Webservice & Support

Hacker-Angriffe zielen heute nur sehr selten auf eine bestimmte Website (etwa eines großen Unternehmens mit vielen Kundendaten). Der Hauptteil der Angriffe läuft nach dem Gießkannen-Prinzip mit automatisierten Skripten ab: Diese Skripte kennen die Schwachstellen gängiger Website-Systeme und probieren diese wahllos durch, ob eine davon "passt". 

Das Ziel dieser Angriffe ist häufig die Kontrolle über die generellen Ressourcen des Webservers zu bekommen und ihn als "Zombie" in ein Botnetz einzureihen. Ein anderes häufiges Ziel ist, den Besucherinnen und Besuchern der Website Schadsoftware auf den Rechner zu installieren. Dabei ist es den Hackern egal, wie "groß" eine Website ist, wie "bekannt" der Betreiber, oder wie viele Besuche sie pro Monat hat. Jeder Treffer zählt, jede angreifbare Website wird auch angegriffen – vollautomatisch und rund um die Uhr. 

Die meisten Hacker-Angriffe zielen darauf ab, die Kontrolle über den eigentlichen Webserver und dessen Rechenleistung zu erlangen, um ihn dann beispielsweise als Teil eines Botnetzes oder für Kryptomining-Prozesse zu missbrauchen. Auch die Verbreitung von Schadsoftware, die unbemerkt im Hintergrund der Website geladen und auf den Geräten der Website-Besucher installiert wird, ist ein häufiges Szenario. Dies passiert häufig über eine Weiterleitung der Besucher auf eine Schadseite. 

Wenn über die Website/den Webserver personenbezogene Daten zugreifbar sind, können auch diese ein Angriffsziel darstellen. Darunter fallen zum Beispiel Anfragen über Kontaktformulare, Bewerbungsunterlagen oder persönliche Daten aus Login-Bereichen. Auch wenn diese Daten in vermeintlich "geschützten" Verzeichnissen gelagert werden, können sie nach einem Hack für den Angreifer offen zugänglich sein.

Seltener sind Veränderungen am Inhalt der Website (sog. "Defacings"), oder eine gezielte Verlangsamung der Website bis hin zur kompletten Nicht-Erreichbarkeit. 

Die Folgen für den Websitebetreiber reichen je nach Art des Hacks von De-Listings in Suchmaschinen (die Website ist nicht mehr bei Google auffindbar) über Imageschäden bis hin zu handfesten Schadensersatzforderungen.

Selbst, wenn ein Angriff vergleichsmeise "milde" verlaufen ist, entstehen für die Bereinigung und Abhärtung sowie durch den damit oft einhergehenden tagelangen Ausfall der Website Kosten, die die Kosten unseres CMS Update-Service in der Regel um ein Vielfaches übersteigen.

Im Rahmen des CMS Update-Service spielen wir zeitnah jedes Sicherheitsupdate ein, welches für die Hauptversion Ihres CMS veröffentlicht wird. Wenn Sie beispielsweise ein TYPO3 12.4 betreiben, spielen wir die Sicherheitsupdates 12.4.1, 12.4.2, ... für Sie ein. 

Bei Silverstripe ist die Hauptversion zum Beispiel die Version 5. Daher spielen wir Sicherheitsupdates 5.1, 5.2, ... ein.

Die meisten Content Management Systeme bringen in einem festen Rhythmus neue Hauptversionen heraus, also z.B. TYPO3 13.4 als Nachfolger von 12.4, oder Silverstripe 6 als Nachfolger von Silverstripe 5. Ein Update auf eine neue Hauptversion ist in der Regel ein eigenes Projekt und wird nicht durch den CMS Update-Service abgedeckt.

Wenn in Ihrem System 3rd-Party-Erweiterungen (Extensions bzw. Plugins) zum Einsatz kommen, sind auch diese durch den Update-Service abgedeckt. Das bedeutet: Wird in einer Extension/einem Plugin eine Sicherheitslücke entdeckt und geschlossen, so spielen wir dieses Sicherheitsupdate zeitnah ein. Auch hier gilt in der Regel, dass "minor updates" (hintere Stelle der Versionsnummer) abgedeckt sind, "major updates" (vordere Stelle der Versionsnummer) jedoch im Rahmen eines eigenen Projektes durchgeführt werden.

Jede komplexe Software – wie beispielsweise ein Content Management System – enthält Fehler und Sicherheitslücken. Sobald diese entdeckt werden, werden sie bei einem professionellen CMS umgehend behoben und es werden entsprechende Sicherheitsupdates bereit gestellt.

Lücken, die bisher noch nicht gefunden wurden, können aber natürlich auch noch nicht geschlossen werden. Das Einspielen eines Sicherheitsupdates bedeutet daher nicht, dass ein System nun frei von allen Sicherheitslücken ist. Es bedeutet, dass das System frei von bekannten Sicherheitslücken ist.

Es geht dabei um Wahrscheinlichkeit: Ein aktuell gehaltenes, gut gepflegtes System ist wahrscheinlich recht sicher. Ein nicht gepflegtes System ohne Updates ist hingegen mit absoluter Sicherheit unsicher. 

Mit jeder Sicherheitslücke, welche zum CMS bekannt wird, steigt die Wahrscheinlichkeit, dass die Webseite Opfer eines Hacker-Angriffs wird. Mit jedem eingespielten Update und jeder dadurch geschlossenen Lücke sinkt die Wahrscheinlichkeit, dass ein Angriff erfolgreich verläuft.