Stellen Sie sich vor, Sie machen Urlaub und sind einige Wochen nicht zu Hause. In Ihrer Abwesenheit bricht jemand in Ihre Wohnung ein und richtet sich dort häuslich ein. Er durchsucht Ihre Schränke, er liest Ihre Post und findet vielleicht sogar ein Schreiben Ihrer Bank mit dem Telefon-Banking-Passwort. Möglicherweise nutzt er dann Ihre Bankverbindung für Online-Bestellungen und Ihre Wohnung wird zum Lager für seine Drogengeschäfte. Oder er vermietet Ihre Wohnung an andere Gauner. Und Sie bekommen von alldem nichts mit.
Ganz ähnlich verhält es sich, wenn eine Website gehackt wird: Cyber-Kriminelle übernehmen die Kontrolle und nutzen sie für ihre kriminellen Zwecke. Häufig geschieht das, ohne dass die Eigentümer der Webseite etwas davon merken. Täglich passiert das weltweit mehr als 90.000 Mal. (Quelle: Hosting Facts – Internet Stats & Facts for 2019 ). Deshalb sollten Sie unbedingt Ihre Webseite absichern. Warum? Das erklären wie Ihnen hier:
Website-Hacks haben häufig gravierende Folgen
Attacken auf Websites nehmen ständig zu. Automatisiert und in großem Stil stehlen Hacker Kundendaten und geschäftskritische Informationen, infizieren Website-Besucher mit Malware (bösartiger Software), missbrauchen die Seite für den Versand von Spam-E-Mails, versuchen mit Fremdinhalten und Links Suchmaschinen zu manipulieren oder vermieten Serverleistung und Webspace an andere Kriminelle.
Die Folgen eines erfolgreichen Angriffs sind meist gravierend: Für viele Unternehmen spielen Webseiten eine wichtige Rolle für ihre Geschäftsprozesse zum Beispiel für den Vertrieb oder Support. Oder die Webseite ist Basis für digitale Services oder für das Projektmanagement. Jeder Ausfall kostet Geld und Zeit. Er stört die Abläufe, beeinträchtigt die Reputation und das Kundenvertrauen. Eine gehackte Webseite kann zudem zum Einfallstor werden, um in das Unternehmensnetzwerk einzudringen.
Nicht selten sind gehackte Websites über längere Zeit nicht erreichbar, weil die Hacker Besucher auf andere Websites umleiten oder Suchmaschinen diese blocklisten. Die als kompromittiert erkannte Seite wird dann einfach nicht mehr angezeigt. SEO-Spam, Verunstaltungen der Seite (Defacement) und Sicherheitswarnungen durch Suchmaschinen können eine Marke nachhaltig beschädigen. Es kann sogar passieren, dass die Cyber-Kriminellen die Datenbank Ihrer Webseite verschlüsseln und dann Lösegeld verlangen.
Die Bedrohungslage in Zahlen
- Jede Woche identifiziert der Safe-Browsing-Dienst von Google Tausende manipulierter Websites mit Malware – in der ersten Januarwoche 2019 waren es 3653. (Quelle: Google Transparenzbericht – Safe Browsing)
- Im Durchschnitt über 60 Mal täglich wurden 2018 Websites attackiert – die Zahl der Angriffe wuchs von Januar bis Dezember 2018 um knapp 60 Prozent auf 80 pro Tag. (Quelle: SiteLock – 2019 Website Security Report)
- Fast die Hälfte (44 Prozent) aller Webprofis haben schon erfolgreiche Attacken auf Websites ihrer Kunden erlebt; für Dienstleister mit mehr als 20 Kunden steigt die Wahrscheinlichkeit, einen Hack zu erleben, auf 55 Prozent. (Quelle: Sucuri – Web Professionals Security Survey 2019)
- 13 Prozent aller gravierenden Sicherheitsvorfälle bei KMUs (Kleine und mittlere Unternehmen) sind Folge von Website-Hacking. (Quelle: eco – Studie IT-Sicherheit 2019)
- DDoS-Attacken auf Webdienste (Distributed Denial of Service) nehmen wieder zu, nutzen mehr Bandbreite und werden länger. Im ersten Quartal 2019 stieg ihre Zahl gegenüber Q4/18 um 84 Prozent an. In Q2/19 verzeichnete Kaspersky einen 509 Stunden (fast 21 Tage) langen DDoS-Angriff. (Quelle: Kaspersky – DDoS attacks in Q1 2019 / Q2 2019)
- Google setzt täglich mehr als 10.000 verdächtige Websites auf seine Blocklist. Diese können dadurch bis zu 95 Prozent ihres organischen Traffics verlieren. (Quelle: Sucuri – How to Remove Google Blocklist Warning)
Website Security: Mythen und Fakten
Noch immer halten sich zum Thema Website Security selbst bei Profis hartnäckig Überzeugungen, die leider längst von der Realität widerlegt wurden. Hier erfahren Sie, warum diese Mythen nicht nur falsch, sondern auch gefährlich sind.
