Herzlich willkommen zurück nach der Mittagspause.
Ich hoffe, ihr seid frisch gestärkt und auch fit im Kopf.
Wie ihr merkt, das Mikrofon, mein Mikrofon ist jetzt auf dem anderen Kanal.
Deswegen gibt es keine Störungen mehr.
Herzlich willkommen, Manja Neumann aus Düsseldorf.
Aus Düsseldorf.
Manja ist Web-Entwicklerin und hat ein Kundenprojekt begleitet,
wo ein Pentest, was das ist, werden wir jetzt gleich erfahren,
vorbereitet wurde, ist mit einer Kundenseite.
Manja berichtet uns über die Fallstricke, in die man da so überall reintappen kann.
Viel Spaß.
Hallo auch von mir.
Wie gesagt, ich bin Manja aus Düsseldorf.
Ich freue mich, dass wir jetzt gemeinsam dieses faszinierende Thema
der Internetsicherheit bearbeiten können.
So zum Einstieg, damit wir so ein bisschen reinkommen in dieses Thema.
Wer von euch ist schon mal gehackt worden oder hat Kunden, die gehackt wurden?
Yes.
Und wem ist das in den letzten vier Monaten passiert?
Also ich muss sagen, bei meinen Kunden-Webseiten, nicht nur Kunden-Webseiten,
also ich habe in den letzten Monaten enorm viele Hacks begleitet,
vor die Nase bekommen und ich weiß auch, warum.
Es gibt nämlich zwei Gründe und bei beiden ist etwas schuld
und wir wissen alle was, die KI.
Zum einen haben wir mit der KI das Problem, sie findet Schwachstellen
und sie ist fleißig, sie kann den ganzen Tag und die ganze Nacht suchen
und sie findet was.
Zum anderen haben wir Kunden, die plötzlich denken, sie können programmieren.
Ihr könnt euch nicht vorstellen, was ich in den letzten Monaten
für Sachen gesehen habe, direkt aus der Hölle.
Und wir haben jetzt, also wir gemeinschaftlich haben jetzt eine Aufgabe,
wir haben eine Mission, wir müssen die Webseiten einfach wieder besser machen.
Wir müssen die Webseiten wie so eine Burg betrachten,
also eine mittelalterliche Burg.
Vor zehn Jahren hat es noch gereicht, die auf einem Berg zu bauen,
wir brauchen aber heute, wir brauchen eine Mauer,
wir brauchen eine Zugbrücke, die nachts zugemacht wird,
wir brauchen einen Burggraben, wir brauchen Krokodile im Burggraben
und die müssen hungrig sein.
Wir müssen ganz, ganz viel machen, damit die Seite sicher ist.
Und um das zu testen gibt es diese Art Pentest.
Jetzt aber.
Was machen wir jetzt?
Also ich erzähle euch, ich habe ein Kundenprojekt gehabt,
zwei Jahre haben wir die Website gebaut für eine Organisation
und sobald diese Organisation live geht, muss sie einen Pentest bestehen.
Gehackt werden ist in diesem Fall keine Option, keine.
Also haben wir diesen Pentest vorbereitet,
wir haben ihn durchführen lassen, die Ergebnisse zeige ich euch gleich.
Ganz am Ende gibt es von mir eine Checkliste,
was bei uns funktioniert hat, um den Pentest zu bestehen.
Das kann sein, dass es bei euch andere Dinge sind, aber es ist schon mal ein guter Einstieg.
Das bin ich, ich bin Manja.
Ich bin WordPress und WooCommerce Freelancer.
Ich organisiere mit ein paar ganz lieben Leuten in Düsseldorf das Meetup
und mal hin und wieder auch ein WordCamp.
Wer mit mir Kontakt aufnehmen will, gerne auf Instagram.
Man kann es auch LinkedIn probieren, aber da bin ich ungern.
Mag ich nicht, weiß auch nicht warum.
Was ist so ein Pentest?
