So schützen Sie Ihre Website vor Hackern

01

Reduzieren Sie die Angriffsfläche

Schließen Sie die Öffnungen, die Sie bereits kennen.

Der einfachste Weg, einen Exploit zu stoppen, besteht darin, die Schwachstelle zu beseitigen, bevor der Angreifer sie erreicht. Das ist grundlegende Arbeit, aber grundlegende Arbeit verhindert großen Schaden.

SOFTWARE

Sofort aktualisieren

Behalten Sie die unterstützten Versionen von CMS, Plugins, Themes, PHP und Serverpaketen bei.

WENIGER CODE

Entfernen Sie, was Sie nicht verwenden

Ein inaktives oder verlassenes Plugin kann einem Angreifer weiterhin Code und Dateien zur Verfügung stellen.

ZUGANG

Schützen Sie jedes Konto

Verwenden Sie einzigartige Passwörter, Multi-Faktor-Authentifizierung und die geringsten Berechtigungen, die jede Person benötigt.

ERHOLUNG

Bewahren Sie getestete Backups auf

Speichern Sie Backups außerhalb der Website und stellen Sie sicher, dass Sie sie vor einem Notfall wiederherstellen können.

02

Notwendig, aber nicht ausreichend

Patchen ist ein Rennen, bei dem man sich nicht darauf verlassen kann, dass man jedes Mal gewinnt.

Patchen Sie weiter. Machen Sie das Patch-Timing nicht zu Ihrer einzigen Sicherheitsgrenze.

Software wird von Menschen geschrieben und Menschen machen Fehler. Eine Schwachstelle kann monatelang bestehen, bevor sie jemand meldet. Nach der Offenlegung benötigt der Entwickler Zeit, um einen Fix zu erstellen, die Sicherheitsbranche benötigt Zeit, um Regeln zu erstellen, und der Websitebesitzer muss das Update noch installieren.

Der Angreifer benötigt nur eine nützliche Lücke in dieser Zeitleiste. Ihre Website muss jede Lücke überstehen.

01Ein Fehler liegt vor

Niemand weiß vielleicht, dass es da ist.

02Angreifer finden es

Die Ausbeutung kann bereits vor der Offenlegung beginnen.

03Ein Fix wird veröffentlicht

Ein Patch oder eine Firewall-Regel wird verfügbar.

04Sie stellen es bereit

Die bekannte Öffnung wird endgültig verschlossen.

03

Eine bessere erste Frage

Beginnen Sie damit, guten Traffic zu identifizieren.

Es ist schwierig, jede Anfrage zu beschreiben, die ein Angreifer senden könnte. Es ist praktischer, die Kunden zu überprüfen, für die Ihre Website konzipiert ist, und dann alles andere einzuschränken.

Der größte Teil des öffentlichen Website-Verkehrs kommt von zwei großen Gruppen: Menschen, die echte Webbrowser und automatisierte Dienste wie Suchcrawler, Verfügbarkeitsmonitore, Zahlungssysteme und Integrationstools verwenden. Beide Gruppen können jeden beliebigen Namen in der Liste beanspruchen User-Agent Kopfzeile. Ein Skript, das sich selbst Googlebot nennt, ist solange nur ein Skript, bis seine Identität überprüft wird.

MENSCHLICHE BESUCHER

Überprüfen Sie den Browser

Eine einfache JavaScript-Prüfung kann bestätigen, dass sich ein Client, der behauptet, ein moderner Browser zu sein, wie einer verhalten kann.

AUTOMATISIERTE DIENSTLEISTUNGEN

Überprüfen Sie die Quelle

Bekannte Bots können mit erwarteten Netzwerken und DNS-Einträgen verglichen werden, anstatt nur einem Namen zu vertrauen.

Unbekannte AnfrageÜberprüfen Sie den Browser oder BotErwarteter ZugriffoderEingeschränkter Zugang

Dies bedeutet nicht, dass jeder unbekannte Client blind blockiert wird. Für öffentliche APIs, Webhooks, Barrierefreiheitstools und verbundene Dienste sind möglicherweise sorgfältig abgegrenzte Ausnahmen erforderlich. Das Ziel ist einfach: Geben Sie jedem Client nur den Zugriff, den er benötigt, und geben Sie einem nicht verifizierten Automatisierungstool nicht die gleichen Freiheiten wie einem vertrauenswürdigen Administrator.

04

Verteidigung nach der Anfrage

Schützen Sie das Ergebnis, nicht nur die Anfrage.

Ein Angriff kann am Rande gewöhnlich aussehen, weil er eine echte Funktion auf unbefugte Weise nutzt. Die stärkste Endkontrolle fragt, was die Anfrage innerhalb der Anwendung zu tun versucht.

