Website-Sicherheitsgrundlagen bei der täglichen Prüfung planen – so wird die spätere Wartung einfacher

Viele Unternehmen kümmern sich erst dann um die Sicherheitsgrundlagen ihrer Website, wenn bereits ein Problem aufgetreten ist. Der einfachere Weg besteht darin, schon bei der täglichen Prüfung festzulegen, welche Objekte geprüft werden, wer verantwortlich ist und wo die Ergebnisse dokumentiert werden. Auf diese Weise kann auch bei einem Personalwechsel die spätere Wartung demselben Prüfpfad folgen, ohne jedes Mal neu klären zu müssen, wo das Backend-Passwort liegt oder was zuletzt geändert wurde.

Zuerst trennen: Was gehört zu den Sicherheitsgrundlagen, was ist nur eine normale Inhaltsaktualisierung?

Bei der täglichen Prüfung einer Website werden leicht zwei Dinge vermischt: Zum einen, ob Inhalte fehlerfrei sind und Links funktionieren; zum anderen, ob Konten, Zugänge, Updates und Backups Risiken aufweisen. Ersteres gehört zur Betriebsprüfung, Letzteres zu den Sicherheitsgrundlagen. Wer diese beiden Bereiche bei der Planung trennt, übersieht bei der späteren Wartung keine Sicherheitsaspekte aufgrund einer Inhaltsänderung.

Die Einteilung kann nach folgenden Objekten erfolgen:

• Konten und Berechtigungen: Wie viele Backend-Konten gibt es, welche Rollen haben sie, wer nutzt sie noch, wer hat das Unternehmen bereits verlassen?
• Backend- und Serverzugänge: Wer verwaltet Domain, Backend-Pfad und Server-Login?
• Programm- und Plugin-Updates: Welche Komponenten müssen aktualisiert werden, wer bestätigt vor dem Update?
• Backup und Wiederherstellung: Wo liegen die Backups, wie oft wird geprüft, ob eine Wiederherstellung möglich ist?
• Anomalieüberwachung: Wer wird zuerst benachrichtigt, wenn Seiten geändert werden oder ungewöhnliche Zugriffe auftreten?

Diese Punkte müssen nicht täglich vollständig bearbeitet werden, aber Prüfintervall und Verantwortlichkeiten sollten klar sein. Genau darin liegt der Wert der Planung: Aus „Ich schaue mal, wenn ich daran denke“ wird „Zur richtigen Zeit weiß ich, was zu prüfen ist“.

Konten- und Berechtigungsplanung: Weniger, aber klare Strukturen sind wartungsfreundlicher als viele unübersichtliche Konten

Konten sind der Bereich der Sicherheitsgrundlagen, in dem am häufigsten historische Probleme entstehen. Bei Unternehmenswebsites werden häufig beim Aufbau mehrere Administrator-Konten angelegt. Nach Personalwechseln existieren diese Konten weiter, ohne dass klar ist, wem sie zuzuordnen sind. Bei der späteren Wartung traut man sich dann weder, sie zu löschen, noch sie zu verwenden.

Bei der Planung können drei Schritte helfen:

1. Jedem Backend-Konto Nutzer und Zweck zuordnen, z. B. „Betrieb – Inhaltsveröffentlichung“ oder „Technik – Plugin-Updates“.
2. Berechtigungen nach Rollen trennen. Redakteure benötigen keinen Zugriff auf Server- oder Plugin-Verwaltung.
3. Bei Austritt oder Positionswechsel zuerst das Konto deaktivieren und dann entscheiden, ob Inhalte übertragen werden müssen.

Die Bewertung ist einfach: Wenn nicht klar ist, wer ein Konto nutzt, gehört es auf die Liste der offenen Punkte und sollte nicht einfach weiterbestehen. Bei der täglichen Prüfung einige Minuten für den Abgleich der Kontenliste aufzuwenden, ist deutlich einfacher als eine spätere Nachverfolgung.

Backend-Zugang und Anmeldemethoden: Feste Wege für die Prüfung schaffen

Wenn sich der Backend-Zugang häufig ändert und niemand dies dokumentiert, wird die spätere Wartung schwierig. Bei der Planung können Zugangsinformationen an einer intern auffindbaren Stelle gesammelt werden, z. B. in einem internen Dokument oder einer Übergabeliste. Darin sollten Backend-Adresse, Anmeldemethode und die für die Passwortwiederherstellung verantwortliche Person festgehalten werden.

