Warum WordPress Wartung essentiell ist?

Die größten Sicherheitslücken entstehen bei WordPress, wenn das System nicht zeitnah die neusten Updates installiert. Dabei ist es wichtig, dass auch Plugins rechtzeitig geupdated werden. 

Es ist also unabdingbar wichtig, dass:
1) das verwendete Theme entsprechend geupdated wird,
2) WordPress geupdated wird,
3) alle Plugins konstant geupdated werden.

Updates mit Sicherheitspaketen erkennt man daran, dass die Zahl nach dem ersten Punkt erhöht wird. Sind besipielsweise Updates bei 3.2.1 erhältlich, so wird vom Anbieter die Version 3.3.1 angeboten. Sind nur kleine Änderungen im Updaten enthalten, so wird oft nur die letzte Zahl erhöht. Hier beispielsweise auf 3.2.2. 

Letztlich sollten alle Updates gemacht werden.

Wordfence Umfrage zu gehackten Webseiten (Bildquelle: Wordfence)

Wo verbergen sich weitere Risiken?

Neben der Updates gibt es weitere Sicherheitsaspekte. Dazu gehören:

1) Backup-Erstellung, im Falle das alle Maßnahmen nicht gewirkt haben,
2) Blockierung von schadhaften Skripten,
3) Brute-Force Schutz,
4) Zugriffe auf die Datenbank verhindern,
5) WP externe PHP Skripte vermeiden, ggf. vollständig unterbinden
6) User-Management,
7) Hoster-Sicherheit

Wir empfehlen unseren Kunden sich auch bei der Hosterwahl die Anbieter sehr genau zu hinterfragen. Ein günstiges Hosting scheint nur im ersten Schritt wirtschaftlich sinnvoll. In die Zukunft gedacht bekommt man dort nicht nur wenig Support, sondern holt sich im Zweifelsfall sogar schon die Probleme mit an Board. Serverseitig gab es beispielsweise schon einige Hoster, die gehackt wurden und dann alle Passwörter ihrer Kunden öffentlich zugänglich waren. 

Wir empfehlen daher ein versiertes WordPress Hosting von einem Hoster, der sich darauf spezialisiert hat. Hier findest du unsere Empfehlung.

Welche Unterschiedlichen Hacking Methoden gibt es?

Zuerst einmal: die Hacker hacken nicht zwangsweise „manuell“. Das ganze läuft heutzutage über intelligente Programme, die wir als Viren bezeichnen, wenn sie schadhafte Ziele verfolgen. Diese Programme sind so geschrieben, dass sie erkennen, welche Seite keine aktuellen Updates hat und testen die ersten einfachen Sicherheitslücken, wie bspw. einen Login-Versuch als „admin“ mit den meist genutzten Passwörtern der Welt. (Diese sind ja hinlänglich bekannt.)

Solche Viren bezeichnet man auch als Malware. Meist infiziert ein Programm das System und lädt dann erst andere Schadsoftware nachträglich ins System. So werden viele Sicherheitssystem umgangen, da das System bereits mit einem kleineren Malware infiziert wurde. Meist werden dann Sicherheitsmaßnahmen angegriffen, sodass Standard Checks der Seite diese nicht mehr entdecken. Ab hier wird der Aufwand die Schadsoftware zu finden immer höher. 

Hacker nutzen auch immer wieder gerne Phishing Methoden. Hierbei wird suggeriert, dass du deine Daten verifizieren sollst und daher irgendwo dein Passwort eingeben musst. Achtung: dies ist eine perfider Trick, um deine Passwörter und im besten Fall noch die passende Email zu erhalten. Gegen Phishing hilft letztlich nur eins: nirgends die Passwörter eintragen, wo man sich nicht 100% sicher ist, dass es der richtige Anbieter ist. Hierbei ist zu erwähnen, dass man auch auf Email-Adressen klicken kann, um Informationen zu den Absender zu sehen. Dies kann verglichen werden mit den herkömmlichen Mails des jeweiligen Anbieters. Hier findest du Informationen der Verbrauchenzentrale zur Phishing Prävention.

Hacker können auch deine technischen Systeme überlasten und somit deine Webseite Offline bringen. Dies funktioniert beispielsweise über DDOS Attacken. 

Dabei werden hunderte Mal pro Sekunde deine Webseite aufgerufen, bis der Server die Anfragen nicht mehr bedienen kann und letztlich nicht mehr reagiert. Solche Angriffe können präventiv unterbunden werden, indem man IP-Adressen aus Bereichen wo keine Kunden sind, direkt blockiert. Zudem gibt es auch Tools, die solche Angriffe erkennen und IP’s nach zu vielen kurzfristigen Zugriffen dynamisch blockieren und umleiten. 

Wieso greifen Hacker deine Webseite an?

Natürlich aus Gründen des Profits. Das ganze funktioniert über verschiedene Methoden. 

1) Deine Webbesucher werden zu anderen schadhaften Seiten weitergeleitet und gehackt oder mit Werbung konfrontiert.

2) der Hacker erpresst dich mit einer Sperrung der Webseite

3) Daten werden verkauft, falls du bspw. Kundendaten im Backend speicherst.

Ist WordPress anfälliger als andere CMS?

Im ersten Anlauf wirkt es tatsächlich so, dass WordPress anfälliger für Angriffe ist, als andere CMS Systeme. Allerdings liegt das nur an dem statistisch relevanten Unterschied, dass WordPress wesentlich häufiger eingesetzt wird, als andere CMS Systeme. Hierzu hat Marco vom DesignersInn eine interessante Rechnung aufgestellt.

Hier findest du seinen Beitrag.

Gem. eines bekannten Sicherheitsplugins für WordPress ist es so, dass 74% der Sicherheitsprobleme bei WordPress verzeichnet wurden, wobei lediglich 17% auf Joomla und 6% auf Magento entfielen. 

In Zahlen: 5700 WordPress Seiten, 1700 Joomla Seiten, 500 Magento Seiten.

Betrachtet man nun aber die Verbreitung der jeweiligen CMS Systeme, so würde man auf diese Zahlen kommen:

WordPress 5700 Seiten
Joomla 11000 Seiten
Magento 11600 Seiten

Also mit der Einberechnung der absolut genutzten Zahlen sieht WordPress auf einmal nicht mehr unsicherer, sondern plötzlich sicherer aus, als andere Systeme.