Wenn sich die meisten Menschen vorstellen, wie eine Website gehackt wird, sehen sie jemanden im Kapuzenpullover, der wie wild auf ein Terminal eintippt. Die Realität ist weit weniger dramatisch und weit häufiger. WordPress-Websites werden täglich von automatisierten Scannern kompromittiert, die das öffentliche Web durchsuchen, Tausende Websites gleichzeitig abtasten und durch Türen hereinspazieren, die offen gelassen wurden. Der Angreifer ist meist ein Skript, keine Person, und das Ziel sind selten Sie persönlich. Es ist, wer auch immer gerade die Software ausführt, die sie auszunutzen wissen.
Die wahren Einfallstore zu verstehen ist wichtig, denn dieselbe Handvoll Fehler verursacht die überwältigende Mehrheit der WordPress-Sicherheitsvorfälle. Beheben Sie sie, und Sie werden zu einem viel schwierigeren Ziel. Ignorieren Sie sie, und Sie verlassen sich auf Glück.
1. Verwundbare Plugins
Plugins sind die häufigste Ursache für WordPress-Kompromittierungen. Das Plugin-Ökosystem ist riesig, und die Codequalität ist uneinheitlich. Ein Plugin, das vor zwei Jahren völlig sicher war, kann nächste Woche eine veröffentlichte kritische Schwachstelle haben, und wenn Sie es nicht aktualisiert haben, sind Sie in dem Moment exponiert, in dem dieser Hinweis öffentlich wird.
Das Muster verläuft meist so. Ein Forscher oder ein Angreifer entdeckt eine Lücke in einem beliebten Plugin, oft etwas wie einen Datei-Upload ohne Authentifizierung oder eine SQL-Injection. Die Lücke wird offengelegt. Innerhalb von Stunden durchkämmen automatisierte Scanner das Internet auf der Suche nach Websites, die die verwundbare Version ausführen. Nicht gepatchte Websites werden in großer Zahl kompromittiert.
Ein kürzlich von uns durchgeführtes Audit der Website einer Agentur in Sydney förderte ein Dateimanager-Plugin zutage, das über ein Jahr lang installiert und aktiv geblieben war, obwohl diese Plugin-Familie eine lange Geschichte von Schwachstellen zur Remote-Code-Ausführung hatte. Der Angreifer musste nichts Raffiniertes tun. Das Plugin übergab ihm Schreibzugriff auf die gesamte Website.
2. Schwache oder wiederverwendete Admin-Zugangsdaten
Brute-Force-Angriffe gegen die WordPress-Anmeldeseite sind konstant. Bots probieren pro Stunde Tausende gängige Benutzername-Passwort-Kombinationen aus, gespeist aus Leak-Datenbanken mit Hunderten Millionen geleakter Zugangsdaten. Wenn Ihr Administrator einen Benutzernamen wie admin, Ihren Firmennamen oder Ihren Vornamen verwendet und ein Passwort, das irgendwo im Internet in einem früheren Leak aufgetaucht ist, stehen Sie bereits auf der Liste.
Die Lösung ist nicht kompliziert. Verwenden Sie einzigartige, lange Passwörter. Verwenden Sie einen Passwortmanager. Verwenden Sie Zwei-Faktor-Authentifizierung für jedes Administratorkonto. Begrenzen Sie Anmeldeversuche. Benennen Sie Ihren Standard-Admin-Benutzer in etwas Nicht-Erratbares um. Diese Schritte sind langweilig und stoppen die meisten automatisierten Angriffe schlagartig.
3. Veralteter WordPress-Core
Der WordPress-Core selbst ist im Allgemeinen gut gepflegt, mit schnell ausgelieferten Sicherheitsversionen. Das Risiko besteht nicht darin, dass der Core voller Löcher ist. Das Risiko besteht darin, dass manche Website-Betreiber automatische Updates deaktivieren und dann vergessen, die manuellen einzuspielen. Eine WordPress-Version auszuführen, die ein oder zwei Jahre alt ist, bedeutet, mit öffentlich dokumentierten Schwachstellen zu laufen, die jeder Scanner erkennen kann.
