WordPress Hacking.

Guten Morgen, lieber Kay, und hallo alle da draußen. Wir dürfen heute eine tolle neue Folge von unserem Podcast Webcafé aufnehmen, in dem wir regelmäßig über die Themen Webentwicklung und Unternehmenskultur sprechen. Und auch heute hat sich mein lieber Kollege Kay wieder Zeit genommen. Hallo Kay. Hallo Felix. Ich dachte schon, du sprichst mich jetzt direkt im ersten Satz an. Ich muss was sagen. Ja, auch von mir hallo. War ja quasi der erste Schlangensatz. Ja, ich bin Felix, Gründer, Geschäftsführer von der GNAT-Systeme GmbH in Dortmund. Wir beschäftigen uns da im Wesentlichen mit Webtechnologien.

Und Kay ist da unser Technical Lead. Und wir quatschen hier eben über Themen Webentwicklung und Unternehmenskultur und versuchen so ein bisschen auch über unseren Unternehmensalltag zu plaudern. Wir sind so ein bisschen in der Findungsphase noch, Kay. Das besprechen wir immer wieder, wo wir eigentlich hinwollen mit dem Podcast. Und es kristallisiert sich so ein bisschen raus, dass wir weniger so Tutorials machen wollen und Programmieranleitungen, sondern eher so aus unserer Erfahrung erzählen und bestimmte Themen bei den Leuten einfach so auf den Plan rufen wollen. Und ja, müssen wir mal gucken.

Ich denke, die Folge heute fühlt sich da ganz gut ein. Das liegt vor allem daran, dass wir, da muss man auch mal ehrlich sein, in unserem stressigen Arbeitsalltag jetzt nicht so die Möglichkeiten haben, Themen in der Tiefe vorzubereiten, wie es ganz viele Menschen da draußen schon gemacht haben. Und da können wir dann vielleicht eher mit den Sachen aus unserem individuellen Alltag punkten, als indem wir einfach das Lehrbuch nachzitieren. Ganz genau. Und dazu kommt ja, dass wir hier nur auf der Tonspur euch erreichen können. Und da ist es natürlich viel, viel schwieriger, auch Code zu erklären,

als man das dann visuell könnte, zum Beispiel bei YouTube. Jetzt hast du gesagt, unser Arbeitsalltag ist stressig. Ist das denn so? Naja, zumindest stressig genug oder sagen wir mal fremdbestimmt genug, als dass man da viele Stunden in der Woche für so einen regelmäßigen Podcast erübrigen könnte. Ja, das würde ich wahrscheinlich sogar mitgehen. Aber ich versuche ja eigentlich, unseren Arbeitsalltag so wenig stressig wie möglich zu machen und eben keine wilden Deadlines rauszugeben oder keine spontanen Aufgaben so reinzuschieben, dass jetzt alle Leute immer wie in diesem klassischen Agentur-Startup-Leben Stress haben.

Das wollen wir ja gerade nicht sein. Stress war vielleicht die falsche Vokabel. Ich meinte vielleicht eher, wenn man eine Stunde für einen Kunden arbeiten kann, für das man dann auch Geld bekommt, dass das ein bisschen naheliegender, als eine Stunde in den Podcast zu investieren, der jetzt erstmal nicht direkt Geld gibt, obwohl es natürlich trotzdem Spaß ist und fantastisch mit dir zu reden fehlt. Das ist natürlich herrliches Denken aus Geschäftsführersicht. Ja, in der Zwischenzeit ist viel bei uns passiert. Ich habe ein drittes Kind bekommen. Das hat mir ein bisschen Zeit geraubt in letzter Zeit.

Aber es ist ein ganz fröhlicher Bengel. Frech wie die anderen beiden. Und freue ich mich natürlich sehr, dass es da ist. Ja, nochmal Glückwunsch live on tape hier. Ja, danke dir. Und noch eine andere Sache. Ich habe ganz viele so Housekeeping-Sachen. Die Hälfte schmeiße ich jetzt hier schon raus, damit es nicht zu lang wird. Aber ich bin tatsächlich in einem fremden Podcast aufgetreten, Kay. Und zwar heißt der Hommel Hört. Du bist ein bisschen fremdgegangen. Ja, kann man so sagen. Das ist der Podcast von dem lieben Vincent Hommel. Und da kann man sich in Folge 19 so ein bisschen was über unser Unternehmen,

meine Person, unsere Geschichte anhören. Also wer Lust hat, darf da gerne reinhören. Dann haben wir Kommentare bekommen, Kay. Unter anderem bei Spotify. Und das Problem ist aber, bei Spotify kriegt man keine Benachrichtigung, wenn man irgendwie Kommentare bekommt oder so. Von daher einfach nur kurz an dieser Stelle. Wir versuchen, das zu lesen. Das klappt aber nicht immer ganz zeitnah. Und ja, versuchen dann, wenn es darauf ankommt, auch darauf einzugehen. Dann würde ich sagen, machen wir weiter mit dem Tee. Kay, da lass ich dir den Vortritt. Was hast du mitgebracht? Ja, gut, dass du fragst. Also, ich bin mehrfach ausgestattet heute.

Ich habe zum einen eine Riesenkanne Tee vorbereitet mit verschiedensten Kräutern, weil ich noch so ein bisschen kränke. Ich weiß nicht, ob man das hört. Meine Nase ist noch so ein bisschen verstopft. Das ziehe ich mir gerade literweise durch. Darum geht es jetzt aber heute nicht. Ich habe stattdessen aus meinem letzten Urlaub aus Graz, Österreich, einen Früchtetee sonniges Gemüt mitgebracht. Das passt vielleicht gut. Scheint ja auch ein bisschen die Sonne. Da sind Apfelstücke getrocknet drin, Orangenspalten, also Physalis sogar und Aroma natürlich auch. So ein bisschen wie naturtrüben Apfelsaft hier mit den ganzen groben Stücken, die da drin sind.

Und während ich davon jetzt mir einen Schluck genehmige, kannst du mir erzählen, was du vor dir hast? Und dann unterbreche ich mit einem lauten Begeisterungsausruf vielleicht. Erstmal muss ich dich fragen, ob dein Früchtetee so fruchtig und süß ist, wie man es sich vorstellen würde. Weil meine Erfahrung ist, dass die meisten Früchtetees, die nicht irgendeine Süßungskomponente drin haben, meistens doch etwas hinter einer Erwartung zurückbleiben. Also ich habe gerade einen Schluck genommen und der ist überraschend bitter. Das wundert mich gerade. Aber ansonsten interessant. Also auf jeden Fall, man schmeckt den Apfel und die Orangen durch.

Okay, schön. Ja, pass auf. Ich habe einen Tee mitgebracht, von dem ich mir gewünscht hätte, dass er mir nicht schmeckt. Das ist wild, oder? Ja, und zwar hat eine Freundin mir den mitgebracht. Da nochmal herzlichen Dank an der Stelle. Das ist ein Tee von DM. Der ist wohl neu aufgelegt worden. Das ist jetzt auch keine Werbung, also ich kriege zumindest nichts dafür, wie immer. Der heißt einfach Bio-Schwarzer Tee-Ostfriesentee. Rums. Fertig. Keine Angabe, wo es herkommt. Nix. Also außer, dass es Bio ist und dass es schwarzer Tee ist. Aber man kann nicht herausfinden, wo der Tee her ist. Also ob der irgendwie aus Sri Lanka ist, aus Madagaskar oder wo auch immer der herkommt.

Keine Ahnung. Indien. Man weiß nicht. Ja, Friesentee ist doch klar. Der kommt aus Norddeutschland. Ja, ja, wahrscheinlich. Ja, und das Ding ist aber, das Ding ist einfach richtig, richtig lecker. Das ist ein richtig toller, schwarzer Ostfriesentee. Ich habe ja hier die großen Häuser schon vorgestellt mit Thiele und Bünding und so weiter. Dann die englischen. Und ich will jetzt nicht sagen, dass der da in Konkurrenz treten kann. Aber er ist eine richtig starke Alternative. Also ganz mild, ganz weich. Und ja, schmeckt mir also sehr gut. Habe ich in letzter Zeit wirklich viel getrunken. Und deswegen habe ich ihn heute auch hier mitgebracht.

Obwohl er eigentlich nicht so richtig in mein Schema passt und ich nicht so richtig darüber schwadronieren kann, was bei diesem Tee los ist. Weil es einfach keine Informationen dazu gibt. Es ist auch so eine ganz trockene Plastikverpackung. Also es ist ein loser Tee. Ja, das war es zu meinem Tee, Kay. Ja, da kannst du natürlich einerseits nicht so viel zu erzählen. Aber andererseits ist es doch auch schön, wenn so Low-Budget-Varianten doch gut sind. Nein. Ja, weil irgendwie hat man doch so im Kopf, wenn man dann so schön so einen jahrhundertealten Bünding-Tee aus Friesland und der muss doch besser schmecken als andere.

