Nachschlagewerk
Sicherheitswörterbuch
Kurze Definitionen zur WordPress-Sicherheit. Nutzen Sie sie, wenn eine Anleitung Fachsprache verwendet, oder gehen Sie die Kategorien durch.
Nach Kategorie
Angriffe
Übliche Wege, auf denen WordPress-Websites getroffen werden.
- 404-Scanning 404-Scanning ist automatisches Abklopfen fehlender URLs, um Reste, Backups und bekannte anfällige Pfade zu finden.
- Account-Übernahme Account-Übernahme heißt: ein Angreifer kontrolliert ein echtes Benutzerkonto und kann als dieser Benutzer handeln.
- Brute Force Ein Brute-Force-Angriff probiert viele Passwörter oder Tokens, bis eines funktioniert, meist gegen das Anmeldeformular.
- Credential Stuffing Credential Stuffing spielt Benutzernamen und Passwörter aus anderen Leaks gegen Ihre Anmeldung ab.
- Cross-Site-Scripting (XSS) Cross-Site-Scripting (XSS) schleust bösartiges JavaScript in Seiten ein, das die Browser anderer Benutzer ausführen.
- CSRF CSRF verleitet einen angemeldeten Browser, eine Anfrage zu senden, die der Benutzer nicht senden wollte.
- Datei-Upload-Schwachstelle Eine Datei-Upload-Schwachstelle lässt einen Angreifer eine gefährliche Datei auf den Server legen, oft mit Webshell als Folge.
- DDoS Ein DDoS-Angriff flutet eine Website oder ihre Infrastruktur mit Verkehr, sodass legitime Besucher nicht durchkommen.
- Hintertür Eine Hintertür ist versteckter Zugang, den ein Angreifer hinterlässt, um ohne die ursprüngliche Schwachstelle zurückzukommen.
- Malware Malware auf WordPress ist unerwünschter Code, der Daten stiehlt, Spam verschickt, Besucher umleitet oder eine Hintertür offen hält.
- Phishing Phishing bringt Menschen dazu, Zugangsdaten herauszugeben oder Malware zu installieren, indem ein vertrauenswürdiger Absender vorgetäuscht wird.
- Remote Code Execution Remote Code Execution ist eine Schwachstelle, über die ein Angreifer von ihm gesteuerten Code auf dem Server ausführt.
- SQL-Injection SQL-Injection bringt eine Datenbankabfrage dazu, vom Angreifer gesteuertes SQL auszuführen, oft über unsichere Eingaben.
- Webshell Eine Webshell ist ein kleines Skript auf dem Server, über das ein Angreifer Befehle im Browser ausführt.
Zugang
Anmeldungen, Rollen und wer was darf.
- Anwendungspasswörter Anwendungspasswörter sind Zugangsdaten pro App, die WordPress ausstellt, damit Integrationen sich ohne Ihr Hauptpasswort anmelden.
- Prinzip der minimalen Rechte Minimale Rechte heißt: jeder Benutzer und jede Integration bekommt nur den Zugriff, den die Aufgabe braucht, nicht mehr.
- Rechteausweitung Rechteausweitung heißt, höheren Zugriff zu bekommen als vorgesehen, etwa wenn ein Abonnent zum Administrator wird.
- Sitzungsübernahme Sitzungsübernahme stiehlt oder errät eine gültige Session, damit der Angreifer als angemeldeter Benutzer handelt.
- WordPress-Benutzerrollen Benutzerrollen bündeln Rechte, die festlegen, was jedes Konto in WordPress darf, vom Lesen bis zur vollen Administration.
- Zwei-Faktor-Authentifizierung (2FA) Zwei-Faktor-Authentifizierung (2FA) verlangt nach dem Passwort einen zweiten Identitätsnachweis, etwa einen App-Code.
Härtung
Kontrollen, die einen Angriff teurer machen.
- Dateiintegritätsüberwachung Dateiintegritätsüberwachung prüft, ob wichtige Dateien gegenüber einer bekannten guten Basis geändert wurden.
- Integrität der Core-Dateien Integrität der Core-Dateien heißt: WordPress-Core-Dateien passen zu bekannten guten Versionen und wurden nicht manipuliert.
