Die schlimmsten Dinge, die du tun kannst¶
Diese Seite dreht den Spieß um. Statt zu erklären, was du tun solltest, steht hier, was du auf keinen Fall tun solltest. Jeder Punkt ist ein Fall, den wir regelmäßig erleben, und jeder einzelne davon hat schon Websites, Postfächer oder ganze Firmenkommunikation lahmgelegt.
Die Reihenfolge ist keine Rangliste des Ärgers, sondern die der Häufigkeit.
Niemand hat es auf dich abgesehen. Das ist keine Beruhigung.
Der häufigste Gedanke dazu lautet: „Meine Seite ist doch viel zu klein, wer sollte sich für mich interessieren?“ Das stimmt sogar. Nur spielt es keine Rolle.
Angriffe laufen heute vollständig automatisiert. Programme durchsuchen das Internet rund um die Uhr nach Websites mit einer bekannten Lücke, nach Formularen ohne Schutz und nach Postfächern, deren Passwort in einer geleakten Liste steht. Sie fragen nicht, wem die Seite gehört, wie viele Besucher sie hat oder ob dort etwas zu holen ist. Sie probieren einfach alles durch, Millionen Adressen am Tag.
Für so ein Programm ist die Website des Sportvereins genauso brauchbar wie die eines Konzerns. Gesucht wird kein Opfer, sondern eine offene Tür. Wer eine hat, wird gefunden, meist innerhalb von Tagen.
Deshalb schützt die Überzeugung, uninteressant zu sein, überhaupt nicht. Was schützt, sind die Punkte auf dieser Seite.
1. Eine Standardadresse einrichten und dann weiterleiten¶
Was passiert: Dein Server nimmt Post an jede erdenkliche Adresse deiner Domain an und schickt sie unter deinem Namen an ein fremdes Postfach weiter.
Warum das so schlimm ist: Aus eingehendem Spam wird ausgehender Mailverkehr. Für Google und Microsoft bist du der Absender. Es entstehen Rückläufer an gefälschte Absender, dein Versandlimit reißt, und am Ende leiden auch alle anderen Kunden auf demselben Server.
Stattdessen: Standardadresse auf Verwerfen stellen und nur einzelne, existierende Adressen weiterleiten. → Catch-All · Weiterleitungen
2. Die automatischen Updates im CMS abschalten¶
Gemeint ist dein Redaktionssystem, also WordPress, TYPO3, Joomla, ein Shopsystem oder was auch immer deine Website antreibt. Dazu gehören ausdrücklich auch dessen Plugins und Themes.
Was passiert: Deine Website läuft weiter wie bisher. Monatelang. Bis sie es nicht mehr tut.
Warum das so schlimm ist: Sicherheitslücken in verbreiteten Systemen sind wenige Stunden nach Bekanntwerden öffentlich dokumentiert und werden danach automatisiert durchprobiert. Wer erst beim nächsten Anlass aktualisiert, verliert dieses Rennen zuverlässig. Der häufigste Einstiegsweg für Schadcode ist nicht ein raffinierter Angriff auf den Server, sondern ein Plugin von vorletztem Jahr auf einer Website, um die sich niemand mehr kümmert.
Besonders tückisch: Eine veraltete Website sieht völlig normal aus. Man merkt nichts, bis plötzlich Spam von der eigenen Domain verschickt wird oder Google die Seite als schädlich markiert.
Stattdessen: Automatische Updates einschalten, im CMS selbst und für Plugins und Themes. Was du nicht mehr brauchst, löschst du besser ganz, statt es nur zu deaktivieren. Auch ein abgeschaltetes Plugin liegt weiter auf dem Server und ist weiter angreifbar. Wer Sorge vor kaputten Updates hat, testet sie vorher in einer Kopie.
Bei Plugins und Themes lohnt der Blick auf den Hersteller
Ein großer Teil der Erweiterungen stammt von Einzelpersonen, die sie in ihrer Freizeit pflegen. Das ist nicht ehrenrührig, hat aber Folgen: Wird eine Lücke gemeldet, dauert es dort oft Wochen bis zur Korrektur, wenn sie überhaupt kommt. Bei größeren Anbietern gibt es ein Team, das darauf reagieren muss.
Worauf du vor der Installation achten solltest:
- Wann kam die letzte Aktualisierung? Liegt sie über ein Jahr zurück, Finger weg. Das Projekt ist mit hoher Wahrscheinlichkeit eingeschlafen.
- Wie verbreitet ist es? Etwas, das hunderttausendfach im Einsatz ist, wird von vielen Augen geprüft. Ein Plugin mit zweihundert Installationen prüft niemand.
- Gibt es eine bezahlte Fassung oder eine Firma dahinter? Wo Geld fließt, gibt es meistens auch jemanden, der sich zuständig fühlt.