Und dann kommen die hier und machen so diesen Wald- und Wiesentee und dann schmeckt der auch noch. Diese handgestrickten Teebeutel, die du da schon mal vorgestellt hast. Ja, im Zweifel ist er wahrscheinlich aus irgendeinem großen Teehaus und ist nur umgelabelt für die M. Man weiß es nicht. Naja, das soll es aber auch gewesen sein zu dem Tee. Nicht, dass alle Leute jetzt anfangen, so billigen Tee zu kaufen. Kostet, glaube ich, 2,950 oder so. Kann gerade mal nachgucken. 2,85 für 125 Gramm. Ja, dafür kriegt man es jedenfalls in einer Teelein nicht. Na gut. Kay, lass uns mal auf unser Hauptthema springen.

Vielleicht kriegen wir am Ende noch so ein paar Housekeeping-Themen mit unter. Aber ich denke, wir sollten mal durchstarten. Wir haben uns nämlich ein schönes Thema heute vorgenommen, das sich so ein bisschen überschneidet mit Sachen, die wir in unserer WordPress-Folge schon gesagt haben.

Aber ich denke, das ist nicht so schlimm. Und die Leute, die es schon gehört haben, können natürlich vorspulen. Es geht um WordPress-Sicherheit, WordPress-Hacking. Ja, überleg dir eine Überschrift. Ja, das ist so ein bisschen wieder aus unserem Arbeitsalltag herausgeboren. Da haben wir uns nämlich zuletzt relativ intensiv mit dem Thema beschäftigt. Also zum einen sind wir natürlich als Webseitenbetreiber von Kunden auch so ein bisschen um deren WordPress-Sicherheit besorgt und hatten da auch schon verschiedene Zwischenfälle, auf die wir nachher eingehen. Aber jetzt auch ganz aktuell, möchte ich fast sagen,

haben wir so ein bisschen die andere Seite der Medaille mal uns angeschaut. beziehungsweise du hast da dich versucht. Ja, ich bin in die Untiefen des WordPress-Hackings so ein bisschen reingekommen. Ich muss das ein bisschen länger aufziehen, glaube ich. Also wir hatten so einen ganz blöden Fall, dass Leute unsere Identität geklaut haben von der Firma und Webseiten im Namen unserer Firma, also wirklich mit Impressum, unserer Firmenadresse, meinen persönlichen Namen und so weiter, genommen haben, um Leute zu betrügen. Und das waren so Seiten, so Karriereseiten. Die haben dann richtig Anzeigen geschaltet auf Indeed und anderen Plattformen,

wo die nach, ich glaube, Telefonisten waren das in dem Fall, gesucht haben. Und die sollten sich dann eben über diese Fake-Website bewerben. Und da gab es so ein Chat-Formular und so weiter. Ende vom Lied war, die sollten ein Konto eröffnen, quasi im Namen dieser Betrüger dann. Was sie dann damit gemacht haben, kann ich nicht genau sagen. Das ist natürlich an sich schon nervig genug, weil da Leute betrogen werden. Aber das Nervigste für mich war eigentlich, dass ich wirklich pro Tag mehrere E-Mails gekriegt habe und mehrere, zum Teil sogar Anrufe gekriegt habe, dass Leute gesagt haben, hier, was ist denn mit meiner Bewerbung

und wie sieht es aus? Und zum Teil auch Leute gecheckt haben, dass das ein Betrug ist und gesagt haben, ja, ich habe jetzt erst Konto eröffnet, was kann ich denn machen und so weiter. Und mir blieb da natürlich nichts anderes übrig, als zu sagen, jo, ist nicht von uns, macht auf keinen Fall weiter. Und ich bin dann hingegangen, habe eine Anzeige bei der Polizei Dortmund aufgegeben. Das wurde mir so gesagt, dass ich das machen soll, habe ich bis heute nichts gehört und das ist jetzt inzwischen auch schon über zwei Monate her. Und dann habe ich bei den ganzen Domain Authorities angefragt, also das war eine Com-Domain natürlich,

da kommt man jetzt nicht so leicht dran in Deutschland, und habe da eine Sperrung beantragt. Dann ist sie auch zeitweise durchgegangen und dann habe ich aber auf einmal eine Mail gekriegt, ja, das sind ja alles nur Vermutungen, dass die Schindluder treiben und ich habe aber keine richtigen Beweise und ja, ich habe denen dann so Screenshots von Leuten geschickt, die gesagt haben, dass sie betrogen wurden und so. Aber das hat alles jedenfalls nicht gereicht, dann war die Website wieder online und ich habe mich tierisch aufgeregt, weil ich damit wahnsinnig viel Arbeit hatte und das natürlich auch ätzend finde,

wenn Leute betrogen werden. Ja, und dann habe ich gedacht, vielleicht gucken wir uns mal an, wie man die Website, vielleicht, ob die nicht von den Leuten abgeschaltet werden kann. Und dann habe ich mich eben mit diesem Hacking-Thema ein bisschen beschäftigt, eben aus der Seite, dass man mal guckt, was bei so einer Website geht, während wir sonst ja immer auf einer Perspektive waren, dass wir versucht haben, unsere Kunden zu schützen. Ich habe da natürlich am Ende nicht durchgezogen und habe das alles nur getestet, habe das als gutes Testobjekt genommen. Also nicht, dass da jetzt jemand kommt und jetzt zur Polizei rennt und sagt,

der Felix hier hackt hier fröhlich irgendwelche Webseiten. Nein, nein, ich bin da natürlich nur bis zu einem gewissen Punkt gegangen, wollte mal sehen, was sind da so für Sicherheitsglücken und habe dann alles sein lassen. Und ja, genau, ich habe mich so an meine alten Schulzeiten erinnert, Kay. So bin ich da eingestiegen. Da haben wir nämlich unsere Schulwebsite mal gehackt. Und das kann ich, glaube ich, so fröhlich sagen, weil das inzwischen verjährt sein dürfte. Also ich habe, wann habe ich den Abi gemacht? 2008. Das war jedenfalls davor. Also ich hoffe, das ist verjährt. Und wir haben auch keine böswilligen Sachen angestellt.

Also wir haben dann auf die Schulwebsite draufgeschrieben, so nach dem Motto, hier, heute ist hitzefrei und sowas. Also das war alles halbwegs harmlos. Wir hatten auch ziemlich die Hosen voll und haben uns da nicht getraut, richtig was mitzumachen. Aber das Witzige war, da haben wir eben so verschiedene Hacking-Tools auch ausprobiert und versucht, die Passwörter zu brute forcen und so. Und damals stand man noch nicht so auf sichere Passwörter. Und ich kann mich bis heute erinnern, die Benutzernamen waren halt immer vor, also erster Buchstab des Vornamens und dann Nachnamen von dem Lehrer. Und wir wussten natürlich,

welcher Lehrer da mit der Website betraut ist. Und deswegen konnten wir da, also den Benutzernamen schon mal ganz gut erraten. Und dann musste man nur noch so ein Brute-Force-Tool haben. Heute gibt es da natürlich ganz schöne Sachen mit Kali, Linux und so. Das hieß, glaube ich, damals noch anders, wo ganz viele Sachen mitgeschippt werden. Hydra, Burp-Suite und so weiter. Kann man sich mit beschäftigen, wenn man da Lust drauf hat. Jedenfalls haben wir das dann natürlich auch gebrute-forced. Ich weiß gar nicht, ob wir uns da ein eigenes Skript für geschrieben haben. Und ich kann mich bis heute daran erinnern,

das Passwort von dem entsprechenden Lehrer war Online 1. Das war natürlich sehr, sehr dankbar. Und da können wir vielleicht auch schon das erste Learning rausgeben. Also kurze, erratbare Passwörter, die vor allem in irgendwelchen Wordlisten auftauchen, sind nie eine gute Idee. Und das sollte man eben tunlichst vermeiden. Also jetzt bist du schon wieder fünf Meilen voraus galoppiert. Ich würde dich mal so ein bisschen zurück an die Startlinie ziehen. Ja, mach mal. Ich wäre jetzt gerade zurückgekommen auf unseren Fall da, aber grätsch gerne rein. Ich würde es vielleicht mal so ein bisschen weiter ausspannen.

