Sicherheit und Vorfälle – weitere Fragen (4)

Zugangsdaten werden über einen Passwortmanager oder einen sicheren Einmal-Freigabekanal geteilt. Persönliche Konten sind gemeinsamen Logins vorzuziehen; unverschlüsselte E-Mail oder Chatverläufe sind dafür ungeeignet.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Für WordPress sollten einzigartige, lange Zugangsdaten aus einem Passwortmanager verwendet werden. Ein regelmäßiger Zwangswechsel ohne Anlass ist weniger wirksam als ein zusätzlicher Faktor, die Sperrung ungenutzter Konten und ein sofortiger Wechsel bei Verdacht auf Kompromittierung.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Das Prinzip der minimalen Berechtigungen bedeutet, dass Personen und Systeme nur die Zugriffe erhalten, die sie für ihre Aufgabe tatsächlich benötigen. Dadurch wird das Schadenspotenzial kompromittierter Konten begrenzt.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Die wp-config.php wird durch restriktive Dateirechte, Schutz vor direktem Webzugriff und eine sichere Serverkonfiguration abgesichert. Geheimnisse sollten nicht unnötig verteilt oder in öffentlich zugänglichen Repositories gespeichert werden.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Die Datenbank wird mit getrennten Zugangsdaten, begrenztem Netzwerkzugriff, sicheren Backups und aktuellen Serverkomponenten geschützt. Rechte werden so weit wie praktikabel begrenzt, ohne notwendige WordPress- und Updatefunktionen zu blockieren.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

XML-RPC sollte nur deaktiviert oder eingeschränkt werden, wenn keine benötigte Funktion davon abhängt. Mobile Apps, externe Publishing-Dienste oder bestimmte Integrationen können es nutzen; bei Angriffen sind gezielte Blockregeln oft besser als eine blinde Abschaltung.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Der integrierte Theme- und Plugin-Dateieditor sollte auf betreuten Unternehmenswebsites in der Regel deaktiviert werden. Änderungen erfolgen dann nachvollziehbar über sichere Datei- oder Deploymentwege und sind weniger leicht über ein kompromittiertes Admin-Konto missbrauchbar.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Security Header steuern unter anderem Browserregeln für Inhalte, Einbettungen und verschlüsselte Verbindungen. Sie werden passend zur Website konfiguriert und getestet, weil zu strenge Regeln legitime Skripte, Formulare oder externe Inhalte blockieren können.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Eine Content Security Policy begrenzt, aus welchen Quellen Browser Skripte, Styles, Bilder und andere Inhalte laden dürfen. Sie kann Angriffe erschweren, muss aber schrittweise getestet werden, damit legitime Formulare, Tracking- oder Drittanbieterdienste nicht ausfallen.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Bot-Traffic wird mit Ratenbegrenzung, Firewall- oder CDN-Regeln, Caching, Schutz besonders belasteter Endpunkte und einer Auswertung der Zugriffsmuster begrenzt. Nicht jeder Bot ist schädlich; Suchmaschinen und legitime Dienste müssen weiterhin funktionieren.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

Formularspam lässt sich mit serverseitiger Validierung, Honeypots, Ratenbegrenzung und bei Bedarf einer datenschutzgerecht eingebundenen Challenge reduzieren. Gleichzeitig müssen Plugins aktuell bleiben; zu aggressive Filter sollten mit echten Testanfragen kontrolliert werden.

Zum Sicherheitsumfang gehören regelmäßige technische Prüfungen, das Beobachten von WordPress-, Plugin- und Theme-Versionen, die Kontrolle von Benutzerzugängen sowie ein zusätzlicher Anmeldefaktor oder Passkeys, soweit das Setup dies zulässt. Bei einem Vorfall wird technisch untersucht, bereinigt oder auf einen geeigneten Sicherungsstand zurückgegangen; Umfang und Ursachenabhängigkeiten werden transparent abgestimmt.

DDoS-Schutz beginnt mit einer schnellen, gut gecachten Website und kann durch Ratenbegrenzung, Blockregeln, CDN oder WAF ergänzt werden. Gegen große verteilte Angriffe ist jedoch die Netz- und Schutzkapazität des Hosters oder eines spezialisierten Anbieters entscheidend.

Bei DDoS-Angriffen wird geprüft, ob Caching, Blockregeln, ein vorgeschaltetes CDN oder eine WAF sinnvoll sind. Gegen sehr große Angriffe kann jedoch eine spezialisierte Infrastruktur des Hosters oder Schutzanbieters erforderlich sein.