Was auch Website-Auftraggeber wissen sollten ── Die IPA-Anleitung „So sichern Sie Ihre Website“ als Checkliste nutzen

Fragt man „ist die Sicherheit unserer Website in Ordnung?“, können nur wenige Unternehmen mit echter Begründung „ja“ antworten.

Es liegt nahe anzunehmen, dass alles in Ordnung ist, weil eine Agentur sich darum kümmert, oder dass eine reine Unternehmensprofil-Website kein Angriffsziel ist – doch schon ein einziges Kontaktformular bedeutet, dass ein Programm läuft, das Eingaben verarbeitet, und nutzen Sie ein CMS wie WordPress, sind sowohl der Administrationsbereich als auch jedes Plugin Angriffsflächen. Hinzu kommt, dass die meisten Angriffe nicht auf ein bestimmtes Unternehmen zielen, sondern mechanisch nach schwachen Websites suchen.

An welchem Maßstab sollte man also tatsächlich prüfen, ob alles „in Ordnung“ ist? Das öffentliche Nachschlagewerk, das diese Rolle seit Langem erfüllt, ist die von der IPA (Information-technology Promotion Agency) veröffentlichte Anleitung So sichern Sie Ihre Website.

Dieser Artikel legt dar, was dieses Nachschlagewerk lehrt, in einer Sprache, die sowohl für den auftraggebenden Kunden als auch für denjenigen verständlich ist, der die Website betreibt.

1. Das Wichtigste zuerst

• „So sichern Sie Ihre Website“ ist ein Nachschlagewerk, das auf tatsächlich bei der IPA gemeldeten Schwachstellen aufbaut und 11 Kategorien von Website-Schwachstellen samt Gegenmaßnahmen zusammenfasst. Es ist nicht nur für Entwickler nützlich, sondern auch als Maßstab für Auftragsvergabe und Abnahme
• Gegenmaßnahmen gliedern sich in eine „grundlegende Lösung“ (beseitigt die Ursache) und eine „Ausweichmaßnahme“ (mindert den Schaden). Die Basis ist die grundlegende Lösung, Ausweichmaßnahmen kommen ergänzend hinzu
• Die begleitende „Checkliste zur Sicherheitsumsetzung“ lässt sich sowohl bei der Beauftragung als auch bei der Abnahme eines Entwicklungsunternehmens direkt als Prüfpunkt verwenden
• Die zusätzliche „Spezifikation für den Sicherheits-Gesundheitscheck von Websites“ liefert eine Grundausstattung an Diagnosepunkten für die regelmäßige Prüfung einer live geschalteten Website
• In der Praxis konzentriert sich das Risiko bei einer Unternehmenswebsite auf zwei Bereiche: die Eingabe entgegennehmenden Teile wie Formulare und den CMS-Betrieb (WordPress und Ähnliches). Legen Sie bereits bei der Auftragsvergabe eine dauerhafte Betriebsstruktur fest, damit das Projekt nicht in dem Moment endet, in dem die Website fertiggestellt ist

2. Was ist „So sichern Sie Ihre Website“?

„So sichern Sie Ihre Website“ ist ein Nachschlagewerk, das die IPA für Website-Entwickler und -Betreiber zusammengestellt hat und das Schwachstellen behandelt, die häufig gemeldet wurden oder bei Ausnutzung große Auswirkungen haben, samt Gegenmaßnahmen. Die aktuelle Version ist die 7. überarbeitete Auflage, veröffentlicht im März 2021, mit insgesamt 115 Seiten. Neben dem PDF werden auch HTML-Seiten zu jeder einzelnen Schwachstelle veröffentlicht.

Sie ist in drei Kapitel gegliedert.

Zusätzlich zum Hauptband werden folgende Dokumente veröffentlicht:

• Checkliste zur Sicherheitsumsetzung (Excel-Format): eine Liste zur Prüfung, ob die im Hauptband beschriebenen Gegenmaßnahmen umgesetzt wurden
• Zusatzband „So rufen Sie SQL sicher auf“: eine vertiefte Betrachtung von Gegenmaßnahmen gegen datenbankbezogene Schwachstellen
• Zusatzband „Spezifikation für den Sicherheits-Gesundheitscheck von Websites“: eine Spezifikation mit 13 Diagnosepunkten zur Bewertung einer live geschalteten Website

Alle diese Dokumente können kostenlos von der IPA-Seite heruntergeladen werden.

