Die eigene Website absichern

Website-Sicherheit im IT-Grundschutz

Zwei Bausteine sind einschlägig: APP.3.2 «Webserver» für den Server, der die Seiten ausliefert, und APP.3.1 «Webanwendungen und Webservices» für die Anwendung selbst, etwa ein Content-Management-System, einen Shop oder ein Portal. Für die Entwicklung eigener Webanwendungen gibt es CON.10.

Basis-Anforderungen APP.3.2

• Sichere Konfiguration (A1): Webserver-Prozess mit minimalen Rechten, gekapselte Ausführung, keine unnötigen Schreibrechte, nicht benötigte Module deaktiviert.
• Schutz der Webserver-Dateien (A2) und Absicherung von Datei-Uploads und -Downloads (A3).
• Protokollierung von Ereignissen (A4) und Authentisierung (A5).
• Rechtliche Rahmenbedingungen (A7): Telemedien- und Datenschutzrecht sowie Urheberrecht werden eingehalten.
• Verschlüsselung über TLS (A11): Für alle Verbindungen durch nicht vertrauenswürdige Netze wird HTTPS angeboten.

Als Standard-Anforderung nennt der Baustein unter anderem die Auswahl eines geeigneten Webhosters, eine Sicherheitsrichtlinie, den Umgang mit Fehlermeldungen, Integritätsprüfungen sowie Penetrationstest und Revision.

Basis-Anforderungen APP.3.1

• Authentisierung (A1): angemessene Anmeldeverfahren für geschützte Bereiche und Grenzwerte für fehlgeschlagene Anmeldeversuche.
• Kontrolliertes Einbinden von Dateien und Inhalten (A4): Upload-Funktionen so weit wie möglich einschränken, erlaubte Dateigrößen, -typen und Speicherorte festlegen.
• Schutz vor unerlaubter automatisierter Nutzung (A7): etwa gegen massenhaftes Absenden von Formularen oder Durchprobieren von Passwörtern.
• Schutz vertraulicher Daten (A14): Zugangsdaten serverseitig mit gesalzenen Hash-Verfahren speichern, Quelltextdateien vor Abruf schützen.

Häufige Angriffswege

Die OWASP Top Ten, eine weit verbreitete Übersicht der wichtigsten Risiken für Webanwendungen, nennt unter anderem fehlerhafte Zugriffskontrolle, Injection-Angriffe, Fehlkonfiguration und den Einsatz von Komponenten mit bekannten Schwachstellen. Für die typische Website eines kleinen Betriebs auf Basis eines verbreiteten Content-Management-Systems sind in der Praxis diese Wege besonders relevant:

• Veraltete Erweiterungen: Plugins und Themes sind die häufigste Schwachstelle, weil sie zahlreich sind, unterschiedlich gut gepflegt werden und oft nach dem Livegang vergessen werden.
• Schwache Anmeldung: Verwaltungszugänge mit einfachen Passwörtern ohne zweiten Faktor werden automatisiert durchprobiert.
• Unsichere Formulare: Formulare ohne Schutz gegen Missbrauch werden für Spam oder das Einschleusen von Inhalten genutzt.
• Kompromittierte Zugangsdaten beim Hoster: FTP- oder Hosting-Konten mit wiederverwendeten Passwörtern.

Maßnahmen

Aktualität

• Kernsystem, Erweiterungen und Themes zeitnah aktualisieren. Sicherheitsupdates für das Kernsystem lassen sich bei vielen Systemen automatisch einspielen.
• Nicht genutzte Erweiterungen und Themes löschen, nicht nur deaktivieren.
• Erweiterungen nur aus vertrauenswürdigen Quellen und nur, wenn sie aktiv gepflegt werden.
• PHP- oder Laufzeitversion beim Hoster aktuell halten.

Anmeldung und Rechte

• Zwei-Faktor-Authentifizierung für alle Konten mit Redaktions- oder Verwaltungsrechten.
• Jede Person mit eigenem Konto, nur mit den Rechten, die sie braucht. Redakteure brauchen keine Administratorrechte.
• Begrenzung fehlgeschlagener Anmeldeversuche.
• Konten ausgeschiedener Mitarbeitender und ehemaliger Agenturen entfernen.

Transport und Kopfzeilen

• HTTPS für alle Seiten, automatische Umleitung von HTTP, gültiges Zertifikat mit automatischer Verlängerung.
• Sicherheitsrelevante HTTP-Header setzen, etwa HSTS, Content-Security-Policy und Schutz gegen Einbettung in fremde Seiten. APP.3.1 nennt eine sichere HTTP-Konfiguration als Standard-Anforderung.

Hosting

Ein guter Hoster isoliert Kundenkonten voneinander, hält Server aktuell, bietet verschlüsselte Zugänge (SFTP statt FTP), Zwei-Faktor-Anmeldung für das Kundenkonto und regelmäßige Datensicherungen. Klären Sie, ob Sie selbst Sicherungen herunterladen können und wie schnell der Hoster im Fall eines Angriffs reagiert.

Datensicherung und Wiederherstellung

Sichern Sie Dateien und Datenbank regelmäßig an einem Ort außerhalb des Webspace. Eine Sicherung beim selben Hoster mit denselben Zugangsdaten hilft nicht, wenn das Konto übernommen wird. Testen Sie die Wiederherstellung, denn erst dann wissen Sie, ob die Sicherung vollständig ist.

Überwachung

Ein einfacher Verfügbarkeitsmonitor meldet, wenn die Seite nicht erreichbar ist. Hinweise von Suchmaschinen über die Webmaster-Werkzeuge informieren über erkannte Schadsoftware. Benachrichtigungen bei neuen Administratorkonten oder geänderten Dateien helfen, eine Übernahme früh zu bemerken.

Wenn die Website gehackt wurde

Nehmen Sie die Seite vom Netz oder schalten Sie eine Wartungsseite, ändern Sie alle Zugangsdaten (CMS, Hosting, Datenbank, FTP), sichern Sie den aktuellen Zustand für die Analyse und spielen Sie eine saubere Sicherung aus der Zeit vor dem Angriff ein. Danach alle Komponenten aktualisieren, bevor die Seite wieder online geht. Sind personenbezogene Daten betroffen, etwa aus Formularen oder Kundenkonten, prüfen Sie mit Ihrer oder Ihrem Datenschutzbeauftragten, ob eine Meldung an die Aufsichtsbehörde erforderlich ist.

Externe Dienste auf der Website

Viele Websites binden Inhalte von Dritten ein: Schriftarten, Karten, Videos, Analysewerkzeuge, Chat-Fenster, Buchungssysteme. Jede dieser Einbindungen lädt Code oder Inhalte von fremden Servern und kann, wenn der Anbieter kompromittiert wird, Ihre Seite mit betreffen. Binden Sie nur ein, was Sie wirklich brauchen, laden Sie Schriftarten möglichst vom eigenen Server und prüfen Sie die Einbindungen auch aus Datenschutzsicht.

Verantwortung klären

Wer eine Website von einer Agentur bauen lässt, sollte von Anfang an regeln, wer danach für Updates, Sicherungen und Sicherheitsvorfälle zuständig ist. Ein Wartungsvertrag mit klaren Leistungen und Reaktionszeiten ist für die meisten Betriebe die verlässlichste Lösung.