Premium WordPress-Wartung · by Frontend GmbH
Was ist das Prinzip der minimalen Berechtigungen?
Die Antwort.
Das Prinzip der minimalen Berechtigungen bedeutet, dass Personen und Systeme nur die Zugriffe erhalten, die sie für ihre Aufgabe tatsächlich benötigen. Dadurch wird das Schadenspotenzial kompromittierter Konten begrenzt.
Abhängig vom vereinbarten Umfang begrenzen wir unsere Konten und technischen Dienste auf Ihrer Website auf die Rechte, die für die vereinbarten Aufgaben nötig sind.
Minimale Rechte begrenzen Fehler und Angriffsfolgen
Ein kompromittiertes Konto kann dann nur innerhalb seines notwendigen Aufgabenbereichs handeln. Das Prinzip gilt für Menschen, Plugins, API-Schlüssel und Serverdienste.
- Redakteure erhalten keine Plugin-Verwaltung.
- API-Schlüssel nur mit benötigten Scopes ausstellen.
- Datenbankbenutzer auf erforderliche Datenbank und Aktionen begrenzen.
- Temporär erhöhte Rechte anschließend wieder entziehen.
Minimale Rechte gelten auch zwischen technischen Systemen
Ein Backupkonto benötigt keinen WordPress-Administrator, ein Monitoringdienst keine Schreibrechte und ein Formular-API-Schlüssel keinen Zugriff auf alle CRM-Daten. Werden Konten nach Aufgabe getrennt, lässt sich ein kompromittierter Schlüssel gezielt sperren. Regelmäßige Reviews prüfen, ob der ursprüngliche Zweck noch besteht und ob neue Funktionen unbemerkt zusätzliche Scopes angefordert haben.
Least Privilege auch für APIs und Dienste anwenden
Ein Redakteur benötigt keine Plugininstallation, ein Monitoringdienst keine Schreibrechte und ein Formularschlüssel keinen Zugriff auf alle CRM-Daten. Getrennte Konten pro Aufgabe begrenzen die Folgen eines kompromittierten Secrets.
Bei Vergabe werden Zweck, Scopes, Eigentümer und gegebenenfalls Ablaufdatum dokumentiert. Tests mit niedriger Rolle prüfen, ob unerlaubte Aktionen wirklich abgewiesen werden. Reviews entfernen nicht mehr benötigte Rechte. Temporär erhöhte Berechtigungen werden nach der Aufgabe zurückgenommen, statt zum neuen Dauerzustand zu werden.
Berechtigungen über WordPress hinaus erfassen
Die Rechteprüfung umfasst nicht nur die WordPress-Rolle, sondern auch Hostingpanel, Datenbank, CDN und externe APIs. Ein niedriges WordPress-Konto kann über einen separat freigegebenen Schlüssel trotzdem weitreichende Datenzugriffe besitzen. Die Gesamtwirkung entscheidet.
Verwandte Fragen.
Wie wird ein Sicherheitsnotfall in der Kunden-App dokumentiert?
Ein Sicherheitsnotfall Ihrer Website wird in der Kunden-App als Incident mit Zeitpunkt, Beschreibung, Status, Anhängen und Bearbeitungsverlauf dokumentiert.
Welche Verantwortung bleibt beim Unternehmen?
Beim Unternehmen bleiben geschäftliche Entscheidungen, sichere Endgeräte und E-Mail-Konten, Benutzerfreigaben, Lizenz- und Datenschutzpflichten sowie die Information über Änderungen durch andere Dienstleister.
Welche Verantwortung hat der Wartungsanbieter für die Sicherheit?
Der Wartungsanbieter trägt die Verantwortung für die ausdrücklich übernommenen Sicherheitsmaßnahmen und deren fachgerechte Durchführung.
Welche Verantwortung hat der Hostinganbieter für die Sicherheit?
Der Hoster ist für die von ihm betriebene Infrastruktur, Plattform und vertraglich zugesagten Schutzmaßnahmen verantwortlich.
Ihre Website-Betreuung klären.
Beschreiben Sie uns Ihre Website und Ihr Anliegen. Im Gespräch legen wir fest, welche Betreuung Sie benötigen.