Die aktuellen Meldungen über kritische Sicherheitslücken in PHP sorgen bei vielen Betreibern von Internetseiten für Verunsicherung. Und genau diese Verunsicherung wird offenbar von manchen Unternehmen als Gelegenheit genutzt, neue Kunden zu gewinnen.
Kaum berichten Medien wie die Tagesschau über Sicherheitsprobleme, landen bei Webseitenbetreibern plötzlich E-Mails von Firmen, von denen sie bisher weder gehört noch etwas gesehen haben.
Die Botschaft klingt zunächst besorgniserregend: Ihre Internetseite verwendet WordPress, WordPress basiert auf PHP, und für PHP gibt es eine kritische Sicherheitswarnung.
Anschließend folgt der Hinweis, man solle unbedingt den Sicherheitsstand überprüfen lassen.
Und dann kommt – welch Überraschung – das passende Angebot gleich hinterher!
Ein Umzug auf eine andere Plattform, regelmäßige Sicherheitsprüfungen und technische Betreuung. In einem uns vorliegenden Beispiel für monatlich 60 Euro.
Da stellt sich doch die Frage: Geht es hier in erster Linie um die Sicherheit der Internetseite oder darum, mit der Verunsicherung anderer neue Kunden zu gewinnen?
WordPress erkannt – und jetzt?
Dass eine Internetseite mit WordPress erstellt wurde, ist zunächst einmal keine besondere Entdeckung.
WordPress gehört zu den weltweit am häufigsten eingesetzten Content-Management-Systemen. Dass WordPress PHP verwendet, ist ebenfalls kein Geheimnis.
Allein aus diesen beiden Informationen lässt sich jedoch keineswegs ableiten, dass eine bestimmte Internetseite von einer aktuellen Sicherheitslücke betroffen ist.
Entscheidend ist vielmehr, welche PHP-Version tatsächlich eingesetzt wird, ob die betreffenden Sicherheitsupdates installiert wurden und wie der Server konfiguriert ist.
Wer lediglich WordPress im öffentlich zugänglichen Quellcode erkennt, hat damit noch keine Sicherheitslücke nachgewiesen.
Ja, Sicherheitslücken sind ernst zu nehmen!
Damit wir uns richtig verstehen: Sicherheitslücken in PHP, WordPress oder anderen eingesetzten Programmen sind keine Kleinigkeit.
Wer Internetseiten betreibt, muss darauf achten, dass Sicherheitsupdates zeitnah eingespielt werden. Das betrifft sowohl den Hostinganbieter als auch die Betreuung von WordPress, Themes und Plugins.
Allerdings sollte man zwischen einer tatsächlich festgestellten Sicherheitslücke und einer allgemeinen Warnung unterscheiden.
Eine kritische Sicherheitsmeldung bedeutet nicht automatisch, dass sämtliche Internetseiten, die PHP verwenden, unsicher oder gefährdet sind.
Und sie bedeutet schon gar nicht, dass deshalb ein Wechsel des Hostinganbieters oder der betreuenden Webagentur erforderlich ist.
Plötzlich gibt es jede Menge Sicherheitsexperten
Interessant wird es, wenn bislang völlig unbekannte Unternehmen Webseitenbetreiber direkt anschreiben.
Da wird auf aktuelle Presseberichte verwiesen, vor möglichen Manipulationen und Datenzugriffen gewarnt und gleichzeitig eine neue technische Betreuung angeboten.
Natürlich darf jedes Unternehmen seine Dienstleistungen anbieten. Dagegen ist grundsätzlich nichts einzuwenden.
Fragwürdig wird es allerdings dann, wenn allgemeine Sicherheitswarnungen dazu benutzt werden, bei technisch weniger versierten Webseitenbetreibern den Eindruck einer konkreten Bedrohung zu erzeugen, ohne dass eine solche überhaupt nachgewiesen wurde.
