Sicherheit unter WordPress verbessern

Von Angriffen auf Blogs hörte man bisweilen glücklicherweise noch nicht allzu viel. Ist man jedoch erst einmal Opfer einer Attacke geworden, wäre man sicher froh gewesen die eine oder andere vorbeugende Maßnahme getroffen zu haben, die den Erfolg des Angriffs hätte verhindern können. Ein paar Tipps zur Sicherheit unter WordPress.

Das Thema Sicherheit fristet bei den meisten Bloggern ein recht stiefmütterliches Dasein, da, so behaupte ich jetzt einmal, 90% von ihnen in 90% der Fälle noch nie Opfer eines Angriffs oder Virus geworden sind. Zugegebenermaßen verleitet einen der Mangel an schlechten Erfahrungen es einfach dabei zu belassen ein Passwort zu haben, welches als Bollwerk gegen alles und jeden fungieren soll und sich den interessanteren Dingen beim Bloggen zu widmen. Die Größe des eigenen Blogs spielt dabei auch eine entscheidende Rolle – bei einem kleinen nicht-kommerziellen Projekt ist der Schaden nur für den armen Blogbetreiber messbar und schmerzhaft. Dabei ist es nicht schwer mit ein paar Kniffen hier und da die Sicherheit seines WordPress Blogs signifikant zu erhöhen.

Allgemeine Tipps

Die einfachste Möglichkeit seinen Blog zu schützen ist immer die aktuellste Version aufgespielt zu haben. Installiert relevante Sicherheitsupdates möglichst schnell und ihr habt schon viel gewonnen. Das kann man einfach nicht oft genug sagen und gilt natürlich (vielleicht auch vor allem) für eure Plugins!
Des Weiteren legt WordPress bei jeder neuen Installation einen Standardbenutzer “admin” an, wie man es auch von Windows kennt. Tut euch selbst einen Gefallen und erstellt schlicht und einfach einen neuen Benutzer mit Administrator Rechten, meldet euch mit diesem neu an und löscht das Standardkonto “admin”. Vor dem Löschen werdet ihr auch gefragt ob ihr Beiträge des zu löschenden Nutzers übernehmen oder ebenfalls löschen wollt, natürlich nur sofern schon Artikel vorhanden sind.
Achtet auch auf ein starkes Passwort. Wenn ihr es euch nicht merken könnt oder wollt empfehle ich euch KeePass, ein sehr guter und vor allem sicherer Passwort Manager. Oder schaut einmal hier vorbei, falls ihr eine Alternative zu KeePass vorziehen würdet.
Schaut in eurer wp-config.php nach ob ihr auch die Sicherheitskeys (Authentication Unique Keys) eingetragen habt. Falls dem nicht so ist, könnt ihr hier welche generieren und anschließend eintragen.
Habt ihr euer Blog noch gar nicht installiert empfiehlt es sich bei der Installation nicht die Standard Tabellen Präfixe “wp” für eure Datenbank zu nehmen sondern irgendetwas Kryptisches. So erschwert ihr automatisierte Angriffe auf die Datenbank.

Plugins fuer mehr Sicherheit

Es gibt eine handvoll sehr guter Plugins, die ein Blogsystem wirklich sicherer machen ohne dass man Fachkenntnisse benötigen würde. Und an dieser Stelle sollte man wirklich nicht anfangen Ressourcen sparen zu wollen, zwecks Performanceoptimierung.

Login LockDown

Ein ziemlich effektives Plugin für mehr Schutz eures WordPress Systems ist “Login LockDown” von Bad Neighborhood, welches eurem Blog ein paar simple aber extrem wirksame Sicherheitsvorkehrungen hinzufügt. Es zeichnet zum Einen die IP-Adresse mitsamt einem Zeitstempel bei jedem fehlgeschlagenen Anmeldeversuch auf. Überschreitet die Anzahl der fehlgeschlagenen Logins der gleichen IP ein frei wählbares Limit, wird die Login Funktion für diese Adresse deaktiviert. Die Anzahl der maximal möglichen Versuche sich einzuloggen kann selbstverständlich selbst gewählt werden, ebenso wie die Zeitspanne der Sperrung. Zudem wird auf Wunsch auch die Fehlerausgabe bei fehlgeschlagenen Anmeldungen abgeschaltet – ein wichtiges Indiz für potentielle Eindringlinge.