3. Die 11 Schwachstellen als „was passiert, wenn man nichts tut“ lesen

Die 11 in Kapitel 1 behandelten Schwachstellenkategorien sind in entwicklerorientierter Terminologie dargestellt, doch umformuliert als „was auf der eigenen Website passiert, wenn man sie sich selbst überlässt“, wird klar, dass dies auch für den auftraggebenden Kunden kein fremdes Problem ist.

„Mail-Header-Injection“ beispielsweise trifft unmittelbar auf das Kontaktformular einer schlichten Unternehmensprofil-Website zu. Ein schlecht geschütztes Formular wird als Spam-Quelle missbraucht und schadet sogar dem Ruf der eigenen Unternehmensdomain (ob deren E-Mails überhaupt zugestellt werden). Wie in „Warum E-Mails vom Kontaktformular nicht zugestellt werden“ behandelt, übersetzt sich ein Formular, dessen E-Mails nicht mehr ankommen, unmittelbar in entgangene Geschäftschancen.

4. „Grundlegende Lösungen“ und „Ausweichmaßnahmen“ – wie man über Gegenmaßnahmen denkt

Was dieses Nachschlagewerk auszeichnet, ist, dass es Gegenmaßnahmen in zwei Kategorien darstellt.

• Grundlegende Lösung: eine Umsetzung, die die eigentliche Ursache der Schwachstelle beseitigt. Bei SQL-Injection zum Beispiel der Aufbau von SQL-Anweisungen mit Platzhaltern statt Zeichenkettenverkettung
• Ausweichmaßnahme: eine Gegenmaßnahme, die die Erfolgsquote oder Auswirkung eines Angriffs mindert, wenn eine Schwachstelle bestehen bleibt. Zum Beispiel keine rohen Fehlermeldungen im Browser anzuzeigen

Diese Unterscheidung gibt dem Auftraggeber einen Maßstab, wenn er eine Erklärung zur Sicherheit hört. Eine Erklärung wie „wir setzen eine WAF ein (einen Mechanismus, der Angriffe erkennt und blockiert), Sie sind also abgesichert“ spricht von einer Ausweichmaßnahme – sie ist kein Ersatz für eine grundlegende Lösung in der Anwendung selbst. Umgekehrt ist die Umsetzung einer grundlegenden Lösung mit einer darauf aufgesetzten WAF eine solide Konfiguration. Allein zu unterscheiden, von welcher Ebene gerade die Rede ist, lässt Sie die Solidität eines Vorschlags erheblich besser beurteilen.

5. Wie man sie bei Auftragsvergabe und Abnahme nutzt

„So sichern Sie Ihre Website“ ist für Entwickler geschrieben, doch der praktische Nutzen für den Auftraggeber liegt darin, dass es als Maßstab für Anforderungen und Prüfung verwendet werden kann.

• Bei Angebot/Anforderungen: Fügen Sie dem Leistungsverzeichnis oder der Ausschreibung eine Zeile hinzu wie „Gegenmaßnahmen für die in der IPA-Anleitung ‚So sichern Sie Ihre Website’ aufgeführten Schwachstellen umsetzen.“ Das Benennen eines konkreten Standards macht die Anforderung wesentlich greifbarer als eine vage Formulierung wie „Sicherheit angemessen berücksichtigen“
• Bei der Abnahme: Fordern Sie die Bestätigungsergebnisse zu den relevanten Punkten der Checkliste zur Sicherheitsumsetzung an
• Beim Vertragsabschluss: Legen Sie schriftlich fest, wer nach dem Livegang Updates von CMS, Plugins und Server übernimmt, und ob die Reaktion auf eine neu entdeckte Schwachstelle im Wartungsvertrag enthalten ist oder ein separates Angebot erfordert

Besonders der dritte Punkt ist wichtig. Die Sicherheit einer Website ist nicht in dem Moment abgeschlossen, in dem sie gebaut wird – sie wird dadurch aufrechterhalten, dass man nach dem Livegang mit neu entdeckten Schwachstellen Schritt hält. Diese Frage, „wer behält es im Auge“, hat dieselbe Struktur wie die Frage nach dem Wartungsumfang, die in unserem Artikel über Auftragsentwicklungs- und Wartungsverträge behandelt wird.