Denn seien wir einmal ehrlich:
Die meisten Handwerker, Einzelhändler, Gastronomen, Arztpraxen und mittelständischen Unternehmen beschäftigen sich nicht täglich mit PHP-Versionen, Serverkonfigurationen oder Sicherheitsupdates.
Sie verlassen sich auf ihren Hostinganbieter und ihre Webagentur.
Und genau deshalb können solche E-Mails erhebliche Verunsicherung auslösen.
Unsere Empfehlung: Nicht verrückt machen lassen!
Wenn Sie eine solche E-Mail erhalten, sollten Sie zunächst Ruhe bewahren.
Prüfen Sie den Absender. Kennen Sie das Unternehmen überhaupt?
Fragen Sie nach konkreten Erkenntnissen. Wurde tatsächlich eine Sicherheitslücke auf Ihrer Internetseite festgestellt oder lediglich erkannt, dass Sie WordPress verwenden?
Kontaktieren Sie Ihren bisherigen Ansprechpartner. Ihr Hostinganbieter oder Ihre Webagentur kann den aktuellen Sicherheitsstand prüfen beziehungsweise beim Serverbetreiber erfragen.
Lassen Sie sich nicht zu einem vorschnellen Wechsel bewegen. Ein Serverumzug ist keine automatische Lösung für Sicherheitsprobleme.
Nehmen Sie echte Warnungen ernst. Liegen konkrete Hinweise auf eine Schwachstelle vor, müssen diese selbstverständlich geprüft und gegebenenfalls behoben werden.
Und was macht 7-days-web?
Wir betreuen seit vielen Jahren Internetseiten unterschiedlichster Unternehmen und wissen, dass Sicherheit ein wichtiger Bestandteil eines zuverlässigen Internetauftritts ist.
Dabei unterscheiden wir ganz bewusst zwischen der technischen Betreuung einer WordPress-Internetseite und der Administration des Servers durch den jeweiligen Hostinganbieter.
Sicherheitsupdates für WordPress, Themes und Plugins gehören zur Pflege einer Internetseite. Für die Aktualisierung der serverseitigen PHP-Versionen ist grundsätzlich der jeweilige Serverbetreiber beziehungsweise Hostinganbieter zuständig.
Bei konkreten Sicherheitswarnungen prüfen wir, ob Handlungsbedarf besteht, und stimmen notwendige Maßnahmen mit den zuständigen Stellen ab.
Wir halten es jedenfalls nicht für erforderlich, unseren Kunden wegen jeder neuen Schlagzeile gleich einen neuen Hostingvertrag oder eine zusätzliche monatliche Betreuung zu verkaufen.
Unser Fazit: Sicherheit ja – Panikmache nein!
Sicherheit im Internet ist wichtig. Sehr wichtig sogar.
Aber Sicherheit sollte auf Fachwissen, nachvollziehbaren Prüfungen und konkreten Maßnahmen beruhen – nicht auf allgemeinen Warnungen, die zufällig mit einem Verkaufsangebot enden.
Wer eine Internetseite betreibt, sollte sich weder durch dramatisch formulierte E-Mails einschüchtern noch zu übereilten Entscheidungen drängen lassen.
Und an diejenigen, die jetzt mit solchen Anschreiben auf Kundenfang gehen, sei gesagt:
Eine gute Dienstleistung überzeugt durch Kompetenz, Transparenz und Vertrauen – nicht dadurch, dass man die Unsicherheit anderer zum Geschäftsmodell macht.
Achtung, die Geier kommen!
Aber keine Sorge: Nicht jede Sicherheitswarnung bedeutet, dass Ihre Internetseite bereits in Gefahr ist. Und nicht jeder, der Ihnen ungefragt seine Hilfe anbietet, hat tatsächlich ein Problem auf Ihrer Internetseite entdeckt.
Ihr Team von 7-days-web
Webseiten mit Verstand. Technik verständlich erklärt.