Hacker werden dich hassen! 13 Tipps für sichere Websites

Wenn du ein CMS System zur Bearbeitung deiner Website im Einsatz hast, ist dieses mit einer Administrator – oder Redakteuroberfläche ausgestattet. Diese ist meist mit einem eigenen Link – auch Backend genannt – erreichbar. zB. www.meinewebsite.at/typo3. CMS Systeme sind weltweit zigtausendfach im Einsatz und verwenden zu 99% den gleichen Backend-Link. Hacker brauchen nicht lange zu überlegen und gelangen ohne allzu große Anstrengung zumindest bis zu dieser Eingangstür. Bereits an dieser Stelle können viele Login-Hacks vermieden werden:

Passwort-Security ist ein vielbeschriebenes Thema. Mittlerweile ist die Aufklärung zu sicheren, komplexen Passwörtern eine Selbstverständlichkeit. Leider sieht es in der Praxis anders aus: Um sich Passwörter einfach merken zu können werden noch immer zu simple und leicht zu knackende Passwörter verwendet. Hier nochmals zur Auffrischung:

Die meisten Websites verwenden mittlerweile in der Adresszeile vor der Domain die Bezeichnung „https“.  (Vor einigen Jahren wurde nur die Bezeichnung „http://“ verwendet.) Das zusätzliche „s“ steht für „secure“ und deutet auf eine geschützte Website hin. Das Zauberwort heißt SSL (Secure Socket Layer) und ist ein Netzwerkprotokoll zur sicheren Übertragung von Daten vom Webserver zum PC. Websites sollten mit SSL verschlüsselt sein, und mit einem höheren Sicherheitsstandard ausgestattet werden.

Formulare stellen einen begehrten Angriffspunkt auf deiner Webseite dar, daher ist auf die Absicherung von Web-Formularen ein besonderes Augenmerk zu legen. Kontaktformulare, Anfrageformulare, Buchungsformulare und Gästebücher (wer hat sowas noch?) können ein Sicherheitsrisiko darstellen.

Spam-Anfragen: Oft versuchen Spam-Roboter, Formulare mit automatisierten Werbebotschaften zu belegen und abzusenden. So kann es passieren, dass zahlreiche Spam-Mails von Anfrageformularen im Posteingang landen.

Eine Möglichkeit zur Verhinderung dieser Spamanfragen ist der Einsatz von sogenannten Captchas. Dies sind nur von Menschen lesbare Aufgaben, welche vor dem Senden beantwortet werden müssen. Diese Tests stellen für Menschen kein Problem dar, sind für Roboter jedoch schwer zu bewältigen.

Eine weitere Möglichkeit ist der Einsatz von sogenannten Timestamps. Diese verzögern die Aktivierung des Sende-Buttons um mehrere Sekunden. Spam-Roboter brauchen für Formular-Befüllung und Absendung in der Regel weniger als 1 Sekunde und sind so nicht in der Lage, das Formular abzusenden.

Weiters sind sogenannte Honeypot Felder eine verbreitete Methode. Das sind versteckte Felder, die von Menschen, die das Formular ausfüllen nicht ausgefüllt werden. Kommt jedoch ein Bot auf ein solches Formular und befüllt alle Felder die er im Quellcode findet, wird das Formular nicht abgeschickt. Mittlerweile sind jedoch schon „schlauere“ Bots unterwegs, welche solche Felder erkennen.

SQL Injection – Datenbank-Hack über Web-Formulare

Datenbanken enthalten meist wertvolle Informationen und zählen damit zu den beliebtesten Angriffszielen. Bei einer so genannten SQL-Injection überlistet der Hacker Sicherheitslücken in Formular-Feldern, welche durch die Nicht-Prüfung und ungefilterte Einspielung von Formular-Werten entstehen kann.

Verzichtet man auf entsprechende Vorsichtsmaßnahmen, öffnet man Angreifern umfangreiche Möglichkeiten zur Manipulation der Datenbank bis hin zur Erstellung von Zugangsdaten zum kompletten Wartungssystem. Damit hat der Hacker Hoheit über deine Webseite.

Jede Webseite braucht einen Server durch den sie weltweit erreichbar ist. Die Sicherheit deines Server-Platzes ist eine der wichtigsten Aspekte um Hackangriffe zu vermeiden, aber auch um einen Ausfall der Website durch unerwartete Ereignisse zu vermeiden. Das passende Hosting-Paket richtet sich nach Größe und Einsatzbereich des Webauftritts. Generell solltest du aber auf einen verlässlichen und guten Hosting-Partner setzen.

Die Erstellung einer Website ist oft aufwändig und mit viel Arbeit verbunden – es wäre schade wenn plötzlich alles weg wäre. Daher lohnt es sich über eine geeignete Backup-Strategie nachzudenken und von Zeit zu Zeit zu überprüfen, ob die Sicherungen im Notfall auch rückspielbar sind. Wie oft im Leben kümmert man sich erst im negativen Anlassfall um das Thema Backups und Datensicherung. Besser wäre, schon zum Onlinegang ein vernünftiges und regelmäßiges Backupsystem zu wählen und einzuführen.