Wir haben jetzt das Thema WordPress-Hacking aufgemacht. Das ist natürlich erst mal relativ nichtssagend, außer dass es vielleicht bedeutet, das hat irgendwas mit WordPress zu tun. Wir haben es auch in Folge 18 schon mal so ein bisschen geschnitten. Und da geht es ja letzten Endes darum, dass man als Außenstehender Zugriff auf Teile einer Webseite bekommt, die man nicht haben soll und dann damit Quatsch anstellt. Und das hat, glaube ich, zum einen einen relativ großen Bereich an Einfallstore, die jetzt nicht unbedingt WordPress-exklusiv sind, wie zum Beispiel jetzt, du hast gerade schon gesagt,

schlechtes Passwort oder nicht so gute Verschlüsselung. Und zum anderen gibt es natürlich auch so ein paar WordPress-spezifische Sachen, die für uns jetzt heute interessant sind und auf die wir vielleicht ein bisschen näher eingehen wollen. Die Frage, die mich als erstes interessiert hat, als wir uns mit dem Thema beschäftigt haben, ist, warum ist das denn bei den WordPress-Seiten, die wir haben, schon das ein oder andere Mal vorgekommen, während bei allen anderen Seiten das bis jetzt noch nicht so ein Problem war. Und wir haben das, glaube ich, in der Folge 18 auch schon angesprochen, dass WordPress eben ein unfassbar

verbreitetes System ist und es deswegen sehr einfach macht, dafür Schwachstellen zu finden und auch dann die Schwachstellen auszunutzen, weil man da eben sehr schön automatisiert gegen viele Seiten die gleichen Angriffe fahren kann. Wir zeigen da vielleicht nachher so ein paar auf. Und die Chance ist hoch, dass die Seite, die man da zufällig trifft, eine WordPress-Seite ist. Und die Chance ist auch relativ hoch, dass es da funktionieren könnte. Ich habe ein paar Statistiken rausgefunden, vielleicht um das ein bisschen zu untermauern, warum WordPress da so ein spannendes Ziel ist. Und zwar habe ich ja eine WordPress gefunden,

wo gesagt wurde, dass ungefähr 43 Prozent aller Webseiten WordPress benutzen. Also aller Internetseiten, die es gibt. Und das hängt so ein bisschen damit zusammen, was WordPress selber sagt, was es für eine Anwendung hat und welche Seiten es insgesamt gibt. Also das ist nur so eine grobe Schätzung. Aber es gibt so ein bisschen einen Überblick darüber, wie groß der WordPress-Marktanteil ist. Und andere Statistiken, die man anziehen kann, ich habe da ColorLib benutzt, können wir vielleicht mal verlinken, die überschlagen, auch aufgrund solchen allgemeinen Statistiken, dass es wohl 13.000 Angriffe

pro Tag geben muss auf WordPress-Webseiten. Das hört sich extrem wenig an, für meinen Geschmack. Statistisch gesehen, ungefähr 30.000 Webseiten am Tag werden gehackt. Und wenn man davon wieder ausgeht, dass 43% aller Webseiten WordPress sind, dann sind das 13.000 am Tag, finde ich schon eine stabile Hausnummer, auf jeden Fall. Ich hätte jetzt gedacht, 13.000 scannt alleine einen Angreifer, wenn man mindestens am Tag durch. Ich wäre jetzt von der größeren Zahl noch rausgegangen. Das macht halt WordPress so attraktiv, dass so viel eingesetzt wird. Und das ist ja wie mit Windows und den Viren für Windows

und warum es so wenig für macOS und andere Systeme gibt, neben Sicherheitsfeatures. Aber Windows wird einfach so viel eingesetzt und WordPress eben auch, dass es sich da am meisten lohnt, Aufwand reinzustecken, was diese breiteren Attacken angeht. Also wenn man jetzt einen speziellen Angriff fährt, also irgendeine Phishing-Attacke oder sowas, dann ist das System übergreifend. Aber wenn man jetzt einfach nur diese breite Masse angreifen will, um auf irgendwelchen Webseiten meinetwegen Links zu platzieren, dann ist WordPress natürlich das attraktivste System, weil es einfach so viel verwendet wird,

weil es ein großes Ökosystem hat und damit natürlich zwangsläufig auch einige Schwachstellen. Links platzieren ist ein guter Punkt. Behalt das mal im Hinterköpf, wenn wir gleich darüber sprechen, warum man das eigentlich tun sollte. Ich wollte noch eine Statistik raushauen, die ein bisschen untermalt, warum WordPress zusätzlich so ein attraktives Ziel ist. Und zwar sagt WordPress selber in ihren Statistiken, dass über 40% der WordPress-Webseiten weniger, also eine PHP-Version unter 8 benutzt und die ist ja bereits out of life, also bekommt auch keine Sicherheitsupdates mehr. Und das ist jetzt nicht grundsätzlich ein Problem,

aber das zeigt eben, wie so der Wartungszustand von diesen Webseiten ist. Also die meisten davon oder zumindest 40% werden halt irgendwann mal aufgesetzt und dann laufen die mehr oder weniger so. Und alle neuen Sicherheitslücken, die da gefunden werden, werden dann vielleicht nicht so zeitnah geschlossen. Und dann noch die allerletzte spannende Statistik zum Thema WordPress. Und das haben wir auch in unserer Folge so ein bisschen angesprochen. Laut dieser Color-Lib-Statistik sind nur 0,5% der Hacking-Angriffe über den Core, 6% über das Theme und 92% über Plugins. Also das zeigt so ein bisschen,

wie die Leute in dieses Thema reinkommen, nämlich selten über WordPress selber. Das ist natürlich durch Open Source und sowas sehr streng überwacht. Das Problem sind dann eher alte oder ja, eigentlich veraltete Plugins, wo eine Schwachstelle für gefunden wurde und die vielleicht rechtzeitig gefixt, aber nicht überall ausgespielt wurde. Ein ganz bekanntes Beispiel dafür ist ja dieser Slider Revolution oder Revolution Slider. Der hatte 2014 so eine ganz bekannte Sicherheitslücke, wo irre viele Webseiten auch aktiv ausgenutzt gehackt wurden. Und der hatte so eine Ajax-Funktion drin, womit man Dateien

auslesen konnte. Und das konnte man eben auch als unangemeldeter Benutzer konnte man halt diese Datei anfragen. Und konnte dann zum Beispiel die WP-Config-PRP auslesen, wo dann ja die Datenbank-Passwörter und so weiter drinstehen. Und das Hauptproblem war eigentlich, das wurde relativ schnell gefixt und dann konnten wir mal Update einspielen und dann war das auch alles gegessen. Das Hauptproblem war aber, dass das in ganz vielen so Premium-Themes gebundelt war, also bei ThemeForest und anderen Plattformen. Und da war dieser Revolution Slider mit drin. Und wenn das da mit drin ist, kriegst du keine

Update-Benachrichtigung. Und diese Themes, die updatet kein Mensch, weil die meist auch ziemlich vercodet sind, die kannst du gar nicht richtig updaten. Also in vielen Installationen. Bei uns geht das natürlich bei unseren Kunden. Und das war ein Riesenproblem, weil die dann Jahre später immer noch sehr, sehr anfällig für Hacks waren. Also Webseiten, die dann vor 2014 aufgesetzt waren. Ja, das war also ein Riesenthema und ein super Beispiel dafür, was so ein Plugin für Probleme dann verursachen kann. Und was ist denn der Ziel von so einem WordPress-Hack? Also warum machen sich Menschen die Mühe

und versuchen da in fremde Webseiten einzudringen? Ja, wenn man jetzt mal von meinem Fall absieht, ist ja meistens der Fall, dass die Leute irgendwelche Webseiten promoten wollen. Also irgendwie, ja, ob das jetzt SEO-Gründe sind. Also früher war das oft, dass dann so Links dezent platziert wurden, damit die SEO-Power von den Seiten, die man da gehackt hatte, auf die neuen Seiten übergehen. Weil wir wissen ja, wenn man Backlinks hat von bekannten Seiten, dann wird ja immer so ein gewisser Trust übergeben und dann wird die Seite selbst auch bei Google höher gerankt. Jetzt bin ich nicht so wahnsinnig tief im

SEO-Thema drin, weiß nicht, ob das heute noch so gut funktioniert wie damals. Aber damals, wenn man zum Beispiel Backlink von Wikipedia hatte, das war eben Goldwert für die eigene Seite. Und je mehr Backlinks man hatte, desto besser. Und früher war das eben gang und gäbe, dass man einfach auf massenweise Seiten versucht hat, dann Links zu seinen eigenen Seiten zu platzieren, um die Seiten zu pushen. Und oft sind das aber natürlich dann heutzutage auch so Weiterleitungen auf Schmuddel, Webseiten und alles Mögliche. Das eine, was du gesagt hast, ist ja ein relativ harmloser Vorgang, außer natürlich,

dass es grundsätzlich ein Problem ist, wenn jemand Sachen auf deiner Webseite macht, die du nicht möchtest. Aber einfach nur durch diese Backlinks irgendwelchen SEO-Trusts zu erzeugen, das ist ja noch relativ harmlos. Ich kann mich auch erinnern, früher waren da regelmäßig die Kommentarfunktionen in WordPress vollgespammt mit irgendwelchen Links, die das versucht haben, so ein bisschen auszunutzen. Das ist schon deutlich weniger geworden. Wobei das andere natürlich, was du gesagt hast, dann das viel größere Problem ist. Also irgendeine Form von Scam gegenüber dem Nutzer, der auf die Webseite geht

und da eigentlich was Seriöses erwartet. Also Redirects, hast du schon gesagt, auf irgendwelche Seiten, die man nicht so unbedingt haben möchte. Natürlich einfach irgendwelche Werbung für Quatsch, den man da auch nicht haben möchte. Was aber natürlich auch passieren kann, ist, sowas wie Ressourcen, also so Bitcoin-Mining gab es ja auch eine Zeit lang, dass man irgendwelche Sachen installieren konnte und dann liefen da im Browser des Nutzers irgendwelche Bitcoin-Sachen. Stimmt, per JavaScript und ich habe einmal gesehen, wenn die Webseite auf war, dass die tierische Ressourcen hungrig war. Genau, solche Sachen.

