetzlicher Prüfpflicht kann zusätzlich ein Penetrationstest geplant werden; diesen Bedarf bewerten wir am Ende der Prüfung gemeinsam mit Ihnen. Ist ein Penetrationstest nötig, legen wir auch dessen Umfang und Freigaben schriftlich fest.

Welche Websites brauchen eine regelmäßige Prüfung?

Man sollte davon ausgehen, dass jede Website für einen Angriff wertvoll genug ist; die meisten Angriffe beginnen nicht mit einem bestimmten Unternehmen, sondern mit automatisierten Scans, die jede Website mit einer Lücke ins Visier nehmen. Bei folgenden Websites empfehlen wir eine regelmäßige Prüfung besonders:

• E-Commerce-Websites, die Zahlungen und Kundendaten verarbeiten
• Unternehmenswebsites, die über Formulare, Mitgliedschaften oder Terminbuchungen personenbezogene Daten erheben
• Websites, die lange nicht aktualisiert wurden oder auf veralteter Technik laufen
• Websites, bei denen der Kontakt zur erstellenden Agentur oder zum Entwickler abgerissen ist und unklar ist, wer sie betreut
• WordPress-Websites mit vielen Plugins

Lässt sich eine veraltete Technik nicht mehr aktualisieren, kann eine Erneuerung der Website sicherer und kostengünstiger sein. In diesem Fall gehen wir nach dem Ansatz vor, den wir auf unseren Seiten zur Website-Erstellung und zu Web und E-Commerce beschreiben.

Was ist nötig, um die Sicherheit der Website dauerhaft zu erhalten?

• Update-Routine: Kernsoftware, Themes und Plugins werden in regelmäßigen Abständen und nach einem Backup aktualisiert.
• Backups: Backups werden getrennt von der Website aufbewahrt, und die Wiederherstellung wird von Zeit zu Zeit getestet.
• Kontosicherheit: Administratorkonten sind personengebunden, mit starken Passwörtern und Zwei-Faktor-Authentifizierung.
• Schlankheit: Ungenutzte Plugins, Themes und Konten werden entfernt.
• Minimale Rechte: Jede Person erhält nur die Rechte, die sie für ihre Aufgabe braucht.
• Überwachung: Meldungen der Search Console, Serverwarnungen und Dateiänderungen werden verfolgt.

Wo beginnen Sie mit der Sicherheit Ihrer Website? Unsere Empfehlung

Wenn Sie wissen möchten, ob Ihre Website Lücken hat, empfehlen wir folgende Reihenfolge:

1. 1.Zugänge sammeln: Klären Sie, wer die Zugangsdaten für Domain, Hosting und Verwaltungsbereich hat.
2. 2.Version ermitteln: Notieren Sie Ihre PHP- und CMS-Version aus dem Hosting-Panel oder aus dem Bildschirm zum Website-Zustand.
3. 3.Backup erstellen: Stellen Sie vor jeder Änderung sicher, dass ein aktuelles Backup getrennt von der Website vorliegt.
4. 4.Prüfen lassen: Lassen Sie eine Prüfung durchführen, die den Bestand mit bekannten Lücken abgleicht und die Befunde priorisiert.
5. 5.Routine festlegen: Legen Sie schriftlich fest, wer sich um Updates, Backups und Überwachung kümmert.

Es genügt, uns mit der Adresse Ihrer Website zu schreiben; wir besprechen den Umfang und beginnen mit der Prüfung. Sie erreichen uns über die Seite Kontakt oder über das Formular unten auf dieser Seite.