- Wird auf Fragen geantwortet? Ein Blick ins Support-Forum des Plugins zeigt in zwei Minuten, ob das Projekt lebt.
Und die wichtigste Frage überhaupt: Brauchst du es wirklich? Jedes Plugin ist eine zusätzliche Tür. Fünf gut gepflegte Erweiterungen sind sicherer als fünfzehn, von denen zehn niemand mehr anfasst.
Dazu kommt die Geschwindigkeit. Jede Erweiterung wird bei jedem einzelnen Seitenaufruf mitgeladen, auch die, die auf dieser Seite gar nichts zu tun hat. Viele bringen eigene Skripte und Stilvorlagen mit, manche fragen bei jedem Aufruf externe Dienste ab. Zehn ungenutzte Plugins kosten deine Besucher also nicht nur Sicherheit, sondern auch spürbar Ladezeit. Aufräumen wirkt hier doppelt. → Performance
→ Updates einschalten · Testumgebung anlegen · WordPress verwalten
3. Dasselbe Passwort mehrfach verwenden¶
Was passiert: Irgendwo wird eingebrochen. Nicht bei uns, sondern bei einem Onlineshop, einem Forum oder einem Dienst, den du längst vergessen hast. Deine Adresse und dein Passwort landen in einer Liste, die weiterverkauft wird.
Warum das so schlimm ist: Diese Listen werden automatisiert bei allen möglichen Anbietern durchprobiert. Wenn dein Postfach dasselbe Passwort hat, ist es innerhalb von Stunden offen. Es braucht dafür keinen Angriff auf uns, und keine Firewall der Welt kann das verhindern.
Und beim Postfach ist der Schaden am größten. Wer dort hineinkommt, braucht deine übrigen Passwörter nicht: Er klickt bei jedem anderen Dienst auf Passwort vergessen, und der Link landet in deinem Postfach. Bank, Shops, soziale Netzwerke, Domainverwaltung, alles hängt an dieser einen Adresse. Weil er die Bestätigungsmails ebenfalls sieht und löschen kann, fällt es dir womöglich wochenlang nicht auf.
Und wir wissen, wovon wir reden
Übernommene Postfächer gehören zu den Vorfällen, wegen derer wir uns am häufigsten bei Kunden melden müssen. Wir sehen das nicht gelegentlich, sondern jede Woche.
Der Ablauf ist dabei fast immer derselbe. Nachts beginnt ein Postfach, tausende Nachrichten zu verschicken. Wir sperren den Versand, setzen das Passwort neu und schreiben den Kunden an. Die Reaktion lautet regelmäßig: „Das kann nicht sein, ich habe ein sicheres Passwort." Und in der Anmeldung steht dann eine erfolgreiche Anmeldung aus einem Land, in dem der Kunde noch nie war, mit genau diesem Passwort.
In fast keinem dieser Fälle lag es an einer Lücke bei uns. Es lag daran, dass dasselbe Passwort irgendwo anders schon einmal abhandengekommen war.
Stattdessen: Für jeden Zugang ein eigenes, langes Passwort, verwaltet in einem Passwortmanager. Ob deine Adresse schon in einem Leck auftaucht, zeigt Have I Been Pwned. → Zugänge absichern · Postfach gekapert
4. Ein Kontaktformular ohne Captcha betreiben¶
Was passiert: Ein Programm füllt dein Formular tausendfach aus und trägt fremde Empfängeradressen ein. Deine Website verschickt den Spam brav weiter.
Warum das so schlimm ist: Es ist die häufigste Ursache dafür, dass wir uns bei Kunden melden müssen. Der Absender bist du, und bis es auffällt, ist der Ruf deiner Domain bereits beschädigt.
Stattdessen: Ein Captcha einbauen und alte, ungenutzte Formulare löschen.
Nur die aktuelle Version zählt
Ein Captcha ist kein Häkchen, das man einmal setzt und dann vergisst. Ältere Verfahren sind längst geknackt und halten niemanden mehr auf:
- Selbst erzeugte Bildchen mit verzerrten Buchstaben, wie sie viele ältere Plugins mitbringen, werden automatisch gelesen. Sie ärgern nur noch deine Besucher.
- Rechenaufgaben wie „3 plus 5" sind für ein Programm trivial.
- Ältere reCAPTCHA-Fassungen, bei denen man Ampeln oder Fahrräder anklickt, gelten ebenfalls als überwunden und werden von Google selbst nicht mehr weiterentwickelt.
Nimm die jeweils aktuelle Fassung: hCaptcha als datenschutzfreundlichere Wahl mit Servern in der EU oder Google reCAPTCHA in der neuesten Version, dann mit einem Hinweis in deiner Datenschutzerklärung.
Und wenn auf deiner Website noch ein Captcha von 2018 werkelt: Das ist praktisch dasselbe wie gar keines. Ersetze es.