Früher war das so schön bei WordPress, wenn die Seite gehackt wurde, dann hat man relativ schnell auch das mitgekriegt, weil die Seite entweder down war oder Leute haben ständig irgendwie weiße Seiten gekriegt oder irgendwas ist da jedenfalls passiert und heute sind WordPress-Angriffe eigentlich viel subtiler und viel gefährlicher, weil in den allermeisten Fällen das so ist, dass die Angreifer erst mal zwei, drei Monate gar nichts machen, wenn sie dann Zugang haben und erst mal abwarten und dann ist nämlich das Problem, dass die meisten Backups ja nur eine gewisse Zeit zurückgehen und dann hatten wir schon Fälle,

wo dann wirklich in Backups, die zwei Monate zurück waren, auch dieser Hack schon drin war, obwohl der noch gar nicht aktiv war in der Zeit und das ist natürlich dann extrem gefährlich, weil du dann das Ganze bereinigen kannst und so weiter und plötzlich ist der Hack wieder da und dann wirst du das Zeug gar nicht mehr los. Also das ist schon übel und die Auswirkungen sind heute eben auch dezenter. Also keiner schießt dir einfach nur die Seite ab oder ballert da irgendwie stumpfenden Content drauf, sondern dann ist das oft mit einer Geo-Einschränkung, dass nur bestimmte Benutzer das kriegen oder nur bei jedem

bestimmten Aufruf, was angezeigt wird und dann ist es schon mal ganz schwierig, einen Hack überhaupt zu erkennen. Hatten wir auch schon die Fälle, dass es irgendwelche Hacks gab. Da müssen wir vielleicht noch ein bisschen näher drauf eingehen, was das jetzt konkret bedeutet für dieses Szenario. Aber das wurde zum Beispiel nicht aktiviert, wenn man als WordPress-Nutzer angemeldet war. Und das heißt, als Admin auf der Seite gehe ich dann drauf, bin möglicherweise noch angemeldet, aber es ist alles ganz normal, während ich dann als normaler Nutzer irgendwie weitergeleitet werde. Und diese Art von Hacks

bedeutet ja meistens, dass einfach der Source-Code der Webseite verändert wurde. Also irgendwie haben die Angreifer Zugriff auf die Dateien bekommen und dann zum Beispiel den Header angepasst, der auf so Seiten immer ausgespielt wird durch irgendwelches eigenes JavaScript oder sowas. Meistens auch ein bisschen verkryptisiert der Code, der da reingeschrieben wurde, dass man nicht direkt sieht, was so abgeht, aber schon auffällig, dass da irgendwas anderes ist. Da muss man nur auch sehr genaue Mechaniken haben, um das zu erkennen. Und wie du sagst, die meisten Leute oder die meisten Hacker inzwischen

lassen das ein paar Monate liegen, bevor es irgendwie aktiv wird und dann kriegst du es auch aus den Backups nicht mehr raus. Eine andere Variante, die dann nicht so unbedingt für WordPress gilt, sondern auch für andere Seiten, ist, wenn die Nutzer oder die Hacker Zugriff zu dem ganzen Server bekommen, also entweder zu dem Server, auf dem das Ganze läuft oder eben auf der Datenbank, du hast es gerade gesagt, mit der Config auslesen, dann hast du natürlich ganz andere Probleme, die dann allerdings nicht exklusiv für WordPress gelten. Also zum Beispiel, dass die Server dann als Ressource für so Botnets

verwendet werden oder dass man aus der Datenbank die Credentials von den Nutzern ausliest und die dann für andere Seiten nutzen möchte. Da kommen wir gleich, glaube ich, nochmal in den Gegenmaßnahmen dazu, aber da ist natürlich ein wichtiger Punkt, dass man einen coolen Hoster hat, der bestenfalls auch Erkennungsmechanismen hat. Und ich kann jetzt von uns zumindest sagen, dass das bei Hetzner richtig klasse ist. Da kriege ich immer mal wieder so einmal im Jahr so Mails von wegen, hier, da ist eine Datei gefunden worden, die sieht irgendwie nicht ganz koscher aus und da müsst ihr mal reingucken.

Was uns auch schon häufig passiert ist in dem Zusammenhang, ist, dass dann irgendwelche Quatsch-E-Mails versendet wurden und die WordPress-Webseite so als Angelpunkt für so Spam-Attacken genutzt wurde. Genau, das waren eigentlich in der Vergangenheit so mit die übelsten Angriffe, weil wir auch eine Zeit lang das Problem hatten, dass der Server so konfiguriert war. Wenn einer jetzt Spam versendet, dann ist halt die ganze IP, also der ganze Server letztlich dann geblacklistet worden und dann konnten keine Kunden mehr oder zumindest die Kunden, die da auf dem Server lagen, konnten dann keine E-Mails

mehr schicken oder sind nicht angekommen oder Spam markiert worden und so, das war ultra ätzend und das waren eigentlich so die nervigsten Angriffe, die wir hatten, dass die Angreifer wirklich Spam im Namen der echten Domains dann verschickt haben. Das muss man vielleicht dazu sagen, dass das wirklich ein schlimmes Ding ist und wenn einmal von deiner Domain irgendwelcher Quatsch versendet wurde, insbesondere Spam-E-Mails, da gibt es da sehr nachtragende Systeme, die das, du hast es gerade gesagt, so blacklisten und dann auch noch über Monate oder noch hinweg diese Webseite nicht mehr vertrauen,

auch wenn der Hack vielleicht nur, weiß ich, einen Tag aktiv war, hast du trotzdem noch Monate danach irgendwelche Probleme, dass deine E-Mails abgelehnt wurden oder sonst irgendwas, weil das eben einmal so negativ mit deiner Domain verknüpft ist. Genau. Ja, soll ich nochmal erzählen, wie man WordPress jetzt aus Sicht eines Angreifers, wie man da am besten rankommen würde und dann drehen wir so den Turn dahingehend, weil sich daraus auch ein bisschen was ergibt, wie wir das verhindern können? Gerne. Genau, also ich komme vielleicht nochmal auf diese Geschichte zurück, die wir da hatten, wo ich das ja einfach

nur aus wissenschaftlichen Zwecken so ein bisschen getestet habe und ich habe dann angefangen mit Hydra einfach mal zu gucken, finde ich vielleicht irgendwelche Benutzernamen raus und da muss man bei WordPress sagen, ein Riesenproblem ist, wenn man im Anmeldeformular ist, also wenn man auf Slash Admin geht oder Slash Login und dann einen falschen Benutzernamen eingibt, dann meldet WordPress dir hier, dieser Benutzername ist nicht vorhanden und das wissen wir natürlich, das ist eine Katastrophe. Versuchen wir in unseren Web-Anwendungen immer zu vermeiden, dass wir rausgeben, was genau das Problem ist

und da kommt dann dazu, wenn du das Passwort falsch eingibst, also richtige Benutzernamen, falsches Passwort, sagt dir, das Passwort ist falsch. Das sind natürlich Informationen, die man als Angreifer extrem gut nutzen kann. Der Trick bei so einer Passwortkombination ist, dass du zwei Unbekannte hast und beide zu erraten ist total unwahrscheinlich, aber wenn dir das System jetzt schon sagt, dass eine der beiden Unbekannten richtig ist, nämlich in dem Fall die E-Mail-Adresse, dann vereinfacht es natürlich enorm die Suche nach der anderen Unbekannten, also in dem Fall nach dem Passwort. Aber du musst vielleicht

noch einmal sagen, Felix, woher wusstest du denn, dass diese Seite, mit der du dich da beschäftigt hast, überhaupt eine WordPress-Seite ist? Ah, das ist natürlich eine gute Frage. Ja, das sagt einem die Erfahrung natürlich jetzt an meiner Stelle. Man kann aber natürlich auch ganz einfach in den Quelltext reingehen und dann sieht man da über diese WP-Content-Verzeichnisse und so und dann springt einem das schon eigentlich an, dass das WordPress ist. Wenn man das jetzt nicht weiß, ist die einfachste Methode auf allen Webseiten eigentlich mal Slash-Admin einzugeben. Da kommt man bei Shopware, bei WordPress,

bei anderen Systemen kommt man eigentlich immer ganz gut in den Admin-Bereich. Und es gibt theoretisch aber auch Webseiten, wo du dann sagen kannst, hier finden wir eben raus, was für ein Administrationssystem das ist. Also da gibt es tausend Mittel und Wege, das zuverlässig rauszufinden, was für ein System dahinter ist. Und hier habe ich jetzt einfach ausprobiert, Slash-Admin einzugeben. Dann bin ich auf die WordPress-Administration gekommen und da wusste ich, ja, hier haben wir eine WordPress-Seite. Manche Sachen stehen ja sogar schon im Response-Header drin, wenn man so eine Webseite aufruft.

