WordPress Sicherheit – Report 2022

🕐 Lesezeit ca.: < 1 Minute

iThemes Security hat in seinem Sicherheitsreport für 2022 die Sicherheitslücken des vergangenen Jahres ausgewertet. Im Trend ist das Ergebnis positiv, unterstreicht aber deutlich, wie wichtig es ist WordPress, Themes und Plugins regelmäßig zu aktualisieren.

Die Anzahl der der nicht gefixten Sicherheitslücken zeigt auf, dass eine bedachte Wahl der genutzten Plugins auch ein großer Sicherheitsfaktor ist.

  • WordPress 23 Sicherheitslücken
  • Themes: 97 Sicherheitslücken
  • Plugins: 1.650 Sicherheitslücken (davon wurden 456 nicht gefixt – 26%)

Links zum Thema

iThemes The 2022 WordPress Vulnerability Annual Report: https://ithemes.com/blog/the-2022-wordpress-vulnerability-annual-report/

Externe Nutzung von Google Fonts nicht mehr DSGVO konform

🕐 Lesezeit ca.: 2 Minuten

Eigentlich schon immer eine Grauzone

Die externe Nutzung von Google Fonts, also der Aufruf der in der Website genutzten Fontdateien direkt von Googles Servern, war schon seit Jahren eine rechtliche Grauzone. Viele Online-Rechtsberatungen habe Ihren Kunden empfohlen diese Dateien ausschließlich lokal zu nutzen (die Fonts auf dem eigenen Webserver zu installieren) um zukünftigen Ärger zu vermeiden (siehe Link zur Anleitung unten).

Nun ist es amtlich

Die dynamische Einbindung von US-Webdiensten in eine Website ist ohne Einwilligung der Besucher datenschutzwidrig – Dazu gehören auch Google Fonts. Websitebetreiber schulden Unterlassung und Schadensersatz, so hat das LG München, Urteil vom 20.01.2022, Az. 3 O 17493/20 beschlossen.

Achtung auch bei Plugins

Auch über Plugins oder externen Code können Google Fonts freiwillig oder unfreiwillig eingebunden werden.

Nicht nur Google Fonts

Im Urteil des Landgerichts München geht es zwar um eine Einbindung von Google-Fonts, die vom Landgerichts München aufgestellten Grundsätze gilt jedoch auch für jeden anderen extern in Webseiten eingebundenen Content von US-Diensten. Insofern dürfte letztlich auch jede Art von CDN (Content Delivery Network) aus den USA betroffen sein. Um einer möglichen Klage vorzubeugen, sollten Websites Schriftarten, Skripte oder Bilder auf dem eigenen Webserver ablegen. Alternativ könnte die Zustimmung zur Weitergabe der IP-Adresse über ein Consent-Banner eingeholt werden. Es ist anzunehmen, dass durch dieses Urteil eine Tür für viele Abmahnungen geöffnet wurde und wer seine Google Fonts noch direkt von Googles Servern abruft, sollte zeitnah auf eine lokale Lösung umstellen.

Links zum Thema

Meldung t3N: https://t3n.de/news/google-fonts-illegal-urteil-dsgvo-1447698/
Anleitung Google Fonts lokal nutzen: https://www.mittwald.de/blog/mittwald/howtos/dem-datenschutz-zuliebe-wie-ihr-google-fonts-lokal-in-eure-webseiten-einbindet#Notwendig-dank-der-DSGVO–Google-Fonts-sollten-lokal-eingebunden-werden

Warum und wie sollte man WordPress sicherer machen? Drei Tipps für eine schnelle Grundsicherung von WordPress.

Warum und wie sollte man WordPress sicherer machen?

🕐 Lesezeit ca.: 2 Minuten

500 Versuche am Tag

An guten Tagen habe ich auf meiner Website über 500 fremde Anmeldeversuche, da macht dann z.B. ein sicheres Passwort den Unterschied zwischen einer funktionierenden und einer gehackten Website aus. Genauso wichtig: Eine sichere Installation, die zeitnahe Aktualisierung und ein regelmäßiges Backup schützen vor Sicherheitslücken und deren Folgen. In den folgenden drei Tipps führe ich auf, was sozusagen als Basisschutz gemacht werden sollte um WordPress sicherer zu machen…

Ändern der Login URL

Die Login-URL bei WordPress lautet standardmäßig /wp-admin. Hier versuchen potenzielle Angreifer natürlich als erstes Ihr Glück. Diese URL kann man ganz leicht ändern, indem man z.B. dieses Plugin nutzt: WPS Hide Login: https://de.wordpress.org/plugins/wps-hide-login/