5. Das cPanel-Passwort weitergeben, am besten per E-Mail¶
Was passiert: Die Agentur, der Praktikant und der Schwager kennen dein Passwort. Verschickt wurde es damals per E-Mail, und dort liegt es bis heute in beiden Postfächern.
Warum das so schlimm ist: Ein einziger Zugang öffnet alles, von den Datenbanken bis zu sämtlichen Postfächern. Wenn die Zusammenarbeit endet, müsstest du das Passwort ändern und alle anderen neu versorgen. Das macht in der Praxis niemand.
Wie weit das reicht, ist den wenigsten klar: Mit denselben Daten kann sich jemand auch per FTP verbinden und landet dann nicht in deiner Website, sondern eine Ebene darüber. Dort liegen die E-Mails aller Postfächer als Dateien, dazu die Zugangsdaten dieser Postfächer. Wer dein cPanel-Passwort hat, liest also deine gesamte Korrespondenz mit, ohne je ein Mailprogramm zu öffnen. → Was ein FTP-Zugang sieht
Der Versand per E-Mail macht es zusätzlich schlimm. Es gibt Schadprogramme, die nichts anderes tun, als Postfächer mitzulesen und nach Zugangsdaten zu durchsuchen. Entscheidend ist dabei: Über den Rechner des Empfängers hast du keinerlei Kontrolle. Ob dort ein Virenschutz läuft, ob Updates eingespielt werden, wer das Gerät sonst noch benutzt, all das kannst du weder prüfen noch beeinflussen. Sobald das Passwort dein Postfach verlässt, liegt es außerhalb deines Einflussbereichs.
Und anders als ein gesprochenes Passwort bleibt eine E-Mail jahrelang durchsuchbar liegen, auf allen beteiligten Geräten und in jeder Sicherung.
Deshalb schicken auch wir dir niemals Passwörter per E-Mail zu, sondern hinterlegen sie im Kundenportal.
Stattdessen: Eigene Zugänge vergeben, begrenzt auf das Nötige, und nach getaner Arbeit wieder entziehen. Wenn du doch einmal ein Passwort übermitteln musst, dann nicht per E-Mail, sondern telefonisch oder über einen Dienst, der den Zugang nach einmaligem Abruf wieder löscht.
Übrigens, wo wir gerade bei fremden Rechnern sind
Wusstest du, dass beim neuen Outlook deine Nachrichten zu Microsoft gespiegelt werden, auch wenn dein Postfach bei uns liegt? Microsoft schreibt es selbst, wörtlich:
„eine Kopie Ihrer E-Mails, Kalender und Kontakte zwischen Ihrem E-Mail-Anbieter und Microsoft-Rechenzentren synchronisiert wird“
Nachzulesen unter Synchronisieren Ihres Kontos in Outlook mit der Microsoft Cloud. Betroffen sind das neue Outlook für Windows und für Mac sowie Outlook auf iPhone und Android. Dein Postfach-Passwort liegt dabei ebenfalls dort.
Das ist kein Fehler und kein Geheimnis. Nur wissen es die wenigsten, die dem Umstellungsdialog zustimmen.
Wer das nicht möchte, nutzt das klassische Outlook aus dem Office-Paket, Thunderbird oder ein anderes Programm, das direkt mit unserem Server spricht. → Mail-Programme einrichten
→ Team Manager · eigenes FTP-Konto statt Hauptzugang · weitere Zugänge · Zugänge absichern
6. Sicherungen im eigenen Webspace stapeln¶
Was passiert: Ein Backup-Plugin legt seine Archive im Webspace ab. Über die Jahre sammeln sich zwanzig Vollsicherungen an.
Warum das so schlimm ist: Dort liegt eine vollständige Kopie deiner Website samt Datenbank und Zugangsdaten, oft öffentlich abrufbar. Wer die Adresse errät, braucht keine Sicherheitslücke mehr.
Dazu kommt ein zweites Problem, das häufiger auftritt als der Einbruch: Der Speicherplatz läuft voll, und dann steht die Website. Das CMS kann nichts mehr in die Datenbank schreiben, neue Bestellungen und Formulareingaben gehen verloren, und auch E-Mails werden nicht mehr angenommen. Von außen sieht das aus wie ein Serverausfall, dabei liegen einfach zwanzig alte Sicherungen im Weg.
Stattdessen: Sicherungen herunterladen und auf dem Server löschen. Für den Normalfall genügt die tägliche Sicherung, die ohnehin läuft. → Wiederherstellen · Speicherplatz
7. Nach einem Einbruch nur die gemeldeten Dateien löschen¶
Was passiert: Du bekommst von uns eine Liste, löschst die Dateien und meldest Vollzug. Zwei Wochen später ist alles wieder da.
