Sicherheitslücken im Maschinenraum des Web

Content Management Systeme (CMS) gibt es viele. Eine größere Marktbedeutung haben zum Beispiel die Open-Source-CMS Drupal, Joomla!, Plone, TYPO3 und WordPress. Diese kostengünstigen und vergleichsweise einfach zu nutzenden Systeme sind inzwischen zu einer Art Maschinenraum des Web geworden - viele Sites basieren darauf.

Doch sind die Systeme überhaupt sicher? Eine Frage, die sich vermutlich nicht alle Nutzer stellen. Im Vordergrund steht die Frage, ob sich die Vorstellungen von Content und Layout verwirklichen lassen und nicht die Sicherheit der Daten. Dabei sind CMS-Daten für Unternehmen mindestens ebenso wichtig wie andere Geschäftsdaten.

Was ist, wenn eine Website gehackt wird? Möglich wäre zum Beispiel, dass ein “Scherzbold” Inhalte auf einer Unternehmenswebsite verändert und deren Sinn verdreht. Die gute Nachricht lautet: Die oben erwähnten CMS bieten ein angemessenes Sicherheitsniveau und einen haben hinreichende Sicherheitsprozesse zur Behebung von Schwachstellen implementiert.

Dies ist eines der Ergebnisse einer Studie des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Das Amt hat die Schwachstellen der Open-Source-CMS untersucht und warnt vor allzu nachlässiger Installation und Wartung der Systeme. Immer wieder bieten diese Systeme Angriffsflächen für Hacker und Schadprogramme.

Schon durch kleine Sicherheitslücken oder Fehlkonfigurationen können sich unerlaubte Zugänge zu Online-Anwendungen, IT-Infrastrukturen und sensiblen Daten öffnen. Die mangelhafte Pflege der Systeme kann auch dazu führen, dass Online-Kriminelle den Rechner oder Webserver des Anwenders übernehmen, diesen zum Teil eines Botnetzes machen und den Rechner so beispielsweise für Angriffe auf andere Rechner missbrauchen.

Um einen sicheren Betrieb einer Webseite zu gewährleisten, reicht es jedoch nicht aus, die untersuchten Lösungen in der Standardinstallation einzusetzen und zu betreiben. Vielmehr müssen die CMS sachgemäß konfiguriert und kontinuierlichen gewartet werden, rät das BSI. Nur ein angemessenes Systemmanagement und ein umsichtiges Verwenden von Erweiterungen kann das Risiko unentdeckter Schwachstellen minimieren.

Die Betreiber und Administratoren der Webseite sollten daher nach Ansicht des BSI ein besonderes Augenmerk auf die tägliche Pflege des Systems und die Information zu möglichen Sicherheitsupdates legen und die dafür notwendige Zeit einplanen. Dafür hat das BSI bei den Systemen auch die Entwicklungsprozesse mit dem Fokus auf Sicherheit untersucht und bewertet.

Darüber hinaus ermöglicht die Studie eine verlässliche sicherheitstechnische Beurteilung von CMS im Rahmen der Planung und Beschaffung. Dazu werden exemplarisch wichtige Aspekte zur Absicherung der Software anhand von vier typischen Anwendungsszenarien beleuchtet: "Private Event Site" zum Aufbau einer privaten Webseite, "Bürgerbüro einer kleinen Gemeinde", "Open Government Site einer Kleinstadt" und "Mittelständisches Unternehmen mit mehreren Standorten".

Bildquelle: Gerd Altmann / pixelio.de