6. Einer live geschalteten Website einen „Gesundheitscheck“ geben

Für eine bereits live geschaltete Website ist die zusätzliche „Spezifikation für den Sicherheits-Gesundheitscheck von Websites“ nützlich. Es handelt sich um eine Spezifikation mit Diagnosepunkten (insgesamt 13) zur Prüfung der Sicherheit einer laufenden Website, die auch als grober Leitfaden für den Umfang dient, den ein Schwachstellendiagnose-Dienst abdecken sollte.

Bei der Website eines KMU konzentriert sich das Risiko in der Praxis tendenziell auf zwei bestimmte Stellen:

• Die Eingabe entgegennehmenden Teile: Kontaktformulare, Suchfelder, Mitgliederanmeldung und Ähnliches. Die meisten Schwachstellen aus Kapitel 1 betreffen diesen Bereich
• Der CMS-Betrieb: Bei einer Website, bei der Updates des Kerns, des Themes oder der Plugins eines CMS wie WordPress ins Stocken geraten sind, ist eine Manipulation durch Ausnutzung einer bekannten Schwachstelle das klassische Muster. Es kommt sehr häufig vor, dass niemand entschieden hat, wessen Aufgabe die Updates sind, und die Website einfach unverändert bleibt

Wenn Sie die Update-Last des CMS zusammen mit der gesamten Betriebsstruktur neu überdenken möchten, lohnt sich auch ein Blick auf unseren Artikel zur Migration weg von WordPress. Es gibt auch die Designentscheidung, dynamische Verarbeitung insgesamt zugunsten einer statischen Site-Struktur zu reduzieren, was die Angriffsfläche selbst verkleinert. Unser eigener Einsatz einer statischen Site-Struktur auf Basis des Designsystems der Digital Agency für die Site-Produktion ist eine Erweiterung desselben Gedankens.

Zu beachten ist, dass der sichere Betrieb einer Website auch als Prüfpunkt in der Selbsteinschätzung der IPA-„Informationssicherheitsrichtlinien für kleine und mittlere Unternehmen“, Ausgabe 4.0, aufgeführt ist. Wo dies in die Gesamtsicherheitsmaßnahmen eines Unternehmens einzuordnen ist, zeigt unser Artikel zur Ausgabe 4.0 der Richtlinien.

Zusammenfassung

Hier die wichtigsten Punkte der IPA-Anleitung „So sichern Sie Ihre Website“.

• Ein Standardwerk (7. überarbeitete Auflage, 115 Seiten), das 11 Kategorien von Website-Schwachstellen samt Gegenmaßnahmen behandelt, aufbauend auf tatsächlich bei der IPA gemeldeten Schwachstellen
• Gegenmaßnahmen gliedern sich in zwei Ebenen: grundlegende Lösungen und Ausweichmaßnahmen. Eine Ausweichmaßnahme wie eine WAF ist kein Ersatz für eine grundlegende Lösung
• Auftraggeber können sie nutzen, indem sie das Nachschlagewerk in ihren Anforderungen benennen, die Lieferung anhand der Checkliste prüfen und die Update-Struktur nach dem Livegang vertraglich festlegen
• Geben Sie einer live geschalteten Website regelmäßige Gesundheitschecks anhand der „Spezifikation für den Sicherheits-Gesundheitscheck von Websites“ als Grundlage
• Das realistische Risiko einer Unternehmenswebsite konzentriert sich tendenziell auf die Eingabeverarbeitung wie Formulare und auf ein vernachlässigtes CMS

Sicherheit tendiert dazu, zu einer Wahl zwischen „ausgeben, was der Experte sagt“ oder „gar nichts tun“ zu werden, doch allein das Wissen um die öffentlichen Standards erlaubt es Ihnen, Anforderungen zu stellen und Ergebnisse in eigenen Worten zu überprüfen.