Da steht dann vielleicht der Web-Server drin, ob das eine Patchy ist oder sonst irgendwas, die PHP-Version mit unter und manchmal auch solche Sachen wie WordPress-Version. Also da muss man bei den eigenen Webseiten auch mal drauf achten, was denn da eigentlich automatisch so ausgespielt wird an Information, weil jede Information kann ja gegen einen verwendet werden. Genau, ich glaube, am Ende ist das nicht unbedingt das Ziel, zu versuchen, zu verschleinen, dass es WordPress ist, weil das wird einem nicht gelingen. Es gibt tausend Varianten, da kann ich jetzt hier in dem Podcast nicht alles sagen,

aber du kannst zum Beispiel, das machen ganz viele Plugins, die gucken, ob es eine License.txt gibt und da stehen dann so WordPress-Informationen drin und so. Also es gibt wirklich zig Möglichkeiten rauszufinden, ob das jetzt gerade WordPress ist und ich glaube, zu versuchen, das zu verschleiern, wird einem nicht wirklich gelingen. Also glaube ich jedenfalls nicht dran. Ja, und dann wollte ich jedenfalls auf dieser Seite als erstes Mal rausfinden, was für Benutzer es gibt und da hatte ich mich so daran erinnert, dass man früher, wenn man jetzt nicht irgendwie einen Kali-Dinux aufsetzen wollte oder mit Kanonen

auf Spatzen schießen wollte, dann hat man so ein Hydra genommen. Das ist so ein Command-Line-Tool, mit dem kann man eigentlich proof-horsen, kann man sagen. Und da kann man dann so sich so Benutzerlisten slash Passwortlisten im Internet runterladen. Eine ganz bekannte Passwortliste ist also diese Rock-U-Liste. Ich weiß gar nicht, ob das aus diesem Sony-Hack mal entstanden ist. Jedenfalls gibt es Listen im Internet wie Sand am Meer, wo ganz viele bekannte Benutzernamen drauf sind und es gibt auch Listen mit Millionen von Passwörtern, die man durchgehen kann. Der Vorteil ist eben, wenn man eine Liste hat

mit Sachen, die es schon mal gab, eben meistens aus irgendwelchen Hacks raus, dann ist die Wahrscheinlichkeit größer, als wenn man jetzt einfach Stumpfblut forcen würde, dass man da was bei hat, was funktioniert. Will ich jetzt gar nicht zu sehr drauf eingehen, jedenfalls bin ich da einmal durchgegangen und habe dann tatsächlich auch Benutzernamen rausgefunden, die bei der Website aktiv waren. Inzwischen macht WordPress ja keine Admin-Benutzer mehr. Also der WordPress liegt, glaube ich, seit, ja, ich glaube schon seit Version 3 oder so, legen die keinen Standard-Admin-Benutzer mehr an. Früher hieß der

Standard-Benutzer eben Admin und das hat es natürlich für den Angreifer noch mal einfacher gemacht. Witzigerweise habe ich dann im Nachhinein Vielleicht einmal noch mal kurz eingrätschen. Du bist ja über das Brute-Force und gerade so hinweggegangen. Ich bin mir nicht ganz sicher, ob das allen so klar ist, was das bedeutet. Aber ich sage mal, die stupideste Variante, ein Passwort herauszufinden, wenn man die E-Mail-Adresse weiß, wie jetzt in dem Fall WordPress sagt es einfach, dass ein Skript schreibt, dass alle Buchstaben und Zeichen Kombinationen durchgeht. Also es fängt bei A an, dann macht es A, A,

dann macht es A, A, A, A und so weiter. Und unter bestimmten Rahmenbedingungen kann man dann halt eine Dritz-Zilliarde Kombination ausprobieren und die Chance ist hoch, dass wenn man dann bei der elften oder zwölften Stelle ankommt, dass man dann eine Kombination gefunden hat, die eben da zufällig passt. Aber das ist natürlich auch so ein bisschen die Holzhammer-Variante, weil da brauchst du einigermaßen Rechenleistung für. Das ist auch recht auffällig, weil da so viele Requests passieren. Und idealerweise, da kommen wir nachher wahrscheinlich nochmal drauf, gibt es serverseitig da eine Variante,

das eben zu unterbinden. Und deswegen sind diese etwas vordefinierten Passwortlisten, die du gerade referenziert hast, ein bisschen effizienter als stumpf, alle Kombinationen auszuprobieren. Ja, genau, weil ein Benutzername wie Wolfgang ist eben wesentlich wahrscheinlicher als XY3-RPZ oder sowas. Und genau, wenn man dann so ein bisschen strukturierter angeht, hat man eigentlich höhere Wahrscheinlichkeit. Ja, da kann man jetzt super weit einsteigen. Du hast jetzt so Rate-Limits angesprochen und da kann man natürlich in so Tools wie Hydra kann man da ein Throttling einstellen, dass man eben nur bestimmte Anzahl

an Anfragen pro Minute stellt, damit der Server eben nicht überfordert ist. Dann kommt es sehr darauf an, was der Server auf der Gegenseite so für eine Leistung hat und was der so erlaubt. Genau, also standardmäßig gibt es bei WordPress ja tatsächlich so eine XML-RPC-Schnittstelle, über die man auch angreifen kann, komme ich gleich nochmal drauf zu sprechen. Die ist interessanterweise nicht standardmäßig deaktiviert. Ich habe im Nachhinein aber rausgefunden, also ich habe da mit Hydra wirklich geguckt, ob auf der Seite hinterher nicht korrekt draufsteht. Das ist dann hier Benutzernamen das nicht korrekt schittert

und dann habe ich einfach die ganzen Benutzernamen durchprobiert und geguckt, ob dieses nicht korrekt eben dann irgendwann nicht mehr da steht. Das ist so ein bisschen so die Methode, die jetzt nicht WordPress-spezifisch ist, sondern für alle Seiten funktionieren würde. Später habe ich rausgefunden, dass man sich auch viel Einfachräte machen können. WordPress exposed nämlich tatsächlich standardmäßig unter, also der Domain unter slash wp-json slash wp slash v2 slash users kannst du einfach für jede Website, die keine Gegenmaßnahmen ergreift, darüber die Benutzerliste abfragen. Und tatsächlich war das

jetzt bei der Seite, die ich da hatte, auch so, wenn ich das eingegeben habe, dann wurden einfach die zwei Benutzer angezeigt, die WordPress hat. Total faszinierend, dass das so ist im WordPress, aber so ist es. Und in dem Moment, wo man da so ein Wordfense oder sowas installiert, gibt es diesen Link da nicht mehr, aber in der standard WordPress-Installation geht das eben. Und vielleicht noch weiterer Hinweis, normalerweise würde man das jetzt auch nicht unbedingt mit Hydra machen, das funktioniert zwar, aber man kann viel besser spezielle WordPress-Tools nehmen und das Tool, was überall im Internet

verwendet wird, um eine WordPress-Seite auf Sicherheitsschwachstellen zu checken und zu brute forcen, also aus Pentest-Zwecken, Ethical Hacking, sage ich mal, ist dann WP-Scan, heißt das. Und da kann man sich dann so eine API-Key online holen, der ist auch erstmal kostenlos, da kann man auch Geld einwerfen, wenn man da noch mehr mitmachen will, aber grundsätzlich kann man das kostenlos verwenden und das hat halt den Vorteil, das probiert schon ganz viele Sachen für dich aus und macht eben so ein paar WordPress-spezifische Sachen, kann dann den User-Agent noch verschleiern und so weiter und so fort,

kann automatisch herausfinden, welche Methode die beste ist, also eben XML-RPC oder andere und genau so würde man das jetzt eigentlich machen, also man würde erstmal gucken, ob unter dieser URL die User sowieso exposed werden und wenn nicht, dann würde man mit WP-Scan da dran gehen und sich angucken, ob man die Benutzer herausfinden kann und wahrscheinlich würde man sogar gar nicht, also wenn man jetzt eine Website hacken wollte, würde man gar nicht über die Benutzer gehen, sondern man würde erstmal WP-Scan drauf jagen und erstmal gucken, haben wir denn hier Schwachstellen in irgendeiner Form,

also ist die WordPress-Version veraltet und bringt die Sicherheitslücken mit, gibt es Plugins, die angreifbar sind und WP-Scan ist da wirklich, muss man sich mal mit beschäftigen, aber ganz entspannt, also das wirft man eigentlich nur an, gibt ein paar Parameter mit und dann kriegt man daraus, jo, hier ist ein falsches Plugin drauf und ein falsches Theme und der gibt dir dann auch schön den Link direkt dazu an, wo die Schwachstelle beschrieben ist und die allermeisten Schwachstellen sind so, dass man so Mindestset an Rechten haben muss, also zum Beispiel Subscriber sein muss, um damit wirklich was zu machen.

