Zum Inhalt springen 
Wenn du eine eigene Website betreibst, denkst du beim Thema Sicherheit vermutlich erst einmal an deine Passwörter, an Backups oder an SSL. Das ist zwar prinzipiell richtig, reicht bei komplexen Anwendungen aber leider nicht aus. Sobald du unter anderem Benutzerkonten, Anfragen bei Datenbanken, Schnittstellen und Formulare verwendest, haben Hacker neue Angriffsmöglichkeiten, die du schon bei der Entwicklung und später im laufenden Betrieb berücksichtigen musst.
Warum Formulare zum Sicherheitsrisiko werden können
Kontaktformulare, Suchfelder oder Login Bereiche gehören heute zu fast jeder größeren Website und müssen Daten verarbeiten, die von außen eingegeben werden. Genau hier entsteht ein mögliches Problem, denn eine Anwendung darf sich nicht darauf verlassen, dass Nutzer tatsächlich nur die vorgesehenen Angaben übermitteln.
Du kannst zwar bereits im Browser festlegen, welche Eingaben ein Formular akzeptiert, diese Einschränkungen lassen sich technisch jedoch umgehen. Deshalb müssen Daten zusätzlich auf dem Server überprüft werden, bevor die Anwendung sie weiterverarbeitet. Welche Angriffsmöglichkeiten dabei eine Rolle spielen und wie Sicherheitsfachleute nach entsprechenden Schwachstellen suchen, zeigen etwa praktische Beispiele für Angriffe auf Webanwendungen. Solche Verfahren gehören zum Penetration-Testing und dürfen natürlich nur bei eigenen Systemen oder mit entsprechender Erlaubnis eingesetzt werden.
Veraltete Erweiterungen machen Angreifern das Leben leichter
Bei vielen Websites entsteht das größte Risiko gar nicht durch einen komplizierten technischen Fehler, sondern durch Komponenten, die seit Monaten kein Update mehr bekommen haben. Gerade Content Management Systeme werden häufig um Plugins, Themes oder zusätzliche Bibliotheken erweitert, wodurch mit jeder Komponente auch eine weitere mögliche Schwachstelle hinzukommt.
Prüfe deshalb regelmäßig, welche Erweiterungen du tatsächlich noch verwendest, und entferne alles, was längst keine Funktion mehr erfüllt. Updates solltest du ebenfalls nicht unnötig aufschieben, vor allem dann nicht, wenn damit bekannte Sicherheitslücken geschlossen werden. Ein schlankes System lässt sich außerdem wesentlich leichter aktuell halten als eine Website mit zahlreichen Erweiterungen, deren Zweck nach einiger Zeit niemand mehr genau kennt.
Auch beim Hosting lohnt sich ein genauer Blick
Die Anwendung selbst ist nur ein Teil des Sicherheitskonzepts, denn auch die Hosting Umgebung sollte vernünftig abgesichert sein. Dazu gehören verschlüsselte Verbindungen ebenso wie aktuelle Server Software, regelmäßige Backups und Zugänge, die nicht von mehreren Personen gemeinsam verwendet werden.
Besonders bei administrativen Konten bietet sich eine Zwei Faktor Authentifizierung an, sofern dein Hosting Anbieter diese Möglichkeit unterstützt. Achte außerdem darauf, welche Rechte einzelne Benutzer tatsächlich benötigen. Wer lediglich Inhalte bearbeiten soll, braucht normalerweise keinen vollständigen Zugriff auf Server, Datenbanken und sämtliche Einstellungen.
Backups solltest du übrigens nicht nur automatisch erstellen lassen, sondern gelegentlich auch kontrollieren. Erst wenn sich eine Sicherung tatsächlich wiederherstellen lässt, weißt du, ob sie dir bei einem technischen Problem oder einem erfolgreichen Angriff wirklich weiterhilft.
Sicherheit bleibt eine dauerhafte Aufgabe
Eine Website verändert sich mit der Zeit, wodurch auch neue Schwachstellen entstehen können. Neue Funktionen kommen hinzu, Plug-ins werden ausgetauscht und Software erhält Updates. Wenn du Sicherheit deshalb nicht nur beim Launch prüfst, sondern als festen Bestandteil des laufenden Betriebs behandelst, lassen sich viele vermeidbare Risiken deutlich früher erkennen. Gerade bei Websites mit Benutzerkonten oder sensiblen Daten lohnt es sich, Updates, Rechteverwaltung, Backups und regelmäßige Sicherheitsprüfungen von Anfang an fest einzuplanen.
