Unsere Ideen für Ihr Projekt

Sicherheitslücken im CMS

Immer wieder werden Content Management Systeme Ziel von Angriffen, sog. Cyber-Attacken. Dabei geht es seltener darum, die im System vorhandenen Daten auszuspähen. Hauptmotivation der Hacker ist es, das Zielsystem zur Verbreitung von Viren und Schadcode zu nutzen. Dieser Schadcode verschickt dann Massenmails von Ihrem Server aus oder setzt Links auf andere Webseiten, damit diese in Suchmaschinenrankings steigen.

Doch auch wenn die eigenen Daten oft nicht das Ziel sind, darf man einen Angriff nicht auf die leichte Schulter nehmen. Nicht nur hat eventuell eine fremde Person Zugriff auf Ihr System, auch nach außen kann sich das negativ auswirken. Google zum Beispiel straft Seiten, die Schadcode verbreiten, ab, indem diese im Suchindex gesperrt und auch moderne Browser wie Mozilla Firefox, Internet Explorer 12 oder Safari zeigen vor dem Betreten eine sehr auffällige Warnmeldung, die sich negativ auf das Image auswirkt und potenzielle Benutzer dauerhaft vergraulen kann.

Schauen wir uns einmal an, wie Schaden in einem CMS entstehen kann.

Gefahr 1: der „normale“ Benutzer

Ein gutes Content Management System achtet darauf, dass der gutwillige Benutzer von sich aus nichts kaputt machen kann. Es verhindert das Löschen noch benötigter Dateien - oder warnt zumindest davor. Solange sich der Benutzer also im CMS befindet und nicht am System vorbei Daten auf der Festplatte löscht, kann eigentlich nichts schief gehen.

Unterstützen kann das CMS dabei, dass es alte Versionen von Inhalten und Dateien vorhält, so dass man jederzeit wieder zur intakten Version zurückkehren kann, wenn man einmal etwas falsch gemacht hat. Auch Backups sind hier durchaus hilfreich und sehr empfehlenswert.

Gefahr 2: der „böswillige“ Benutzer

Nicht alle Benutzer, die einen Zugang zum CMS haben, wollen akzeptieren, dass sie sich an gewisse Grenzen halten müssen. In großen Firmen ist es üblich, dass bestimmte Redakteure nur bestimmte Bereiche wie z.B. die Unternehmens-News pflegen dürfen. Solche Einschränkungen sollten sich auf alle Bereiche des CMS erstrecken. Verwendete Bilder dürfen nicht einfach von anderen Redakteuren überschrieben werden können. Das CMS muss also darauf achten, dass es nicht nur die Spielregeln vorgibt, sondern diese überwacht und garantiert.

Dass ein CMS-Nutzer innerhalb des Erlaubten inhaltlichen Blödsinn oder unangemessene Bilder verbreitet, lässt sich nicht verhindern. Durch ein Vieraugenprinzip wie einen Freigabeworkflow und entsprechende Benutzerrechte ist es aber möglich, den Schaden zu erkennen, bevor die Seite öffentlich gemacht wird.

Gefahr 3: Lücken im System

Kein System ist fehlerfrei und daher kommt es immer wieder vor, dass es Sicherheitslücken gibt, durch die Hacker in das System einsteigen können. Besonders schlimm wird es, wenn sie dadurch vollen Zugriff auf den Server bekommen und das System nach Belieben umbauen und Daten zerstören können.

Wird eine solche Sicherheitslücke bekannt, heißt es, so schnell wie möglich ein Update einspielen, damit die Lücke nicht mehr ausgenutzt werden kann. Denn mit automatisierten Prüfprogrammen lassen sich schnell viele Domains auf neu bekannt gewordene Sicherheitslücken hin überprüfen und gegebenenfalls direkt ausnutzen. So können Hacker in kurzer Zeit Millionen Domains ausprobieren, so dass es ihnen völlig gleich ist, dass sie z.B. nur in einem von tausend Fällen Erfolg haben. Dann ist es gut, wenn Ihre Domain bereits durch ein Update wieder sicher ist.