Jetzt habe ich mehrmals dieses Wort fallen lassen,
manche wissen es von mir vielleicht gar nicht.
Hat jemand von euch schon mal so einen Pentest begleitet?
Ja, sehr gut.
Für die anderen.
Also man beauftragt einen Menschen oder mehrere,
sich in das System hineinzuhacken.
Also man bezahlt viel Geld dafür, dass andere Menschen versuchen,
irgendwie in das System einzudringen.
Und die geben einem danach eine Liste, wie sie es geschafft haben.
Es ist vor allem kein automatischer Scan.
Der Test passiert einmalig.
Unser Pentest sollte nach OWASP funktionieren.
Das wurde mir vorher gesagt, das war so die einzige Info, die ich hatte.
Okay, OWASP, habe ich geguckt.
Was ist es?
Das ist das Open Worldwide Application Security Project.
Eine Organisation, die sich zur Aufgabe gemacht hat,
Schwachstellen zu benennen, zu dokumentieren.
Und die geben regelmäßig eine Top Ten raus.
Diese Top Ten bezieht sich auf zum einen echte Hacks,
also die werten Hacks aus, was ist passiert,
wie kamen die Leute rein.
Und zum anderen auch eine Befragung.
Das heißt, diese Top Ten beinhalten beides.
Was die Community denkt und echte Zahlen.
Also da kommt ihr zu diesem OWASP Project.
Und da könnt ihr sehr tief nachlesen
und euch in Schwachstellen verlieren.
Wir gehen jetzt mal ganz kurz durch die Top Ten.
Ihr könnt ein bisschen mitraten, was ihr denkt.
Also gerade so die ersten fünf sind jetzt, na ja.
Aber wenn es dann so in die Top Five geht, wird es schon spannend.
Auf Platz zehn.
Fehler.
Okay, Fehler verraten Informationen.
Das ist in WordPress nicht ganz so wild.
Aber es gibt ein eklatantes Problem.
Wenn ein Plugin einen Fehler hat und den auswirft
und in der wp-config ist nicht definiert,
was mit Fehlern passiert,
dann wird der einfach im Frontend gezeigt.
Das Publikum fühlt sich vielleicht gestört, irritiert.
Aber jemand, der sich hinein hacken möchte in eure Website,
der kann damit ziemlich viel anfangen.
Es ist einfach too much information.
Gehen wir zum nächsten.
Nummer neun.
Security Logging und Alerting-Fehler.
Ja, also das ist eins dieser Community-Probleme.
Also das ist nicht beobachtet worden,
sondern die Community ist der Meinung,
dass das auf jeden Fall zu Problemen führt,
wenn man Angriffe und Fehlversuche nicht überwacht.
Ganz, ganz einfaches Beispiel.
Ich habe einen Kunden, da hat tatsächlich jemand
über Nacht einen Admin-Benutzer angelegt,
den der Kunde nicht kennt.
Es ging eine E-Mail sogar raus, aber an eine info@-Adresse.
Die Sekretärin wusste nichts damit anzufangen
und hat die E-Mail gelöscht.
Und die IT-Abteilung hat erst zwei Wochen später davon erfahren.
Das wäre zu verhindern gewesen.
Nummer acht.
Kann jemand bei euch unbemerkte Dateien auf dem Server ändern?
Also hier, zum Beispiel, könnte man sagen,
man kann zum Beispiel aus dem Backend heraus
in dem Plugin-Editor oder im Theme-Editor
ganz leicht Dinge ändern.
Super praktisch, aber sollte man einfach nicht machen.
Gutes Benehmen, einfach blockieren.
Darunter fallen aber auch so Dinge wie
das Sonderangebot von Avada.
Heute kostet es nichts auf
irgendeiner dubiosen Seite, würde ich nicht machen.
Es würde dann zu diesem Fehler führen.
Langsam wird es spannend.
Hier würde wahrscheinlich jeder sagen,
Das ist doch logisch.
Passwörter, zwei Faktor, das ist doch Standard.
Nee, ist es nicht.
