 | ||||||||||||||||||||||||||||
Navigation • Home
| Grundlagen: die Webseite vor Hackern schützen
Ihre Urlaubsfotos interessieren keinen Einbrecher. Ihr Webspace dagegen schon, denn auf ihm lassen sich Spam-Mails verschicken, gefälschte Bankseiten ablegen oder fremde Dateien parken. Angegriffen wird eine kleine Galerie deshalb nicht gezielt, sondern von Programmen, die rund um die Uhr Tausende Adressen abklappern und überall an denselben Türen rütteln: an der Anmeldung, am Upload-Formular und an Dateien, die versehentlich offen liegen. Wer die eigene Webseite vor Hackern schützen will, braucht also keine Festung. Es reicht, genau diese Türen zu verschließen und den eigenen Rechner sauber zu halten.
Was ein Angreifer bei einer Galerie suchtIm Zugriffsprotokoll Ihres Webhosters stehen fast immer Abrufe von Adressen wie
Gegen die letzte Tür hilft kein Script, sondern ein Rechner mit aktuellen Updates und ein FTP-Programm, das verschlüsselt über SFTP oder FTPS verbindet. Mit einfachem FTP geht das Passwort bei jeder Verbindung lesbar durchs Netz. Was das Bildergalerie-Script von sich aus abwehrtGegen die ersten beiden Türen müssen Sie nichts einrichten, die Abwehr steckt im Script. Wie gut sie ist, hängt allerdings von der Version ab. Zwischen 3.10 vom November 2023 und 3.15 vom September 2026 wurde keine Version an Kunden ausgeliefert, 3.11 bis 3.14 waren interne Zwischenstände. Zeigt Ihre Verwaltung noch 3.10 an, fehlt Ihnen alles in der rechten Spalte:
Zwei Zeilen brauchen eine Erklärung. Gegen MD5-Werte aus einer erbeuteten Tabelle Beim Upload zählt der Inhalt, nicht der Name. Eine Das Sicherheitstoken wehrt einen Angriff ab, den viele nicht kennen. Sie sind in der Verwaltung angemeldet und öffnen nebenher eine präparierte fremde Seite. Diese Seite versucht, unter Ihrer Anmeldung eine Kategorie zu löschen. Unter 3.10 genügte dafür der Aufruf des Löschlinks. Unter 3.15 fehlt der Anfrage das Token aus dem echten Formular, und die Galerie antwortet mit „Sicherheitstoken ungültig. Die Kategorie wurde nicht gelöscht.“ Bei einer  Weitere Sperren arbeiten im Hintergrund: Die Ordner Wie lange die Anmeldesperre dauertDie Anmeldesperre hat keine feste Laufzeit, sie arbeitet mit einem gleitenden Fenster. Bei jedem Anmeldeversuch zählt das Script die Fehlversuche der letzten 300 Sekunden, getrennt für die IP-Adresse und für den Benutzernamen. Sind es fünf, weist es den Versuch ab, selbst wenn das Passwort diesmal stimmt. Frei wird die Anmeldung, sobald der älteste der fünf Fehlversuche aus dem Fenster fällt. Das Diagramm zeigt zwei Fälle mit demselben Ende:  Verteilt jemand seine fünf Versuche über vier Minuten (Fall A), dauert die Sperre nur eine Minute. Schickt ein Programm alle fünf innerhalb von 40 Sekunden ab (Fall B), bleibt die Anmeldung 4 Minuten und 20 Sekunden zu. Die Meldung auf der Anmeldeseite nennt trotzdem pauschal den Höchstwert: „Zu viele fehlgeschlagene Anmeldeversuche. Der Zugang ist für 5 Minuten gesperrt.“ Ein neuer Versuch kann durchaus früher klappen. Versuche während der Sperre, wie der um 4:30 in Fall A, landen als „Zugang gesperrt“ im Systemprotokoll und zählen nicht als neuer Fehlversuch. Stures Weiterprobieren verlängert die Sperre also nicht. Die Webseite vor Hackern schützen: Ihre vier AufgabenEine Zwei-Faktor-Anmeldung, eine eigene Umleitung auf HTTPS und einen Virenscan hochgeladener Dateien bietet das Script nicht. Die übrigen Schutzmaßnahmen erledigen Sie selbst, im FTP-Programm und im Kundenmenü des Webhosters. Die Reihenfolge richtet sich nach dem Aufwand des Angreifers: Vorn steht, was ein Suchprogramm ganz ohne Passwort ausnutzen kann, hinten, was erst nach einem Passwortverlust schadet. 1. Script und PHP aktuell haltenIst eine Lücke öffentlich beschrieben, suchen die Programme gezielt nach Installationen mit der alten Version. Zum Update gehört die PHP-Version beim Webhoster: Erhält eine PHP-Reihe keine Korrekturen mehr, bleiben ihre Lücken offen. Das Bildergalerie-Script 3.15 läuft unter PHP 8.2 bis 8.5. Beim Sprung von 3.10 auf 3.15 verdienen drei Stellen besondere Aufmerksamkeit:
