Wie du deine WordPress Seite sichern kannst, ist eine wesentliche Frage, besonders in den Zeiten von DSGVO. Jeder Websitebesitzer ist dafür verantwortlich, den Besuchern seiner Website ein sicheres Surfen zu garantieren, ohne sich um den Schutz ihrer persönlichen Daten kümmern zu müssen.
Im Zeitalter der Cybertechnologie haben sich die Hackerangriffe weiterentwickelt und sind mit dem digitalen Markt gereift, was bedeutet, dass du ihnen in verschiedenen Formen und Ausprägungen begegnen wirst.
Deshalb ist es für jeden Webseitenbesitzer unerlässlich, gut vorbereitet zu sein, um Sicherheitsprobleme effizient und präventiv anzugehen. Denke daran, dass ein Cybersicherheitsangriff nicht nur die Besucher deiner Seite bedroht, sondern auch die Funktionalität sowie die Integrität deiner Seite und standardmäßig auch deine Einnahmen.
Die gute Nachricht ist, dass, wenn du die Anweisungen dieses Artikels befolgst, wie du deine WordPress-Site absichern kannst, du feststellen wirst, dass es nicht so kompliziert ist, deine Site vor unerwünschten und unbefugten Angriffen zu schützen, wie es den Anschein hat. Ich zeige dir, wie du deine Seite mit ein paar einfachen Aktionen schützen kannst.
Kann eine WordPress-Site wirklich jemals sicher sein?
WordPress ist das bisher populärste Content-Management-System (CMS) und wird von 36% aller Website-Besitzer mit einem CMS-Marktanteil von nicht weniger als 62% verwendet.
Während dieser Marktvorsprung ein großer Vorteil für den CMS-Anbieter ist, ist er gleichzeitig ein zweischneidiges Schwert.
Betrachtet man ihren Erfolg aus einem anderen Blickwinkel, so zeigt sich, dass WordPress oft mit einem Mangel an Sicherheit in Verbindung gebracht wird. Dies ist nicht nur ein Wissen vom Hörensagen, sondern eine Tatsache, die sich auch in den Statistiken widerspiegelt. Im Jahr 2019 entfielen 94% aller Sicherheitsverletzungen auf WordPress.
Das ist natürlich keine Überraschung. Wenn die überwiegende Mehrheit der Website-Eigentümer auf das WordPress-CMS vertraut, dann sind die Chancen nach dem Gesetz der Wahrscheinlichkeit hoch, dass es sich bei den von Hackern angegriffenen Websites um WordPress-Sites handelt.
Aber was kannst du als Besitzer einer WordPress-Website tun, um sich auf solche unglücklichen Vorfälle vorzubereiten? Nun, das erste, was ich empfehle, ist zu wissen, womit du es zu tun hast.
Wissen ist Macht. Du wirst dich niemals richtig vor Angriffen auf die Cybersicherheit schützen können, wenn du nicht weißt, in welcher Form oder Gestalt sie auftreten können. Deshalb widme ich meine Aufmerksamkeit zunächst den bestehenden Sicherheitslücken, bevor ich die Frage beantworte, wie die WordPress-Site gesichert werden kann.
Die Vielseitigkeit von WordPress-Schwachstellen
Für diejenigen unter euch, die mit der IT-Subkultur der Hacker in der Welt nicht sehr gut vertraut sind, hier ist ein grober Überblick über die bestehenden Kanäle, die Hacker gerne für Angriffe nutzen. Die Liste basiert auf den Statistiken in Sucuris Jahresbericht 2019, der die am häufigsten auftretenden Sicherheitsbedrohungen des Jahres aufzeigt.
Malware
Beginnen wir mit einem eher allgemeinen, aber dennoch häufig wiederkehrenden Begriff. Malware steht 2019 an dritter Stelle der häufigsten Cyber-Sicherheitsbedrohungen. Nun habe ich den Begriff Malware in diesem Artikel schon mehrmals verwendet, aber wofür genau steht er?
Zum einen ist das Wort selbst die Abkürzung für bösartige Software. Wie der Name schon andeutet, bezieht er sich auf jede Art von bösartiger und störender Software, die unbefugten Zugriff ermöglicht.