Es tut mir leid, das sagen zu müssen,
auch heute, 2026, ist das nicht Standard.
Auch noch nicht, dass starke Passwörter verwendet werden,
dass eine Zwei-Faktor-Authentifizierung da ist.
Das ist tatsächlich in der Praxis nicht Standard.
Und ich schüttel jedes Mal den Kopf.
In unserem Fall jetzt, in meinem Kundenprojekt,
hatten wir noch ein zusätzliches Problem.
Die Mitarbeiter dieser Organisation müssen
ihre Handys am Eingang abgeben und einschließen.
Es darf am Arbeitsplatz kein Handy verwendet werden.
Sie haben keine eigenen E-Mail-Adressen
und es darf kein Authenticator auf dem PC sein.
Das heißt, es gibt eigentlich kein Zwei-Faktor.
Ich dachte im ersten Schritt, gar kein Problem,
wir sichern ja das Login über ein Reverse-Proxy ab.
Das heißt, das Login ist nur erreichbar,
wenn man sich in dem Gebäude da befindet,
im Netzwerk oder per VPN sich einwählt.
Der Pentester fand das erstmal nicht so.
Ich habe ihn kontaktiert und habe ihm das Problem geschildert.
Das fand er nicht so gut.
Ich habe es dann aber nochmal dokumentiert,
dass es unmöglich ist, sich da reinzuhacken,
wenn es ein abgesichertes Login gibt.
Und habe ihn dann damit beschwichtigt,
dass ich, obwohl ich einen VPN verwende,
Zwei-Faktor machen werde, weil ich habe ein Handy.
Und alle anderen sind jetzt Redakteure und dürfen es nicht.
Damit haben wir das Problem ein bisschen umgangen.
Also man kann mit den Menschen auch reden.
Sie sagten zwar am Anfang, Regeln sind Regeln, aber es ging.
Also man muss einfach so ein bisschen hin und her argumentieren,
wenn man solche Dinge hat.
Aber in allen anderen Fällen, ich meine,
wie viele Organisationen dürfen keine Handys am Arbeitsplatz verwenden?
Insecure Design, Sicherheitsaspekte werden nicht eingeplant.
Darunter fällt zum Beispiel ganz, ganz schlimm.
Man hat ein Formular, Bewerbungsformular,
und die Leute können ihren Lebenslauf hochladen.
Wenn dieses Formular nicht prüft, was in der Datei drin ist,
dann kann das unangenehm enden.
Versucht einfach, Formularplugins zu nehmen, denen ihr vertraut.
Generell, Formularplugins sind schwierig.
A5, Injection.
Eigentlich so das Spannendste und Interessanteste.
Ich hätte gesagt, bis vor kurzem kommt jetzt einem normalen Benutzer kaum in den Weg.
Aber hey, wir können ja jetzt alle programmieren.
Macht es nicht. Macht es einfach nicht.
Also vor allem nicht was irgendwie in Richtung Formulare geht, Suche und Ähnliches.
Wenn ihr nicht wisst, was ihr tut, bitte, bitte, bitte, bitte.
Das ist echt gefährlich.
Unsichere und fehlende Verschlüsselung.
Auch da denkt man, wir haben doch 2026.
Aber mal ganz ehrlich, warum haben alle Webseiten SSL?
Weil Google es sonst abstraft und weil die Browser die Seiten sonst nicht ausliefern.
Nicht, weil die Leute der Meinung sind, das ist sicherer für meine Webseite.
Sie wurden dazu gezwungen.
Und wenn ich jetzt frage, wie viele von euch ihre Security-Headers pflegen.
Werden dann alle Arme oben sein?
Ja? Wie viele von euch pflegen ihre Security-Headers?
Okay, wir haben eine Aufgabe.
Wir treffen uns nächste Woche um dieselbe Zeit nochmal hier.
Und dann will ich alle Arme oben sehen.
Ja, das ist ein Follow-up.
Das ist echt wichtig.
Ich würde mir wünschen, dass auch das Google abstraft.