Anzahl der Anmeldeversuche beschränken

Das Plugin Limit Login Attempts Reloaded begrenzt die Anzahl der möglichen Anmeldeversuche. Die Anzahl Anmeldeversuche nach der ein Besucher gesperrt werden soll, läßt sich einstellen, ebenso die Zeit, die er gesperrt bleiben soll. Das Plugin läßt sich DSGVO konform betreiben.
Download: https://de.wordpress.org/plugins/limit-login-attempts-reloaded/

Zugriffe auf die xmlrpc Schnittstelle unterbinden

Dies ist die Pingback-API und ermöglicht die Vernetzung zwischen Blogs und dient gleichzeitig als Schnittstelle, um WordPress über externe Programmen verwalten zu können. 

Potentielle Angreifer nutzen diese Schnittstelle sehr häufig, denn hier kann genau wie über die Anmeldung ein Zugriff auf das WordPress erfolgen.

Lösung 1 – .htaccess
Diesen Codeschnipsel in die Datei .htaccess kopieren

<Files xmlrpc.php>
Order allow,deny
Deny from all
</Files>

Lösung 2 – Das Plugin Disable XML-RPC
Download: https://de.wordpress.org/plugins/disable-xml-rpc/

Nicht das Ende der Fahnenstange

Diese Tipps bieten schon viel Sicherheit, sind aber lange nicht das Ende der Fahnenstange. Für eine umfassende Absicherung einer WordPress Installation werden noch einige andere Maßnahmen benötigt. Eine gute Hilfe ist hier z.B. ein Hostingpaket, welches Plesk als Verwaltungsoberfläche bietet (hier kann ein WordPress sehr gut per Mausklick gesichert werden) oder ein auf WordPress spezialisiertes Hosting (siehe dazu meinen Blogbeitrag zum Thema Hosting).

Die Suche nach dem richtigen Hosting Anbieter.

Die Suche nach dem richtigen Hosting-Anbieter

🕐 Lesezeit ca.: 4 Minuten

Ein riesiger Markt – Die Qual der Wahl

Alle Hosting Anbieter werben mit mehr oder weniger großen und sinnvollen Paketen in allen Preislagen, und es ist schwer hier ein geeignetes Angebot zu bewerten. Dieser Artikel soll Ihnen etwas Klarheit bringen, am Ende finden Sie auch einige Empfehlungen die ausschließlich auf meinen Erfahrungen basieren.

Unterschiedliche Hostingarten

Man unterscheidet zwischen den folgenden Arten des Hostings:

  • Shared Server Hosting – Beim Shared Server-Hosting teilt man sich die Ressourcen wie CPU, Hauptspeicher und Plattenspeicher mit anderen Kunden. Das ist passend für viele Websites und kleinere Webshop-Projekte mit wenigen Artikeln.
  • Virtuell Server Hosting – Das Virtuell Server Hosting simuliert durch Software einen virtuellen Server, dem Teile der CPU, des Hauptspeichers und des Plattenspeichers zugeordnet werden. Preislich sehr attraktiv eignet sich dies für mittelgroße Projekte.
  • Dedicated Server Hosting – Das Dedizierte Server Hosting stellt Ihnen einen eigenen Server zur Verfügung, den Sie alleine nutzen und administrieren können. Webshops mit viel Traffic und Anforderungen an die Datensicherheit sollten auf einem dedizierten Server betrieben werden. Hier ist zu bedenken, dass Sie den Server wirklich selbst verwalten müssen.
  • Cloud Hosting – Das Cloud Web Hosting ist ein performanter, skalierbarer und hoch verfügbarer Service. Eine Cloud basiert auf einer Farm von Servern, die redundant ausgelegt sind. Webseiten können je nach Anforderung dynamisch Rechenleistung, Hauptspeicher und Plattenspeicher zugewiesen werden. Empfehlenswert für mittlere bis große Onlineshops mit hohen Anforderungen an Skalierbarkeit und Sicherheit.

Was brauche ich eigentlich?

Die Mindestanforderungen für z.B. eine Website welche mit WordPress betrieben wird, lassen sich wie folgend aufgelistet beschreiben. Die klassischen Merkmale wie Anzahl Domains, E-Mail Adressen nicht berücksichtigt.