WordPress sagt Ihnen, wenn ein Update verfügbar ist. Spielen Sie es ein. Wenn Sie sich um die Plugin-Kompatibilität sorgen, spielen Sie es zuerst auf einer Staging-Kopie ein. Lassen Sie es nicht liegen.
4. Kompromittierte Themes
Themes sind ebenfalls Code und bergen dieselben Risiken wie Plugins. Das größere Problem sind raubkopierte Themes, die von zwielichtigen Seiten heruntergeladen werden. Eine kostenlose Kopie eines Premium-Themes von einer Torrent-Seite ist fast immer mit Hintertüren, versteckten Links oder Schlimmerem durchsetzt. Die Ersparnis bei einem Hundert-Dollar-Theme kann Tausende an Bereinigung kosten.
Bleiben Sie bei Themes aus dem offiziellen WordPress-Verzeichnis oder von seriösen Anbietern mit aktivem Support und regelmäßigen Updates. Bezahlen Sie für das, was Sie nutzen. Das ist viel günstiger als die Alternative.
5. Offengelegte Konfigurations- und Backup-Dateien
Eine überraschende Zahl von WordPress-Websites lässt sensible Dateien durchsickern, die niemals im öffentlichen Web hätten liegen dürfen. Backup-Archive im Dokumentenstammverzeichnis, .sql-Dumps, .env-Dateien und alte Kopien der wp-config.php mit Namen wie wp-config.bak. Sobald ein Angreifer eine davon herunterlädt, hat er Datenbank-Zugangsdaten, geheime Schlüssel oder beides.
Prüfen Sie Ihr Dokumentenstammverzeichnis. Alles, was nicht Teil von WordPress ist, gehört nicht dorthin. Verschieben Sie Backups vom Server weg. Löschen Sie alte Entwicklerdateien. Sperren Sie den direkten Zugriff auf gängige sensible Dateinamen auf Serverebene.
6. Standortübergreifende Verseuchung auf Shared Hosting
Auf günstigem Shared Hosting können mehrere WordPress-Websites auf demselben Konto oder sogar derselben Festplatte liegen. Wird eine davon kompromittiert, hat der Angreifer oft die Möglichkeit, auf die anderen überzuspringen und dieselbe Schadsoftware auf jeder Website im Topf abzulegen. Das ist ein häufiges Muster bei Agenturen, die zwanzig oder dreißig Kundenwebsites auf einem einzigen Shared-Plan betreiben.
Isolieren Sie Websites. Nutzen Sie ein ordentliches Managed-WordPress-Hosting, bei dem jede Website in ihrem eigenen Container sitzt. Prüfen Sie jede andere Website, die sich Ihre Umgebung teilt, mit derselben Sorgfalt wie Ihre eigene.
7. Missbrauch von XML-RPC und der REST-API
WordPress stellt zwei wichtige programmatische Schnittstellen bereit, xmlrpc.php und die REST-API. Beide sind legitim, beide können nützlich sein, und beide wurden als Angriffsvektoren genutzt. Insbesondere XML-RPC wurde historisch für verstärkte Brute-Force-Angriffe missbraucht, bei denen eine einzige Anfrage viele Passwortversuche gleichzeitig unternehmen kann.
Wenn Sie XML-RPC nicht nutzen, deaktivieren Sie es. Wenn Sie keinen unauthentifizierten REST-API-Zugriff auf bestimmte Endpunkte benötigen, beschränken Sie ihn. Die meisten modernen Hoster und Sicherheits-Plugins machen das unkompliziert.