Warum das so schlimm ist: Wer einmal hereingekommen ist, hinterlässt üblicherweise mehrere Hintertüren, und die Lücke, durch die er kam, ist weiterhin offen. Aufräumen ohne Aktualisieren verschiebt das Problem nur.
Stattdessen: Dateien löschen, Software aktualisieren, alle Zugangsdaten wechseln. → Schadcode im Webspace
8. Eine Datenbank für alle Adressen freigeben¶
Was passiert: Unter Remote Database Access wird der Platzhalter % eingetragen, damit „es
endlich läuft".
Warum das so schlimm ist: Damit steht deine Datenbank dem gesamten Internet offen und wird binnen Stunden automatisiert durchprobiert. Kundendaten, Bestellungen, alles.
Stattdessen: Nur die konkrete IP-Adresse freigeben und den Eintrag entfernen, wenn er nicht
mehr gebraucht wird. Und 127.0.0.1 niemals löschen, sonst erreicht deine eigene Website ihre
Datenbank nicht mehr. → MySQL-Datenbank
9. Auf Zeitdruck in einer E-Mail reagieren¶
Was passiert: „Ihr Konto wird in 24 Stunden gesperrt." Du klickst, meldest dich an, und die Seite sieht aus wie immer.
Warum das so schlimm ist: Genau dafür ist der Zeitdruck da. Er soll verhindern, dass du die Absenderadresse prüfst oder jemanden fragst. Wir setzen dich nie unter Zeitdruck, und wir fragen dich nie per E-Mail nach deinem Passwort.
Stattdessen: Den Link ignorieren und das Portal selbst öffnen. Zwanzig Sekunden, die jede Prüfung ersetzen. → Phishing erkennen
10. Adressen kaufen und Rückläufer ignorieren¶
Was passiert: Eine Liste wird gekauft oder aus alten Beständen zusammengesucht, und unzustellbare Adressen bleiben Aussendung für Aussendung drin.
Warum das so schlimm ist: Für die Empfänger-Anbieter ist eine hohe Rückläuferquote das Erkennungsmerkmal für Spam. In gekauften Listen stecken zudem Adressen, die eigens dazu dienen, solche Versender zu enttarnen. Danach kommt auch deine erwünschte Post nicht mehr an.
Stattdessen: Nur an Empfänger senden, die zugestimmt haben, und Rückläufer nach jeder Aussendung entfernen. → Rückläufer · E-Mail-Versand richtig aufsetzen
11. Ohne Zwischenspeicher arbeiten¶
Was passiert: WordPress, TYPO3 oder der Shop bauen jede einzelne Seite bei jedem Aufruf neu zusammen. Dieselbe Startseite, tausendmal am Tag, jedes Mal von vorn.
Warum das so schlimm ist: Was sich nicht ändert, muss auch nicht jedes Mal neu berechnet werden. Genau das passiert hier aber: Für jeden einzelnen Besucher wird dieselbe Seite noch einmal erzeugt, mit demselben Ergebnis. Die Seite ist dadurch unnötig langsam, Besucher springen ab, und Suchmaschinen bewerten das mit. Bei etwas mehr Andrang, etwa nach einem Newsletter oder wenn automatisierte Zugriffe zunehmen, geht die Website in die Knie, obwohl der Server völlig ausreicht. Wir sehen regelmäßig Seiten, die mit einem Zwischenspeicher um ein Vielfaches schneller laufen, ohne dass sonst irgendetwas geändert wurde.
Stattdessen: Ein Cache-Plugin einrichten, aber nur eines. Zwei gleichzeitig behindern sich gegenseitig und erzeugen Fehler, die schwer zu finden sind. Nach Änderungen an der Website den Zwischenspeicher leeren, sonst siehst du weiter den alten Stand. → Performance
Die Kurzfassung für den Kühlschrank¶
| Nie | Sondern |
|---|---|
| Standardadresse weiterleiten | Standardadresse verwerfen, einzelne Adressen weiterleiten |
| Updates im CMS abschalten | CMS, Plugins und Themes automatisch aktualisieren |
| Passwörter mehrfach nutzen | ein eigenes je Zugang, im Passwortmanager |
| Formular ohne Captcha | aktuelles Captcha, alte Formulare löschen |
| Passwörter weitergeben oder per E-Mail schicken | eigene Zugänge mit begrenzten Rechten |
| Sicherungen im Webspace lassen | herunterladen und dort löschen |
| nur aufräumen nach einem Einbruch | aufräumen, aktualisieren, Passwörter wechseln |
| Datenbank für alle freigeben | nur die konkrete IP-Adresse |
| auf Zeitdruck reagieren | Portal selbst öffnen |
| Adressen kaufen | nur an Einwilligende senden |
| ohne Zwischenspeicher arbeiten | genau ein Cache-Plugin einrichten |