 | |
Navigation • Home
| Sicherheit, Protokoll und Datensicherung
Galerie absichern – Video 8 der Anleitungsreihe beginnt mit einem Warnzeichen: fünf fremde Anmeldeversuche mitten in der Nacht. Lena liest daraufhin das Systemprotokoll, ändert ihr Passwort und sichert ihre Galerie vollständig. Unter dem Film steht, was in gut zwei Minuten keinen Platz hatte. Länge: 2:03 Min. · Veröffentlicht am 29.09.2026 · mit deutschen Untertiteln · Teil 8 von 8
Das Systemprotokoll lesen, das Passwort ändern, den Admin-Bereich mit einem zweiten Schutz versehen und eine vollständige Sicherung anlegen: Datenbank, Bilderordner und Konfiguration.
Kapitel
TranskriptGesprochenen Text lesenDie Startseite zeigt, wann Lena sich zuletzt angemeldet hat. Passt das Datum nicht zu ihrer Erinnerung, ist das ein Warnzeichen. Der Link darunter führt ins Systemprotokoll.
Ganz oben steht Lenas Anmeldung von eben. Darunter fällt etwas auf: Am vierundzwanzigsten September um drei Uhr siebzehn kamen fünf Fehlversuche von einer fremden Adresse.
Zuerst riet er admin und administrator, die üblichen Namen. Wer einen eigenen Benutzernamen hat, übersteht diese Versuche. Dann versuchte er lena. Ob ein Name stimmt, verrät die Fehlermeldung nicht.
Nach fünf Fehlversuchen sperrt das Script den Zugang für fünf Minuten, je Adresse und je Benutzername, selbst für das richtige Passwort. So bleiben höchstens sechzig Versuche pro Stunde.
Lenas Namen hat der Angreifer schon, also zählt das Passwort. Unter „Passwort ändern“ fragt das Script zuerst das aktuelle ab. Das schützt, falls jemand an einem offenen Rechner sitzt.
Das neue gibt sie zweimal ein. Das Script verlangt mindestens acht Zeichen, mehr ist besser: Drei Wörter ohne Zusammenhang merkt man sich leicht, erraten lassen sie sich kaum.
Ein Klick auf „Passwort ändern“, und die Meldung bestätigt die Änderung. Lena bleibt angemeldet. Beim nächsten Mal gilt das neue Passwort.
Als zweite Schicht richten Sie beim Hoster einen Verzeichnisschutz für den Ordner admin ein, mit anderem Passwort als im Script. Wer den Admin aufruft, muss zuerst die Abfrage des Browsers bestehen und danach die Anmeldung des Scripts. Die Galerie bleibt offen.
Eine Sicherung hat drei Teile. Erstens die Datenbank mit fünf Tabellen als SQL-Datei. Zweitens der Ordner bilder mit allen Fotos, per FTP heruntergeladen. Drittens inc/config.php mit den Zugangsdaten. Vorschaubilder und Zwischenspeicher entstehen neu.
Im Protokoll steht die Passwortänderung nun ganz oben. Dann meldet Lena sich ab. Vergisst sie das, geschieht es nach sechzig Minuten ohne Klick von selbst.
Was das Video zeigt: den Zugang zur Galerie absichernVideo-Kapitel 2, „Ein Rateversuch in der Nacht“ ab 0:13, führt ins Systemprotokoll. Es hält mehr fest als Anmeldungen: Uploads, FTP-Importe, gelöschte Bilder, geänderte Beschreibungen, Kategorien, Einstellungen und Passwortänderungen, jeweils mit Zeit, Benutzer und IP-Adresse, die neuesten oben, 25 Einträge je Seite. Auffällig sind Zeilen mit „Zugang gesperrt“ und Serien von „Anmeldung fehlgeschlagen“. Der Zusatz verrät, wie weit ein Fremder gekommen ist: „Benutzername unbekannt“ heißt, er hat geraten, „Passwort falsch“ heißt, er kennt Ihren Namen. Die Anmeldeseite selbst meldet in beiden Fällen nur „Benutzername oder Passwort ist falsch.“ Einträge, die älter als 90 Tage sind, entfernen Sie mit dem Knopf „Einträge älter als 90 Tage löschen“. Die Nacht vom 24. September zeigt, wie die Anmeldesperre arbeitet. Das Script zählt die Fehlversuche der letzten fünf Minuten. Sind es fünf, nimmt es keine Anmeldung mehr an, auch nicht mit dem richtigen Passwort, bis der älteste dieser Versuche aus dem Fünf-Minuten-Fenster fällt. Die Sperre dauert also bis zu fünf Minuten: Wer seine fünf Versuche über vier Minuten verteilt hat, kommt schon eine Minute nach dem letzten wieder an die Anmeldung. Abgewiesene Versuche während der Sperre zählen nicht mit und verlängern sie nicht. Gezählt wird getrennt nach IP-Adresse und nach Benutzername. Ein anderes Gerät hilft einem Angreifer also nicht, und mehr als 60 Versuche pro Stunde schafft er nicht. Die Kehrseite: Wer Ihren Benutzernamen kennt, kann Ihren Zugang