Inhalte:
Die Wahl des Benutzernamens und des Passworts ist immer noch die größte Sicherheitslücke, die in einem WordPress-System bestehen kann.
Nutze auf keinen Fall den Standardnutzer „admin“ und beschränke das Passwort nicht auf ein paar Buchstaben.
Wichtig ist in diesem Kontext, dass du keine Wörter oder Sätze oder Zahlen verwendest, die irgendwie mit dir in Verbindung gebracht werden können.
Hacker versuchen so etwas als aller erstes zu knacken. Nutze also kein 77 im Passwort, nur weil du 1977 geboren wurdest.
Es ist an sich zu vermeiden, ganze Wörter zu verwenden. Hacker führen oftmals eine sogenannte „Brute Force“-Attacke aus, das heißt, ein Programm testet automatisch alle möglichen Kombinationen aus Benutzernamen und Passwörtern. Für Passwörter existieren ganze Listen an Wörtern (meist mehrere Milliarden), die einfach alle der Reihe nach probiert werden. Wenn du kein Passwort nutzt, das ein normales Wort ist, nimmst du dem Angreifer bei diesem Angriff schon mal zu einem Teil den Wind aus den Segeln.
Aber auch kurze Passwörter sind zu vermeiden, auch wenn sie sinnlos aneinander gereihte Buchstaben sind. Auch hier greift ein Hacker mit einem „Brute Force“-Angriff an, der einfach alle möglichen Kombinationen aus Buchstaben als Passwort durchprobiert.
Nutzt du jetzt nur ein 4-Stelliges Passwort, ist die Anzahl der Möglichkeit verschwindend gering.
Um das einmal zu berechnen, bleiben wir mal bei dem Benutzernamen „admin“ und dem Passwort mit 4 Kleinbuchstaben. (Vorsicht, jetzt wird es mathematisch)
Es gibt eine Formel zum berechnen der Anzahl der Möglichkeiten:Kombinationen = Anzahl möglicher Zeichen HOCH Passwortlänge
Somit wären das bei unserem Beispiel 26 (nur Kleinbuchstaben ohne ä,ö,ü und ß) HOCH 4 = 456976 Kombinationen.
Je nach Leistung des Computers des Angreifers kann dieser mindestens 2 Milliarden Versuche pro Sekunde ausführen. Das wären dann umgerechnet:
456.976 : 2.000.000.000 = 0,000228488 Sekunden, bis das Passwort geknackt wäre.
Ich empfehle somit eine Passwortlänge von mindestens 10 Zeichen, bestehend aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. (Dauer zum Knacken: 777729 Tage. In dieser Zeit solltest du es sowieso schon wieder geändert haben)
Ich weiß, Passwörter in dieser Menge sind schwer zu merken. Aber dafür gibt es so genannte Passwort-Manager. Diese kannst du einfach in deinem Browser installieren und er speichert das Passwort für dich.
Da wir gerade bei der „Brute Force“-Attacke waren: Eine hierbei sehr hilfreiche Methode ist, den Login nach einer Anzahl an fehlgeschlagenen Login-Versuchen zu beschränken.
Hierfür eignet sich beispielsweise das Plugin „Login Lockdown„. In diesem kann man frei einstellen, nach wie vielen Versuchen sich der Login für wie lange sperrt.
Für Websiten, die über ein Kontaktformular verfügen ist es sowieso schon inzwischen Gesetz: Die Domains müssen über ein SSL-Zertifikat verfügen.
Um zu verstehen, was diese Zertifikate bringen, muss ich dir die Methode der Hacker näherbringen.
Um diesen Angriff auszuführen, muss sich der Hacker im gleichen Netzwerk (WLAN oder LAN) wie du befinden. Das ist allerdings nicht so schwer wie du denkst: Es gibt auch hierfür Hackertools. Befindet sich der Hacker dann einmal in dem Netz, leitet er den Datenverkehr von dir über seinen eigenen Computer zum Router um (ARP-Spoofing). Dadurch kann er am Rechner alles mitlesen, was du so im Internet machst. Auch Passwörter sind offen einsehbar!
Ein SSL-Zertifikat verschlüsselt den Netzwerkverkehr. Heißt, der Angreifer könnte nur noch verschlüsselte Werte lesen, mit denen er nichts anfangen kann.
Natürlich gibt es auch hierfür wieder Möglichkeiten, wie ein Hacker das trotzdem auslesen kann, jedoch ist es deutlich komplexer.
Was für ein SSL-Zertifikat auch sinnvoll ist, ist die Aktivierung von HSTS.
Falls du deine Website bei fabian heinz webdesign hostest, sprich uns einfach auf das SSL-Zertifikat an!
Ob deine Website über ein SSL-Zertifikat verfügt, siehst du beim Browser daran, dass in der Adresszeile https:// anstatt http:// steht.
Zitat aus Ihrem obigen Artikel:
„Es gibt noch eine weitere Möglichkeit, dem Hacker das Login über eine „Brute Force“-Attacke zu erschweren. Hierbei wird, bevor der Nutzer die Möglichkeit hat, einen Nutzernamen und ein Passwort einzugeben, eine weitere Nutzername und Passwortabfrage eingeblendet. Falls Sie bei fabian heinz webdesign Ihre Website hosten, können Sie im Verwaltungs-Backend unter „Tools“ auf „Verzeichnisschutz“ für Ihren „wp-admin“-Ordner solch eine Abfrage einrichten.“
Wie kann ich so etwas anlegen, wenn ich meine Webseite nicht bei Ihnen hoste? Gibt es ein Plugin dafür oder muss ich hierfür irgendwo einen Code eingeben? Es wäre nett, wenn Sie mir hierauf antworten könnten. Danke!
LG
Sandra
Hallo Sandra,
ja, das ist möglich. Die Art und Weise hängt jedoch stark von den Systemen Ihres Hosters ab. Möglicherweise bietet der Hoster im Backend ebenfalls eine solche Funktion an. Falls nicht, hier die Anleitung (kurzfassung) für Apache-basierte Webserver:
1. Legen Sie eine .htaccess Datei in Ihrem Webspace unter /wp-admin/ ab.
2. Kopieren Sie folgenden Text in die Datei:
3. Ersetzen Sie nun „PFADANGABE“ mit dem absoluten Pfad zu der Datei.
4. Generieren Sie nun z.B. mit dem .htpasswd-Generator eine .htpasswd-Datei und platzieren Sie diese in dem eben angegebenen Ordner.
Das ist nicht die sicherste Lösung, da optimalerweise die .htpasswd nicht direkt in dem Webspace, sondern außerhalb, gespeichert werden sollte. Jedoch hat man auf herkömmlichen angemieteten Webspaces hierzu keine Möglichkeit.