Guten Tag, liebe Leser! Sicherheit – das Streben der Zivilisation. Seit unserer Geburt suchen wir nach Sicherheit in unserem Leben. Im Internet sieht natürlich die Situation nicht anders aus. Überall sind Gefahren die unser Leben nicht leichter machen, sondern schwieriger: Viren, Trojaner oder Phishing- Angriffe.

Wenn wir uns einige Dinge betrachten, erkennen wir, im Leben sieht`s ähnlich wie im Internet aus. Viren, Bakterien und Infektionen umgeben uns ständig. Wie werden wir mit ihnen fertig? Grundlagen der Hygiene, Impfungen, aber auch Verhaltensnormen in der Gesellschaft.

In einem Artikel beschrieb ich wie man seine Datenbankdateien überwachen kann. Heute soll es um die theoretische Absicherung  der Dateien gehen.

Sicherheitslücken im Blog

WordPress, sowie auch andere CMS- Software besteht aus mehreren Dateien + Datenbank. Die häufigsten Bedrohungen entstehen bei:

• Injektion von Schadcode in das Template
• Injektion von Schadcode ins Plugin
• Injektion von Schadcode in die Artikel und Seiten
• Versteckte Viren (Bilder, Dateien)

In der Regel besteht ein Virus auf dem Blog als PHP-Code oder JavaScript. Dafür wird eine externe oder interne Datei genutzt, aber auch in passende Artikel werden die Viren eingeschleust. Ein erfahrener Programmierer kann die kürzlich aktualisierten Dateien erkennen und den bösartigen Code entfernen.

Zugriffsrechte auf die Dateien und das Template

Für jede Datei oder Ordner hat man die Möglichkeit auf dem Server sogenannte Zugriffsrechte  zu vergeben. Diese Rechte können je nach Verwendungszweck zum Lesen, Schreiben oder Ausführen vergeben werden. Falsche Zugriffrechte stellen eine Sicherheitslücke für das Blog dar.

Ändern Sie die Zugriffsrechte im Ordner „Template“ auf (chmod) 444 (alle Dateien und Benutzer haben nun Leserechte). Dadurch wird die Bearbeitung der Template-Datei für alle Benutzer deaktiviert und das Schreiben in die Datei vom Template erschwert. Einen Schadcode einzuschleusen wird  schwieriger.

Vorgehensweise:

1. Auf dem Server anmelden. Dafür FTP- Programm (FileZilla, LeechFTP etc.)  nutzen.
2. In die Struktur …/wp-content/themes/… + aktuellen Template Ordner wählen.
3. Alle Dateien die eine .php Endung besitzen markieren. Durch Rechtsklick  (chmod) 444 vergeben.

Nachdem du die Rechte vergeben hast, ist es nicht mehr möglich im Adminbereich die einzelne Dateien zu bearbeiten. Ich empfehle die einzelnen Dateien extern zu bearbeiten. So hast du immer die Gewissheit, dass die Dateien richtige Zugriffsrechte besitzen.

Die Qual der Wahl - Plugins, Templates

Mittlerweile gibt es Tausende von Plugins und Templates für WordPress. Viele Blogger testen, ändern, versuchen neue einzuspielen oder auszuprobieren. Es ist wichtig bei der Auswahl heutzutage lieber mit Vorsicht zu genießen.

Für die Programmierer ist es leicht einen Virus zu verstecken oder eine Sicherheitslücke zu hinterlassen, die im nachinein ausgenutzt wird und von Otto Normalverbraucher nicht so leicht erkennbar ist. Häufig werden diese infizierten Dateien weitergegeben, nicht ahnend, dass die versteckte Gefahr in ihnen übertragen wird.

Lade nur Templates, Plugins von WordPress.org oder aus offiziell bestätigten Quellen (zum Beispiel vom Entwickler eines beliebten Plugin, Template). Manchmal sind auch Empfehlungen von größeren Portalen als ratsam anzusehen.

Sicherung der Dateien und der Datenbank (Backup)

Wie ich finde ein ganz wichtiger Punkt, der sehr oft vernachlässigt wird. Ein professioneller Programmierer kann sehr schnell die infizierte Datei lokalisieren. Der Anfänger ist meist nur in der Lage einfache Installationen oder das Einspielen einer vorhandenen Datenbank durchzuführen.

Datenbanken sind sehr schnell zerstört und nicht so einfach zu reparieren. Wenn du aber regelmäßig Sicherungskopien anlegst, bist du in der Lage alles wiederherzustellen. Die meisten Hostanbieter bieten ein ausgereiftes Backupsystem, in Form von Datenbank, Dateien und Mail an.

Sichere die Datenbank mindestens 1 Mal pro Woche. Lege dir einen festgelegten Tag in der Woche an. Datenbanksicherung kann auch manuell über MyPHPAdmin angelegt werden, aber auch bequemer durch ein spezielles Plugin (z. B. WordPress Database Backup).

Schutz durch starke Logins und Passwörter

Auch ich habe früher diesen Punkt vernachlässigt und selbst die Erfahrung machen müssen wie schnell ein Passwort geknackt wird. WordPress bietet die Möglichkeit  bei der Auswahl des Passwortes, dein Passwort einzustufen – in leicht, mittel oder stark. Nehme diesen Vorschlag an!

Wenn du Beispielsweise deinem Blog bei der Anmeldung – Login «admin» und beim Passwort «ich123» vergibst, ist es nur eine Frage der Zeit bis dein Blog geknackt wird.

Ändere dein Standard-Login, ist nicht nur sicherer, sondern effektiver dein Blog nicht mit «admin» zu betreten. Ändere dein Kennwort auf ein zuverlässiges, längeres und mit wechselnden Zeichen versehendes Kennwort, der auch mehr als 7 Zeichen und Sonderzeichen, wie z.B. «AlK_287 # 1 » enthält.

Manchmal ist es leichter diese Punkte zu beachten, als nach einer Attacke dein Blog wieder herstellen zu müssen und deine Leser zu vernachlässigen. Versuche die neuesten Updates deiner Blogsoftware zeitnah durchzuführen!