absichtlich immer wieder sperren. Nennen Sie ihn deshalb nicht „admin“ und zeigen Sie ihn nirgends öffentlich. Steht bei Ihnen seit der Installation doch „admin“ im Anmeldefeld, ändern Sie den Namen in phpMyAdmin, denn eine Benutzerverwaltung hat die Administration nicht. Der Befehl dafür lautet Einen Verzeichnisschutz gab es in jener Nacht noch nicht, die fremde Adresse landete direkt im Anmeldeformular. Diesen zusätzlichen Riegel richten Sie im Kundenmenü Ihres Webhosters ein, meist unter „Verzeichnisschutz“ oder „Passwortschutz“: Ordner admin/ wählen, Benutzer und Passwort anlegen. Danach fragt der Browser zuerst nach diesen Daten, erst dahinter erscheint das Formular der Galerie. Nehmen Sie ein anderes Passwort als für die Galerie, sonst bringt die zusätzliche Abfrage nichts. Eine Zwei-Faktor-Anmeldung kennt das Script nicht, der Verzeichnisschutz ist der vorgesehene Zusatz. Die Grafik zeigt beide Schichten in der Reihenfolge, in der ein Besucher sie durchläuft, und darunter die drei Teile der Sicherung. Was in die Sicherung gehörtDie Sicherung besteht aus drei Teilen: der Datenbank mit den fünf Tabellen admin, admin_log, bilder, einstellung und kategorie als SQL-Datei, dem Ordner bilder mit allen Kategorieordnern und der Datei inc/config.php. Haben Sie Vorlagen oder Stile angepasst, etwa tpl/bildergalerie.html oder css/layout.css, kommen die Ordner tpl und css dazu. Auslassen dürfen Sie bilder/tn und cache: Vorschaubilder, verkleinerte Kopien für die große Ansicht und den Zwischenspeicher legt die Galerie selbst neu an. Alle übrigen Dateien stecken ohnehin im Download-Paket. Aufbewahren und regelmäßig sichern
Die Sicherung richtig zurückspielenIm Ernstfall kommt es auf die Reihenfolge an. Die Dateien gehören zuerst auf den Server, damit die Einträge der Datenbank ihre Bilder vorfinden:
Fehlt zu einem Eintrag die Datei, zeigt „Bilder verwalten“ ihn als Karte „Datei fehlt“. Seit Version 3.15 löscht die Galerie solche Einträge nicht mehr von selbst, Beschreibung und Kategorie bleiben erhalten. Laden Sie die Datei unter demselben Namen per FTP in ihren Kategorieordner, dann erscheint das Bild wieder; brauchen Sie es nicht mehr, entfernen Sie die Karte über „Löschen“. Die zweite Grafik spielt die vier Schritte bis zu dieser Karte durch. Wie Sie nach einem Einbruch die Galerie absichernVideo und Protokoll zeigen den harmlosen Fall: Die Sperre hat gehalten. Finden Sie dagegen eine erfolgreiche Anmeldung, die nicht von Ihnen stammt, oder Dateien, die Sie nicht hochgeladen haben, gehen Sie in dieser Reihenfolge vor:
Häufige FragenDrei Fragen kommen nach diesem Video besonders oft. Wie lange bin ich nach fünf Fehlversuchen gesperrt?Höchstens fünf Minuten. Das Script zählt nur die Fehlversuche der letzten fünf Minuten. Sobald der älteste herausfällt, sind es weniger als fünf, und die Anmeldung klappt wieder. Die Meldung auf der Anmeldeseite nennt pauschal 5 Minuten. Gibt es eine Zwei-Faktor-Anmeldung?Nein. Als zusätzliche Schicht ist der Verzeichnisschutz des Webhosters für den Ordner admin/ vorgesehen, mit einem eigenen Passwort, das sich von dem der Galerie unterscheidet. Muss ich den Ordner bilder/tn mitsichern?Nein. Vorschaubilder und Kopien für die große Ansicht legt die Galerie nach dem Zurückspielen neu an. Wer sie trotzdem sichert, spart sich danach nur die Rechenzeit. Bei Fragen zur Sicherheit schreiben Sie uns über das Kontaktformular. Fragen zu Fotos, Webspace oder Installation? Antworten finden Sie im Bildergalerie Ratgeber. |
Die Datenbank exportieren Sie meist in phpMyAdmin im Kundenmenü: Datenbank wählen, „Exportieren“, Format SQL. Manche Webhoster bieten dafür auch eine eigene Sicherungsfunktion. Die Dateien laden Sie per FTP herunter. Bewahren Sie die Sicherung außerhalb des Webspace auf, denn inc/config.php enthält das Passwort der Datenbank im Klartext. Sichern Sie nach größeren Änderungen sofort, etwa nachdem Sie eine neue Kategorie mit 200 Urlaubsfotos angelegt und beschriftet haben, sonst ungefähr wöchentlich. Ob eine Sicherung taugt, zeigt erst das Zurückspielen. Probieren Sie es deshalb einmal in einer lokalen Testumgebung aus, bevor Sie es im Ernstfall brauchen.