Angriffe auf Webseiten finden im Internet auch automatisiert statt. Das bedeutet, dass jede Webseite Ziel von Angriffen wird, unabhängig von der Branche, Größe und Umsatz des Unternehmens. Und für einen erfolgreichen Angriff auf eine Webseite benötigt es weder spezielles Know-How noch den Zugang zur Webseite.
Sehr oft wird die Webseite eines Unternehmens aus Sicht der IT-Sicherheit vernachlässigt, da die Webseite von einem Dienstleister erstellt wurde und bei einem externen Anbieter gehostet wird. Wenn aber die Webseite zum Ziel eines Hackerangriffs wird, kann das große Schäden verursachen.
Die Argumentation „Wenn unsere Webseite gehackt wurde, dann spielen wir das letzte Update wieder ein“ höre ich oft. Aber ganz so einfach ist es nicht. Es gibt verschiedene Angriffsvarianten auf eine Webseite mit den unterschiedlichsten Folgen.
Wird die Webseite auf einen unseriösen Inhalt umgeleitet oder wird auf der Webseite selbst ein anderes Produkt oder Dienstleistung angeboten, erkennt man das recht schnell und kann dann auch schnell handeln. Und nicht selten wird auf gehackten Webseiten Inhalt verbreitet, der gegen das Urheberrecht verstößt.
Wird aber eine Webseite gehackt und über die gehackte Webseite wird Schadsoftware verbreitet, dann ist das in der Regel von Besuchern der Website nicht sichtbar. Erst nachdem sich die Schadsoftware im Unternehmen des Webseitbesuchers ausgebreitet und Schaden hinterlassen hat, kommt die Strafverfolgungsbehörde ins Spiel und ermittelt wegen Verbreitung von Schadsoftware nach §303a StGB (Anmerkung: Deutschland). Es vergeht also viel Zeit und es entsteht viel Schaden bis bemerkt wird, dass die Webseite auf diese Art gehackt wurde. D.h. also: Zumindest den automatischen Angriffen muss eine Webseite unbedingt standhalten.
Auch die Mitarbeiter des Unternehmens können über die Unternehmenswebseite angegriffen werden, indem E-Mail-Adressen auf der Webseite automatisch ausgelesen und dann für SPAM- und Phishing-Mails verwendet werden.
Die Angriffe zielen oft auf den Benutzerlogin des Administrators. Aus meiner Erfahrung können z.B. bei 90% der WordPress Webseiten die Benutzernamen aus Logfiles ausgelesen werden. Zudem ist der Login über den Standardpfad erreichbar. So fehlt dem Hacker oder dem angreifenden automatischen Script nur noch ein Schritt – nämlich das Kennwort. Auch hier höre ich dann die Argumentation „Wir verwenden eine Software für den login attempt“. D.h. nach einer gewissen Anzahl von Anmeldeversuchen wird der Login automatisch deaktiviert. Aber der „login attempt“ ist auch nur eine Software die Fehler beinhaltet oder – warum auch immer – deaktiviert sein kann.
Weitere Angriffsziele einer Webseite sind die Startseite, das Upload- und Plugin -Verzeichnis und die Eingabefelder.
Mit jedem Schritt, den wir in der IT-Sicherheit umsetzen, machen wir es den Hackern einen Schritt schwerer. Nutzen wir also jede Möglichkeit!
Möchtest du mehr über die IT-Basissicherheit erfahren?
Dann frage hier direkt einen unverbindlichen Termin an:
https://zeeg.me/markusstoll/beratung?calendar_type=gregorian&month=2023-6
Weitere Informationen zu Markus findest du unter www.professional-software.net
Sichere dir den E-Mail-Minikurs von Markus um 0 € unter https://professional-software.net/lpminikurs/