Eine eigene Website ist heute schnell erstellt, ganz ohne Programmierkenntnisse. Dadurch können sich Handwerksbetriebe, Einzelhändler und andere Klein- und Kleinstunternehmen ohne großen Aufwand im Web präsentieren. Doch der Online-Auftritt bietet Angriffsfläche für Cyberkriminelle, die Kundendaten stehlen oder Malware verbreiten wollen. Strato nennt einige einfache Maßnahmen, mit denen Betreiber den Schutz ihrer Website verbessern.
Zugänge mit sicheren Passwörtern schützen
Website-Betreiber müssen alle Zugänge mit sicheren Passwörtern schützen: vom Kundenbereich des Hosters über die verwendeten Produkte wie Webshop und E-Mail bis hin zu eventuell selbst installierten Anwendungen wie WordPress. Selbstverständlich braucht jeder Zugang ein eigenes Passwort, sonst können Angreifer ein einzelnes bekanntes Passwort als Generalschlüssel für mehrere Zugänge nutzen. Wo es möglich ist, sollten Website-Betreiber eine Zwei-Faktor-Authentifizierung einsetzen, bei der zum Log-in neben dem Passwort noch ein zweiter Faktor benötigt wird – in der Regel ein per SMS geschickter oder per Smartphone-App generierter Code. Selbst wenn es Cyberkriminellen gelingt, das Passwort zu erraten oder zu stehlen, ist es allein wertlos, weil ihnen der Code fehlt.
Für die Übertragung personenbezogener oder vertraulicher Informationen sind verschlüsselte Verbindungen Pflicht. Sie sorgen dafür, dass übertragene Daten unterwegs nicht mitgelesen oder manipuliert werden. Das schützt Besucher der Seite genauso wie den Betreiber. Viele Hosting-Pakete bringen das dafür notwendige SSL-Zertifikat bereits mit, es muss dann lediglich der zu verschlüsselnden Domain zugeordnet werden. Die verschlüsselten Verbindungen sind im Browser am Schlosssymbol und dem „https://“ in der Adresszeile zu erkennen. Verbindungen, die nicht über den Browser laufen, etwa Datenübertragungen auf den Webspace via FTP, benötigen einen separaten Schutz. Im Falle des unsicheren FTP gibt es mit FTPS und SFTP verschlüsselte Alternativen.
Das Web hält unzählige schicke und nützliche Webanwendungen bereit, allerdings sollten Website-Betreiber nicht wahllos alles installieren und ausprobieren, was ihnen interessant erscheint. Anhand von Tests und Bewertungen im Web erhalten sie einen guten Eindruck, ob der Anbieter beziehungsweise seine Anwendung vertrauenswürdig ist. Die sicherste Quelle für Anwendungen sind aber die Webhoster, die meist bereits umfangreiche Anwendungspakete bereitstellen – neben Blog-Software und Content-Management-Systemen (CMS) beispielsweise auch Tools für Foren, Fotogalerien und Kalender.
4. Webanwendungen und Erweiterungen stets aktuell halten
Sicherheitslücken in Webanwendungen sind ein beliebtes Einfallstor für Hacker. Website-Betreiber vermeiden Schäden aufgrund solcher Sicherheitslücken, indem sie verfügbare Updates oder neue Versionen zeitnah einspielen. Das gilt auch für die insbesondere bei WordPress beliebten Plugins, die beim Aktualisieren häufig übersehen werden. In einigen CMS lassen sich auch automatisierte Updates aktivieren.
Um herauszufinden, ob die eigene Website Sicherheitsmängel aufweist oder sogar schon mit Malware infiziert wurde, empfehlen sich regelmäßige Sicherheitsscans. Einige Webhoster stellen dafür Tools bereit, die die Seiten täglich überprüfen und teilweise automatisch Schwachstellen beseitigen und Schadprogramme entfernen. Für manuelle Prüfungen existieren auch allgemein verfügbare Lösungen wie der Malware-Scanner von VirusTotal oder der Sicherheitscheck SIWECOS der Initiative IT-Sicherheit in der Wirtschaft, die vom Bundesministerium für Wirtschaft und Energie ins Leben gerufen wurde. „Internet-Sicherheit ist ein wichtiges und gleichzeitig komplexes Thema”, erklärt Mischa Dlouhy, Leiter des Produktmanagements Shared Webhosting bei Strato. „Hoster müssen ihre Kunden hier mit einfach zu nutzenden Funktionen unterstützen, damit auch Laien sicher im Netz unterwegs sind. Das ist der Ansatz hinter mehreren unserer Angebote wie dem Webspace-Wächter SiteLock Scan+Repair und der Backup- und Antivirenlösung Acronis Cyber Protect.”