Angriffe auf Dropbox, undichte Stellen bei Snapchat, Nacktfotos von Prominenten im Internet … Sie haben sicher schon von diesen oder anderen IT-Angriffen gehört, über die in den vergangenen Wochen berichtet wurde.

Alle Webseiten, die mit diesen oder ähnlichen Stories konfrontiert waren, haben eine B-Seite: ein im Hintergrund laufendes Content-Management-System, auch als CMS bekannt. Heutzutage ist das beliebteste dieser Systeme WordPress. Mittlerweile gibt es circa 75 Millionen auf WordPress basierten Seiten, womit es das meistgenutzten CMS weltweit ist.

Durch seine massive Verbreitung rückt WordPress nahezu selbstverständlich in den Fokus der Cyber-Kriminellen. Der Grund dafür ist nicht, dass dieses System mehr Sicherheitslücken hat als andere. Es liegt vielmehr daran, dass es aufgrund seiner Beliebtheit einfach am häufigsten von Cyberkriminellen angegriffen wird.

Im Laufe der vergangenen Monate wurden Tausende auf WordPress basierende Seiten gehackt. Natürlich ist kein CMS perfekt und hat Schwachstellen, aber das erklärt noch nicht diese Massenangriffe. „WordPress gibt es schon lange und in dieser Zeit hatte man die Möglichkeit, viele der Schwachstellen zu patchen und sichere Software zu entwickeln.“, sagt US-Forscher Ryan Dewhurst. „Sie haben ein großartiges Team, das weiß, was es tut. Und obwohl immer noch Schwachstellen bei WordPress zu finden sind, kann man sie seltener im Kern-Code entdecken.“

Dewhurst hat eine Datenbank mit WordPress-Schwachstellen der vergangenen Jahre veröffentlicht. Sie sollten jedoch keine lange Liste von Sicherheitslücken erwarten.

Also, was erklärt das Hacken von 50.000 Webseiten im vergangenen Sommer? Die Antwort liegt nicht beim CMS WordPress, sondern anscheinend bei harmlosen Plugins.

Plugins sind kleine Zusatztools, die den Funktionsumfang von WordPress erweitern. Sie sind jedoch zu echten Trojanern geworden. Das Problem ist ähnlich dem, das Snapchat oder Dropbox in den vergangenen Wochen Ärger bereitete. Da es sich um Services von Drittanbietern handelt, hat WordPress nahezu keine Kontrolle über eventuelle Sicherheitslücken, die sich in den Plugins befinden können.

Es gibt mehr als 30.000 Plugins, die permanent aktualisiert und erweitert werden. Sie alle zu überprüfen, wäre eine Herkulesarbeit für das Unternehmen. Und hier treten die Cyberkriminellen auf den Plan.

Was ist die Lösung?

Es sieht so aus, als läge das Verhindern zukünftiger Angriffe nicht ausschließlich in den Händen des CMS: Ein wenig mehr Sorgfalt auf Seiten der Nutzer würde dabei helfen, zukünftige Angriffsszenarien zu erschweren.

Zumindest in der Theorie scheint es eine Lösung zu sein, WordPress nicht zu nutzen. Wenn dieses CMS aufgrund seiner Beliebtheit angegriffen wird (laut einem Bericht von Imperva ist die Anzahl der Angriffe auf WordPress Webseiten 24 % höher als die auf Seiten, die ein anderes CMS nutzen), könnte es ausreichen, auf ein anderes Tool zurück zu greifen. Doch diese Denkweise täuscht: Es gibt zwar mehr Angriffe auf WordPress, aber andere Tools wie Joomla oder Drupal sind genauso anfällig und würden, sofern WordPress spürbar Marktanteile verliert, entsprechend verstärkt in den Fokus der Hacker rücken.

Vorerst ist es daher am besten, WordPress Plugins (und Plugins für andere CMS) mit Vorsicht zu nutzen: Überlegen Sie sich bei jedem Plugin, ob Sie es wirklich benötigen und welche Vorteile es bietet. Bevor man Plugins oder andere Erweiterungen installiert, gilt es, sich darüber zu informieren. Auf den offiziellen WordPress Seiten findet man viele Infos, zum Beispiel Kommentare und Bewertungen von anderen Nutzern oder wie häufig die Plugins aktualisiert wurden. Achten Sie zudem darauf, dass Ihre Erweiterungen nicht aus unbekannten Quellen stammen, sondern installieren Sie nach Möglichkeit nur Erweiterungen aus dem offiziellen Plugin-Katalog von WordPress oder anderen bekannten Portalen. So können Sie sich zukünftig einige Probleme ersparen.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.