Website-Sicherheit prüfen

Ein Angreifer beginnt nicht mit einem ausgeklügelten Verfahren, sondern mit dem, was ohnehin sichtbar ist: welche Software läuft, in welcher Version, wo die Anmeldung liegt. Wer die Website-Sicherheit prüfen will, kann denselben Blick einnehmen – und kommt dabei ohne Werkzeuge weiter, als die meisten annehmen.

Acht Prüfungen in der richtigen Reihenfolge

1. Verschlüsselung der Übertragung. Ist die Seite über HTTPS erreichbar, und leitet die unverschlüsselte Fassung dorthin weiter? Läuft das Zertifikat bald ab, und erneuert es sich selbst? Ein abgelaufenes Zertifikat ist der häufigste sichtbare Ausfall überhaupt – und er trifft immer am Wochenende ein.

2. Softwarestände. Welches System läuft, welche Erweiterungen, in welcher Version? Bei den verbreiteten Redaktionssystemen steht die Version oft im Quelltext oder ist an charakteristischen Pfaden erkennbar. Die Frage lautet dann: Wann wurde zuletzt aktualisiert, und wer ist dafür zuständig? In den meisten Fällen ist die Antwort auf die zweite Frage der eigentliche Befund.

3. Verwaltungszugänge. Ist die Anmeldeseite öffentlich erreichbar? Gibt es noch Konten ausgeschiedener Mitarbeiter oder der Agentur, die vor drei Jahren die Seite gebaut hat? Sind die Konten mit einem zweiten Faktor geschützt? Ein Verwaltungszugang ohne zweiten Faktor ist die weiteste offene Tür, die eine Website haben kann.

4. Was nach außen geladen wird. Jede eingebundene Fremdressource ist ein Stück Code, das jemand anders kontrolliert. Das ist zugleich ein Datenschutzthema – der kostenlose Website-Check listet die kontaktierten Server.

5. Sicherheitsheader. Antworten des Servers, die dem Browser sagen, was er zulassen darf – etwa welche Quellen Skripte liefern dürfen und ob die Seite in einem fremden Rahmen dargestellt werden darf. Sie kosten nichts und wehren eine ganze Klasse von Angriffen ab. Fehlen sie, ist das kein akutes Loch, aber ein verlässliches Zeichen dafür, dass sich niemand um die Konfiguration gekümmert hat.

6. Formulare. Wohin gehen die Einsendungen, sind sie gegen automatisierte Einsendungen geschützt, und werden Anhänge angenommen? Ein Formular mit Dateiupload ohne Prüfung ist ein Weg, Dateien auf Ihren Server zu legen. Zum Spamschutz ohne Fremddienste siehe reCAPTCHA und Alternativen.

7. E-Mail-Versand der Domain. Sind SPF, DKIM und DMARC gesetzt? Ohne diese Einträge kann jeder E-Mails im Namen Ihrer Domain versenden – und genau das ist der Weg, auf dem Angriffe auf Ihre Kunden und Ihre Buchhaltung laufen. Der Punkt betrifft die Website nur mittelbar und wird deshalb regelmäßig übersehen, obwohl er zu den wirksamsten überhaupt gehört.

8. Sicherung und Wiederherstellung. Wird gesichert, liegt die Sicherung getrennt vom Server, und wurde die Wiederherstellung schon einmal geprobt? Die dritte Frage ist die einzige, die zählt. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Vermutung.

Was diese Prüfung nicht leistet

Sie findet, was von außen sichtbar ist. Sie findet keine Fehler in der Anwendungslogik – dass ein Nutzer durch Ändern einer Nummer in der Adresszeile fremde Daten sieht, steht in keinem Prüfergebnis.

Dafür braucht es die nächste Stufe. Was ein automatisierter Scan und was ein manueller Test leisten, steht unter Schwachstellenscan oder Pentest; die Angebote unter Schwachstellenanalyse und Website-Pentest.

Der Befund, der fast immer zuerst kommt

Nicht eine Lücke, sondern eine Lücke in der Zuständigkeit. Die Website wurde von einer Agentur gebaut, liegt bei einem Anbieter, wird vom Marketing gepflegt – und niemand hält sich für zuständig, Aktualisierungen einzuspielen.

Klären Sie deshalb vor allen technischen Fragen vier Punkte: Wer aktualisiert, wer sichert, wer wird bei einem Vorfall angerufen, und wie schnell? Das gehört in den Vertrag mit dem Dienstleister – siehe Lieferantenaudit.

Wenn doch etwas passiert

Ein kompromittierter Auftritt ist nicht nur ein Sicherheitsvorfall. Sind personenbezogene Daten betroffen, läuft die Frist aus Art. 33 DSGVO – 72 Stunden ab Kenntnis. Und der Betrieb muss weiterlaufen: Was dafür vorbereitet gehört, steht unter Notfallkonzepte.

Kontakt

Sie wollen die acht Punkte einmal für Ihren Auftritt durchgehen? Das ist in einem Termin erledigt.