Online-Sicherheitscheck für Website gemacht – gravierende Lücken gemeldet, wie ernst ist das?

Solche Scanner lesen oft bloß die Versionsnummer von Apache oder Nginx aus dem Header aus und knallen einem alle bekannten Altlasten dieser Version in den Bericht. Dabei kann der entsprechende Patch auf dem Server längst im Hintergrund eingespielt sein. Wenn man die Versionsanzeige nach außen abschaltet, verschwindet der Großteil der Warnungen von ganz allein.

Die allermeisten kostenlosen Scan-Websites sind reine Marketing-Funnels. Da wird alles rot eingefärbt und dramatisiert, und direkt darunter prangt ein Button «Schwachstellen jetzt mit einem Klick beheben». Das ist kein echter Penetrationstest, sondern Panikmache zum Verkaufen.

Ich betreue seit Jahren E-Commerce-Projekte; bei den meisten Kunden, die mit solchen Schock-Reports ankamen, war real überhaupt nichts Kritisches los. Automatische Tools geben grobe Anhaltspunkte, taugen aber nicht als Handlungsanweisung. Lieber die Backup-Frequenz erhöhen und den Admin-Zugang per 2FA absichern.

Bloß nicht sofort Geld rauswerfen. Ändert zuerst den Login-Pfad zum Adminbereich weg vom Standard. Schaut dann nach, ob auf Serverebene eine Web Application Firewall aktiv ist. Mit diesen zwei Handgriffen laufen die meisten automatisierten Scans von außen ohnehin ins Leere.

Bei unserer eigenen Seite hatte ein ähnliches Tool fünf kritische Lücken gemeldet. Als ich unseren Entwickler drüberschauen ließ, stellten sich vier davon als Fehlalarm heraus, nur bei einer ging es um ein altes Kontaktformular-Plugin. Das Plugin zu entfernen und eine Alternative zu installieren hat eine halbe Stunde gedauert und uns keinen einzigen Ruble gekostet.

automatische tools lesen meistens wie roboter nur die header aus und das wars. ob man über formulare wirklich daten abgreifen kann prüfen die gar nicht. übrigens bevor du panik schiebst und geld rauswirfst probier es lieber nochmal mit nem kostenlosen open-source-scanner.

Wie läuft der Bezahlvorgang auf Ihrer Seite ab? Erfassen Sie die Kartendaten direkt in einem Formular auf Ihrer Seite oder leiten Sie die Kunden auf eine externe Bankseite weiter? Wenn Sie eine externe Zahlungsabwicklung nutzen, besteht ohnehin kein Risiko für Kartenlecks, allenfalls die Kundenadressdaten wären gefährdet.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Um es zusammenzufassen: Geben Sie wegen der roten Warnungen im Bericht nicht voreilig 45.000 Ruble aus. Die meisten Lücken betreffen lediglich Versionsangaben oder fehlende Sicherheits-Header. Halten Sie Ihre Software aktuell, aktivieren Sie die Zwei-Faktor-Authentifizierung und holen Sie sich bei Bedarf nur für bestimmte Plugins Expertenrat ein.

Da hast du recht. Wer bei sicherheitsüberprüfung website hetzt, stolpert alle an derselben Stelle.

An deiner Stelle würde ich so vorgehen.

Ich fasse das Thema mal zusammen da es mehrere unterschiedliche Antworten gab. Sicherheit ist nicht absolut; es bedeutet den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt... halt aus Erfahrung weiß ich das.

ich würde mich freuen, wenn du das Ergebnis postest.

Richtig. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. Wenn deine Situation anders ist, ändert sich das natürlich.

Notiert, danke.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn deine Situation anders ist, ändert sich das natürlich.

Das habe ich auch erlebt. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Ich möchte etwas fragen. also wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Lasst uns die Begriffe trennen, sie werden oft verwechselt. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn man versucht, alles gleichzeitig zu ändern etabliert sich nichts richtig. Ich hoffe, das hilft dir weiter.