Es gibt viele Möglichkeiten, Websites zu schützen. Aber selbst die ausgeklügeltsten Maßnahmen können keine 100%ige Sicherheit vor einem Hackangriff bieten.

Oft merken Websitebetreiber gar nicht oder erst zu spät, dass die Website gehackt wurde. Aus diesem Grund sollte man regelmäßig Security- und Sicherheits-Checks durchführen. Im Web gibt es eine ganze Reihe an Tools mit denen du deinen Webauftritt – teils kostenlos – prüfen kannst.

Wenn du auf Nummer sicher gehen möchtest, empfiehlt es sich, einen Profi heranzuziehen. Im Netzwerk des Vereins für Datenschutz und IT Security findest du Expert:innen für Penetrationstests, Server-Sicherheit und Website-Security.

Unter Cross-Site-Scripting versteht man das Nutzen von Sicherheits-Lücken in Webapplikationen. Schädliche Programme (Skripte) werden dabei ins System eingeschleust um anschließend die Systemumgebung der Nutzer:innen anzugreifen. Das können harmlose Werbepopups sein, jedoch können solche Scripte auch vertrauliche Informationen erlangen oder Zugriff auf den Computer des Geschädigten.

Die Folgen sind nicht zu unterschätzen: Man riskiert den Verlust der Daten oder wird quasi als Mittäter missbraucht. Du bist für deine Daten und deren Sicherheit selbst verantwortlich. Daher sollten Website-Betreiber:innen unbedingt Maßnahmen einleiten, um Cross-Site-Scripting zu verhindern.

Die Problemstellungen und Möglichkeiten zur Absicherung sind vielfältig.

Cross-Site-Scripting betrifft vor allem aber auch die lokalen Web-Browser: Etwa das Ausschalten der Javascript Unterstützung im Browser, Abschaltung von Active Scripting oder Browser-Plugins zur Unterbindung von Cross-Site-Scripting sind effektive Lösungsansätze auf dieser Ebene.

Fremden Links solltest du deshalb generell nicht blind vertrauen und vor dem Folgen gründlich prüfen. Meist ist Cross-Site-Scripting nur der Einstiegs-Schritt für breit angelegte Angriffe.

Das Einbetten von fremden Inhalten, etwa via JavaScript oder iFrame, ist oft gefordert oder notwendig. Diese Einbindungen können jedoch auch mit Risiko verbunden sein.

Einerseits verliert man dadurch die Kontrolle über die Inhalte, andererseits können dadurch auch ungewünschte Codes eingespielt werden und so die Website missbrauchen.

Binde somit Fremd-Inhalte nur ein, wenn du den Anbieter kennst und vollstes Vertrauen hast. Dies betrifft auch Einbindung von Analyse-Tools wie Google Analytics.

Auch Datenschutz und entsprechende Datenschutzerklärungen tragen zur Sicherheit der Website bei. Rechtliche Sicherheit, Informationen legal zu verarbeiten sind ebenso wichtig wie technische Sicherheit, Datenklau zu vermeiden.

Wenn du auf deiner Website ein Gewinnspiel betreibst, ein Anfrageformular bereitstellst, eine Newsletteranmeldung zur Verfügung stellst oder einen Registrierungsprozess anbietest, dann verarbeitest du Nutzerdaten. Aber nicht nur dann – ein großer Teil aller Websites verwendet sogenannte Cookies um Besucherverhalten zu analysieren. Auch IP Adresse und Verweildauer usw. werden in der Regel gespeichert.

Jede Website, welche personenbezogene Daten verarbeitet, benötigt eine wasserdichte Datenschutz-Erklärung um einer Abmahnung zu entgehen.

Ziehe im Zweifelsfall Experten zu Rate. Im Verein für Datenschutz und IT Sicherheit findest du spezialisierte Rechtsanwälte zum Thema Datenschutz im Web.

Wenn deine Seite plötzlich offline ist, fremde Inhalte (meist mit einer Botschaft versehen) ausgibt oder dein Provider dich auf einen Hackangriff aufmerksam macht, dann solltest du schnell handeln. Ansonsten riskierst du, dass deine Website gesperrt wird und mittelfristig auch aus dem Suchindex fällt.

Die beschriebenen Tipps und Maßnahmen sind einzelne, grundlegende Aspekte und keine vollständige Anleitung für Website-Security. Die Anforderungen sind je nach Projekt/Website unterschiedlich und müssen im Einzelfall evaluiert werden.

Ist deine Website genügend geschützt? Wenn nicht, solltest du den einen oder anderen Tipp konkret umsetzen oder deine Webagentur beauftragen. Erkundige dich, welche Sicherheitsvorkehrungen schon getroffen wurden und welche Maßnahmen zusätzlich sinnvoll sind.

Deine Website ist dein Aushängeschild – lasse sie nicht im Stich!