WP-Plugin Login LockDown

Sperrt die Anmeldung nach zu vielen falschen Logins um unliebsame Eindringlinge vor der Tür stehen zu lassen und maskiert die Fehlermeldungen des Login Bereiches um keine Rückschlüsse für Cracker zu hinterlassen.
Download, Autor

Limit Login Attempts

Das Plugin Limit Login Attempts schlägt in dieselbe Kerbe wie Login LockDown, zumindest laut der Features Liste. Allerdings habe ich es noch nicht selber ausprobiert, möchte es aber trotzdem als Alternative nennen, falls jemandem Login LockDown nicht beliebt.

WP-Plugin Limit Login Attempts

Ähnlich wie Login LockDown sperrt Limit Login Attempts nach einer bestimmten Anzahl fehlgeschlagener Anmeldungen den Login-Bereich. Einziger Unterschied: Es gibt eine optionale Benachrichtigung per Email.
Download, Autor

AntiVirus

Sollte doch der Fall eintreten, dass man sich einen Virus oder ungebetenen Gast eingefangen/eingeladen hat, gibt es seit einiger Zeit einen Virenscanner für WordPress vom bekannten Entwickler Sergej Müller. Eventuell hat man mit diesem Helfer eine Chance um mittlere Katastrophen wie hier zu verhindern. Zumindest serverseitig gesehen. Der Virenscanner prüft eure Template Dateien und untersucht die Permalinkstruktur auf ein bekanntes Sicherheitsrisiko. Wird etwas gefunden, kann man sich die betroffene Stelle im Code genauer ansehen und mit offline Dateien vergleichen oder aber als “false positive” deklarieren. Eine Email Benachrichtigung ist ebenfalls enthalten.

WP-Plugin AntiVirus

AntiVirus scannt eure Template Dateien und prüft die Permalinkstruktur eures Blogs.
Ein optionaler täglicher Email Rapport rundet die Software ab.
Download, Autor

Secure WP

Ein beliebter und ebenso unnötiger Angriffspunkt ist die WordPress Version, die überall im Quelltext auftaucht und auch im Feed. Dies hat vor allem statistische Hintergründe, da sehr leicht ermittelt werden kann welche Versionen wie oft im Einsatz sind von Seiten der WordPress Entwickler, bietet aber zugleich eine einfache Möglichkeit bekannte Sicherheitslücken effektiv bei dieser oder jener Versionsnummer zu suchen. Es gibt dazu schon einen sehr guten Artikel von Sergej Müller, der eine einfache Lösung von Hand vorschlägt aber auch auf ein kleines Plugin namens Secure WP von Frank Bueltge verweist. Das Plugin kommt ohne Einträge in der Datenbank aus und ist damit ein echtes Leichtgewicht.

WP-Plugin Secure WP

Secure WP entfernt jedwede Information bezüglich der verwendeten WordPress Version, auch aus dem Feed.
Die Entfernung der Versionsinformationen kann auch von Hand mit Hilfe eines Filter realisiert werden.
Download, Autor

htaccess bietet zusaetzlichen Schutz

Neben dem normalen Login in WordPress empfiehlt es sich auch noch einen zusätzlichen Passwortschutz per htaccess anzulegen. Solltet ihr daran Interesse haben empfehle ich euch folgende Artikel zu lesen. “.htaccess Passwortschutz für wp-admin” bei Crazy Girls Tipps und “Wordpress Sicherheit: wp-admin durch .htaccess schützen” bei Reiffix. Einen Generator für die benötigte .htpasswd findet ihr hier.

Und nu? Was nun?

Es gibt noch einen ganzen Haufen nützlicher Tipps & Tricks und ich habe mir unzählige Artikel durchgelesen, die mir mehr oder weniger behilflich waren. Dieser Beitrag basiert auf vielen eigenen Erfahrungen und dem was ich durch andere Artikel gelernt habe. Meine Intention war es dieses Wissen einmal zusammenzufassen und somit einen kleinen Leitfaden zu erstellen. Abschließend lege ich euch noch ausdrücklich die folgenden Links ans Herz.

Internet

• Sicherheit von WordPress erhöhen: Login LockDown.
• WordPress Login Sicherheit – Secure WP (Plugin)
• Sicherheit in WordPress: WP-Version aus dem Feed und Quelltext entfernen
• Sicherheit in WordPress: 10 Schritte zum Schutz des Admin-Bereichs
• Sicherheit / WordPress absichern
• WordPress sicherer machen

Alternativ gibt es auch gute Bücher ganz allgemein zum Thema WordPress, die euch interessieren könnten.

Bücher

• WordPress – Das Praxisbuch
• WordPress: Das Einsteigerseminar
• Das WordPress-Buch. Vom Blog zum Content-Management-System
• WordPress. Weblogs einrichten und administrieren

Bildquelle: © S. Hofschlaeger / PIXELIO