Die wenigsten sind dann so wie bei diesem Revolution Slider, wo man wirklich ganz ohne Rechte Sachen auslesen kann, gibt es aber natürlich auch und ja, genau, dann muss man sich natürlich im nächsten Schritt angucken, wie werde ich wenigstens Subscriber oder finde ich natürlich wirklich benutzen einen Passwort für bestenfalls einen Admin-Account raus, aber es reicht eben auch eine Nicht-Admin-Account, weil man dann diese Schwachstellen manchmal ganz gut ausnutzen kann. Also das ist so ein bisschen das Vorgehen, was man normalerweise machen würde. Finde ich ja total spannend, dass es da so eine Industrie

dahinter gibt, die sich darauf spezialisiert hat, einerseits eben zu so ja, Research-Zwecken sagen die es ja, so Tools anzubieten, die das ethisch machen, aber zum anderen kannst du das natürlich auch missbrauchen und es gibt ja einen riesen Schwarzmarkt von Tools, die nur darauf abgelegt sind, das, was du gerade gesagt hast, einfach versuchen, bei WordPress Zugang zu bekommen. Ja, aber man muss schon sagen, eigentlich ist das klasse, weil jemand, der sich wirklich mit Hacking beschäftigt und eine Website angreifen will, der installiert sich auch in Kali-Linux, der kennt sich auch mit anderen Tools aus, der hat die

Ressourcen da, um so eine Website wirklich anzugreifen, wenn er da die Lust drauf hat oder wenn er ein großes Bot-Netzwerk aufbauen will. Wir haben das als Webseiten-Betreiber ja meistens nicht, also wir haben weder das Interesse dran, noch diese Ressourcen so eine Hacking-Infrastruktur aufzubauen und dann ist es eigentlich ein Segen, dass es so etwas wie WP-Scan gibt, der einem eine ganz einfache Möglichkeit gibt, die Seiten auf Sicherheitslücken eben zu checken. Ja, sind natürlich beide Seiten, klar, weil Angreifer können es auch nutzen. Ich glaube aber, dass der Angreifer prinzipiell mehr Waffen in der Hand hat und

auch so schon ganz gut ausgerüstet wäre und WP-Scan macht ja jetzt nichts, was ein anderes Tool nicht könnte. Es macht es eigentlich nur einfacher und von daher glaube ich, am Ende ist es eher ein Vorteil für diejenigen, die sich schützen wollen. Wie ist dein Hacking-Trip dann zu Ende gegangen? Du hast keine Nutzernamen-Passwort- Kombinationen gefunden, die geklappt hat und dann hast du es dabei sein lassen. Ja, ich habe das jetzt nicht mehr so ganz genau auf dem Schirm, aber Fakt ist, die Anrufe und E-Mails haben jedenfalls aufgehört. Nein, da hatte ich natürlich nichts mehr zu tun. Also, das muss man wirklich

sagen, im Internet findet man ganz viele Videos und so weiter, wo dann steht hier Hack 455 Millionen Webseiten in 60 Sekunden und dann ist das eben in den allermeisten Fällen, dass so ein WP-Scan-Befehl ausgeführt wird und ja, auf viele Seiten rausgejagt wird und die dann natürlich ganz tolle Passwörter ganz schnell herausfinden, weil die in irgendwelchen Listen drin sind. Aber WordPress hat ja inzwischen eingebaut schon diese automatische Passwort- Generierung und mit diesen generierten Passwörtern, die werden auf diesen Listen nicht auftauchen und da muss man schon sehr viel Zeit und Ressourcen reinstecken, um

da wirklich ein Passwort rauszufinden und ich würde sogar sagen, dass Grenzen so, wenn man jetzt nicht staatlicher Akteur ist, dann schnell an Grenzen und dann ist dieses reine Brutforsum von Passwörtern eigentlich ausgeschlossen und die allermeisten Webseiten meiner Erfahrung nach benutzen auch diese automatisch generierten Passwörter. Also, dass man wirklich in eine Webseite reinkommt, ist am Ende eher unwahrscheinlich, wenn sich der Webseitenbetreiber jetzt nicht ganz dusselig anstellt, die Webseite sehr veraltet ist oder eben andere Sachen, ich sag mal in Anführungsstrichen, sträflich missachtet

werden. Also, lasst euch da nicht irritieren von irgendwelchen Leuten im Internet, die sagen, hier, du kannst in zehn Minuten eine WordPress-Seite hacken. Im normalen Fall ist es so einfach dann eben nicht, aber wie Kay schon gesagt hat, es gibt halt so viele Webseiten, dass es natürlich auch unglaublich viele Seiten gibt, die Fehler machen und die dann tatsächlich angraufbar sind. Du hast ja gerade gesagt, wenn man als Webseitenbetreiber nicht so ganz dusselig ist, jetzt sind wir Webseitenbetreiber, Felix, was machen wir denn, um sowas zu verhindern? Und ein spannenden Punkt, den ich beinahme in der Recherche

gefunden habe, was auch ein häufiger Fehler ist, den ich gar nicht auf dem Schirm hatte, war, dass man fälschlicherweise oder fahrlässigerweise irgendwelche manuellen Backups von der WordPress-Installation macht und dabei aus Versehen zum Beispiel die WP-Config an eine Stelle hin kopiert, wo sie dann aus dem Web heraus einfach einsehbar ist, weil die Web-Server-Konfiguration dann nicht mehr richtig greift. Ja, wobei das natürlich dann ein Fall ist, wo jemand aktiv danach suchen müsste, dass die einsehbar ist. Würde ich sogar sagen, eventuell gar nicht so gefährlich. Was aber gefährlich sein kann,

ist, wenn man tatsächlich ein Backup macht, also sich zum Beispiel einen Zip-Ordner irgendwie von seinem Backup irgendwo hinlegt oder es gibt auch so Backup-Plugins, die dann eben auch sensible Dateien natürlich mit backupen, weil sie zum Teil davon nicht wissen, dass in irgendeinem Plugin, ich sag mal, irgendwelche Zugangsdaten gespeichert sind oder wie auch immer oder vielleicht hat man selbst was gecodet und da sind Zugangsdaten drin und die sind dann im Backups vorhanden. Das ist übrigens auch was, was WP-Scan checkt, also ob es irgendwo Backups gibt und die Backup-Files sind natürlich zum Teil runterladbar.

Also dann kann man einfach die URL aufrufen unter WP-Content zum Beispiel und kann sich dann das Backup runterladen und das öffnet ja meistens Tür und Tor und das sollte man eben tunlichst vermeiden. Ich bin ja großer Fan davon, die Backups gar nicht unbedingt über WordPress zu machen. Da gibt es ja zig Plugins wie, wie heißt das, Back-WP-Up-Pro oder WP-Backup-Pro Updraft und gibt es zig Plugins, die das machen. Ich bin großer Fan davon, einfach einen vernünftigen Hoster zu haben, der diese Backups macht. Bei uns, ich habe es eben schon kurz angesprochen, Hetzner, die machen jede Nacht vier Uhr

ein Backup von allem, was auf dem Server ist jetzt bei uns und da kann man eine einzelne Datei noch wieder herstellen und so und das finde ich eigentlich ist eine Aufgabe, die außerhalb von WordPress gemacht werden müsste mit diesen Backups. Plus kann das natürlich auch hervorragend und dann hat man halt nicht diese Probleme mit oder hat man keine Sicherheitsprobleme so in dem Sinne. Also Backups ist natürlich ein Thema, was essentiell ist, um sich zu schützen. Also unabhängig davon, ob die Seite sicher ist oder nicht. Ein Backup ist nie verkehrt. Also weniger zum Schützen, sondern mehr um Krisenbewältigung,

wenn es dann passiert ist. Genau, richtig. Ja, genau. Und fürs Peace of Mind. Jetzt sind wir so viel auf veralteten WordPress oder Theme oder Plugin-Version herumgeritten, dass ja glaube ich die einfachste Variante ist, die eigene Webseite zu schützen, einfach darauf zu achten, dass sie aktuell ist. Also WordPress bietet ja inzwischen auch vielfältige Möglichkeiten, die Sachen automatisch zu aktualisieren und wenn man da darauf achtet, WordPress aktuell, PHP-Version aktuell, Themes und Plugins aktuell, automatisch geupdatet, dann hat man da schon relativ viele Probleme automatisch gelöst. Ja, genau.