Wenn die nicht ordentlich gepflegt sind.
Hier kommen wir zu einem weiteren All-Time-Favorite.
Sicherheitslücken in Plugins und Teams. Was dagegen hilft:
Updaten, Updaten, Updaten.
Vor zehn Jahren hätte ich noch gesagt, oh, automatische Updates.
Könnte das Design kaputt gehen.
Heute sage ich, alle denen ihr vertraut, macht es auf automatisch.
So kann weniger kaputt gehen.
Mein Gott, dann ist das Design ein bisschen verrutscht.
Aber wenigstens ist die Sicherheitslücke geschlossen.
Oder ihr guckt einfach permanent rein.
Schlechte, fehlende Standardeinstellung ist in WordPress relativ wenig zu finden.
Würde ich sagen, weil wir einfach gut sind.
Können wir uns ja auch mal selber feiern.
Es gibt so ein paar Kleinigkeiten, wo man sagt,
ich würde jetzt sagen XML-RPC-Schnittstelle.
Warum muss die offen sein, wenn man sie nicht braucht?
Warum? Könnte man auch einfach schließen.
Tut doch nicht weh.
Genauso die Rest-API.
Warum ist die komplett immer offen, wenn man sie nicht braucht?
Wenn man sie nicht braucht.
Was man nicht braucht, kann man doch einfach mal abschalten.
Broken Access Control.
Jemand greift auf Dinge zu, auf die er keinen Zugriff haben sollte.
Ist seit Jahren auf Nummer eins.
Das heißt, jemand, der kein Admin ist, darf Admin-Dinge tun.
Da fällt zum Beispiel runter auch, dass man in der Organisation,
wenn man einen neuen Benutzer hinzufügt, einfach jeden erstmal Adminrechte gibt,
weil man ja gar nicht weiß, wie das mit den Rollen, das ist auch kompliziert.
Es gibt ja nicht umsonst ganz viele Rollen bei WordPress.
Aber wie viele setzen wenigstens nur einen Redakteur?
Wie viele gehen auch nur einen Schritt nach unten?
Ah, es ist kompliziert. Müsste man sich mit beschäftigen.
Doch, es ist wichtig.
Also ganz einfache Dinge.
Aber auch so andere Sachen wie, was hatte ich mir noch aufgeschrieben?
Rest-API.
Daraus könnte man jetzt sagen, nicht alles ist so relevant für WordPress.
Was würdet ihr denn jetzt so auf die Top 5 wählen?
So innerlich. Habt ihr da so ein paar Favorites?
Ihr könnt ja mal überlegen.
Passwort ist auf jeden Fall dabei.
Also wir haben hier das Configuration, Injection.
Wunderbar. Authentication-Failures.
Broken Access Control.
Und ganz oben die Plugins, die Sicherheitslücken haben.
Das heißt, ich glaube 95% aller Hacks passieren, weil irgendein Plugin
eine Sicherheitslücke hat und nicht geupdatet wurde.
Es ist leider so.
Ich weiß nicht, wie viele von euch kennen das Schweizer Käse-Modell der IT-Sicherheit?
Ah doch, einige.
Nicht jede der Maßnahmen, die auf meiner Checkliste stehen,
ist für sich gesehen der heilige Gral.
Jede für sich ist okay.
Aber ihr müsst jede einzelne Scheibe wie so eine Käsescheibe eben sehen.
Ihr habt Löcher im System und ihr deckt die ab nacheinander.
Mit jeder einzelnen Scheibe, die ihr drauf tut, werden die Löcher unwahrscheinlicher.
Das heißt, je mehr man drauf pappt, umso besser ist es.
So, jetzt habe ich doch eigentlich alles fertig gemacht.
Ich habe alles beachtet. Ich bin super durchgekommen.
Ich habe mit dem Pentester nochmal über dieses Zwei-Faktor gesprochen.
Was soll schon passieren?
Wir haben den Test gestartet.
Mist.
Was hatte ich nicht beachtet?
