Website-Sicherheit: 8 Maßnahmen ohne technisches Vorwissen
Kleine Seiten gelten als sicher; tatsächlich probieren automatische Scans jeden durch. Acht Grundmaßnahmen, die Sie selbst umsetzen können.
"Meine Seite ist klein, wer sollte sich die Mühe machen?" Die meisten Angriffe sind nicht persönlich. Automatisierte Werkzeuge durchsuchen das Netz nach bekannten Lücken; Ihre Größe interessiert sie nicht.
1. Alles aktuell halten
Das ist der häufigste Einstieg: eine bekannte Lücke, für die längst ein Patch existiert. Bei WordPress sollten Kern, Theme und Plugins aktuell sein.
Erst Backup, dann aktualisieren.
2. Ungenutzte Plugins löschen
Deaktivieren genügt nicht — solange die Dateien auf dem Server liegen, tragen sie die Lücke weiter. Was Sie nicht nutzen, entfernen Sie vollständig.
3. Nicht "admin" als Benutzernamen verwenden
Brute-Force-Versuche beginnen mit "admin". Ein anderer Benutzername lässt einen großen Teil davon von vornherein ins Leere laufen.
4. Zwei-Faktor-Authentifizierung einschalten
Selbst wenn Ihr Passwort durchsickert, kommt ohne zweiten Schritt niemand hinein. Sie sollte für alle mit Zugang zum Adminbereich aktiv sein.
5. Anmeldeversuche begrenzen
Wiederholte Fehlversuche von derselben IP sollten blockiert werden. Die meisten Sicherheits-Plugins erledigen das mit einer Einstellung.
6. Backups machen und die Wiederherstellung testen
Die zweite Hälfte wird am häufigsten übersprungen. Viele Unternehmen glauben, Backups zu haben, und merken erst im Ernstfall, dass sie unbrauchbar sind.
Spielen Sie einmal im Monat ein Backup in einer Testumgebung zurück. Das dauert fünf Minuten und spart einen Tag.
7. Dateirechte verschärfen
Ordner auf dem Server sollten nicht für jeden beschreibbar sein. Üblich sind 755 für Ordner und 644 für Dateien. Sie können das im Hosting-Panel prüfen.
8. Formulare schützen
Das Kontaktformular ist die erste Station für Spam-Bots. Sie können es ohne CAPTCHA verteidigen: versteckte Felder (Honeypot), eine Prüfung der Ausfülldauer und ein Limit pro IP erledigen die Arbeit, ohne echte Besucher zu stören.
Woran Sie einen Einbruch erkennen
- In den Suchergebnissen erscheinen Seiten, die Sie nie angelegt haben
- Besucher berichten von Weiterleitungen
- Der Browser warnt "diese Seite könnte schädlich sein"
- Im Adminbereich stehen Benutzer, die Sie nicht kennen
Fällt Ihnen eines davon auf, setzen Sie die Seite zuerst in den Wartungsmodus und stellen dann ein sauberes Backup wieder her. Bewahren Sie vor jedem Bereinigungsversuch eine Kopie des aktuellen Zustands auf — Sie brauchen sie vielleicht, um zu verstehen, was abgeflossen ist.
- #Sicherheit
- #Wartung
- #WordPress