Also ich würde sagen, wir hangeln uns ein bisschen von den wichtigsten Sachen zu den unwichtigsten Sachen durch und das würde ich genauso sehen, dass mit das allerwichtigste ist, sein System aktuell zu halten und diese automatischen WordPress-Aktualisierung, die funktionieren wirklich sehr gut, kann ich eigentlich auch nur jedem empfehlen und der Vorteil ist eben, wenn man kleinschrittig aktualisiert, das hat man glaube ich in unserer Erwartungsfolge auch gesagt, gilt für WordPress genauso, dann gibt es ab und zu mal Probleme, aber dann weiß man auch, aha, das ist jetzt in einer der letzten Versionen

passiert und dann kann man es meistens ganz gut eingrenzen und dann weiß man auch ungefähr, welches Plugin das gewesen sein könnte, während wenn man dann hinterher viele Versionen überspringt, dann steht man schnell auf dem Schlauch und genau, weist nicht mehr zurück. Und ganz wichtig eben, neben Plugins eben auch Themes Up-to-Date zu halten und bestenfalls dann irgendwie auf dem Server natürlich auch noch PHP-Versionen, wobei das, also die WordPress-Aktualisierung und die PHP-Aktualisierung, das sind selten Einfallstore, also ich habe noch nie gehört, dass ein WordPress selbst solche Sicherheitslücken gehabt hat,

dass darüber irgendwie Angriffe stattgefunden haben und mir ist jetzt auch kein Angriff bekannt, der jetzt irgendwie über eine PHP 7.4 oder sowas läuft, also das sind dann eher Sachen, die man nutzen kann, wenn man sowieso im System drin ist und dann hat man noch eine falsche PHP-Version, dann kann man da vielleicht noch was ausnutzen. Aber dass wirklich, dass das Einfallstor ist, ist eigentlich unwahrscheinlich, während ein falsches Plugin oft ein Problem ist. Als zweitwichtigstes würde ich dann schon fast sagen, sind wir bei diesem ganzen Thema, was du gerade auch schon angeschnitten hast, nämlich Logins besser

schützen und so Sachen auslesen vermeiden. Und da fahren wir ja sehr gut mit eben so dedizierten Plugins, die dafür da sind, solche Sachen zu vermeiden. Natürlich, also vielleicht noch mal einen Schritt zurück zu dem Thema Plugins aktuell halten, heißt natürlich auch Plugins entfernen, die man nicht unbedingt braucht, weil jedes Plugin und viel mehr, was im WordPress installiert ist, ist ein zusätzliches Risiko. Ja, und da noch mal kurz ein Hinweis, es reicht nicht, die Plugins zu deaktivieren, weil die Dateien trotzdem dann noch im Dateisystem liegen und die PHP-Dateien natürlich weiter aktiv sind.

Die sind einfach nicht aktiv auf der WordPress-Website, aber man muss, um wirklich sicher zu sein, muss man die Plugins löschen und nicht nur deaktivieren. So, jetzt Sicherheits-Plugins. Ja, Kay, das ist interessant, weil ich habe, wir haben die Liste ja nicht abgesprochen, was uns wichtig ist und genauso hätte ich es jetzt aber auch gesagt, dass, ja, das wäre vielleicht sogar mein Top-One. Wir sind ja große Fans von Word-Fans, auch in der bezahlten Variante, aber es gibt auch andere, wie, wie heißt das, Ninja Firewall oder so, gibt es da, glaube ich, also es gibt jedenfalls mehrere, die einen

ähnlichen Ansatz haben und das ist wirklich mein Number-One-Go-To und das merke ich sofort in dem Moment, wo jemand Word-Fans auf seiner Website installiert hat oder ein anderes Security-Plugin, sind eigentlich alle Türen für Hacking erstmal zu und ich habe es aus meiner Erfahrung noch nie erlebt, dass eine Website von uns, von unseren Kunden angegriffen wurde und es wurden schon einige angegriffen oder es wurde noch nie eine Website erfolgreich angegriffen, die eine Word-Fans-Installation hatte, sei es in der freien oder der bezahlten Version, völlig egal, aber die machen nämlich so Sachen, die schalten XML-RPC ab, die

verhindern, dass angezeigt wird, ob der Benutzernamen oder das Passwort falsch ist und trotteln die Anmeldeversuche, also die sagen, wenn du dreimal dein Passwort falsch eingegeben hast, dann bist du halt raus und das erstickt wirklich jeden Versuch des Angriffs im Keim. Ein paar Sachen hast du schon gesagt, die haben, glaube ich, auch so eine integrierte Firewall, wo die zumindest so geomäßig gucken, ob jetzt Angreifer aus Russland oder China kommen und dann so ein bisschen was machen, also da kommt schon ein ganzer Strauß von Vorsichtsmaßnahmen zusammen. Genau, das sind dann nochmal so Advanced Features, das ist halt ganz

cool, das macht jetzt Word-Fans nicht exklusiv, machen auch andere Plugins, aber die schalten sich eben schon vor die, vor das eigentliche WordPress, weil normalerweise hängt sich ein Plugin ja erst ein, wenn bei WordPress dann die Indexdatei durchgelaufen ist, die WP-Blockheader und, obwohl das glaube ich auch noch davor, aber jedenfalls bist du schon im WordPress-System drin in dem Moment, wo ein Plugin aktiv wird und dann kannst du dich da halt reinhucken und Word-Fans und andere machen das so, wenn man es korrekt konfiguriert, dass die schon ausgeführt werden, bevor WordPress überhaupt eingreift.

Inzwischen sind die Angriffe eben so speziell, dass wenn ich schon im WordPress drin bin, dann schaffen die Angreifer das auch, dass Word-Fans gar nicht mehr ausgeführt wird oder zumindest ausgetrickst wird und da gibt es eben Einstellungen wie diese Web-Application-Firewall, heißt es glaube ich bei Word-Fans, WAF, heißt es glaube ich bei anderen auch so und die greift eben, also die wird über die HT-Access, soweit ich weiß, direkt schon davor geschaltet oder je nachdem, was man dann für ein System hat, HT-Access bei Apache, genau, dann kommt es gar nicht erst zu diesem WordPress-System und dann sind die Angriffe erst recht

ausgeschlossen. Hast du noch weitere Punkte, die man als Vorsichtsmaßnahmen machen kann? Ja, was natürlich auch richtig, richtig, richtig gut ist, ist einfach Zwei-Faktor-Authentifizierung. So sehr wir es alle hassen, aber es funktioniert einfach gut, bringt auch wieder Word-Fans prinzipiell mal mit, aber man kann sich natürlich auch alle möglichen anderen Plugins installieren und in dem Moment, wo ich eine Zwei-Faktor-Authentifizierung anhab, das heißt, mein Login nochmal bestätigen muss über eine externe App und jemand findet mein Passwort, kann dann trotzdem nichts machen, weil ich ihn im Zweifel

da nicht reinlasse und deswegen Zwei-Faktor-Authentifizierung, ja, ganz großes Plus an Sicherheit, kommt mit Word-Fans automatisch mit. Ich würde es bei Seiten, die einem am Herzen liegen, dann doch schon auch empfehlen. Die spannende Frage ist ja, ob das eine Seite ist, wo sich auch normale Endnutzer anmelden, um irgendwelche Dinge zu tun, oder ob das eigentlich nur eine präsentierende Seite ist, wo sich mal so eine Handvoll Admins oder irgendwelche Moderatoren anmelden, um den Content zu pflegen. Und je nachdem kann man es natürlich dann auch ein bisschen strenger ziehen. Also für die eigenen Accounts, wir als

Administratoren für die Webseiten, die wir verwalten, haben wir natürlich einen Passwort-Manager mit einem random hundertstelligen Passwort und auch einer integrierten Zwei-Faktor-Authentifizierung. Da ist das also gar keine Ausrede. Ich will nichts hören da draußen. Zwei-Faktor-Authentifizierung wäre anstrengend. Aber wenn das jetzt natürlich auch für Kunden irgendwie funktionieren muss, ist immer das leidige Thema. Eigentlich möchtest du denen auch vorschreiben, wie kompliziert dein Passwort sein soll und dass es mal mindestens elf Stellen haben will oder Zwei-Faktor-Authentifizierung wäre auch gut und solche Sachen.

Aber wenn es dann auf der anderen Seite die Endkunden von dir abschreckt, dann hilft es da auch nicht so vielen. Absolut. Ja, wenn man Webseiten hat, wo man sich anmelden kann, also sei das jetzt irgendwie eine Schulungswebsite oder es gibt ja tausend Szenarien, warum sich jemand anmelden sollte auf einer Webseite oder ein Shop ist natürlich auch ein Klassiker, dann muss man natürlich besonders vorsichtig sein, weil ich habe ja eben schon gesagt, die meisten Schwachstellen, die sind dann ausnutzbar, wenn man schon mal einen Benutzer hat, egal welche Art und wenn man keinen Benutzer hat, dann ist es

insgesamt schon mal wesentlich sicherer. Aber in dem Moment, wo man so mindestens mal einen Subscriber-Nutzer hat, kann man schon wesentlich mehr Unfug treiben und dann muss man sich eben auch überlegen, wie man seine anderen Benutzer und das ganze System besser schützt. Ich würde so rein von den Sicherheitsfeatures vielleicht noch sagen, wenn wir jetzt so in der Priorität runtergehen, was schon auch richtig cool ist, ist wenn man WP-Scan, was ich ja eben schon gesagt hatte, einfach zu seinem eigenen Vorteil nutzt. Also wenn ihr eine WordPress-Webseite betreibt, holt euch doch einfach mal so einen WP-Scan-API-Key.