8. Gestohlene Sitzungen und Cookies
Ein Angreifer braucht nicht immer Ihr Passwort. Kann er ein Sitzungscookie abfangen, etwa durch einen Man-in-the-Middle auf einer unsicheren Verbindung, kann er sich für die gesamte Gültigkeitsdauer dieser Sitzung als Sie ausgeben. Sich über öffentliches WLAN ohne VPN anzumelden oder eine Website ohne durchgängig korrektes HTTPS zu betreiben, macht das viel leichter.
Verwenden Sie immer HTTPS. Erzwingen Sie es websiteweit. Setzen Sie sichere Cookie-Flags. Melden Sie sich ab, wenn Sie fertig sind. Rotieren Sie die WordPress-Salts und -Schlüssel regelmäßig, damit bestehende Sitzungen ungültig werden.
9. Social Engineering von Mitarbeitenden und Auftragnehmern
Manche Kompromittierungen benötigen überhaupt keine Softwarelücke. Eine Phishing-E-Mail, die einen Mitarbeiter auffordert, sich auf einer gefälschten Admin-Seite anzumelden, eine gefälschte Rechnungs-E-Mail, die einen Entwickler dazu bringt, einen feindlichen Shell-Befehl auszuführen, ein Auftragnehmer, der überall dasselbe Passwort wiederverwendet und es dann anderswo geleakt bekommt. Menschen sind Teil der Angriffsfläche.
Schulen Sie Ihre Mitarbeitenden. Nutzen Sie teamweit einen Passwortmanager. Erzwingen Sie Zwei-Faktor-Authentifizierung. Begrenzen Sie die Zahl der Konten mit Administratorrechten. Entfernen Sie Konten, sobald jemand das Projekt verlässt.
10. Vergessene und aufgegebene Websites
Viele WordPress-Websites werden für eine Kampagne, ein Event oder ein Nebenprojekt gestartet und dann vergessen. Sie laufen weiter auf demselben Hosting, mit denselben Zugangsdaten, und veralten langsam. Ein Jahr später sind sie ein perfektes Ziel. Der Betreiber prüft sie nicht mehr, Google und die Bots schon.
Wenn Sie eine WordPress-Website nicht mehr brauchen, nehmen Sie sie ordentlich vom Netz. Exportieren Sie die Inhalte, legen Sie die Installation still, geben Sie die Domain frei, archivieren Sie die Datenbank. Lassen Sie keine aufgegebenen Installationen im öffentlichen Internet zurück.
Wie Sie sich tatsächlich gegen all das verteidigen
Die Verteidigungsmaßnahmen sind nicht exotisch. Halten Sie alles aktuell. Verwenden Sie starke, einzigartige Passwörter plus Zwei-Faktor-Authentifizierung. Betreiben Sie ein ernstzunehmendes Sicherheits-Plugin wie Wordfence und beachten Sie, was es Ihnen sagt. Stellen Sie sicher, dass Ihr Hoster seriös ist, Websites ordentlich isoliert und externe Backups anbietet. Prüfen Sie Ihre Plugins, Themes und Administratorkonten mindestens vierteljährlich. Rotieren Sie Schlüssel und Salts, wenn Mitarbeitende oder Auftragnehmer wechseln. Stellen Sie gelegentlich aus einem Backup wieder her, einfach um zu wissen, dass es funktioniert.
Nichts davon ist glamourös. Es ist Routine, und es funktioniert. Die Websites, die kompromittiert werden, sind fast nie diejenigen, die all das getan haben. Es sind die, die das meiste davon getan haben oder gar nichts, und annahmen, sie seien zu klein, um aufzufallen.
Brauchen Sie Unterstützung?
Wenn Sie einen ehrlichen Blick darauf wünschen, wie exponiert Ihre WordPress-Website wirklich ist, kann Defyn ein Sicherheitsaudit durchführen und Ihnen genau zeigen, was wir gefunden haben. Nehmen Sie Kontakt auf, und wir helfen Ihnen, die Türen zu schließen, bevor jemand anderes hindurchgeht.