Ich dachte, oh nee.
Ich hatte nicht beachtet.
Plugins.
Also, wir hatten Plugins natürlich verwendet und zwar hatten drei Plugins ein Problem.
Ein Plugin war ein externes Plugin.
Zwei waren aus dem Plugin-Verzeichnis.
Ich habe das externe Plugin angeschrieben.
Man kann es ja nicht an den öffentlichen Pranger stellen.
Man muss den ja einfach ein Support-Ticket schreiben.
Habe ich gemacht, zurückkam.
Ist uns egal.
Kannst du auch einfach nicht verwenden.
Das war die Endantwort.
Es wurde nicht darauf eingegangen.
Die Sicherheitsproblematik besteht immer noch.
Wir mussten das Plugin einfach entfernen.
Wir hatten keine Wahl.
Und das Feature gibt es halt jetzt einfach nicht auf der Seite.
Das Zweite hat gemeint, ja, ist uns bewusst.
Wir haben das eigentlich auch schon gefixt.
Einige Teams haben aber noch ein Problem.
Ihr könnt ja schon mal probieren, ob das mit eurem Setup funktioniert.
Hat funktioniert.
Und so wünsche ich mir Support.
Wunderbar, schnell geantwortet.
Mein Problem wahrgenommen und gelöst.
Die Dritten haben geschrieben, stimmt nicht.
Ja, doch, stimmt.
Nö.
Was soll ich denn jetzt noch schreiben, Leute?
Übrigens, die Sicherheitslücken sind bei Patchstack gelistet.
Hier die Links.
Antwort.
Du hast hier sicherheitsrelevante Informationen veröffentlicht.
Und alle unsere Nutzer sind jetzt gefährdet.
Der Post wurde im Support-Forum gelöscht.
Deswegen.
Ich habe richtig Ärger bekommen.
Ich habe auf Slack eine sehr unangenehme Nachricht bekommen.
War es aber wert.
Nach zwei Tagen war das Ding gefixt.
Und ich dachte mir, gut, bin ich die Böse, ist mir egal.
Wir können das Plugin weiter verwenden.
Also so viel.
Einfach Ärger machen, richtig pisaken.
Irgendwann müssen sich die Leute bewegen.
Zumindest, wenn sie im Plugin-Verzeichnis sind.
Yes.
Das war das erste und zweite Mal dann doch bestanden.
Ich war sehr happy.
Und dachte, okay, warte mal.
Morgen müssen wir ja updaten.
Was ist das jetzt eigentlich?
Also so ein Pentest ist ja schön und gut.
Aber es gibt eigentlich zwei Probleme.
Das eine, WordPress ist dynamisch.
Das heißt, ihr müsst diesen Pentest ja eigentlich verinnerlichen und leben.
Und auch an die ganze Firma weitergeben.
Also die müssen wissen, worum es geht.
Ihr müsst wissen, worum es geht.
Und bei jedem Update muss man kritisch sein.
Bei jedem neuen Plugin muss man kritisch sein.
Bei jedem neuen Nutzer muss man kritisch sein.
Es ist nun mal so.
Heute hat euer WordPress vielleicht eine dicke Mauer aus Stein.
Morgen ist es ein Lattenzaun.
Kann sein.
Oder der Koch hat eine Tür eingebaut, weil er besser zum Markt gehen kann.
Das ist alles möglich.
Es ist jeden Tag einfach ein neues System.
Außerdem, was ich beim Pentest ja so ein bisschen traurig finde, ist,
was, wenn jemand trotzdem reinkommt?
Ich glaube nicht mehr daran,
dass eine Website unhackbar ist.
Ich habe zu viel Mist gesehen in den letzten Monaten.
Jede Website, ich fürchte,
in jede Website kommt man rein.
Aber was passiert dann?
Wenn jemand durch die Mauer gekommen ist,
was ist dahinter?
Noch eine Mauer?
Ein Wachhund?
Eine Falle mit Spitzen?
So Eisenstangen, wo man reinfällt?
