Sicherheit ist kein Zustand

Webseiten und webbasierte Anwendungen sind heute ein fester Bestandteil nahezu aller Geschäftsprozesse. Sie informieren, verkaufen, verwalten Daten, nehmen Anfragen entgegen oder bilden individuelle Abläufe ab. Damit wächst zugleich ihre Bedeutung für die IT-Sicherheit eines Unternehmens. Denn auch wenn nicht jede Website ein komplexes Kundensystem ist, stellt sie häufig einen öffentlich erreichbaren Zugang zur digitalen Infrastruktur dar. Selbst wenn die eigene IT komplett vom Webauftritt entkoppelt ist, können Sicherheitsprobleme zu Datenschutzverletzungen führen, die häufig mit unvorhersehbaren Kosten und einem Reputationsverlust verbunden sind.

Grundsätzlich lassen sich moderne Websysteme sicher betreiben. Voraussetzung ist jedoch, dass sie kontinuierlich gepflegt und technisch aktuell gehalten werden. Sicherheit entsteht nicht allein bei der Entwicklung oder mit der Veröffentlichung eines Systems. Sie ist eine dauerhafte Aufgabe, ein Prozess.

Das betrifft zunächst die technische Basis auf dem Server. Programmiersprachen wie PHP, Datenbanksysteme, Webserver und weitere Komponenten werden regelmäßig weiterentwickelt. Updates schließen nicht nur Funktionslücken, sondern beseitigen häufig auch bekannte Sicherheitsrisiken. Veraltete Versionen können daher selbst dann zum Problem werden, wenn eine Website äußerlich noch einwandfrei funktioniert.

Gleiches gilt für Content-Management-Systeme wie WordPress und die darin eingesetzten Erweiterungen. Plugins und Themes erweitern den Funktionsumfang, erhöhen aber zugleich die Zahl der Komponenten, die regelmäßig geprüft und aktualisiert werden müssen. Erweiterungen, die nicht mehr gepflegt werden, sollten ersetzt oder entfernt werden. Auch unnötige Benutzerkonten, schwache Passwörter oder zu weitreichende Zugriffsrechte können vermeidbare Risiken schaffen.

Bei individuell entwickelter, PHP- basierter Software kommen weitere Aspekte hinzu. Die Programmierung selbst muss langfristig mit der technischen Umgebung Schritt halten. Funktionen und Methoden, die zum Zeitpunkt der Entwicklung dem Stand der Technik entsprachen, können mit neueren PHP-Versionen als veraltet gelten, zunächst Warnungen verursachen und später vollständig entfallen. Solche sogenannten Deprecations sind ein Hinweis darauf, dass bestehender Code angepasst werden muss. 

Gleichzeitig entstehen neue, bessere und häufig sicherere Möglichkeiten, bestimmte Aufgaben zu lösen. Deshalb genügt es nicht, lediglich die PHP-Version auf dem Server zu aktualisieren. Auch die Anwendung selbst muss regelmäßig geprüft, überarbeitet und getestet werden. Das betrifft insbesondere sicherheitsrelevante Bereiche wie die Verarbeitung von Formulardaten, Benutzeranmeldungen und Rechtevergaben, Schnittstellen zu Drittsystemen, Datei-Uploads oder den Zugriff auf Datenbanken.

Bei amm berücksichtigen wir diese Anforderungen sowohl bei WordPress-Projekten als auch bei eigenen Webanwendungen. Dazu gehören regelmäßige Aktualisierungen, technische Prüfungen und die Weiterentwicklung bestehender Systeme. Denn zuverlässige Weblösungen müssen nicht nur funktionieren. Sie müssen auch morgen noch sicher betrieben werden können.

Ihr Ansprechpartner: 

Ralf Schwalbe, rs@amm-lemgo.de 

Weitere Informationen unter:

www.amm-lemgo.de