Spyware, Phishing, Viren und Trojaner sind alle Arten von Malware, um nur einige zu nennen.
Auf die Gefahr hin, das Offensichtliche auszusprechen: Eine Malware kann dich wie alles andere über das Internet oder über E-Mails infizieren. Gehackte Webseiten, kostenlose Testversionen oder jede Art von Downloads sind alles potenzielle Quellen für Malware.
Aber wie kann man überhaupt feststellen, ob sich eine Malware in deinem System befindet? Nun, fragt euch dies selbst:
Läuft dein Computer langsam?
Bekommst du viele Popups oder Spam?
Erlebst du viele Abstürze?
Wenn die Antwort ja ist, dann empfehle ich dir, einen Malware-Scan durchzuführen, um zu überprüfen, ob dein Computer infiziert ist, denn all die oben genannten Punkte sind Anzeichen für einen infizierten Computer.
SEO Spam
Laut Sucuri ist SEO-Spam die größte Quelle für CMS-Infektionen. Das Problem bei dieser Art von Hacking-Aktivitäten ist, dass deine Webseite infiziert wird, ohne dass du es über einen längeren Zeitraum bemerkt hast. Der Spam ist so konzipiert, dass er von den Infizierten nicht bemerkt wird. In der Zwischenzeit sind deine Webseite und jeder Benutzer, der sie besucht, der Gnade des Angreifers ausgeliefert.
Aber wie wirst du von dem SEO-Spam infiziert? Für den Anfang, und das ist eine bekannte Tatsache, wirst du verwundbar, wenn du dich auf ein schwaches Passwort verlässt oder ein altes Plugin benutzt, das eine Sicherheitslücke hat. Dies ermöglicht es dem Hacker, deine Seite mit einem bösartigen Code zu infizieren, der dann aber mit Hilfe der PHP-Funktion geschickt deinen Code wieder in seine ursprüngliche Form zurückverwandelt, so dass du die Änderungen an deinem Skript nicht bemerkst.
Sobald deine Seite infiziert ist, wird der Angreifer deine SEO-Seiten, die ein hohes SERP-Ranking haben, benutzen, um
- Besucher deiner eigenen Seite auf die eigene Seite umleiten,
- ihre eigenen Schlüsselwörter eingeben,
- neue Seiten zu deiner Website hinzufügen,
- Spam-Mails versenden, sowie
- ihre eigenen Anzeigen oder Calls to Action (CTAs) hinzufügen.
Warum sollte sich ein Hacker überhaupt für diese Art von Verhalten interessieren? Als jemand, der im digitalen Marketing arbeitet und dafür sorgen muss, dass jedes veröffentlichte Stück auf mehreren Ebenen optimiert wird – sei es die Seitengeschwindigkeit, die Bilder oder die Schlüsselwörter – lass mich dir sagen, dass es ein extrem umständlicher und komplexer Prozess ist.
Um all die Zeit und Energie zu sparen, die darauf verwendet wird, Sichtbarkeit durch Suchmaschinen zu erlangen, beschließen die Hacker, stattdessen eine Abkürzung zu benutzen, indem sie deine SEO-Erfolge stehlen. Deshalb nennt man SEO-Spam auch Spamdexing oder Search Engine Poisoning (SEP).
Opfer von SEO-Spamming können Websites unterschiedlicher Größe sein. Ein weit verbreiteter Irrglaube in diesem Zusammenhang ist, dass Hacker in erster Linie auf große Websites abzielen. Das ist einfach eine falsche Annahme, da es für Hacker viel einfacher ist, mit kleineren Websites Erfolg zu haben. Das liegt daran, dass kleine Websites in der Regel kein SSL-Zertifikat und standardmäßig keinen notwendigen Schutz vor solchen Angriffen haben.
Hintertüren
Die zweithäufigste Malware-Quelle sind Backdoor-Angriffe. Zur Verdeutlichung: Der Begriff Backdoor bezeichnet in der IT-Welt einen alternativen Zugang zu einer Software oder zu einem Hardwaresystem, der eine Umgehung der regulären Sicherheitsmaßnahmen, also des Zugangsschutzes, ermöglicht.
