Warum sind grundlegende Sicherheitsprüfungen der Website notwendig?
Nach längerem Betrieb einer Unternehmenswebsite können sich Sicherheitslücken, schwache Passwörter und veraltete Plugins allmählich ansammeln. Regelmäßige grundlegende Sicherheitsprüfungen helfen, häufige Risiken frühzeitig zu erkennen und zu verhindern, dass die Website manipuliert oder mit schädlichem Code infiziert wird. Diese Checkliste eignet sich für die meisten Unternehmenswebsites, die CMS wie WordPress, DedeCMS oder Empire CMS verwenden, sowie für individuell entwickelte Websites.
Schritte der Checkliste im Detail
1. Login- und Kontosicherheit
- Überprüfen Sie, ob noch Standard-Administratorkonten (z. B. admin) verwendet werden. Es wird empfohlen, diese in benutzerdefinierte Namen zu ändern.
- Prüfen Sie die Passwortstärke aller Benutzerkonten. Schwache Passwörter sollten durch Kombinationen aus Buchstaben, Zahlen und Sonderzeichen mit einer Mindestlänge von 8 Zeichen ersetzt werden.
- Sehen Sie sich die letzten Login-Protokolle an, um ungewöhnliche IP-Adressen oder unbekannte Geräte zu identifizieren.
- Deaktivieren Sie nicht mehr benötigte Konten, insbesondere die von ausgeschiedenen Mitarbeitern, und löschen oder sperren Sie diese umgehend.
- Stellen Sie sicher, ob die Admin-Login-URL geändert wurde. Falls nicht, können Sie eine benutzerdefinierte Pfadänderung in Betracht ziehen.
2. Core-Programm- und Plugin-Updates
- Melden Sie sich im Backend der Website an oder überprüfen Sie die Versionsinformationen, um sicherzustellen, dass das CMS-Hauptprogramm die neueste stabile Version ist.
- Listen Sie alle installierten Plugins, Themes oder Module auf und prüfen Sie einzeln, ob neue Versionen verfügbar sind. Entfernen Sie nicht verwendete Plugins umgehend.
- Beachten Sie offizielle Sicherheitsankündigungen und aktualisieren Sie Komponenten mit bekannten Schwachstellen vorrangig.
- Wenn Sie Plugins von Drittanbietern verwenden, wählen Sie solche, die kontinuierlich gewartet und aktiv aktualisiert werden.
3. Datei- und Verzeichnisberechtigungen
- Überprüfen Sie die Schreibberechtigungen des Stammverzeichnisses und der Upload-Verzeichnisse: Verzeichnisse, die keine Schreibberechtigung benötigen, sollten auf 755 gesetzt werden; Verzeichnisse, die Schreibzugriff benötigen (z. B. upload, cache), können auf 755 oder 777 gesetzt werden, jedoch unter Berücksichtigung etwaiger Sicherheitsrichtlinien.
- Stellen Sie sicher, dass Konfigurationsdateien (z. B. config.php, wp-config.php) auf 644 oder niedriger gesetzt sind und nicht direkt von außen zugänglich sind.
- Entfernen Sie nicht benötigte Dateien wie Installationsskripte, Beispieldateien oder Testseiten.
4. Daten-Backup-Strategie
- Überprüfen Sie, ob die Backups sowohl die Website-Dateien als auch die Datenbank abdecken und ob die Backup-Frequenz angemessen ist (in der Regel wird ein tägliches automatisches Backup empfohlen).
- Testen Sie, ob die Backup-Dateien ordnungsgemäß wiederhergestellt werden können. Verlassen Sie sich nicht nur auf den Erfolg des Backup-Jobs.
- Stellen Sie sicher, dass Backup-Dateien an einem separaten Ort außerhalb des Website-Stammverzeichnisses gespeichert werden, um einen direkten Download über URLs zu verhindern.
5. HTTPS und SSL-Zertifikate
- Überprüfen Sie, ob die gesamte Website HTTPS verwendet und das Sicherheitsschloss-Symbol in der Browser-Adressleiste angezeigt wird.
- Prüfen Sie die Gültigkeit des SSL-Zertifikats und verlängern oder ersetzen Sie es rechtzeitig, mindestens 30 Tage vor Ablauf.
- Stellen Sie sicher, dass die HTTPS-Konfiguration korrekt ist und keine Warnungen zu gemischten Inhalten auftreten.
6. Logs und Überwachung
- Aktivieren Sie Zugriffs- und Fehlerprotokolle der Website und bewahren Sie diese mindestens 30 Tage lang auf.
- Überprüfen Sie regelmäßig die Protokolle auf Anomalien wie Scans, Brute-Force-Angriffe oder SQL-Injection-Versuche.
- Wenn möglich, implementieren Sie einfache Sicherheitsüberwachungstools wie Dateiintegritätsprüfungen oder Benachrichtigungen bei fehlgeschlagenen Logins.
Empfehlungen zum Prüfintervall
Eine grundlegende Prüfung wird alle drei Monate empfohlen. In folgenden Fällen sollte jedoch sofort eine Prüfung durchgeführt werden:
· Nach Veröffentlichung wichtiger Sicherheitsupdates für das Programm
· Bei Anomalien der Website (z. B. Seitenmanipulation, unerwartete Werbung)
· Nach Änderungen der Server- oder Hosting-Umgebung
· Nach Hinzufügen neuer Plugins oder Funktionsmodule von Drittanbietern
Häufig gestellte Fragen (FAQ)
Frage: Reicht es aus, die Checkliste selbst durchzugehen, wenn kein spezielles Sicherheitsteam vorhanden ist?
Antwort: Die grundlegende Checkliste kann die meisten häufigen Risiken abdecken. Wenn die Website Benutzerdaten oder Transaktionen verarbeitet, wird empfohlen, regelmäßig professionelle Sicherheitsdienste für Schwachstellenscans zu beauftragen.
Frage: Was tun, wenn bei der Prüfung Dateimanipulationen festgestellt werden?
Antwort: Nehmen Sie die Website sofort offline und stellen Sie die Dateien aus einem Backup wieder her. Untersuchen Sie anschließend die Ursache der Manipulation und verstärken Sie die Verwaltung von Logins und Plugin-Updates.
Frage: Können einige Prüfpunkte automatisiert werden?
Antwort: Ja. Einige CMS bieten Sicherheits-Plugins, die Dateiberechtigungen automatisch prüfen und über Updates informieren können. Die Überprüfung von Login-Protokollen und Backup-Wiederherstellungstests erfordert jedoch weiterhin manuelle Bestätigung.
Zusammenfassung und nächste Schritte
Regelmäßige grundlegende Sicherheitsprüfungen sind eine grundlegende Maßnahme, um den stabilen Betrieb der Unternehmenswebsite zu gewährleisten. Durch das systematische Abarbeiten der Checkliste können die meisten Schwachstellen auf niedriger Ebene vermieden werden. Nach Abschluss der Prüfung wird empfohlen, die Ergebnisse in einem Dokument festzuhalten und die Korrekturmaßnahmen zu dokumentieren, um bei der nächsten Überprüfung einen Vergleich zu ermöglichen. Wenn die eigenen technischen Fähigkeiten nicht ausreichen, um komplexe Probleme zu lösen, kann die Sicherheitswartung an professionelle Website-Wartungsdienstleister ausgelagert werden.