Für alle, die den Aufbau oder die Erneuerung einer Website erwägen

Beim Aufbau oder der Erneuerung einer Website schlägt die Komura Software LLC Lösungen im Sinne dieses Artikels vor – von der Umsetzung des Formulars über eine statische Struktur, die sich nicht übermäßig auf ein CMS verlässt, bis hin zur Update-Struktur nach dem Livegang. Wir freuen uns auch über eine Beratung ausgehend von einer Bestandsaufnahme für alle, die nicht einmal sicher wissen, in welchem Zustand ihre aktuelle Website ist.

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Leistungen zu diesem Thema

Dieser Artikel ist direkt mit den folgenden Leistungen verbunden.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Was für ein Dokument ist „So sichern Sie Ihre Website“?

Es handelt sich um ein Sicherheits-Nachschlagewerk, das die IPA (Information-technology Promotion Agency, die japanische IT-Förderbehörde) für Website-Entwickler und -Betreiber veröffentlicht. Unter den bei der IPA eingegangenen Schwachstellenmeldungen behandelt es die am häufigsten gemeldeten oder mit dem größten potenziellen Schadensausmaß und erläutert Bedrohungen und Gegenmaßnahmen. Die aktuelle 7. überarbeitete Auflage wurde im März 2021 veröffentlicht und umfasst 115 Seiten. Neben dem Hauptband veröffentlicht die IPA außerdem kostenlos eine Checkliste zur Sicherheitsumsetzung sowie zwei Zusatzbände: „So rufen Sie SQL sicher auf“ und die „Spezifikation für den Sicherheits-Gesundheitscheck von Websites“.

Braucht selbst eine schlichte Unternehmenswebsite Sicherheitsmaßnahmen?

Ja. Gibt es ein Kontaktformular, läuft ein Programm, das die Eingaben verarbeitet; nutzen Sie ein CMS wie WordPress, sind sowohl der Administrationsbereich als auch alle Plugins Angriffsflächen. Angreifer wählen ihre Ziele nicht unbedingt nach Unternehmensgröße aus – sie scannen mechanisch nach verwundbaren Websites und missbrauchen sie als Sprungbrett für Manipulation, Malware-Verbreitung oder Spam-Versand. Was eine Website gefährlich macht, ist, dass Sie gleichzeitig selbst Opfer sein und Ihren Geschäftspartnern und Besuchern schaden können.

Was ist der Unterschied zwischen einer grundlegenden Lösung und einer Ausweichmaßnahme?

„So sichern Sie Ihre Website“ stellt Gegenmaßnahmen in zwei Kategorien dar. Eine grundlegende Lösung ist ein Umsetzungsansatz, der die eigentliche Ursache der Schwachstelle beseitigt (etwa die Verwendung von Platzhaltern statt Zeichenkettenverkettung beim Aufbau von SQL-Anweisungen). Eine Ausweichmaßnahme senkt die Erfolgsquote oder die Auswirkung eines Angriffs, wenn eine Schwachstelle bestehen bleibt (etwa keine rohen Fehlermeldungen anzuzeigen). Da Ausweichmaßnahmen allein die Ursache bestehen lassen, ist die richtige Reihenfolge, die grundlegende Lösung als Basis zu behandeln und Ausweichmaßnahmen darauf aufzusetzen.

Was sollte ich bei der Beauftragung eines Entwicklungsunternehmens zur Sicherheit prüfen?

Wir empfehlen, mindestens drei Dinge bereits in der Angebotsphase zu klären: (1) ob die in „So sichern Sie Ihre Website“ aufgeführten Gegenmaßnahmen umgesetzt werden, (2) ob sich die Ergebnisse anhand der begleitenden Checkliste zur Sicherheitsumsetzung oder Ähnlichem nachweisen lassen, und (3) wer nach dem Livegang Updates von CMS und Plugins übernimmt (also ob dies im Rahmen des Betriebs- und Wartungsvertrags liegt). Sicherheitsanforderungen sind im Nachhinein teuer zu ergänzen, daher ist es wichtig, sie schriftlich vor Vertragsabschluss zu klären.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.