Eine Hintertür kann von einem Programmierer eingebaut oder von einer Malware ohne dein Wissen installiert werden. Oftmals werden Trojaner benutzt, um eine geheime Zugangsmöglichkeit zu installieren. Es sollte erwähnt werden, dass die Begriffe „Backdoors“ und „Trojaner“ meist im gleichen Zusammenhang verwendet werden; es handelt sich dabei jedoch um zwei verschiedene Dinge.
Ein Trojaner ist eine Software, die als nützliches Programm getarnt ist, um in euren Computer einzudringen und Backdoors zu installieren. Im Grunde genommen ist er nur das Mittel zum Zweck. Der Zweck in diesem Szenario ist die Möglichkeit, sich unbefugten Zugang zu verschaffen, auch bekannt als Backdoors.
Aber wie kommt es, dass diese Zugangsmöglichkeiten überhaupt existieren? Wäre es nicht einfacher, sie am Anfang einfach nicht zu haben? Technisch gesehen, ja. Allerdings bauen die Hersteller von IT-Systemen diese absichtlich ein, um Situationen vorwegzunehmen, in denen ein Kunde einen Reparaturservice benötigt. Auf diese Weise kann der Hersteller einspringen und dem Kunden ohne großen Aufwand helfen, wann immer es nötig ist.
Hack-Tools, Mailer, Verunstaltungen, Phishing und Skimmer
Nachdem wir die drei am weitesten verbreiteten Bedrohungen für die Cybersicherheit besprochen haben, wollen wir einen Blick auf die anderen Malware-Familien werfen, die weniger verbreitet sind.
An vierter Stelle auf der Liste von Sucuri stehen Hack-Tools, also Malware, die zur automatischen Erstellung von Viren, Trojanern sowie für Denial-of-Service (DoS)-Angriffe eingesetzt werden. Der Zweck von Hack-Tools besteht darin, zu versuchen, eine Website für ihre Zielnutzer unzugänglich zu machen.
Mailer, ich bin mir sicher, ist euch bereits bekannt. Es gibt wahrscheinlich keine einzige Seele auf dieser Welt, die nicht den Unmut hatte, Spam-Nachrichten zu erhalten.
Verunstaltung hingegen, wie das Wort schon andeutet, bedeutet, dass Hacker, sobald deine Website erfolgreich infiltriert wurde, sie verunstalten und den Inhalt deiner Website mit ihrem austauschen werden.
Was Phishing anbelangt, so bezieht sich dieser Begriff auf eine Situation, in der Hacker versuchen werden, an persönliche Daten wie Passwörter durch gefälschte E-Mails zu gelangen, die sich zum Beispiel als deine Bank oder ein Online-Shop tarnen.
Eine weitere Möglichkeit, an die Zahlungsinformationen der Benutzer zu gelangen, ist das Skimming. Dabei handelt es sich um einen Vorfall, bei dem die Zahlungsseite einer E-Commerce-Website Hackern durch Malware ausgesetzt ist und dazu benutzt wird, Benutzerinformationen zu stehlen.
6 Schritte zur Erhöhung deiner Cyber-Resilienz
Nun, da du mit einigen Cyber-Jargos vertraut bist und darüber informiert bist, welche Art von potentiellen Cyber-Sicherheitsbedrohungen da draußen drohen, lass uns einen Blick darauf werfen, wie man die WordPress-Seite sichern kann.
- Hochwertiges Hosting
- Aktualisieren
- Passwörter
- Sichere deine Administrations-Domain
- Sicherheits-Plugins
- Sicherungskopien
1. Wähle den richtigen Hosting-Provider
Heutzutage hängt die Qualität deiner Webseite von deinem Hosting-Provider ab. Daran führt kein Weg vorbei, es sei denn natürlich, du bist ein IT-Experte, der seine Website selbst hostet.
Aber für den Rest von uns weniger technisch versierten Benutzern da draußen ist die Wahl des richtigen Hosting-Providers eine der wichtigsten Aufgaben. Warum? Weil es jedes Element deiner Website beeinflusst – ob es nun die Designmöglichkeiten, die Geschwindigkeit der Seite oder die Kapazitäten für den Traffic-Zufluss sind.