Das ist doch auch wichtig, oder?
Ich finde, man sollte da auch nochmal
ein paar Sachen, wie bei den Pyramiden,
die haben zwar eine Tür,
jeder weiß, wo es reingeht,
aber bis zur Grabkammer kommt man halt nicht.
Und wenn ihr das mal ausprobieren wollt,
weil nicht jeder
einen Pentest finanzieren kann,
das ist ein bisschen teuer,
dann gibt es eigentlich zwei Möglichkeiten.
Man kann sich
von dem OWASP ein Tool,
das Zapp runterladen.
Das ist ein sehr schönes, kleines Tool.
Viel Einarbeitungszeit ist komplex,
aber es hat einen MCP-Server.
Das ist ein sehr schönes, kleines Tool.
Viel Einarbeitungszeit ist komplex,
aber es hat einen MCP-Server.
Einen MCP-Server.
Das heißt, man kann das einfach
an Claude anschließen und sich auswerten lassen,
was denn die Problematiken sind.
Wer das etwas scheut,
weil es ist aufwendig,
kann das auch mit WPScan probieren.
Das funktioniert gerade
bezüglich WordPress sehr gut.
Man kann sich da so einen API-Key holen
und dann kann man
auch einfach mal die Seite
kontrollieren auf Schwachstellen.
Meine Checklist.
Was habe ich gemacht?
Jetzt versuche ich,
die aufzumachen.
Das ist meine Checklist.
Die könnt ihr einfach benutzen.
Die ist dann eure quasi.
Ihr könnt die ändern, erweitern, Sachen schlöschen.
So könntet ihr vielleicht einfach mal
ein bisschen mehr Routine
in die ganze Sache bringen.
Manche Sachen sind selbstverständlich,
manche ein bisschen komplizierter.
Ich habe die auch nach Schwierigkeit,
von einfach zu schwer
sortiert.
Sie befindet sich
hinter diesem Link.
Ja.
Das ist jetzt was.
Simon hat die ganze Zeit kritisch geguckt.
Ganz schlimm.
Vielen Dank, Manja, für den
lebendigen Vortrag nach der Mittagspause.
So.
Ich hoffe, es ist keiner eingeschlafen.
Nein, das glaube ich nicht.
Gibt es von euch
Fragen, Manja, von Christoph?
Eine Ergänzung
hätte ich an der Stelle,
die habe ich gerade so ein bisschen vermisst,
wo du auf die User eingegangen bist.
Offboarding-Prozess.
Wie oft ich
gesehen habe,
Mitarbeiter XY,
insbesondere Entwickler XY,
der einen Zwei-Faktor-Zugang
hatte,
hat noch einen lebenden Admin-Account,
ist aber schon seit zwei Jahren nicht mehr unterleben.
Absolut.
Ich finde es tatsächlich auch ganz, ganz
beängstigend, dass Kunden mich manchmal
nach drei, vier Jahren anrufen
und sagen, sie hätten ein Problem.
Und wenn ich dann sage,
müsst ihr mir einen Zugang machen.
Ach, den haben wir noch.
Leute, das war nicht ausgemacht.
Also super Tipp.
Offboarding, ja.
Regelmäßig Admin durchgucken.
Also überhaupt mit Benutzer durchgucken.
Man kann Benutzer löschen
und auch später wieder anlegen,
wenn sie dann nochmal gebraucht werden.
Oder degradieren.
Man kann auch jemandem keine Rolle zuweisen,
wenn man nicht genau weiß, ob derjenige
nochmal gebraucht wird.
Ja, es gibt ja momentan das Problem,
dass die Patches
nicht innerhalb von 24 Stunden,
nachdem also praktisch die Sache schon aktualisiert ist,
eigentlich
nicht hochgeladen werden.
Sodass man dann also praktisch keine automatische
Aktualisierung machen kann.
Sodass man dann doch trotzdem
letztendlich die ganze Sache
manuell machen muss.