Um schnell reagieren zu können, sollten Sie immer den aktuellsten Versionsstand Ihres Lieblings-CMS installiert haben. Dann können Sicherheits-Updates sofort eingespielt werden. Denn wenn das System erst auf einen aktuellen Stand gebracht werden muss, bevor man sich um die Sicherheits-Updates kümmern kann, kommt es leicht zu entscheidenden Verzögerungen...

Mit einer solchen Lücke hat es unser bevorzugtes System Contao gerade „erwischt“: Die Entwickler des CMS selbst haben von sich aus einen Weg gefunden, wie man Schadcode ins System einschleusen kann. Jedoch war es ihnen nicht möglich, diesen dann zur Ausführung zu bringen. Dennoch reicht den Entwicklern und uns die theoretische Möglichkeit, um sofort zu handeln. Die Contao-Entwickler haben unmittelbar Sicherheitsupdates für die aktuellen Versionen zur Verfügung gestellt, die wir umgehend auf allen unseren Kundenpräsenzen eingespielt haben.

Gefahr 4: Lücken und Schadcode in Erweiterungen

Content Management Systeme können nicht alles und sind deswegen meistens so angelegt, dass ihr Funktionsumfang vergrößert werden kann. Das können Erweiterungen mit einem optischen Schwerpunkt sein, sog. Themes, oder auch Extensions, die die Fähigkeiten des CMS erweitern. In beiden können genauso Sicherheitslücken enthalten sein wie im CMS selbst. Die Gefahr ist bei Erweiterungen deswegen höher, weil viele auch sehr verbreitete Erweiterungen von Hobbyprogrammierern geschrieben werden, die sich im Bereich Sicherheitslücken nicht so gut auskennen wie die Hauptentwickler eines Systems. Werden solche Erweiterungen ungeprüft übernommen, steigt das Risiko in Bezug auf die Sicherheit.

Es gibt aber immer wieder auch Erweiterungen, die eine tolle Funktion oder ein optisch ansprechendes Theme bieten, deren verdeckter Hauptzweck es jedoch ist, Schadcode in ein System einzuschleusen. Hier hilft es nur aufmerksam die einschlägigen Newsticker zu verfolgen und schnell zu reagieren. Auch hier gilt: sofort die Erweiterung deaktivieren oder updaten, wenn es eine neue und fehlerfreie Version gibt.

Unlängst ging durch die Presse, dass ein Schadcode namens „CryptoPHP“ über 20.000 Webseiten infiziert hat, um von dort aus die Such-Rankings der Suchmaschinen zu manipulieren – zum Nachteil der eigenen Seite. Der Programmcode versteckte sich zunächst unbemerkt in raubkopierten Themes und Plug-ins für die Content-Management-Systeme Drupal, WordPress und Joomla. Auf WordPress-Systemen legt der Angriffscode sogar einen eigenen Administrator-Account an, so dass man auch diesen löschen musste, um den Angreifern jeglichen Zugriff wieder zu entziehen.

Auch wenn das von uns präferierte CMS Contao nicht betroffen war, nutzt es doch nichts, schadenfroh mit dem Finger zu zeigen. Denn solche Angriffe untergraben das Vertrauen in Content Management Systeme allgemein.

Fazit

Wie immer in Gefahrensituationen gilt: Vorsicht walten lassen. Ein CMS sollte heute auch nach dem Sicherheitsaspekt ausgewählt werden. Updates und Backups sind essentiell – gerne können Sie das einem Profi wie uns überlassen. Denn ist der Imageschaden erst einmal entstanden, kommt es meistens teurer als die Prophylaxe.

Und natürlich: Augen auf, was man sich mit Erweiterungen ins Haus holt. Auch auf offiziellen Webseiten sind nicht alle Erweiterungen geprüft. Es hilft aber, wenn man die Programmierer der Erweiterung kennt und diese einschätzen kann. Denn viele davon leisten eine hervorragende Arbeit. An dieser Stelle einmal einen ganz herzlichen Dank dafür!

Und ein besonderer Dank geht auch an die Entwickler, die bei Gefahr schnell reagieren und oft auch noch dann Sicherheitsupdates für Systeme bereitstellen, wenn die Systeme offiziell ihren Lebenszyklus schon hinter sich haben. Bei Contao kümmert sich vor allem die Contao Community Allianz darum, so dass wir sofort informiert werden, wenn es eine Sicherheitslücke gibt und wir diese für Sie schließen können.