DIE GLEICHE FUNKTION

Legitim: Ein autorisierter Administrator installiert ein überprüftes Plugin.

Angriff: Ein nicht authentifizierter Exploit schreibt über einen anfälligen Upload-Handler eine PHP-Hintertür.

Beide Pfade schreiben eine Datei. Die Autorisierung macht das eine akzeptabel und das andere gefährlich.

01

Client-Steuerelemente

Beschränken Sie Scanner, gefälschte Browser und unbekannte Automatisierung.

02

Webanwendungs-Firewall

Blockieren Sie böswillige Eingaben, bevor anfälliger Code sie verarbeitet.

03

Durchsetzung der Laufzeit

Verweigern Sie nicht autorisierte Datei-, Konto-, Datenbank- und Netzwerkvorgänge.

04

Scannen und überprüfen

Finden Sie verdächtige Veränderungen und untersuchen Sie, was Ihrer Aufmerksamkeit bedarf.

05

Tun Sie dies noch heute

Eine fünfminütige Checkliste zur Website-Sicherheit.

Sie müssen nicht jedes Sicherheitsproblem auf einmal lösen. Beginnen Sie mit den Änderungen, die die einfachsten Wege zu Kompromissen beseitigen.

01
Aktualisieren Sie unterstützte Software
Installieren Sie aktuelle CMS-, Plugin-, Theme-, PHP- und Server-Releases.
02
Löschen Sie nicht verwendete Komponenten und Konten
Entfernen Sie Code und Zugriffe, die keinen Zweck mehr haben.
03
Aktivieren Sie die Multi-Faktor-Authentifizierung
Schützen Sie Administrator- und Hosting-Konten mit mehr als einem Passwort.
04
Bestätigen Sie externe Backups
Stellen Sie sicher, dass ein aktuelles Backup vorhanden ist und tatsächlich wiederhergestellt werden kann.
05
Aktivieren Sie mehrschichtige Sicherheit
Nutzen Sie die Client-Verifizierung, eine WAF, Laufzeitkontrollen, Scans und nützliche Protokolle.
06
Testen Sie die Website
Überprüfen Sie Anmeldung, Formulare, Checkout, Uploads, APIs und geplante Aufgaben, nachdem Sie den Schutz geändert haben.

06

Häufige Fragen

Fragen zur Website-Sicherheit

Keine einzelne Einstellung macht eine Website unverwundbar. Gute Sicherheit verringert die Chancen, begrenzt die Auswirkungen und sorgt dafür, dass eine Wiederherstellung möglich ist.

Ist es ausreichend, die Software auf dem neuesten Stand zu halten?

Nein. Updates sind unerlässlich, aber ein Fehler kann ausgenutzt werden, bevor ein Patch verfügbar ist oder bevor Sie ihn installieren. Nutzen Sie Updates zusammen mit Zugriffskontrollen, Client-Verifizierung, Anforderungsfilterung, Laufzeitdurchsetzung, Überwachung und getesteten Backups.

Warum sollte jemand eine kleine Website angreifen?

Der Angreifer sieht Ihre Homepage möglicherweise nie. Automatisierte Tools scannen große Teile des Internets und testen, welche Websites antworten. Eine kompromittierte Website kann für Spam, Weiterleitungen, Anmeldedatendiebstahl, Malware-Hosting, Suchmanipulation oder Angriffe auf andere Systeme genutzt werden.

Kann eine Firewall jeden Angriff stoppen?

Nein. Eine Firewall ist eine wichtige Ebene, aber einige Exploits verwenden Anfragen, die legitim aussehen oder auf Verhalten abzielen, das eine Regel noch nicht erkennt. Laufzeitkontrollen stellen eine weitere Grenze dar, indem sie sensible Vorgänge während der Codeausführung überprüfen.

Soll ich jeden Bot blockieren?

Nein. Suchcrawler, Zahlungsdienste, Überwachungstools, APIs und Integrationen können erforderlich sein. Überprüfen Sie bekannte Dienste, schränken Sie unbekannte Automatisierung standardmäßig ein und erstellen Sie die engste Ausnahme, die für eine legitime Funktion erforderlich ist.

Was soll ich tun, wenn ich glaube, dass die Website bereits gehackt wurde?

Bewahren Sie Protokolle und Beweise auf, isolieren Sie die Site bei Bedarf, prüfen Sie privilegierte Konten und deren Persistenz, scannen Sie Dateien und die Datenbank, rotieren Sie Anmeldeinformationen und stellen Sie bei Bedarf eine verifizierte, saubere Sicherung wieder her. Gehen Sie nicht davon aus, dass durch die Installation eines Updates eine bestehende Gefährdung beseitigt wird.