In diesem Gastartikel gibt Autor Mathias Kempowski Tipps zur Absicherung des eigenen WordPress-Blogs gegen Hackerangriffe. Er bloggt auf geld-im-internet-verdienen-blog.de

In Zeiten, in denen vermehrt von Hackerangriffen auf die verschiedensten Institutionen in den Medien berichtet wird, wächst auch bei so manchem Blogbetreiber die Angst vor unbefugten Zugriffen auf die eigenen Datenbanken.

Verständlich, ist das Engagement für einen Blog doch in der Regel mit viel Herzblut verbunden. Der eine oder andere sieht gar seinen Lebensunterhalt, den er mit seinen WordPress-Installationen verdient, bedroht und damit seine Existenzgrundlage gefährdet.

Dem Wunsch nach mehr Sicherheit für die eigenen Blogs, Shops etc., die auf Basis von WordPress arbeiten, kann glücklicherweise nachgekommen werden, ohne dass es großartiger Programmierkenntnisse bedarf.

Es braucht lediglich ein paar kleinere Anpassungen in der Datenbank und in der Nutzerverwaltung sowie ein leicht bedienbares, nützliches Plugin, um aus WordPress ein Bollwerk gegen Hacker zu machen.

Immer aktuell bleiben

Wer seine WordPress-Installationen vor unbefugten Zugriffen schützen will, sollte in jedem Fall mit der Zeit gehen und auf aktuelle Systeme setzen.

Auch wenn WordPress allgemein als sehr sicheres System betrachtet wird, tauchen doch immer wieder Sicherheitslücken in den verschiedenen Versionen auf, die erst mit einer Aktualisierung dieser geschlossen werden können. Deshalb empfiehlt es sich immer das jüngste Update eines WordPress-Systems zu nutzen.

Blogger und Webmaster die den Aufwand ständiger Aktualisierungen meiden und dennoch ihre Datenbanken möglichst gut geschützt wissen wollen, sollten wenigstens die aktuellste Version ihres jeweiligen WordPress-Systems nutzen. Wer beispielsweise noch mit dem 2.8. System arbeitet, könnte zumindest die Version 2.8.6 verwenden.

Ebenfalls sehr wichtig ist es die installierten Plugins auf dem neusten Stand zu halten. Das sollte zumindest bei den offiziellen WordPress-Plugins keine Schwierigkeit darstellen, da diese, wie auch WordPress selbst, automatisch getrackt und Aktualisierungen daraufhin innerhalb des Dashboards kenntlich gemacht werden.

Nutzerkonten umstrukturieren

Bei der Installation von WordPress auf einem Webspace wird ganz automatisch ein Nutzerkonto mit Administrationsrechten eingerichtet, das auf den Namen “admin” läuft. Für Hacker kommt dieser Prozess einer Einladung gleich, müssen sie doch nur noch halb so viel Arbeit investieren, um sich Zugang zur Datenbank zu verschaffen.

Damit ein Eindringling nicht nur das Passwort knacken zu braucht, um vollen Zugriff auf das Blogsystem zu erhalten, sollte man möglichst sofort nach der Installation ein neues Nutzerkonto mit Administrationsrechten anlegen und den alten Admin löschen.

Da zu einem Artikel im Blog auch meist der Autor angezeigt wird, empfiehlt es sich mit dem neuen Administrationskonto keine Beiträge zu schreiben, sondern ein weiteres Konto ohne Adminrechte, das nur zum Schreiben dient, einzurichten.

Datenbank-Präfixe abändern

WordPress ist unter anderem dank seiner leicht bedienbaren Standards ein sehr erfolgreiches Content Management System (CMS).

Doch diese Standards sind auch zugleich die größte Schwachstelle des Blogsystems – nicht nur in Sachen Nutzerkonten. Viele Hackerangriffe erfolgen nämlich auch über das immer gleiche Datenbankschema mit identischen Datenbanknamen.

Um Zugriffe über diesen Pfad zu erschweren, ist es sinnvoll wenigstens die Präfixe der Tabellen zu ändern. Voreingestellt bei einer Installation ist das Präfix “wp_”. Dieses sollte bei einer Neuinstallation gleich abgewandelt werden, möglichst auf einen Zufallswert.

Bei bestehenden WordPress-Installationen lassen sich die Präfixe glücklicherweise auch im Nachhinein verändern, zum Beispiel mit dem Plugin “WP Prefix Table Changer“. Die Neubenennung der Datenbank kann direkt nach erfolgter Installation des Plugins im Dashboard vorgenommen werden.

Login limitieren

Die Absicherung des Login-Vorgangs lässt sich durch die bereits beschriebene Abänderung der Nutzerkontenstruktur vollziehen. Es geht allerdings noch ausgefeilter – gewissermaßen eine Ebene höher -, mithilfe des Plugins Login LockDown.

Dieses Plugin vermag den natürlichen Schwachpunkt des Login-Bereichs noch deutlich effektiver vor unberechtigten Zugriffen zu sichern. Es ist nämlich als wirksames Mittel gegen die so genannte Brute-Force-Methode gedacht, die auf rohe digitale Gewalt setzt.

Mit entsprechender Hardware, hoher Rechenleistung und allerlei Helferprogrammen wird bei dieser Methode im Grunde genommen so lange ausprobiert und eine Kombintion nach der anderen getestet bis irgendwann die Richtige gefunden, also das Passwort geknackt ist.

Login LockDown setzt diesem Vorgang einen Riegel vor und sperrt nach einer gewissen Anzahl von Passworteingaben die genutzte IP für eine vorgegebene Zeit.

Mit dem Plugin lässt sich neben einer maximalen Anzahl an Login-Versuchen auch ein Zeitraum für diese einrichten sowie die Dauer einer möglichen Sperrung. Es ist sogar möglich eine Zeit festzulegen in der ein Login unmöglich ist. Falsche Benutzernamen können ebenfalls gesperrt werden und die Fehlermeldungen, die bei einer Falscheingabe generiert werden, lassen sich maskieren.

Zudem erlaubt Login LockDown aktuell geblockte IP-Adressen einzusehen und die Option manueller Eingriffe, für den Fall einer unbeabsichtigten Sperrung eines realen Nutzers.

Natürlich gibt es auch zahlreiche Alternativen zu diesem Plugin. Eine gute mit vergleichbarer Funktionalität wäre beispielsweise Limit Login Attempts.

Fazit

Die beschriebenen Möglichkeiten zur Steigerung der Sicherheit von WordPress-Installationen, können natürlich keinen Rundumschutz für Blogs gewährleisten. Zumal es sich in diesen Fällen um recht einfache Methoden handelt, die auch für Laien leicht umzusetzen sind.

Aber durch eine konsequente Umsetzung dieser Strategien, wird es für Hacker deutlich schwerer unbefugt in die Datenbanken einzudringen.

14

Bei einem Klick auf den Twitter-Button gelangen Sie zu Twitter und dort werden Daten erhoben. Wir haben keinen Einfluss auf den Umfang der Daten, die Twitter erhebt.

veröffentlicht in: Software, WordPress-Plugins

1. 5 Plugins um WordPress sicherer zu machen
2. Wichtiges Sicherheitsupdate für WordPress – 2.8.2
3. WordPress 2.8 erschienen
4. WordPress 2.8.6. erschienen
5. Eigene Buttons im WordPress-Editor