Der Oktober ist der Monat der Cybersicherheit, und die meisten Ratschläge, die du diesen Monat lesen wirst, richten sich an Unternehmen mit einem eigenen Sicherheitsteam. Wenn du deinen eigenen VPS, einen dedizierten Server oder ein Reseller-Konto betreibst, hast du wahrscheinlich keins. Du hast nur dich selbst, vielleicht einen Entwickler und eine lange Liste von Dingen, die nichts mit Sicherheit zu tun haben.
Die gute Nachricht ist, dass die meisten Servervorfälle auf dieselbe Handvoll Schwachstellen zurückzuführen sind. Dieser Leitfaden führt dich durch fünf Fragen, die diese abdecken. Zu jeder Frage erfährst du, warum sie wichtig ist, findest eine kurze Selbstüberprüfung und eine Maßnahme, die du diesen Monat umsetzen solltest. Du kannst alle fünf an einem Nachmittag durcharbeiten.
1. Könntest du deine Website heute wiederherstellen?
Fast jeder hat Backups. Weitaus weniger haben schon mal eines wiederhergestellt. Genau das ist das Problem: Ein Backup-Job kann monatelang „erfolgreich“ gemeldet werden, obwohl die Kopie unvollständig ist, auf demselben Server gespeichert wird, den er eigentlich schützen soll, oder aus dem System entfernt wird, bevor du das Problem überhaupt bemerkst.
Die meisten Wiederherstellungen werden nicht durch Angriffe ausgelöst. Sie entstehen durch ein fehlerhaftes Plugin-Update, einen gelöschten Ordner oder eine Migration, die an einem Freitagnachmittag schiefgeht. So oder so lautet die Frage immer dieselbe: Wie schnell kannst du wieder dahin zurückkehren, wo du warst?
Schnelle Selbstüberprüfung
- Weißt du genau, wo deine Backups gespeichert sind, und ist das an einem anderen Ort als auf dem Server selbst?
- Hast du in den letzten sechs Monaten ein Backup wiederhergestellt?
- Speichert ihr genügend Versionshistorie, um zu einer Version zurückzukehren, die vor dem Auftreten eines Problems lag?
Eine Aufgabe für diesen Monat: Such dir eine nicht kritische Website aus und stell sie wieder her. Miss, wie lange das dauert, und schau nach, was wieder funktioniert.
Mehr dazu: Dein Notfallplan ist nur so gut wie deine letzte Wiederherstellung
2. Wer hat derzeit Zugriff auf deinen Server und deine Konten?
Jede Anmeldung ist wie eine Tür. Mit der Zeit sammeln sich auf den Servern Türen an, an deren Öffnung sich niemand mehr erinnert: der SSH-Schlüssel eines ehemaligen Entwicklers, das Control-Panel-Konto eines Auftragnehmers, ein Admin-Zugang, den sich das ganze Team teilt.
Angreifer müssen sich nicht immer Zugang verschaffen, wenn bereits ein funktionierendes Login im Umlauf ist. Gestohlene und wiederverwendete Zugangsdaten tauchen bei einem Großteil der Sicherheitsvorfälle auf – oft lange nachdem die Person, der sie gehörten, keinen Zugriff mehr benötigte.
Schnelle Selbstüberprüfung
- Könntest du alle Personen auflisten, die Zugriff auf dein Hosting-Konto, SSH, das Control Panel und den CMS-Adminbereich haben?
- Ist die Multi-Faktor-Authentifizierung für dein Hosting-Konto und deinen Domain-Registrar aktiviert?
- Hat jeder seinen eigenen Login, oder werden manche Passwörter gemeinsam genutzt?
Eine Aufgabe für diesen Monat: Listet alle Logins auf eurem Server auf und ordnet jeden einzelnen einer aktuellen Person zu. Entfernt alles, was ihr nicht erklären könnt.
Mehr dazu: Wer hat Zugriff auf deinen Server? Ein 30-minütiges Zugriffsprüfung
3. Was steht zwischen Angreifern und deiner Website?
Sobald ein Server online geht, beginnt automatisierter Datenverkehr, ihn auf schwache Anmeldedaten, bekannte Sicherheitslücken und alles andere zu testen, was er nutzen kann. Der Großteil dieses Datenverkehrs sollte deine Anwendung gar nicht erst erreichen.
Die Ebene vor deiner Website übernimmt diese Filterung. Je nach deiner Konfiguration kann es sich dabei um eine Web-Application-Firewall, ein CDN mit DDoS-Schutz wie Cloudflare, einen Malware-Scanner wie Imunify360 oder eine Kombination daraus handeln. Wichtig ist, dass du weißt, über welche Tools du verfügst und was jedes einzelne tatsächlich leistet, denn ihre Funktionen überschneiden sich nicht so stark, wie oft angenommen wird.