Stelle also sicher, dass du ein Hosting-Angebot findest, das deinen Bedürfnissen auf verschiedenen Ebenen gerecht wird, wobei eine davon die Sicherheit deiner Website ist.
Nimm zum Beispiel Shared Hosting Services. Shared Hosting bedeutet von Natur aus, dass du deinen Server und deine Ressourcen mit mehreren anderen Nutzern teilen musst. Wenn du dich also auf diese Art von Hosting verlässt, gehst du automatisch das Risiko ein, jedes Mal, wenn andere Nutzer, die denselben Server wie du teilen, gehackt werden, unter einem Cyberangriff zu leiden.
Darüber hinaus solltest du dir darüber im Klaren sein, dass Shared Hosting-Provider, wenn es darum geht, Unterstützung zu erhalten, wenn du Probleme mit der Cybersicherheit hast, in der Regel keinen Kundendienst in ihre Hosting-Angebote aufnehmen. Mit anderen Worten, du bist mit deinen Problemen im Grunde auf dich allein gestellt.
Denjenigen unter euch, die nicht in der Lage sind, die technischen Aspekte des Website-Betriebs selbst zu bewältigen, rate ich, sich auf Managed Hosting Services zu verlassen, da diese aufgrund der Automatisierung der Website-Erstellungsprozesse sehr einfach zu handhaben sind.
2. Aktualisieren
Eine sehr häufige Quelle von Verwundbarkeit entsteht, wenn Leute vergessen, ihr WordPress auf die neueste Version zu aktualisieren.
Was passiert ist, dass jedes Mal, wenn WordPress eine neue Version einführt, es standardmäßig die Schwachstellen der vorherigen Versionen aufdeckt. Das macht jede Person, die es versäumt, ihren WordPress-Kern zu aktualisieren, zu einem offensichtlichen und leichten Ziel.
Ein weiteres Problem ist, dass manche Leute zwar darüber nachdenken, ihren WordPress-Kern zu aktualisieren, aber manchmal vergessen, dasselbe für ihre Plugins und Themes zu tun. Um jedoch zu vermeiden, dass der Inhalt deiner Webseite jedes Mal überschrieben wird, wenn du dein Theme aktualisierst, stelle sicher, dass du deine Änderungen in einem Child-Theme und nicht in einem Parent-Theme durchführst.
Wir von AbsolutWP helfen dir, dieses Problem zu überwinden, indem wir automatische Updates anbieten. Du hast die Möglichkeit, deine Updates auf monatlicher, wöchentlicher oder täglicher Basis zu planen.
3. Passwörter
Das Stehlen von Passwörtern ist eine weitere sehr weit verbreitete Art, Webseiten zu hacken. Leider haben wir als WordPress-Hosting-Provider wenig Einfluss auf die Entscheidungen, die unsere Kunden bei der Wahl ihrer Passwörter treffen. Deshalb können wir dir gegenüber nicht genug betonen, wie wichtig Wachsamkeit ist, wenn es um die Frage geht, wie man die WordPress-Seite absichert.
Indem du dafür sorgst, dass niemand Zugang zu deinem Passwort hat und indem du ein Passwort wählst, das sehr schwer zu entschlüsseln ist, bist du bereits auf halbem Wege, um sicherzustellen, dass dein Passwort nicht kompromittiert werden kann.
Trotz der Tatsache, dass in bestimmten Fällen, z.B. bei Phishing- oder Sniffing-Angriffen, ein starkes Passwort die Hacker nicht daran hindert, dein Passwort zu stehlen, ist es dennoch eine sehr effiziente Möglichkeit, dich vor sogenannten Brute-Force-Angriffen zu schützen.
Diese beziehen sich auf den Versuch eines Hackers, sowohl deinen Benutzernamen als auch dein Passwort immer wieder zu erraten, bis er die richtige Kombination findet. Bis heute ist es die beliebteste Art, WordPress Webseiten anzugreifen.
Du bist dir nicht so sicher, wie man sichere Passwörter erstellt? Als Faustregel gilt, dass ein sicheres Passwort sowohl Zahlen, Sonderzeichen und Klein- als auch Großbuchstaben mit einer Mindestlänge von 7 Zeichen enthält.