Man kann auch ohne API-Key schon einiges machen und jagt das einfach mal auf eure Seite drauf und guckt mal, was der so anzeigt. Und da kommen manchmal erstaunliche Sachen, die man vielleicht so am Anfang noch gar nicht auf dem Schirm hatte. Und das kann man eben zu seinem Vorteil eben auch nutzen, um eine Website sicher zu machen. Wäre es vielleicht eine Idee, dass wir das mal bei uns als Routine mit aufnehmen als Teil unserer Wartung? Ja, wir haben natürlich jetzt noch ein paar andere Maßnahmen, die so in eine ähnliche Richtung gehen. Das ist natürlich sehr manuell, wenn man jetzt WP-Scan, klar, könnte man jetzt

auch automatisieren. Aber ich glaube, wir sind da mit den Maßnahmen, die wir machen, schon ganz gut aufgestellt. Vielleicht können wir da sogar einen anderen Punkt direkt mit hinterher schieben. Wir haben nämlich, das haben wir auch in irgendeiner Folge, ich glaube in der, ich weiß nicht, ob es in der Wartungsfolge war, haben wir das mal angeteasert, dass wir so eine allgemeine Wartung für alle unsere Webseiten einführen wollen. Und das haben wir tatsächlich in der Zwischenzeit gemacht, ist jetzt auch schon ein bisschen her. Wir benutzen eine Main-WP. Das ist letztlich so ein Tool, mit dem kann man mehrere Webseiten

überwachen. Der sagt einem, ob Plugins veraltet sind. Man kann massenweise updaten. Man kann sich regelmäßig so Uptime-Monitoring machen und Change-Monitoring machen, was auch ein großer Vorteil ist. Also guckt man sich, ob sich Inhalte verändert haben, zum Beispiel Main-WP. Ich kann das jetzt nicht 100% empfehlen, weil das auch also das funktioniert ganz gut, aber es ist jetzt nicht das geilste Tool der Welt. Mich hat überzeugt, dass wir so eine Lifetime-Lizenz hatten und die habe ich dann direkt geholt und wir können das eben voller Funktionen jetzt nutzen und ja, machen da die Wartung, die wir

vorher manuell für jede Seite einzeln gemacht haben, machen wir da jetzt mehr oder weniger mit einem Klick, beziehungsweise automatisiert. Und das ist schon ziemlich cool. Das halte ich dann für sinnvoller, solche Sachen zu machen, als jetzt da regelmäßig so WP-Scans zu machen. Das ist, glaube ich, eher so eine initiale Sache, die man mal machen kann, wenn man eine Website aufgesetzt hat. Und meint, die hat man jetzt sicher gemacht, dass man das dann einmal drüber jagt und dann nochmal guckt, ob man da wirklich auf einer sicheren Seite ist. Genau, MainWP macht natürlich nur Sinn, wenn man viele Seiten

wartet und jetzt nicht nur bei einer einzelnen Seite, da kann man auch manuell reingehen und die Updates machen. Ich würde dann, wenn ich noch weitergehe in meiner Liste, würde sagen, löscht auf jeden Fall löscht, wenn ihr eine sehr alte Installation habt, löscht den Admin-Benutzer, legt euch aber vorher einen neuen Admin-Benutzer an unter einem anderen Namen. Also einfach, dass dieser Admin- Nutzer, der ist halt vom Benutzernamen her unsicher und erratbar. Und löscht den einfach, legt euch einen neuen an. Das bringt so ein minimales Plus. Da sind wir natürlich jetzt so in so Sachen, die jetzt nicht mehr so

irre wichtig sind, aber die so nice to have sind. Dazu gehört eben, dass wir die Passwörter automatisch generieren lassen, dass wir natürlich SSL benutzen auf der Website und ich habe jetzt im Internet öfter mal den Tipp gehört, dass man die WP-Config-PHP, die ja im Hauptverzeichnis von WordPress liegt, dass man die einfach eine Ebene höher schieben kann. Also normalerweise liegt WordPress ja in einem Public-Verzeichnis und man kann jetzt diese WP-Config- Datei einfach nehmen, in ein Verzeichnis höher schieben, da wo es eben nicht öffentlich zugänglich ist. Und WordPress detektiert das offensichtlich automatisch und

kann das dann ganz normal verwenden. Das ist jetzt auch nicht für jede Hosting-Umgebung praktikabel. Bei uns würde das prinzipiell gehen. Ich bin mir nicht ganz sicher, wie viel Sicherheit das wirklich bringt, aber in der WP-Config stehen natürlich dann Zugangsdaten wie Datenbank und in dem Moment, wo da jemand reinkommt und das auslesen kann, ja, hat er natürlich vollen Zugriff. Das heißt, die zu verstecken ist an sich mal nicht eine schlechte Idee. Wie viel jetzt diese Maßnahme bringt, das wirklich zu verschieben, sei mal dahingestellt, aber hier sei es jedenfalls angebracht. Also man kann die einfach

eine Ebene höher verschieben und WordPress funktioniert angeblich genauso weiter. Energie ist dein Werk. Ich merke das. Genau. Ja, soweit eigentlich zu meiner Liste. Und ich würde sagen, wenn man so die, vor allem die wichtigsten Sachen, also Wordfans installieren, regelmäßig Updates machen, wenn man das berücksichtigt, dann ist man schon auf einer, auf einem sehr, sehr guten Weg, dass die Website nicht angegriffen wird oder zumindest jemand nicht reinkommt. Jetzt haben ja die wenigsten Akteure irgendwas gegen deine konkrete Webseite und investieren da, wer weiß, wie viel Energie, um die spezifisch zu hacken.

Meistens ist es ja so, wie wir am Anfang skizziert haben, irgendwelche Skripte, die automatisiert das Internet durchforsten und so die wahrscheinlichsten 100 Schwachstellen auf deine Webseite anwenden. Und wenn man dann mit einer aktuellen Installation und so einem Wordfans dann die alle schon abwehrt, dann ist man da schon sehr sicher unterwegs. Man merkt das auch immer, wenn man so die WordPress-Community verfolgt, wenn da ein Plugin ist, was eine Sicherheitslücke hat und was einigermaßen viel verwendet wird, dann schießen auf einmal diese Angriffsszenarien wahnsinnig in die Höhe, weil dann Leute versuchen, aktiv

diese Lücken auszunutzen und alle Seiten durchscannen und gucken, ob diese Plugins aktiv sind und dann versuchen, das irgendwie auszunutzen. Deswegen zeitig updaten, dann ist man da meistens auf einem guten Weg. Fantastisch. Ich habe eine Schleife in der Hand, Felix, um das Thema drum zu machen. Schön. Dann binde es mal. Sehr stabile Metapher. Hast du noch irgendwelche spannenden Dinge, die du ansonsten noch kundtun möchtest? Nee, eigentlich nicht. Das Einzige, was man hier vielleicht noch eben sagen könnte, ist, das ist mir nämlich in dem Zuge auch gefallen. Ich habe unser WordPress-Plugin, was wir geschrieben haben oder

ich geschrieben habe, mal wieder angeguckt. Das ist so ein Plugin, mit dem kann man so Notifications, Admin-Notifications abdrehen, weil das ist ja mitunter ein bisschen nervig, was man da von WordPress für Mails kriegt und die sind nicht so einfach zu deaktivieren. Und ich habe dann früher mal ein Plugin gesucht, um das irgendwie einfach loszuwerden. Diese Update-Benachrichtigung hier wurde auf WordPress XY aktualisiert und so. Und jedenfalls habe ich da so ein Mini-Plugin geschrieben. Am Ende sind da, glaube ich, nur Zehnzeilen Code drin. Und habe jetzt aber festgestellt, das ist schon über 70 Mal

installiert worden. Interessant, ne? Also, wir sind ja ganz tief in den, ganz tolle WordPress-Entwickler jetzt. Also, dass wir da am Anfang der Folge darüber erzählt haben, wie jetzt schon unsere Identität geklaut wird, kann das ja nur heißen, dass wir einen gigantischen Fußabdruck in der Community hinterlassen. Und das kann nicht zuletzt wegen des Podcasts gewesen sein, sondern ich nehme an, dieses Plugin hat da essentiell zu beigetragen. Wahrscheinlich, wahrscheinlich. Ja, und Kay, wenn die Folge jetzt nicht ohnehin schon so lang wäre, würde ich noch so ein paar neue PHP und CSS-Features mit dir besprechen wollen.

Aber das müssen wir da mal in einer separaten Folge machen. Es gibt nämlich tatsächlich in PHP 8.5, so viel sei gespoilert, neue Funktionen, die für uns interessant sind. Jetzt mit Cliffhanger rausgegangen. Mit Cliffhanger, das werde ich jetzt nicht auflösen. Ja, dann hoffe ich, dass wir uns schnell zur nächsten Folge finden. Ja, das machen wir bestimmt. Kay, es hat mir ganz viel Spaß gemacht und ich hoffe, für euch da draußen war das informativ und ihr könnt ein bisschen was mit rausnehmen. Und lasst uns gerne wissen, wenn ihr noch weitere Infos habt. Also, wir sind da ganz gespannt. Auch auf dem Thema ist für uns

immer aktuell immer interessant. Also, wenn es da von außen noch Tipps und Tricks gibt, lasst uns die gerne zukommen. Die droppen wir dann gerne auch in den nächsten Folgen, wenn da was Spannendes dabei war. Und ja, Kay, für den Moment würde ich sagen, ich wünsche dir jetzt schon ein schönes Wochenende, dass er schon wieder vor der Tür steht. Ja, danke. Dir auch, Felix. Bis dann.