{"id":1335,"date":"2026-03-07T16:37:57","date_gmt":"2026-03-07T15:37:57","guid":{"rendered":"https:\/\/svenczaja.de\/?p=1335"},"modified":"2026-03-07T22:56:31","modified_gmt":"2026-03-07T21:56:31","slug":"wenn-die-webseite-faellt","status":"publish","type":"post","link":"https:\/\/svenczaja.de\/index.php\/2026\/03\/07\/wenn-die-webseite-faellt\/","title":{"rendered":"Wenn die Webseite f\u00e4llt …"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n
\n

Letztens fragte mich eine Kundin, ob ich mir einmal ihre Webseite anschauen k\u00f6nnte. Klar, schnell gemacht. Dabei habe ich gleich mehrere Sicherheitsl\u00fccken gefunden und nebenbei auch ein paar ergonomische Themen angesprochen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Da sieht man wieder, wie wertvoll es sein kann, wenn jemand einmal unbedarft auf eine Webseite schaut. Wenn das dann noch mit technischem Know-how gepaart ist, steht einem professionellen und sicherem Erscheinungsbild nichts mehr im Weg.<\/p>\n\n\n\n

\"Czaja<\/figure>
\n

Angebot:<\/strong> Sofern Sie gerne auch Ihre Webseite einmal sicherheitstechnisch pr\u00fcfen lassen wollen. Kontaktieren Sie mich gerne. Im Rahmen meiner Firmen IT-Dienstleistungen<\/strong> biete ich Sicherheit-Services ebenfalls an.<\/p>\n<\/div><\/div>\n\n\n\n

<\/p>\n\n\n\n

Gerade Sch\u00e4den durch manipulierte Webseiten werden immer noch untersch\u00e4tzt. Defacing, also das Verunstalten einer Webseite, ist dabei oft noch das kleinste Problem. Wenn jedoch urheberrechtlich gesch\u00fctzte Filme pl\u00f6tzlich zum Download bereitgestellt werden, w\u00e4hrend man davon auf der eigenen Webseite gar nichts mitbekommt, kann es richtig teuer werden.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Auch hinterlegte Schadsoftware, die es Angreifenden erm\u00f6glicht, die Besuchenden der Webseite zu kompromittieren, ist leider keine Seltenheit. Und wer m\u00f6chte schon gerne von seinen Kunden h\u00f6ren:<\/p>\n\n\n\n

<\/p>\n\n\n\n

\u201eDas habe ich mir von deiner Webseite eingefangen.\u201c <\/em><\/p>\n\n\n\n

<\/p>\n\n\n\n

Dann ist die sch\u00f6ne Reputation schnell dahin.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Daneben habe ich bei Kunden auch schon \u00f6ffentlich erreichbare Preislisten und detaillierte Produktinformationen gesehen, die eigentlich nur in einem gesch\u00fctzten Kundenbereich liegen sollten. Woher kommt das? Oftmals werden Webseiten irgendwann einmal bei einem Dienstleister einmalig beauftragt. Der richtet dann alles sch\u00f6n ein und gestaltet alles ganz toll. Vielleicht traut sich der eine oder andere das auch selbst zu, denn heute funktioniert vieles nach Baukastenprinzip.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Und dann vergisst man das Ganze. Das entspricht ungef\u00e4hr einem neuen Auto, das man sich einmal kauft und denkt, das l\u00e4uft jetzt erst einmal, da muss ich nichts machen. Doch auch jedes Auto braucht Wartung, \u00d6lwechsel sowie Bremsen-, Reifen- und Fl\u00fcssigkeitschecks. Daher geh\u00f6rt das ganz selbstverst\u00e4ndlich auch zur IT. Und ja, das kostet Geld, mindert aber ein Risiko.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Mit dem zunehmenden Einsatz von KI wird au\u00dferdem das Unterbringen von sogenannten KI-Anweisungen (Prompt Injection) ein immer beliebterer Trend. Webseiten, die h\u00e4ufig von KI-Systemen besucht werden, um deren Inhalte zu verwenden, sind daf\u00fcr ein besonders attraktives Ziel. Schon mal ausprobiert, wie einfach das ist? Erstaunlich einfach.<\/p>\n\n\n\n