Mythos 1: Unsere kleine Website ist doch für Hacker uninteressant, bei uns gibt es nichts zu holen.
Das ist leider ein Irrtum. Weil die meisten Angriffe auf Webseiten automatisiert ablaufen, unterscheiden sie nicht nach Website-Größe oder Schadenspotenzial. Bis zu 80 Mal am Tag werden Websites skriptgesteuert angegriffen und auf Schwachstellen getestet – auch die Ihre. WordPress-Seite hackt? Was tun? Erfahren Sie mehr!
Mythos 2: Wir haben ein CMS. Die Security-Profis der Hersteller sorgen für Sicherheit.
Im Gegenteil. Die beliebten Content-Management-Systeme, die vor allem auch von kleinen und mittleren Unternehmen genutzt werden, sind genau deshalb im Visier der Kriminellen. Über die Hälfte (56 Prozent) aller Websites weltweit nutzen ein CMS. Besonderes hoch ist das Risiko bei solchen CMS, die eine SQL-Datenbank nutzen. Hier besteht die Gefahr von SQL-Injektionen, bei denen über eine Schwachstelle bösartiger Code in die Datenbank eingeschleust und ausgeführt wird.
Mythos 3: Wir nutzen kein CMS – wir sind also sicher.
Vorsicht: Vielleicht nutzt Ihre Webseite JavaScript. Eine Untersuchung von über 400.000 Websites zeigte, dass 77 Prozent davon mindestens eine Frontend-JavaScript-Bibliothek mit einer bekannten Schwachstelle nutzte (z. B. JQuery). JavaScript ist so zum Beispiel anfällig für Cross-Site-Scripting-Attacken.
Mythos 4: Wie verwenden lange und komplexe Passwörter und automatische Updates.
Aktuelle Systeme und starke Passwörter sind wichtig, denn sie reduzieren Schwachstellen und erschweren Brute-Force-Attacken. Sie bieten aber keinen hundertprozentigen Schutz. Viele Schwachstellen können aus den verschiedensten Gründen nicht automatisch gepatcht werden. Zudem analysieren professionelle Hacker sofort die neuen Sicherheits-Patches ihrer Zielsysteme und starten oft innerhalb weniger Stunden einen angepassten Angriff.
Mythos 5: Wir besuchen regelmäßig unsere Seiten – Unregelmäßigkeiten fallen sofort auf.
Seien Sie sich da nicht so sicher! Es stimmt zwar, dass viele populäre Hacking-Varianten schnell auffallen, zum Beispiel SEO-Spam oder Redirects. Die Erfahrung von Sicherheitsdienstleistern zeigt aber, dass sich ein Trend hin zu „stillen“ Attacken („Stealth Attacks“) ohne für die Websitebetreiber sichtbare Symptome entwickelt, z. B. JavaScript-Dateien, die Besucher infizieren.
Mythos 6: Wir nutzen SSL-Verschlüsselung und sind dadurch geschützt.