Du bist dir immer noch nicht sicher, ob du der Aufgabe gewachsen bist? Dann solltest du dir vielleicht die Dienste ansehen, die einige Passwort-Generator-Tools, wie z.B. Strong Password Generator, anbieten. Sie werden dir einen Vorschlag für ein gutes Passwort geben, das sie nicht speichern werden. Außerdem kannst du selbst entscheiden, welche Sicherheitsstufe dein Passwort haben soll.
Generell empfehle ich, wenn es um das Speichern von Passwörtern geht, dies in Browsern zu vermeiden. Dadurch erhöht sich die Möglichkeit, für Angriffe offen zu sein. Du solltest dein Passwort nur bei Programmen oder Anwendungen speichern, von denen du sicher bist, dass sie dein Passwort in verschlüsselter Form speichern und mit einem Master-Passwort schützen.
Und es versteht sich von selbst, dass du deine Passwörter nicht auf Papier aufschreiben oder in einem Word- oder Excel-Dokument speichern solltest. Umgekehrt raten wir dir dringend davon ab, deine Passwörter per E-Mail oder über andere Kommunikationskanäle wie WhatsApp zu versenden.
Stattdessen empfehle ich dir, alle deine Passwörter an sicheren Orten wie LastPass oder KeePass Password Safe sicher aufzubewahren.
4. Sichere dein WordPress Login Details
Wenn du dich mit der Frage beschäftigst, wie du die WordPress-Seite absichern kannst, wirst du nicht um das Problem deiner WordPress-Administrationsseite herumkommen.
Die erste Regel zur Sicherung deiner Login-Daten ist die Verwendung eines eindeutigen Benutzernamens. Bestimme ihn nicht einfach als Administrator oder Admin.
Manche Leute benutzen gerne ihren Website-Domainnamen oder ihren eigenen Namen als Administrator-Benutzernamen. Ich rate dir dringend davon ab, denn mit ein wenig Recherche können Hacker diese Informationen online herausfinden.
Eine andere Sache, die man bedenken sollte, ist, dass deine WordPress-Administrator-Login-URL normalerweise /wp-admin heißt, was natürlich das erste ist, wonach Hacker suchen. Um es für sie schwieriger zu machen, dich zu finden, kannst du Plugins wie Velvet Blues Update URLs verwenden, um deine URL zu ändern.
Außerdem empfehle ich dir, auf deiner Login-Seite eine Zwei-Faktor-Authentifizierung zu verwenden. Dadurch wird die Sicherheit erhöht, indem du andere Authentifizierungsmethoden hinzufügst, wie z.B. einen mobil generierten Code oder einen physischen Toke.
Obwohl WordPress diese Sicherheitsmethode nicht als eingebaute Option hat, hast du trotzdem die Möglichkeit, sie als Plugin zu installieren. Hier sind einige Optionen für diejenigen unter euch, die mit solchen Plugins nicht vertraut sind: Google Authenticator und Rublon Zwei-Faktor-Authentifizierung.
Dies wird euch helfen, zu vermeiden, dass ihr das Ziel von Brute-Force-Angriffen werdet.
5. Sicherheits-Plugins
Eine wichtige Lösung für das Rätsel, wie man die WordPress-Seite sichern kann, ist die Verwendung von Sicherheits-Plugins.
Viele von euch werden die Notwendigkeit von Sicherheits-Plugins in Frage stellen und sind sich nicht sicher, welche Vorteile sie bieten. Schauen wir uns also einmal an, welchen Mehrwert Sicherheits-Plugins haben und ob du sie zum Schutz deiner Website verwenden solltest.
- Zum einen kannst du ein Plugin verwenden, um Login-Versuche einzuschränken. Sollte also ein Hacker versuchen, deine Webseite zu infiltrieren und dreimal dein Passwort falsch erraten, wird seine IP-Adresse automatisch blockiert. Kombiniere dies mit einem starken Passwort und deine Seite wird für Hacker fast undurchdringlich.
- Das Sicherheits-Plugin iThemes ist auch auf der Liste der Plugins, die sehr zu empfehlen ist. Dies liegt an seiner Fähigkeit, unautorisierte Code-Migrationen, SQL-Injections, Backend-Angriffe, PHP-Funktionen sowie 404-Angriffe zu stoppen.