Schnelle Selbstüberprüfung
- Weißt du, was deine Website vor bösartigem Datenverkehr schützt, bevor dieser den Server erreicht?
- Führst du regelmäßig Malware-Scans durch, und nicht erst, wenn dir etwas komisch vorkommt?
- Weißt du, was mit deiner Website passieren würde, wenn sie von einer Besucherflut überrannt würde?
Eine Aufgabe für diesen Monat: Schreib alle Sicherheitstools auf deinem Server auf und was sie bewirken. Sowohl Lücken als auch Doppelungen fallen so schnell ins Auge.
Mehr dazu: Brauche ich „ Cloudflare “ noch, wenn ich Cloud-Hosting nutze? und Brauche ich „Imunify360“ noch, wenn ich Cloud-Hosting nutze?
4. Läuft irgendetwas auf Software, für die es keine Updates mehr gibt?
Es gibt einen Unterschied zwischen veralteter Software und Software, für die kein Support mehr angeboten wird. „Veraltet“ bedeutet, dass es einen Fix gibt, den du noch nicht installiert hast. „Ohne Support“ bedeutet, dass kein Fix mehr kommen wird.
Hier gibt’s eine Frist. PHP 8.2 erhält ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr, und für PHP 8.1 und frühere Versionen gilt das bereits. Bei „ WordPress “-Seiten stellen Plugins das größere Risiko dar. Die überwiegende Mehrheit der neuen WordPress -Sicherheitslücken wird in Plugins gefunden, und einige dieser Plugins werden von niemandem mehr gepflegt.
Schnelle Selbstüberprüfung
- Weißt du, welche PHP-Version auf jeder deiner Websites läuft?
- Gibt es unter euren Plugins welche, die seit einem Jahr oder länger nicht mehr aktualisiert wurden?
- Wird das Betriebssystem deines Servers noch vom Hersteller unterstützt?
Eine Aufgabe für diesen Monat: Überprüfe die PHP-Version auf jeder Website und lösche alle Plugins, die du nicht aktiv nutzt.
Mehr dazu: Läuft auf deinem Server irgendetwas, für das es keine Updates mehr gibt?
5. Welche Aspekte der Sicherheit liegen in deiner Verantwortung und welche in der deines Hosts?
Bei jedem Hosting-Paket teilen sich du und dein Anbieter die Verantwortung für die Sicherheit. Bei einem verwalteten Paket kümmert sich dein Host möglicherweise um Betriebssystem-Updates und die Serverkonfiguration. Bei einem nicht verwalteten VPS oder dedizierten Server liegt der Großteil dieser Aufgaben hingegen bei dir. Bei jedem Paket bleiben der Code deiner Website, die Plugins und die Benutzerkonten in deiner Verantwortung.
Die Aufteilung ist kein Problem. Das Problem ist, dass man nicht weiß, wo sie liegt. Der schlechteste Zeitpunkt, um herauszufinden, wer eigentlich ein Update hätte installieren sollen, ist der Tag, nachdem es nicht installiert wurde.
Schnelle Selbstüberprüfung
- Weißt du, ob dein Tarif verwaltet oder nicht verwaltet ist und was er abdeckt?
- Weißt du, wer die Sicherheitsupdates für das Betriebssystem auf deinem Server installiert?
- Wenn deine Website heute Nacht gehackt würde, weißt du, wen du als Erstes anrufen würdest?
Eine Aufgabe für diesen Monat: Lies dir die Details deines Tarifs durch und notiere dir, welche Aufgaben zu deinen Aufgaben gehören. Wenn dir etwas unklar ist, frag einfach unser Support-Team.
Mehr dazu: Welche Aspekte der Sicherheit liegen in deiner Verantwortung und welche in der deines Hosts?
Wenn ein Server nicht ausreicht
Wenn dir beim Durcharbeiten dieser Liste klar geworden ist, wie viel Zeit deiner Woche für die Wartung draufgeht, bist du nicht allein. Backups, Zugriffsverwaltung, Patches und Filterung – das sind alles Aufgaben, deren Umfang ständig wächst, je mehr Websites und Datenverkehr hinzukommen.
InMotion Cloud ist unsere verwaltete Private Cloud für Teams, die diese Aufgaben lieber Ingenieuren überlassen möchten. OS-Patches, Backups, WAF- und DDoS-Filterung, Überwachung und Incident Response sind in jedem Tarif enthalten, wobei erfahrene Ingenieure als eure ersten Ansprechpartner fungieren.