  • Mind. 2 MySQL Datenbanken
  • Kurze Latenzzeit des Servers (10MS – 45MS)
  • Aktuelle PHP Version (z.Z. mind. 7.3)
  • Mind. ein SSL Zertifikat inkl. (z.B. Let’s Encrypt)
  • Mind. 128 MB RAM (PHP-memory-limit)
  • Mind. 3M max. Upload (upload-max-filesize)
  • Mind. 60 Sec. Scriptlaufzeit (max-execution-time)
  • 25 GB – 50 GB Web-Speicherplatz
  • Speicherung auf SSD
  • Web-FTP oder ein SSH Zugang

Das war es auch schon. Wenn alles etwas geschmeidiger laufen soll, geht das in etwa so

  • ab 512 MB RAM (PHP-memory-limit)
  • ab 120 Sec. Scriptlaufzeit (max-execution-time)
  • ab. 3M max. Upload (upload-max-filesize)
  • ab 100 GB Speicherplatz (gerade, wenn viele Bilder im Einsatz sind)
  • Serverseitiges Caching (z.B. nginx FastCGI Caching)
  • Staging (Änderungen an Design und Technik testen, ohne dass man es auf der Live-Website sieht, z.B. über Plesk)
  • Ein SSH Zugang (z.B. für die schnelle Wartung etc.)
  • Eine modernes Hosting-Backend wie z.B. Plesk mit WordPress Toolkit inkl. Hardening.

Die erstgenannten Merkmale findet man bei vielen Anbietern, bei den etwas luxuriöseren Varianten wird die Luft im Hosting schon deutlich dünner.

Und was ist, wenn ich einen Onlineshop betreiben möchte?

Für einen kleineren bis mittleren Onlineshop sind die Anforderungen ganz ähnlich, allerdings sind hier in einigen Bereichen höhere Anforderungen zu erwarten:

  • Mind. 512 MB RAM (PHP-memory-limit)
  • Mind. 180 Sec. Scriptlaufzeit (max-execution-time)
  • Mind. 6M max. Upload (upload-max-filesize)
  • Speicherung auf SSD (auch die Datenbanken)
  • Möglichkeit Cronjobs einzurichten
  • PHP OPcache (ab PHP 7 Standard)
  • APC User Cache
  • Eventuell noch LiteSpeed Cache

Für die Nutzung der Shopware Professional Edition empfiehlt es sich einen von Shopware zertifizierten Anbieter zu nutzen.

Das war reichlich viel Fachblabla

Toll, dass Sie bis hierhin weitergelesen haben! Wenn man kein Systemadministrator ist, muss man nicht alle o.g. Bezeichnungen kennen oder gar verstehen. Man kann aber an Hand dieser Auflistung die richtigen Fragen stellen und die Vielzahl der Angebote so kräftig einschränken – wenn man denn die Auswahl eigenständig treffen möchte.

Ein Wort zum Service

In den nun über 20 Jahren Webentwicklung habe ich sehr viele Hosting Angebote kennenlernen dürfen. Die meisten Anbieter machen eine seltsame Wandlung durch: Sind Angebot und Service in den ersten Zeiten sehr gut, so ändert sich speziell die Qualität des Service bei so manchen Anbieter mit dem Bekanntheitsgrad leider zum Negativen. Dadurch ist man leider gezwungen in mehr oder weniger großen Abständen den Anbieter zu wechseln. Ich persönlich war z.B. bei Schlund&Partner, 1&1, Domain Factory, Strato und Netcup. Wenn die Leistungen des Anbieters nachlassen, zögern Sie nicht und wechseln Sie den Anbieter, ein Umzug ist einfacher als Sie denken.

Noch ein weiterer Hinweis: Wenn Sie einen Tarif schon sehr lange nutzen, informieren Sie sich über die aktuellen Angebote Ihres Dienstleisters. Auch hier wird ständig optimiert und Sie erhalten oft deutlich günstigere Angebote mit mehr Leistung, wenn Sie auf einen modernen Tarif Ihres Anbieters wechseln.

Ein paar Empfehlungen für unterschiedliche Anwendungen und Preisen (Stand: 03/20):

Auf den folgenden Angeboten habe ich mehrere Websites / Onlineshops betreut und möchte sie auf Grund guter Erfahrungen empfehlen. Meine eigene Website und mein Onlineshop sind z.Z. bei Netcup untergebracht. Es gibt sicherlich noch andere Anbieter mit ähnlichen Angeboten.

Hosting für WordPress

Hosting für Onlineshops

Hosting in der Schweiz

Marktübersicht

Eine ziemlich vollständig wirkende Marktübersicht mit Nutzerbewertungen finden Sie auf  Webhostlist.de.