Mach’ dein Blog zur Festung! - 8 Sicherheitstipps

Keine Internetseite ist absolut sicher, kein Blog vor Angriffen gefeit. Speziell so große und populäre Systeme wie Wordpress sind immer wieder mal Ziel von Hackerattacken. Wurden erst mal Dateien manipuliert, muss oft das ganze Projekt nach Schwachstellen durchsucht werden. Um gleich im Vorhinein mögliche Angriffsflächen zu beseitigen gibt es viele Möglichkeiten, die besten 8 davon werden hier vorgestellt.

1. Passwort verbessern

Bei der Installation von Wordpress bekommt man standardmäßig ein Passwort. Es ist 12 Zeichen lang und besteht aus Klein- und Großbuchstaben sowie Sonderzeichen. Zwar ist die Chance ziemlich geringt, dass diese Kombination geknackt wird, wer jedoch gerne ein längeres oder selbsterstelltes Passwort hätte, kann dies ganz einfach erstellen.

Zuerst hier das Passwort eingeben und dann auf den Button klicken. Die md5-Prüfsumme in die Zwischenablage kopieren und dann ab in die MySQL Datenbank von Wordpress. In der Tabelle wp_user (so heißt die standardmäßig) wird jetzt beim entsprechenden User (in der Regel admin) auf ändern geklickt und bei user_pass die md5-Prüfsumme vom Passwort eingegeben. Speichern und fertig!

Bild: flickr, CarbonNYC

In diesem Zuge kann es auch sinnvoll sein, den Standarduser admin umzubenennen!

2. Admin-Bereich schützen

Das Problem besteht grundsätzlich darin, dass jeder Wordpress User weiß, dass man sich unter beispieldomain.de/wp-admin einloggen kann. Hier kann jeder ohne Einschränkungen hin und nach Lust und Laune Kombinationen ausprobieren oder den Besitzer ärgern, indem ständig neue Passwörter angefordert werden. Dieses Problem kann ganz einfach so behoben werden, indem einfach allen IP-Adressen außer der eigenen natürlich, der Zugriff verweigert wird. Dazu einfach die Datei “.htacces” mit folgendem Inhalt im Ordner wp-admin ablegen:


order deny,allow
deny from all
allow from 11.111.111.11


Anstelle der markierten Zahlen muss die eigene IP-Adresse eingegeben werden, diese kann man hier herausfinden. Bei dynamischen IP’s sollte man oben nur die ersten beiden Zahlenkombinationen angeben. (Also im Format xx.xxx)

Durch diese Vorgehensweise erübrigt es sich, die Benutzerregistrierung zu deaktivieren.

3. Kümmere dich um deine Plugins

Plugins bieten Schwachstellen im System, deshalb gilt: So wenig Plugins wie möglich verwenden, deaktivierte sofort löschen!

Die Plugins, die in Verwendung sind, immer am aktuellsten Stand halten. Wordpress zeigt Updates sogar automatisch an, also was will man mehr…

4. Wordpress aktuell halten

Ich denke, das ist klar. Es werden nicht zum Spaß neue WP-Versionen entwickelt, sonder deshalb weil Schwachstellen ausgemerzt und Verbesserungen integriert werden möchten. Welche die aktuellste Version ist, kann man im Dashboard-Footer oder auf der offiziellen deutschen Seite von Wordpress nachlesen.

Mit Verwendung der aktuellsten Version wurden bereits einige Sicherheitstipps (die ich hier garnichts erst erwähne) sinnlos, da einige Sicherheitslücken behoben wurden!

5. Blogssystem unkenntlich machen

Nichts ist gefährlicher, als wenn dein Gegner alles über dich weiß. Je mehr Informationen Hackern gegeben werden, desto einfacher wird die Sache. Deshalb ist es sinnvoll Codezeilen aus dem Theme zu entfernen, die anzeigen um welche WP-Version es sich handelt. Vorallem bei älteren Themes ist dieser Code noch zu finden:

<meta name=”generator”
content=”WordPress <?php bloginfo(’version’); ?>” />

Obigen Code aus der header.php deines Themes entfernen!

Tabellenpräfix “wp_” sollte gleich anfangs bei der Installation des Blogs geändert werden, denn hier lässt sich auch erkennen, dass es sich um Wordpress handelt. Hat man diese beiden Dinge angewandt und zusätzlich wie oben beschrieben noch den Login gesperrt, so ist nicht mehr eindeutig erkennbar, dass es sich um Wordpress handelt.

6. Zugriff auf .php Dateien blockieren

Durch Hinzufügen von einigen Codezeilen in die .htaccess kann ein weiteres Sicherheitsrisiko minimiert werden:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond %{QUERY_STRING} !error
RewriteCond %{THE_REQUEST} ^[A-Z]{3,9}\ /(wp-includes|wp-content)/(.+)\.php\ HTTP/

RewriteRule .* - [F]

</IfModule>

7. Sicherer Upload

Gewusst, dass auch beim Hochladen von Dateien auf den Server ein Sicherheitsrisiko vorhanden ist? Ja, die Daten werden nämlich beim FTP nicht verschlüsselt, deshalb sollte FTP über SSL (genannt SFTP, also “Safe FTP”) verwendet werden. Nicht jeder Hoster bietet diese Option an, dennoch lohnt es sich nachzufragen.

8. Das sei noch gesagt…

Da 100%ige Sicherheit nie gegeben ist, sollten laufend Sicherungen gemacht werden, für den Fall der Fälle! Diese Tipps wurden in Annahme der Verwendung von Wordpress 2.6.3 gemacht, bei älteren Versionen können eventuell noch weitere Sicherheitsmängel vorhanden sein - deshalb gleich updaten!