Was die Bundesempfehlungen für KMU-Webseiten technisch bedeuten

Die Empfehlungen des Bundes an KMU sind fachlich richtig und bewusst allgemein gehalten. Sie müssen für den Bäcker mit fünf Angestellten genauso gelten wie für den Maschinenbauer mit hundertfünfzig.

Der Preis dieser Allgemeinheit ist, dass sie sich schwer umsetzen lassen. “Halten Sie Ihre Systeme aktuell” ist unbestreitbar und beantwortet nicht, was am Montagmorgen zu tun ist.

Hier steht, was die sechs zentralen Punkte für eine Firmenwebseite konkret bedeuten. Und welcher davon die anderen weitgehend erledigt.

1. Software aktuell halten

Was gemeint ist: Bekannte Lücken werden innerhalb von Stunden nach ihrer Veröffentlichung automatisiert durchprobiert. Ein Update, das eine Woche liegen bleibt, ist eine Woche offene Tür.

Konkret bei einer CMS-Seite: Automatische Updates für den Kern und die Plugins aktivieren, und zwar wirklich, nicht nur als Vorsatz. Danach monatlich prüfen, ob sie auch durchgelaufen sind, denn ein fehlgeschlagenes automatisches Update meldet sich selten von allein.

Der ehrliche Zusatz: Das ist eine Aufgabe ohne Ende. Sie verschwindet nie, sie wird nur regelmässig erledigt oder eben nicht.

2. Zugänge absichern

Was gemeint ist: Die meisten erfolgreichen Angriffe nutzen keine exotische Lücke, sondern eine Anmeldung.

Konkret:

• Zwei-Faktor-Anmeldung für jedes Konto mit Schreibrechten. Das ist die wirksamste Einzelmassnahme überhaupt, weil ein erratenes Passwort damit wertlos wird.
• Anmeldeversuche begrenzen, im Plugin oder beim Hoster.
• Den Anmeldenamen nicht verraten. Bei WordPress gibt die Schnittstelle unter /wp-json/wp/v2/users ohne Anmeldung preis, welches Konto veröffentlicht, samt Anmeldenamen. Das ist Standardverhalten und lässt sich abschalten. Von zwei nötigen Angaben ist sonst eine öffentlich.
• Konten entfernen, die niemand mehr braucht. Der Praktikant von 2023 ist eine Tür.

3. Sichern, und die Wiederherstellung testen

Was gemeint ist: Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.

Konkret: Die Sicherung gehört ausserhalb des Servers, den sie sichert. Liegt sie auf demselben System, ist sie bei einer Kompromittierung mit betroffen. Und einmal im Jahr eine Wiederherstellung durchspielen, auf einer Testumgebung, mit Stoppuhr. Die Frage ist nicht, ob eine Sicherung existiert, sondern wie lange es dauert, bis die Seite wieder läuft.

Ein Detail, das viele überrascht: Bei einem Einbruch ist die Sicherung der letzten Woche oft schon infiziert, weil der Angriff Tage vorher begann. Deshalb mehrere Generationen aufbewahren.

4. Angriffsfläche verkleinern

Hier liegt der Hebel, der die anderen Punkte verändert.

Was gemeint ist: Jede Komponente, die läuft, kann angegriffen werden. Was nicht da ist, kann nicht angegriffen werden.

Konkret bei einer bestehenden CMS-Seite:

• Ungenutzte Plugins und Themes löschen, nicht deaktivieren. Ein deaktiviertes Plugin liegt weiterhin auf dem Server und ist in manchen Fällen weiterhin erreichbar.
• Standarddateien wie readme.html entfernen, die Version und System bestätigen.
• xmlrpc.php sperren, wenn es nicht gebraucht wird.
• Security-Header setzen. HSTS, Content-Security-Policy, X-Content-Type-Options und die übrigen kosten nichts und sind bei vielen Seiten schlicht nicht gesetzt.

Und die strukturelle Variante: Eine Firmenwebseite braucht in den seltensten Fällen einen laufenden Server. Wird sie statisch ausgeliefert, gibt es keinen Server zum Patchen, keine Datenbank, die lecken kann, keine Anmeldung zum Durchprobieren und kein Plugin, das veraltet.

Damit erledigen sich die Punkte 1, 2 und Teile von 3 und 5 nicht durch bessere Pflege, sondern weil das Objekt der Pflege nicht mehr existiert. Das ist der Unterschied zwischen eine Tür verriegeln und keine Tür haben.

5. Zugriffe protokollieren

Was gemeint ist: Nach einem Vorfall wirst du gefragt, was passiert ist. Ohne Protokoll lautet die Antwort “wir wissen es nicht”, und das ist die teuerste aller Antworten.