- Ein weiteres nützliches Plugin ist Wordfence. Es wird dich sowohl vor Malware als auch vor Hackerangriffen schützen. Darüber hinaus ermöglicht es dir, Malware zu erkennen, die bereits in dein System gelangt ist. Dies geschieht, indem es dein gesamtes System nach solchen Angriffen durchsucht. Es kann dir auch sagen, welche Änderungen vorgenommen wurden und ob es potenzielle Schadcodes gibt. Zuletzt wird Wordfence dir eine Erinnerung schicken, falls du vergessen hast, ein Update zu installieren.
Natürlich endet die Liste damit nicht, es gibt noch viele andere Plugins mit einer Vielzahl von Funktionen, von denen die meisten den Kunden auf verständliche Weise vorgestellt werden. Wenn du also neu im Spiel bist, gibt es keinen Grund zur Panik, deine WordPress-Sicherheits-Plugins werden dir die nötige Anleitung geben.
6. Backups
Jeder kennt doch das Sprichwort, dass man immer einen Plan B haben sollte, richtig? Es ist einfach gesunder Menschenverstand, wenn du uns fragst.
Deshalb bieten wir unseren Kunden einen automatisierten Backup-Service an. Also, so sehr wir auch versuchen, euch die effizientesten Tools zum Schutz eures Systems vor Cyberangriffen zur Verfügung zu stellen, können wir dies nie zu 100% garantieren.
Oftmals gehen die Leute davon aus, dass es ausreicht, nur gelegentlich Backups zu implementieren, wenn es neue System-Updates gibt. Aber wir sind da ganz anderer Meinung.
Nehmen wir zum Beispiel an, dass das letzte Update, das du gemacht hast, ein Jahr her ist. Das bedeutet logischerweise, dass das letzte Backup ebenfalls vor einem Jahr gemacht wurde. Sicherlich wirst du in diesem Zeitraum von einem Jahr Änderungen an den Inhalten deiner Website vorgenommen haben.
Nehmen wir nun weiter an, dass deine Webseite unerwartet durch einen Hackerangriff kompromittiert wurde. Dies erfordert eine schnelle, aber gleichzeitig umfassende Wiederherstellung deiner Website. In einem solchen Fall kannst du nur die Version deiner Website wiederherstellen, die du vor einem Jahr hattest. Das bedeutet, dass alle deine Änderungen, die danach kamen, verloren sind.
Unnötig zu sagen, dass es euch viel Zeit und Ressourcen kosten wird, das wiederzuerlangen, was ihr verloren habt. Unser Ziel ist es, euch vor all diesen Schwierigkeiten zu bewahren. Aus diesem Grund ermutigen wir unsere Kunden, automatische Backups zu buchen, um ein hohes Maß an Konsistenz der aktualisierten Daten zu gewährleisten.
Ein weiteres sehr wichtiges Teil des Puzzles, das von vielen vernachlässigt wird, ist es, sich nicht nur auf differentielle Backups zu verlassen, d.h. es werden nur die letzten Änderungen gesichert. Um eine vollständige und schnelle Wiederherstellung deiner Webseite zu gewährleisten, ist es unerlässlich, dass du auch ein vollständiges Backup machst, d.h. dass du nicht nur die Dateien, sondern auch deine Datenbank sicherst.
Ein letzter Tipp von unserer Seite ist, deine Daten auf mehreren Geräten zu archivieren. Ich verstehen, dass das ein sehr mühsamer Prozess ist, aber wenn du erst einmal das Ziel eines Sicherheitsverstoßes bist, wirst du zweifellos unglaublich glücklich und dankbar sein, dass du dir die Mühe gemacht hast und alle Winkel abgedeckt hast.
Nachdem ich dir nun unsere Empfehlungen für die Sicherung eurer WordPress-Seite gezeigt habe, bin ich sehr daran interessiert, von deinen Erfahrungen mit WordPress zu hören. Fühlst du dich sicher, deine Website mit WordPress zu verwalten? Welche Maßnahmen ergreifst du, um die Belastbarkeit deiner Seite zu erhöhen?