Für die tägliche Prüfung können einige feste Punkte genügen: Lässt sich das Backend normal anmelden? Gibt es nach der Anmeldung ungewöhnliche Konten? Sind kürzlich unbekannte Anmeldungen aufgetreten (sofern das Backend diese Informationen bereitstellt)? Wurde die Backend-Adresse unerlaubt geändert? Es geht nicht darum, konkrete Sicherheitsregeln zu erfinden, sondern darum, dass die Prüfung einen festen Einstiegspunkt hat und nicht jedes Mal aus dem Gedächtnis erfolgt.

Außerdem sollten Backend-Zugang und Frontend-Seiten getrennt verwaltet werden. Inhaltsaktualisierungen im Frontend liegen beim Betrieb, Anpassungen am Backend-Zugang und auf Serverebene bei der Technik oder dem Dienstleister. Sind die Zuständigkeiten klar, weiß man im Problemfall, an wen man sich wenden muss.

Updates, Backups und Monitoring: Prüfintervalle in den Alltag integrieren

Updates von Programmen, Plugins und Themes sowie die Verfügbarkeit von Backups gehören zu den Punkten, die in festem Rhythmus geprüft werden sollten. Bei der Planung sollte nicht nur „regelmäßige Updates“ stehen, sondern klar sein, wer wann prüft und wen man bei Problemen informiert.

Eine mögliche Organisation sieht so aus:

• Vor dem Update: Aktuelle Version und Backup-Status prüfen, dokumentieren, welche Komponenten aktualisiert werden.
• Nach dem Update: Startseite, Kategorieseiten und Formularseiten öffnen und prüfen, ob die Anzeige funktioniert und Formulare fehlerfrei übermittelt werden.
• Backup-Prüfung: Nicht nur prüfen, ob Backup-Dateien vorhanden sind, sondern auch, ob sie einem bestimmten Zeitpunkt zugeordnet werden können und wer die Wiederherstellung durchführt.
• Anomalieüberwachung: Bei manipulierten Seiten, fremden Links oder ungewöhnlichen Zugriffen zuerst den Zustand sichern und dann in der Reihenfolge Zugang, Konten, Updates prüfen.

Diese Maßnahmen müssen nicht als komplexes Regelwerk formuliert werden, sollten aber konkreten Personen und Zeitpunkten zugeordnet sein. Ob die spätere Wartung einfach ist, hängt oft davon ab, ob diese Aufzeichnungen kontinuierlich geführt werden.

Mit einer Checkliste die Planung festhalten

Wenn nicht jedes Mal neu überlegt werden soll, was geprüft werden muss, kann eine einfache Checkliste für die Sicherheitsgrundlagen gepflegt werden. Sie listet die Objekte auf, und nach jeder Prüfung werden Datum und Ergebnis notiert. Die Liste muss nicht umfangreich sein; es genügt, wenn sie beantworten kann: Wer hat zuletzt geprüft, was wurde geprüft und gibt es offene Punkte?

Angenommen, ein Unternehmenswebsite wird vom Betrieb mitbetreut, dann könnte die Checkliste so aufgeteilt werden: Konten und Berechtigungen monatlich abgleichen, Backend-Zugang und Anmeldemethoden vierteljährlich bestätigen, Updates und Backups nach tatsächlichem Update-Rhythmus prüfen, Anomalieüberwachung bei der täglichen Seitendurchsicht mit erledigen. Diese Regelung muss nicht komplex sein; wichtig ist, Verantwortlichkeiten und Intervalle festzuhalten, damit bei einem Personalwechsel direkt übernommen werden kann.

Falls diese Checkliste noch nicht existiert, kann mit der Kontenliste und den Backend-Zugangsinformationen begonnen werden. Sind diese beiden Punkte geklärt, gibt es einen Ausgangspunkt für die tägliche Prüfung der Website-Sicherheitsgrundlagen. Anschließend können nach und nach Aufzeichnungen zu Updates, Backups und Monitoring ergänzt werden.