<\/p>\n\n\n\n

In der Debatte um OpenClaw habe ich gerade die Fantasie, einen solchen v\u00f6llig autonomen KI-Agenten auf einem separaten physischen System laufen zu lassen und ihm zu sagen: \u201eHack die Webseite.\u201c Man wird \u00fcberrascht sein, wie einfach dieser mal eben einen Exploit zum Ausnutzen bekannter Schwachstellen schreibt. Das Wissen dazu ist im Netz vorhanden, es muss nur kombiniert werden und genau das k\u00f6nnen diese Systeme mittlerweile sehr gut.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Bei einem Gro\u00dfteil der F\u00e4lle sind es ganz einfache Dinge: ungepflegte Plugins oder veraltete Software. Auf der anderen Seite findet man h\u00e4ufig Schnittstellen, die offen erreichbar sind, obwohl sie eigentlich gar nicht ben\u00f6tigt werden und somit ein unn\u00f6tiges Risiko darstellen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Dazu kommt sogenanntes Information Disclosure. Also Informationen \u00fcber die Webseite, ihre Struktur oder den Login-User, die \u00f6ffentlich einsehbar sind und sich f\u00fcr m\u00f6gliche Angriffe nutzen lassen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Gerade erst wieder gesehen: Der Benutzername der Webseite konnte mit einfachsten Methoden ermittelt werden. Danach kurz gepr\u00fcft, ob automatisierte Login-Versuche m\u00f6glich sind, ob es Limits gibt, und schon ist eine Brute-Force-Attacke gegen eine solche Seite vorbereitet. Dann ist es oft nur eine Frage der Zeit, bis die Webseite f\u00e4llt auch ohne eine aktive CVE-Sicherheitsl\u00fccke.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Auff\u00e4llig finde ich auch immer noch, dass die einfachste H\u00e4rtung h\u00e4ufig nicht umgesetzt wird: das Einschr\u00e4nken von Verzeichniszugriffsrechten, das Abschalten unn\u00f6tiger Schnittstellen, das Verhindern der Ermittlung von Login-Namen, das Blockieren direkter Zugriffe auf sensible Dateien, Setzen von Ratelimits f\u00fcr Logins und das rudiment\u00e4re Ausblenden von Versionsnummern von Software oder Plugins. Ja, das ersetzt nat\u00fcrlich keine regelm\u00e4\u00dfigen Updates, und oftmals sind Versionsnummern so tief verdrahtet, dass das Entfernen mehr Probleme verursacht, als es l\u00f6st. Viele sagen, das sei nur \u201eSecurity by Obscurity\u201c. Aber Bots durchsuchen Netze automatisiert auch nach anf\u00e4lligen Versionsnummern, offenen Schnittstellen, Verzeichnisauflistungen oder ermittelbaren Benutzerkonten und f\u00fchren darauf basierend automatisierte Angriffe aus. Wenn man dabei nicht gleich in der ersten Welle auftauchen m\u00f6chte, macht man es den Angreifenden zumindest nicht unn\u00f6tig leicht.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Daneben geh\u00f6rt f\u00fcr mich auch ein gutes Logmanagement und ein funktionierendes Reaktionssystem dazu. Wenn Angriffe stattfinden, sollte man diese erstens automatisiert in den Logs erkennen und einen Alert ausl\u00f6sen. Und zweitens sollte man Ma\u00dfnahmen haben, um solche Angreifende beispielsweise automatisiert \u00fcber eine Firewall auszusperren. Da bewegen wir uns dann allerdings schon auf der Ebene der Hoster. Typische Website-Inhabende werden sich dar\u00fcber vermutlich kaum Gedanken machen. Das sehe ich auch klar in der Pflicht des technischen Betreibers.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Oft h\u00f6re ich dann: \u201eDa habe ich wohl einen wirklich schlechten Dienstleister oder Hoster, dem muss ich mal auf die F\u00fc\u00dfe treten.\u201c<\/p>\n\n\n\n

<\/p>\n\n\n\n

Ich kenne allerdings auch die andere Seite. Software aktuell zu halten, bedeutet nicht einfach nur, automatisiert Updates einzuspielen. Kunden erwarten schlie\u00dflich, dass ihre Webanwendungen weiterhin funktionieren. Spielt man Updates ein, beschwert sich der Kunde pl\u00f6tzlich, weil seine Seite nicht mehr funktioniert, etwa wegen Inkompatibilit\u00e4ten mit Plugins, Anwendungen oder Datenbanken. Updatet man hingegen nicht, beschwert sich der Kunde \u00fcber fehlende Wartung und Sicherheitsrisiken. Und gleichzeitig hei\u00dft es oft: Das darf aber fast nichts kosten.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Sicherheit, automatisierte Tests und regelm\u00e4\u00dfige Wartung kosten Geld sowie Aufwand. Wer das m\u00f6chte, muss auch bereit sein, daf\u00fcr zu zahlen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Kein Mensch w\u00fcrde auf die Idee kommen, an der Sicherheit seiner Haust\u00fcr zu sparen. Bei Webseiten sieht das leider oftmals anders aus, obwohl sie f\u00fcr viele Unternehmen die digitale Eingangst\u00fcr darstellen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"Czaja<\/figure>
\n

Angebot:<\/strong> Jetzt bereit f\u00fcr den Security Check Ihrer Webseite? Einfach unverbindlich und kostenlos anfragen. <\/p>\n<\/div><\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Letztens fragte mich eine Kundin, ob ich mir einmal ihre Webseite anschauen k\u00f6nnte. Klar, schnell gemacht. Dabei habe ich gleich mehrere Sicherheitsl\u00fccken gefunden und nebenbei auch ein paar ergonomische Themen angesprochen. Da sieht man wieder, wie wertvoll es sein kann, wenn jemand einmal unbedarft auf eine Webseite schaut. Wenn das dann noch mit technischem Know-how … <\/p>\n

\u201eWenn die Webseite f\u00e4llt …\u201c <\/span>weiterlesen<\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[98],"tags":[95,93,97,96,89,91,92,94,88,90,38],"class_list":["post-1335","post","type-post","status-publish","format-standard","hentry","category-security","tag-check","tag-cve","tag-defacing","tag-pruefung","tag-security","tag-sicherheit","tag-typo3","tag-updates","tag-webseite","tag-website","tag-wordpress","entry"],"_links":{"self":[{"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/posts\/1335","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/comments?post=1335"}],"version-history":[{"count":35,"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/posts\/1335\/revisions"}],"predecessor-version":[{"id":1382,"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/posts\/1335\/revisions\/1382"}],"wp:attachment":[{"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/media?parent=1335"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/categories?post=1335"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/svenczaja.de\/index.php\/wp-json\/wp\/v2\/tags?post=1335"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}