Als Dienstleister im Bereich Web und Medien spielt das Thema Sicherheit für uns eine zentrale Rolle. Dieses Praxisbeispiel macht deutlich, wie wichtig es ist, sich in der Materie auszukennen.
Die Ausgangslage
Ein WordPress-System wird von einem Trojaner befallen. Durch einen ungeschützten Administrator-Account (der Benutzername entsprach dem Passwort und war denkbar einfach zu erraten) können Unbefugte in das System eindringen und es komplett unter ihre Kontrolle bringen. Auf jeder Inhaltsseite werden Schadcode und Links zu fragwürdigen Seiten platziert. Zudem veröffentlicht der Virus selbständig alle zwei Tage neue Artikel in dem Blog, die ebenfalls Links und Schadcode enthalten.
Zu guter Letzt werden auch noch die bestehenden Benutzer-Accounts so manipuliert, dass die „echten“ Benutzer am System nichts mehr verändern können.
Die Sofortmaßnahmen
Nach einer ersten Analyse des befallenen Systems bereinigen wir zunächst händisch die infizierten Seiten. Zudem ändern wir bei dem gehackten Administorenzugang das Passwort und erstellen ein Backup der Datenbank.
Weitere Maßnahmen
Nachdem die Ursache für den Hackerangriff geklärt ist, wird der WordPress-Quellcode neu eingespielt und das System mit Hilfe von speziellen Plugins abgesichert. Damit sinkt nebenbei auch die Spam-Anfälligkeit des Blog-Systems.
Als abschließende Maßnahme erfolgt eine Umstellung auf eine gesicherte Verbindung über HTTPS, was zur Folge hat, dass die Daten fortan verschlüsselt übertragen werden und weniger leicht mitgelesen werden können. Dies wirkt sich nebenbei auch positiv auf das Ranking in Suchmaschinen wie Google aus.
Risikofaktor Unwissenheit
Das infizierte WordPress-System und die Benutzerzugänge wurden im Wesentlichen von Laien eingerichtet. Auch wenn die Einrichtung eines WordPress-Blogs keine große Herausforderung darstellt, so kann man doch bei der Konfiguration so einiges falsch machen, was sich später böse rächt.
Beliebte Fehler von Laien
- Zu weitreichende Rechte: Ein Redakteur braucht keine Berechtigung als Systemadministrator
- Zu einfache Passwörter: Alles was in Wörterbüchern zu finden ist, kann ein entsprechendes Skript früher oder später durch simples Erraten herausfinden. Zudem kommt es bei Passwörtern klar auf die Länge an. Je länger und komplexer das Passwort, desto schwieriger ist es zu erraten. Kein Kennwort sollte weniger als acht Stellen lang sein.
- Sorglosigkeit: “Bei mir wird schon nichts passieren. Ich bin doch viel zu unbedeutend für einen Hackerangriff”. Fakt ist: Je weiter verbreitet ein System ist, desto mehr lohnt es sich, speziell zugeschnittene Schadsoftware zu entwickeln, die automatisiert in fremde Systeme eindringen kann und dort teils verheerendes Unheil anrichtet.
Video: Augen auf bei der Passwortwahl
Dieses Video illustriert, wie einfach Passwörter geknackt werden können, wenn sie nicht komplex genug sind. Aber es gibt auch Tipps, wie man sich sichere Kennwörter einfach merken kann.
Fatal: Fehlendes Grundwissen zu IT-Sicherheit
Ob die Vergabe von Rechten, die Prävention von SPAM und Cyber-Angriffen, Sicherheit von Passwörtern, Backup-Strategien oder die Anwendung von Verschlüsselungstechniken. All das sind Themen, die Laien oft ignorieren oder unterschätzen weil Ihnen schlicht das Wissen und die Erfahrung dazu fehlen. Damit sind sie leichte Opfer von Cyberkriminellen.
Als professioneller Anbieter sorgen wir dafür, dass so viele Angriffsmuster wie möglich von vornherein blockiert werden. Kluge Backup-Strategien und ein solides Risiko- und Notfallmanagement stellen sicher, dass ein System, das von uns eingerichtet wird, in seiner Integrität gesichert ist und Cyber-Angriffe ins Leere laufen.
Im unwahrscheinlichen Fall, dass trotz aller Präventionsmaßnahmen doch einmal ein Angriff erfolgreich sein sollte, wird das System kurzfristig, geräuschlos und selbstverständlich kostenfrei bereinigt.
Sichere Websites von den Profis
- Hohes Sicherheitslevel, um Cyber-Angriffen wirkungsvoll vorzubeugen
- Systematische Backups – damit im Fall der Fälle nichts verloren gehen kann
- Ein gutes Gefühl: Durch ständige Optimierung bleibt die eigene Website dauerhaft geschützt
Nils Schaffernicht – Websites, aber sicher!
Jetzt mehr erfahren – ein Anruf oder eine Mail genügt.
Telefon: +49 (0) 711 123 6116
Mail: hallo∂nilsschaffernicht.de