Die Transportverschlüsselung SSL (Secure Sockets Layer) bzw. heute TLS (Transport Layer Security) ist ein obligatorischer Schutz für Ihre Website und heute auch ein wichtiger Ranking-Faktor. Leider verschlüsselt diese aber nur Datenübertragungen zwischen dem Web-Client Ihres Website-Besuchers und Ihrem Webserver und nicht die Informationen in der Datenbank. Sie erschwert damit zwar Hacker- und Lausch-Angriffe, schützt aber nicht vor Malware, SQL-Injektion oder DDoS-Angriffen.
4 Gründe, warum Sie jetzt Ihre Webseite absichern sollten
1. Jede Website ist täglich Angriffen ausgesetzt.
2. Webseiten mit CMS sind besonders gefährdet.
3. Webseiten brauchen Schutz gegen viele verschiedene Bedrohungen.
4. Für umfassende Sicherheit benötigt Ihre Webseite einen speziellen Schutzschild.
Tipp: Wecken Sie die schlummernden Wachhunde der Browser – verwenden Sie HTTP Security Header. Erfahren Sie mehr in unserem Expertenbeitrag.
Webseite absichern – leicht gemacht. Deshalb benötigen Sie eine Website Security-Lösung
Nun kennen Sie die Bedrohungen. Handeln Sie jetzt. Wenn Sie ihre Webseite absichern möchten, können Sie die notwendigen regelmäßigen Überprüfungen und Anpassungen natürlich auch manuell durchführen bzw. verschiedene Tools für Malware-Scans, Vulnerability-Scans, Backups etc. nutzen. Zuverlässiger und mit deutlich weniger Aufwand verbunden ist es dagegen, wenn Sie eine professionelle Website-Security-Lösung wie Sucuri Website Security nutzen.
Erfahren Sie hier, wie einfach Sie Ihre Webseite vor Hacking-Attacken und Malware-Gefahren schützen.
Titelmotiv: Bild von tookapic auf Pixabay
- Installation von Software auf einem Virtual Server – Beispiel CMS - 8. Mai 2023
- WordPress-Kundenseiten verwalten - 17. April 2023
- Screenshot erstellen auf iPhone und Smartphone – so einfach geht’s - 11. April 2023
Great article, Thank you
Sehr informativ. Danke.
Wir hatten in letzter Zeit auch viele Auffälligkeiten. Auf alle Fälle immer wichtig die Website (richtig) abzusichern. Guter Artikel. Vielen Dank.
Hallo Wolf-Dieter,
super Artikel, den ich bestimmt bald aufgreife. Eine meiner Nischenseiten wurde auch schon mal gehackt, das war echt ärgerlich. Als gebranntes Kind lege ich daher schon Wert auf Sicherheit und freue mich auf Tipps. Ein Link ist euch jedenfalls gewiss!
Schöne Grüße aus dem Harz
Dennis
Einfach mit einem Plugin den /wp-admin verstecken und schon hast Du es den Jungs wieder schwerer gemacht.
Guten Tag Herr Fiege,
Vielen Dank für diesen interessanten Artikel, ich hoffe er öffnet dem einen oder anderen die Augen was das Thema IT-Security angeht. Man wird es nicht für möglich halten, aber der von Ihnen genannte Mythos 1 trifft nicht nur auf kleine Webseitenbetreiber zu. Immer wieder treffe ich Kunden im erstgespräch, die Webshops von durchaus beachtlicher Größe / Umsatz betreiben und die das Sicherheitsthema bis dahin nicht wirklich ernst genommen haben. Das passiert sogar im E-Commerce, wo neben Daten von Zahlungsdienstleistern, Kundendaten viele weitere wertvolle Informationen liegen.
Ich kann wirklich jedem nur ans Herz legen, nicht nur einen einmaligen Sicherheitsaudit durchzuführen sondern am besten regelmäßig alle IT-Systeme, Webshop, Warenwirtschaft etc. auf den neusten Stand zu bringen und Sicherheitslücken zu schließen.
Viele Grüße