Konkret: Zugriffslogs aufbewahren, mit einer definierten Frist, und wissen, wo sie liegen. Bei einem CDN sind das die Access-Logs, bei einem Hoster meist auf Anfrage verfügbar.

Ein Nebeneffekt, der oft unterschätzt wird: Dieselben Logs beantworten auch die Frage, wer die Seite eigentlich liest, inklusive der KI-Systeme, die in keiner Analytics-Oberfläche auftauchen. Wie man sie liest, ohne sich zu täuschen, steht im Beitrag über KI-Crawler in Server-Logs.

Zu beachten ist dabei, dass IP-Adressen Personendaten sind. Es braucht also eine Aufbewahrungsfrist und einen Eintrag in der Datenschutzerklärung.

6. Den Notfall vorbereiten

Was gemeint ist: Die Entscheidungen im Ernstfall trifft man schlecht im Ernstfall.

Konkret, auf einer Seite Papier: Wer merkt es, wen ruft er an, wer darf die Seite abschalten, wo liegen die Zugangsdaten, wer informiert Kunden, und wann wird gemeldet.

Zur Meldepflicht, weil hier viel durcheinandergeht: Eine allgemeine Meldepflicht für alle Unternehmen gibt es in der Schweiz nicht. Betreiber kritischer Infrastrukturen unterliegen einer Meldepflicht gegenüber dem Bundesamt für Cybersicherheit. Unabhängig davon verlangt das revidierte Datenschutzgesetz eine Meldung an den EDÖB, wenn eine Verletzung der Datensicherheit voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Ob das im Einzelfall zutrifft, ist eine Beurteilung und keine Formsache, und sie gehört nicht erst am Tag des Vorfalls angestellt.

Das ist keine Rechtsberatung, sondern der Hinweis, die Frage vorher zu klären.

Die ehrliche Zusammenfassung

Fünf der sechs Punkte kosten kein Geld. Sie kosten Aufmerksamkeit, jeden Monat, dauerhaft, und genau daran scheitern sie in der Praxis. Nicht weil jemand nachlässig ist, sondern weil eine Webseite im Alltag eines KMU zu Recht keine Priorität hat.

Deshalb ist Punkt 4 der interessanteste. Er ist der einzige, der die Aufgabe nicht besser erledigt, sondern abschafft. Alles andere bleibt eine Daueraufgabe, und Daueraufgaben gewinnt man selten.

Ob sich der Umbau lohnt, hängt daran, was über die Seite läuft. Zeigt sie nur, wer ihr seid, dann sind die fünf günstigen Punkte die richtige Antwort und ein Umbau ist übertrieben. Laufen Kundendaten, Buchungen oder ein Login darüber, sieht die Rechnung anders aus.

Häufige Fragen

Was empfiehlt der Bund KMU zur Absicherung ihrer Webseite?

Die Empfehlungen des Bundesamts für Cybersicherheit laufen für eine Webseite auf sechs Punkte hinaus: Software aktuell halten, Zugänge mit starken Passwörtern und Zwei-Faktor-Anmeldung schützen, Sicherungen anlegen und deren Wiederherstellung testen, unnötige Dienste und Angriffsfläche entfernen, Zugriffe protokollieren, und den Notfall vorbereiten. Fünf davon kosten kein Geld, sondern Disziplin.

Wie setze ich diese Empfehlungen auf einer WordPress-Seite um?

Updates automatisiert einspielen, Anmeldung mit Zwei-Faktor absichern und Anmeldeversuche begrenzen, die Benutzer-Auflistung der REST-Schnittstelle abschalten, ungenutzte Plugins und Themes entfernen statt nur deaktivieren, Sicherungen ausserhalb des Servers ablegen und einmal jährlich zurückspielen, Zugriffslogs aufbewahren, und schriftlich festhalten, wer im Ernstfall was tut.

Muss ein KMU einen Cyber-Vorfall in der Schweiz melden?

Eine allgemeine Meldepflicht für alle Unternehmen gibt es nicht. Betreiber kritischer Infrastrukturen unterliegen einer Meldepflicht gegenüber dem Bundesamt für Cybersicherheit. Unabhängig davon verlangt das revidierte Datenschutzgesetz eine Meldung an den EDÖB, wenn eine Verletzung der Datensicherheit ein hohes Risiko für die betroffenen Personen mit sich bringt. Ob das zutrifft, ist im Einzelfall zu beurteilen.

Welche Massnahme bringt bei einer Firmenwebseite am meisten?

Die Angriffsfläche zu entfernen statt sie zu verteidigen. Eine statisch ausgelieferte Seite hat keinen Server zum Patchen, keine Datenbank, die lecken kann, keine Anmeldung zum Durchprobieren und kein Plugin, das veraltet. Damit erledigen sich vier der sechs Empfehlungen von selbst, statt dauerhaft gepflegt werden zu müssen.