Also das ist uns passiert, da war
Burst als Statistikplugin
in einer
Das hat nur 5 Stunden gedauert.
Dann war die Lücke bei uns
gehackt worden.
Obwohl wir in dem Fall sogar
von den ja Firewall überhaupt
noch keine Meldung bekommen hatten.
Sieh man, ich weiß.
Ich weiß.
Absolut.
Niemand ist 100%ig
mehr gefeit davor.
Das ist leider so.
Aber was soll man dagegen tun?
Das ist ja eigentlich
eine total ärgerliche Geschichte,
dass sowas überhaupt sein kann.
Ja, ja.
Ich glaube, an der Stelle müssen wir uns
bei Matt bedanken.
Ja.
Ich glaube,
hier in dem Kreis haben wir keine
Möglichkeit.
Wir hören dich ganz schlecht,
Gerd.
Lass es.
Ja, ich wiederhole
die Frage einfach.
Ja.
Ja, ist ärgerlich.
Auf jeden Fall.
Was war das Spannendste,
was war das Spannendste,
was war das Spannendste, wo ich am liebsten
meine Haare ausgerissen hätte?
Also der Designer einer
großen Firma, der eigentlich
für Branding
und Geschenkverpackung zuständig ist,
hatte eine Idee.
Ja, Ideen reichen ja.
Ganz tolle Idee.
Ist so ein
Kalkulierding.
Da konnte man so Sachen
reinschieben und dann wurde das
wurde daraus
so ein, das war so ein
Konfigurator in der Webseite.
Man konnte damit ganz tolle Dinge
machen. Das hat
überall hin seine
Daten ausgesendet.
Auch auf seinem privaten Server waren
da Dinge, wo
ich dachte, aber warum hatte niemand
mit mir gesprochen?
Ach so, ja, das ist aber nur,
das ist nur KI-Code, das interessiert dich gar nicht.
Also auch diese,
dass niemand auf die Idee gekommen wäre,
überhaupt erst mal mehr was zu sagen.
Die haben das einfach installiert
oder reingetan, weil es
ist ja nur Inhalt.
Und sie dachten, wenn sie nur Inhalt
über so einen HTML-Block
integrieren, das heißt
ja nichts. Da kann ja nicht viel passieren.
Doch.
Ja.
Ein anderes Beispiel,
ein Geschäftsführer hat
auch gerade die KI
für sich entdeckt und schreibt
jetzt immer
Blogposts damit.
Und das
wird ihm dann komplett ausgegeben
als HTML, aber
inklusive allem. Also er
nimmt das gesamte Dokument,
gibt das rein
in den HTML-Block. Das heißt,
wir haben jetzt immer zwei Header,
zwei Footer und dazwischen
also das
ist jetzt, sagt man mal so, das ist jetzt
nicht, weiß ich nicht, also
wahrscheinlich wird er nicht gehackt, deswegen
das ist ja wirklich nur
HTML, aber es
sieht ganz schlimm aus.
Also das hat mir
auch Haare gerauft.
Da bin ich dann immer so sprachlos und
denke
weiß ich nicht.
Ja, vielleicht kann mich einer besser
besseres belehren,
wie man so mit so was umgeht.
Ich bin einfach nur immer fassungslos.
Wie leichtsinnig oft KI
verwendet wird.
Irgendwas?
Wenn eine Seite gehackt ist,
wann sollte man das System neu
aufsetzen?
Ja, also
ich würde in dem Fall erstmal gar nicht
in Panik ausbrechen, sondern einfach
nur Bestandsaufnahme
machen, gucken,
man hat was gefunden, genau.
Also
man sollte ja alles finden, einfach.
In so einem Fall ist es immer praktisch,
wenn man ein Access Log hat, weil dann
kannst du auch sehen, wo was
aufgerufen wurde und wo was
installiert wurde.
Damit kann man gut auswerten. Dafür ist KI
übrigens super in Auswerten.
