Sichere Website: mein System und gewartetes WordPress

Meine Websites sind sicherer als herkömmliche Websites, und das ist keine Werbefloskel, sondern eine Frage der Bauweise. Gerade häufen sich Warnungen von Hostern und Behörden zu einer WordPress-Sicherheitslücke, über die Angreifer Schadcode einschleusen können. Betroffen sind potenziell alle WordPress-Installationen. Meine Systeme sind von dieser Art Angriff gar nicht erst betroffen, weil ihnen genau das fehlt, was hier ausgenutzt wird: eine Datenbank, ausführbarer Code im Hintergrund und ein Login im Frontend.

Das Wichtigste in Kürze

• Rund 43 Prozent aller Websites weltweit laufen mit WordPress (Quelle: W3Techs). Genau diese Verbreitung macht das System zum beliebtesten Ziel automatisierter Angriffe.
• Sicherheitsdienste berichten Jahr für Jahr, dass die große Mehrheit neu gemeldeter WordPress-Schwachstellen aus Plugins und Themes stammt, nicht aus dem Kern.
• Das BSI warnt regelmäßig vor Schwachstellen in Content-Management-Systemen und empfiehlt, Sicherheitsupdates unverzüglich einzuspielen.
• Eine statische Website hat keine Datenbank, kein PHP im Hintergrund und kein Login im Frontend. Damit fehlt die Fläche, über die WordPress typischerweise angegriffen wird.
• Wer WordPress braucht, braucht Wartung: Updates, Backups und ein wachsames Auge. Ohne das wird aus einem kleinen Versäumnis schnell ein großer Schaden.

Der Beleg, kurz gemacht

„Sicherer" darf man nicht einfach behaupten, deshalb hier die Belege: einer aus der Bauweise, einer aus meiner Praxis, einer von unabhängiger Stelle.

• Bauweise: Meine Systeme haben keine Datenbank, keinen Code, der im Hintergrund läuft, keine Plugins und kein Login im Frontend. Die häufigsten Angriffe auf herkömmliche Websites finden bei mir schlicht kein Ziel.
• Praxis: Als die aktuellen Warnungen kamen, habe ich meine eigenen Seiten geprüft. 11 Systeme laufen live, 0 davon sind von dieser WordPress-Lücke betroffen.
• Unabhängig: Das BSI warnt regelmäßig vor Schwachstellen in Content-Management-Systemen, und laut W3Techs laufen rund 43 Prozent aller Websites mit WordPress. Genau diese Masse ist das Ziel automatisierter Angriffe.

Was gerade passiert

In Wellen verschicken Hoster und Sicherheitsstellen aktuell Warnungen, dass eine WordPress-Lücke aktiv ausgenutzt wird. Der Ablauf ist fast immer gleich: Über eine Schwachstelle wird schadhafter Code auf den Webspace geschoben, danach können Angreifer auf Dateien und Datenbank zugreifen. Aus einem gekaperten Postfach werden dann Spam oder Phishing verschickt, im schlimmsten Fall fließen Kundendaten ab. Das Tückische daran: Viele Betreiber merken davon zunächst nichts.

Wichtig ist, solche Warnungen ernst zu nehmen, aber nicht blind auf jede Mail zu reagieren. Angreifer verschicken selbst gern gefälschte Sicherheitswarnungen, um an Ihre Zugangsdaten zu kommen.

Warum WordPress so oft getroffen wird

WordPress ist das mit Abstand meistgenutzte System für Websites. Rund 43 Prozent aller Websites weltweit laufen damit. Für Angreifer ist das ein Traum: Eine einzige funktionierende Lücke lässt sich automatisiert gegen Millionen Seiten fahren. Es lohnt sich also, gezielt nach WordPress-Schwachstellen zu suchen, während eine einzelne, individuell gebaute Seite dieses Massenziel gar nicht darstellt.

Dazu kommt das Plugin-Prinzip. Der Reiz von WordPress ist, dass Sie fast jede Funktion per Plugin nachrüsten. Jedes dieser Plugins ist aber fremder Code, der auf Ihrem Server läuft. Sicherheitsdienste berichten seit Jahren übereinstimmend, dass die große Mehrheit der gemeldeten WordPress-Schwachstellen nicht aus dem Kern kommt, sondern aus Plugins und Themes. Ein einziges veraltetes Plugin genügt als offene Tür.

Was meine Systeme anders machen

Ich baue diese Websites statisch, technisch heißt das: Sie werden einmal erzeugt und dann als fertige Dateien ausgeliefert. Es gibt keine Datenbank, aus der bei jedem Aufruf Inhalte zusammengesetzt werden, keinen serverseitigen Code, der im Hintergrund läuft, und keinen Login-Bereich, den die Besucher überhaupt erreichen. Damit fällt die ganze Klasse von Angriffen weg, die bei WordPress die Regel ist: keine SQL-Injection, kein gekapertes Plugin, kein Bruteforce gegen ein Login-Formular, das öffentlich erreichbar ist.

Ehrlich bleibt dabei: Auch mein System ist kein magischer Schutzschild. Falsch konfigurierte Server oder unsichere Formular-Dienste können Probleme machen, und wer Zugangsdaten verliert, hat unabhängig von der Technik ein Problem. Aber die typischen Massenangriffe auf herkömmliche Websites laufen bei meiner Bauweise schlicht ins Leere, weil ihr Ziel gar nicht existiert. Warum ich vieles bewusst so baue statt auf ein klassisches CMS zu setzen, zeige ich im Vergleich WordPress oder eigene Web-App.

Wenn Sie WordPress nutzen

WordPress ist ein gutes System, und für viele Projekte die richtige Wahl. Ein Onlineshop, ein redaktioneller Blog mit vielen Autoren oder ein Mitgliederbereich brauchen genau so etwas, das im Hintergrund arbeitet. Der Punkt ist nicht, dass WordPress schlecht wäre, sondern dass es gepflegt werden will. Der häufigste Grund für gekaperte Seiten ist nicht ein raffinierter Hacker, sondern ein Update, das monatelang niemand eingespielt hat. Mit konsequenter Wartung läuft eine WordPress-Seite sicher.

Ich betreue selbst eine Reihe von WordPress-Seiten für Kunden und halte deren Kern aktuell. Als die jüngsten Warnungen kamen, habe ich alle betreuten Installationen durchgesehen und geprüft, ob die Version aktuell ist und ob unnötig offene Stellen wie ein aktiver XML-RPC-Zugang geschlossen gehören. Das ist genau die Arbeit, die ein Betreiber im Alltag selten schafft und die im Ernstfall den Unterschied macht.

Wenn Sie unsicher sind, wie Ihre Seite aktuell dasteht, schauen wir gemeinsam drauf. Beim Website-Check sehe ich mir Technik, Aktualität und offene Stellen an und sage Ihnen ehrlich, ob Handlungsbedarf besteht. Auf Wunsch übernehme ich danach die laufende Wartung oder baue Ihre Seite so um, dass dieses Risiko gar nicht mehr entsteht.