Den vollständigen Ablauf mit Sicherung vorab beschreibt die Anleitung Script aktualisieren. Um die Passwörter müssen Sie sich dabei nicht kümmern: Das alte MD5-Passwort stellt die Galerie bei der ersten Anmeldung selbst auf bcrypt um. 2. Den Webspace aufräumenKopien wie 3. Das Paket beim Webhoster einstellenEinige Schutzmaßnahmen liegen außerhalb der Galerie. Sie setzen sie im Kundenmenü oder lassen sie sich vom Support bestätigen:
4. Ein eigenes Passwort je ZugangZu einer selbst betriebenen Galerie gehören mindestens vier Zugänge: Verwaltung, Datenbank, FTP und das Kundenmenü des Webhosters. Jeder geht auf einem anderen Weg verloren, das Datenbank-Passwort etwa mit einer Kopie von Wichtiger als Sonderzeichen ist, dass ein Passwort in keiner Liste steht. Die Anmeldesperre lässt höchstens fünf Fehlversuche in 300 Sekunden zu. Für einen Benutzernamen sind das rund 1.440 am Tag, egal von wie vielen Rechnern aus geraten wird. Das reicht nicht für ein zufälliges Passwort, aber locker für „Sommer2024“, „Galerie123“ oder den Namen des Hundes. Drei oder vier zufällig gewählte Wörter stehen in keiner Liste und lassen sich trotzdem merken. Das Script verlangt für neue Passwörter mindestens 8 Zeichen, schreibt aber keine Ziffern oder Sonderzeichen vor. Wie Sie so ein Passwort bauen, zeigt die Anleitung zum sicheren Passwort. Auch der Benutzername zählt. Weil die Sperre je Benutzername greift, hat sie eine Kehrseite: Wer Ihren Namen kennt, kann Sie mit fünf falschen Passwörtern immer wieder für bis zu fünf Minuten aussperren. Ein Name, der nicht „admin“ lautet und nirgends auf der Galerie zu lesen ist, nimmt ihm diese Möglichkeit. Alle vier Punkte lassen sich gefahrlos an einer Testinstallation durchspielen, bevor die echte Galerie online geht. Das Bildergalerie-Script können Sie dafür kostenlos herunterladen. Einen Einbruch früh erkennenEin Eindringling, der den Server weiter nutzen will, verhält sich unauffällig. Die erste Stelle zum Nachsehen ist das „Systemprotokoll“ der Verwaltung. Es führt Anmeldungen und Änderungen mit Zeit, Benutzer und IP-Adresse auf. Viele Zeilen „Anmeldung fehlgeschlagen: Benutzername unbekannt“ und ab und zu „Zugang gesperrt“ sind normal, die Sperre arbeitet. Hellhörig werden sollten Sie bei „Anmeldung erfolgreich“ zu einer Zeit, in der Sie nicht angemeldet waren, und bei „Passwort geändert“, ohne dass Sie es geändert haben. Außerhalb des Protokolls sind das ernste Warnzeichen:
Prüfen Sie das einmal im Monat, am einfachsten zusammen mit der Datensicherung. Fünf Minuten genügen: das Protokoll überfliegen, im FTP-Programm Häufige FragenKomme ich ohne Programmierkenntnisse aus?Ja. Sie brauchen zwei Werkzeuge: das FTP-Programm für Updates und das Aufräumen, das Kundenmenü des Hosters für HTTPS, PHP-Version und Passwörter. Code begegnet Ihnen nur beim Update auf 3.15 im Block in Gibt es eine Zwei-Faktor-Anmeldung für die Verwaltung?Nein, einen Einmalcode vom Handy kennt das Script nicht. Viele Hoster bieten im Kundenmenü aber einen „Verzeichnisschutz“ für den Ordner Übernimmt der Webhoster die Absicherung?Nur zum Teil. Der Hoster hält Betriebssystem und Webserver aktuell und stellt PHP-Versionen und meist ein kostenloses Zertifikat bereit. Was in Ihrem Webspace liegt, sieht er sich nicht an: welche Script-Version Sie betreiben, wie stark Ihr Passwort ist oder ob eine Was tue ich, wenn ich einen Einbruch vermute?Sichern Sie zuerst den Zustand: Webspace, Systemprotokoll und die Zugriffsprotokolle des Hosters. Ändern Sie dann Admin-, Datenbank- und FTP-Passwort von einem Rechner, dem Sie trauen, und tragen Sie das neue Datenbank-Passwort in Verwandte ThemenPasswort, Update, Sicherung und | |||||||||||||||||||||||||||