Du kannst
die, also
ich mache es so, das WordPress wird
einfach neu installiert, das wird einfach
neu drüber installiert, damit sind alle
WordPress-Dateien fein, die Datenbank muss
kontrolliert werden,
es muss das Uploadverzeichnis durchsucht werden, das muss
sehr, sehr genau
durchsucht werden,
es darf da nichts drin sein.
Aber ansonsten
geht so eine Bereinigung eigentlich relativ schnell.
Ich würde sagen, 3-4 Stunden,
dann
ist es meistens erledigt.
Ja.
Wichtig ist die Tür schließen, aber
ja.
Ja, aber ist das Backup vielleicht auch
betroffen? Weiß man nicht.
Ja.
Also Thorsten sagte, das Backup einspielen
ist immer gut, wenn
das Backup sauber ist.
Also das Access Lock zeigt
einem ja, wann was passiert ist.
Und da kann man natürlich gucken,
habe ich vorher ein Backup,
was sauber ist und wenn man das hat
und dann kann man das natürlich wieder einspielen.
Aber ganz wichtig ist die Tür schließen.
Deswegen, ich habe auch Kunden,
die einfach dann schnell ihre Seite gelöscht haben,
aber dann sieht man natürlich nicht mehr,
was passiert ist und dann kann man viel, viel
weniger reparieren, als
wenn die Seite wenigstens noch da ist.
Also nicht einfach irgendwas
löschen. Ist einfacher.
Ja, da hinten.
Ja, kritisch.
Also sie fragt, ob es Sicherheitsmaßnahmen
gibt, wenn man kein Entwickler ist.
Also ich würde sagen, in erster Linie
kritisch sein.
Möglichst wenig
Menschen Rechte geben
und
möglichst viel
ausschalten, was
das ist.
Also ich würde sagen, in erster Linie kritisch sein.
Möglichst wenig
Menschen Rechte geben
und
was
irgendwie dazu führen kann.
Wenig Plugins verwenden und wenn aus dem
Plugin-Verzeichnis und diese aktuell
halten.
Nie aus vertrauensunwürdigen Quellen.
Das war mein Avada-Angebot.
Für 0 Euro.
Das ist nie in Ordnung. Also es wird
nie ein Avada-Angebot für 0 Euro geben.
Ja.
Sie fragt, was ich von
solchen Plugins wie Wordfence
halte.
Also das meiste davon,
was die machen, kann man
mit ganz einfachen Mitteln selber machen.
Zum einen. Wordfence ist
eigentlich eine gute Sache.
Aber es wiegt oft
einen in einer Sicherheit, die gar
nicht da ist.
Wenn man nicht die Pro-Version hat,
dann kommt es sehr, sehr spät.
Eigentlich ist es praktisch, wenn man
auf den Blog von Wordfence schaut.
Weil da sind die Plugins aktuell
gehalten, also die Sicherheitslücken.
Und in der freien Version
kommen die Alarme viel zu spät.
Ja, Zwei-Faktor gibt es ein wunderbares
Plugin: Two Factor.
Das macht genau das.
Auch schön.
Ich habe oft das Gefühl,
dass Kunden
Wordfence installieren
und dann denken sie sind jetzt sicher.
Und das ist glaube ich
das Schlimmste daran.
Also zum einen denken sie sind sicher und zum anderen
denken sie, sie werden massiv angegriffen, weil sie
diese unglaubliche Flut von
Grundrauschen sehen, die aber normal ist.
Aber Wordfence allein, die Installation
macht nichts sicher.
Man muss es erstens gut einstellen können
und zweitens kann man das auch eigentlich selber
machen.
Ich persönlich halte nicht viel davon.
Aber wenn jemand das gerne nimmt,
auch gut.
Aber seid kritisch.
Bin ich erlöst?
Ich hasse Vorträge halten.
Liebe Manja.
Vielen, vielen Dank.
Du bekommst wie alle Speaker
auch ein kleines Geschenk
mit
Mannheimer Dreck.
Ja wunderbar.
Eine Spezialität hier. Genau.
Danke, dass ihr hier wart.
Vielen Dank.