Sicherheitsaudit der Website

Die Website läuft, Anfragen kommen herein — und Sicherheit wirkt wie ein Thema für später. Ein Einbruch sieht jedoch selten spektakulär aus: meist ist es ein stilles Skript in einem veralteten Plugin, das monatelang Spam verschickt, Links in den Suchergebnissen austauscht oder die Kundendatenbank kopiert. Der Betreiber erfährt es als Letzter — vom Hoster, von einer Warnseite des Browsers oder von den Kunden selbst.

Ein Sicherheitsaudit prüft die Website, bevor Angreifer sie finden. Wir sehen sie so an, wie ein Eindringling sie ansehen würde, doch das Ergebnis bekommen Sie: eine Liste der Schwachstellen, eine Risikobewertung für jede davon und einen verständlichen Plan — was heute zu beheben ist und was warten kann.

Wir prüfen nicht nur die Seiten, sondern auch alles darum herum: Server, Verwaltung, E-Mail, Zahlungsanbindungen und Skripte von Dritten. Eine einzelne große Lücke ist selten — meist ist es eine Kette von Kleinigkeiten, von denen jede für sich harmlos aussieht.

Was das Audit umfasst

• Aufklärung und Inventur: Domains und Subdomains, offene Ports, vergessene Kopien der Website, Testumgebungen und aus dem Internet erreichbare Administrationsbereiche.
• Versionen und Updates: CMS, Plugins, Themes, Bibliotheken und Serversoftware werden mit Datenbanken bekannter Schwachstellen abgeglichen.
• Code und Formulare: SQL-Injection, XSS, Hochladen beliebiger Dateien, Umgehung der Anmeldung, unsicherer Umgang mit Sitzungen und Cookies.
• Zugriffsrechte: Konten und Rollen im Adminbereich, Datei- und Ordnerrechte, Zugriff auf Sicherungen, Protokolle und Konfigurationsdateien.
• Verbindung und Header: Zertifikat, Weiterleitungen, HSTS, CSP, Schutz vor Clickjacking und Datenabfluss über fremde Skripte.
• Spuren einer Infektion: fremder Code in Templates, versteckte Links und Doorway-Seiten, zusätzliche Cronjobs, auffällige Einträge in den Protokollen.
• Belastbarkeit: ob Sicherungen vorhanden sind, ob die Wiederherstellung je getestet wurde und wie lange es dauert, die Website zurückzuholen.

Automatische Scanner finden die typischen Fehler, logische Lücken sieht dagegen nur ein Mensch: eine fremde Bestellung über einen direkten Link, der Zugang zum Konto eines anderen Kunden, ein Rabatt, den man einfach in die Anfrage schreiben kann. Werkzeuge ersetzen bei uns deshalb nicht die Handarbeit, sondern ergänzen sie.

Was Sie erhalten

Der Bericht ist in normaler Sprache geschrieben und kein Export aus einem Scanner. Zu jedem Fund steht dort, wo er gefunden wurde, was er für das Geschäft bedeutet und wie er zu beheben ist.

• Eine Liste der Schwachstellen nach Priorität: kritisch, wichtig, gering.
• Schritt-für-Schritt-Anleitungen für Ihren Entwickler oder den Hoster-Support.
• Eine Aufwandsschätzung für jede Behebung.
• Eine kurze Zusammenfassung für die Geschäftsführung, ohne Fachbegriffe.

Wenn kein eigenes Team vorhanden ist, beheben wir die Funde selbst: System aktualisieren, infizierte Dateien säubern, überflüssige Zugänge schließen, Sicherungen und eine Dateiüberwachung einrichten, damit der nächste Versuch sofort auffällt. Nach den Arbeiten prüfen wir erneut und stellen sicher, dass die Lücken geschlossen sind und die Website nichts eingebüßt hat.

Wir beginnen mit einem kurzen Gespräch über die Aufgabe. Wir klären, was genau geprüft wird, ob Zugänge zu Server und Verwaltung vorliegen, ob die Live-Version angefasst werden darf und wann die Last am geringsten ist. Auf einem laufenden Projekt gehen wir vorsichtig vor: Wir verwenden keine Szenarien, die die Website lahmlegen oder Daten beschädigen könnten, und gefundene Schwachstellen werden weder veröffentlicht noch an Dritte weitergegeben.

Preis und Dauer hängen von der Größe der Website, dem System und der Prüftiefe ab: für eine Visitenkartenseite sind es einige Tage, für einen Onlineshop mit Anbindungen deutlich länger. Schreiben Sie uns und beschreiben Sie das Projekt in zwei Sätzen — wir kalkulieren die Arbeit und schlagen das passende Format vor.