Sicherheitsrisiken

Hallo Abel,

zu 1) JA, auch in Formulare, die als Textfeld deklariert sind, kann man HTML eintragen. Du kannst aber beispielsweise in Outlook auf E-Mail nur im Textmodus lesen umschalten.

zu 2) Die meisten Angriffe werden weltweit gegen Wordpressinstallationen gefahren, bei uns wurde beispielsweise die (nicht vorhandene) Datei /wp-login.php in den letzten 30 Tagen 49 mal aufgerufen. Auch die ebenfalls nicht vorhandene /load.php wurde 59 mal aufgerufen. Wir als Zeta-Nutzer haben da den Vorteil, dass wir, mit Ausnahme des Online-CMS unsere Seite ja nur offline pflegen und dann die fertigen HTML-Seiten hochladen.

zu 3) Zeta ist von Haus aus schon sehr gut geschützt. Mit Bordmitteln solltest Du noch folgende Lücken schließen: Verwende auf der Seite keine E-Mail-Adresse im Klartext, nutze statt dessen das Kontaktformular für Kontakte. Falls Du beim Kontaktformular den Datei-Upload anbieten willst, solltest Du hierfür ein separates "Upload-Formular" in einem geschützten Bereich erstellen. Wer Dir etwas schicken möchte, muss sich vorher bei Dir melden, wenn die Person vertrauenswürdig ist, sendest Du das Passwort zum geschützten Bereich zu, damit ein Upload erfolgen kann, ansonsten eben nicht. Zeta verlangt als PHP-Version mindestens die 5.3. Für die PHP-Sicherheit verantwortlich ist aber nicht Zeta, sondern Du als Betreiber der Webseite. Diese stellst Du im Control-Center deines Providers ein. Für die PHP 5.5 endete beispielsweise der reguläre Support im Juli 2016, seitdem werden eventuelle Sicherheitslücken in dieser PHP-Version nur noch über einen zumeist kostenpflichtigen extended Support behoben. Aktuell sind die 5.6 (regulärer Support bis 12/2018) und die 7.0. Bei dieser gibt es aber hin und wieder noch Kompatibilitätsprobleme. Wenn Du auf Deiner domain noch eine PHP 5.5 oder älter verwendest, bist Du sozusagen das Sicherheitsrisiko.

Weitere Empfehlungen:
- Je nachdem, wie es bei Dir mit den Anforderungen zum Datenschutz aussieht, solltest Du für die Seite ein SSL-Zertifikat einrichten. Damit findet eine verschlüsselte Ende-zu-Ende Kommunikation mit dem Besucher statt. Allein vom Google-Ranking her ist dies schon zu empfehlen.
- Bei vielen Anbietern kannst Du gegen Aufpreis oder sogar im Tarif enthalten, ein CDN verwenden. Hierbei werden Kopien Deiner Seiten weltweit auf verschiedenen Servern gespeichert und stehen so Besuchern weltweit schneller zur Verfügung. Die CDN werden gegen DDOS oder Brute-Force-Attacken besonders geschützt. Sofern einzelne Server des CDN außerhalb der Europäischen Union liegen, gibt es aber Kollisionen mit dem Datenschutz. Wenn also beispielsweise in einem geschützten Bereich persönliche Daten verwahrt werden, kommt ein CDN nur dann infrage, wenn alle Server innerhalb der EU stehen.
- Es gibt dann noch das Site-Lock, einen unterschiedlich umfangreichen Schutz von Schadcode. Dies wäre sinnvoll, wenn Du beispielsweise über I-Frame Inhalte fremder Seiten einbettest.

Zitat von Hanabi

zu 3) ... Verwende auf der Seite keine E-Mail-Adresse im Klartext, nutze statt dessen das Kontaktformular für Kontakte.

Hallo Thomas,

jetzt erst gelesen/entdeckt ... ist Dein o. e. Tipp Gold wert: er wurde - Deinem Beispiel auf hanabi-pirna.de folgend - sogleich von mir umgesetzt.

Herzlichen Dank dafür.

Allerbeste Grüße ... aus dem hohen Norden

Theo
Der liebe gute Weihnachtsmann