- Rate Limiting Rate Limiting begrenzt, wie oft eine Aktion von einer IP oder einem Konto passieren darf, und bremst so automatisierten Missbrauch.
- Sicherheitshärtung Härtung ist die Menge an Konfiguration und Abläufen, die eine Website schwerer missbrauchbar macht.
- Sicherheitsheader Sicherheitsheader sind HTTP-Antwortheader, die Browsern sagen, wie sie Ihre Seiten mit sichereren Vorgaben behandeln sollen.
- SSL/TLS SSL/TLS verschlüsselt den Verkehr zwischen Browsern und Ihrem Server, damit Passwörter und Cookies schwerer mitzulesen sind.
- WordPress-WAF Eine WAF filtert HTTP-Verkehr, um gängige Webangriffe zu blockieren, bevor sie WordPress erreichen.
Überwachung
Probleme finden, bevor sie zum Vorfall werden.
- CVE Ein CVE ist eine öffentliche Kennung für eine bekannte Cybersicherheits-Schwachstelle in gemeinsamen Datenbanken.
- Ereignisprotokollierung Ereignisprotokollierung speichert sicherheitsrelevante Aktionen, damit Sie sehen, was sich wann geändert hat.
- Falsch negativ Ein falsch negatives Ergebnis ist ein echtes Sicherheitsproblem, das ein Werkzeug oder Ablauf nicht erkannt hat.
- Falsch positiv Ein falsch positives Ergebnis ist ein Alarm, der wie ein Problem aussieht, sich nach Prüfung aber als harmlos erweist.
- Geplante Scans Geplante Scans führen Sicherheitsprüfungen automatisch in einem wiederkehrenden Rhythmus aus und können bei neuen Funden alarmieren.
- Schwachstelle Eine Schwachstelle ist eine Schwäche in Software, die Angreifer missbrauchen können, um Vertraulichkeit, Integrität oder Verfügbarkeit zu brechen.
- Sicherheitsaudit Ein Sicherheitsaudit ist eine strukturierte Prüfung der Risiken, Fehlkonfigurationen und empfohlenen Fixes einer Website.
Haltung
Risiko einschätzen, ohne Theater.
- Incident Response Incident Response ist der strukturierte Ablauf, einen Sicherheitsvorfall zu erkennen, einzudämmen, zu bereinigen und daraus zu lernen.
- Sicherheitstheater Sicherheitstheater ist Aktivität, die schützend wirkt, das echte Risiko aber kaum senkt.
- Verteidigung in der Tiefe Verteidigung in der Tiefe stapelt mehrere Kontrollen, damit ein verpasstes Update oder ein schwaches Passwort seltener im Desaster endet.
- Von einem Einbruch ausgehen Von einem Einbruch ausgehen heißt: so bauen, als hätte ein Angreifer schon einen Fußhalt, damit Erkennung und Wiederherstellung so zählen wie Prävention.
- Zero Trust Zero Trust behandelt jede Anfrage als unvertraut, bis sie geprüft ist, und begrenzt, was eine Identität erreichen kann.
WordPress-spezifisch
Begriffe, die nur auf WordPress Sinn ergeben.
- Anmeldeschutz Anmeldeschutz ist die Menge an Kontrollen, die die WordPress-Anmeldung gegen Bots und Angriffe auf Zugangsdaten härten.
- Nulled Plugin Ein Nulled Plugin ist eine unerlaubte, meist veränderte Kopie eines kostenpflichtigen Plugins, oft mit Malware oder Hintertüren.
- Plugin-Lieferkette Plugin-Lieferkettenrisiko heißt: vertrauenswürdiger Plugin-Code oder Updates werden zum Weg für Angreifer.
- REST-API Die WordPress-REST-API ist eine HTTP-JSON-Schnittstelle unter /wp-json/, genutzt vom Editor, von Apps und vielen Plugins.
- WordPress-Nonce Ein WordPress-Nonce ist ein kurzlebiges Token, das prüft, ob eine Anfrage beabsichtigt war, vor allem um CSRF-Risiko zu senken.
- WordPress-Salts WordPress-Salts sind geheime Schlüssel in wp-config.php, die Cookies, Nonces und verwandte kryptografische Vorgänge absichern.
- wp-config.php wp-config.php hält Datenbankzugang, Schlüssel und zentrale WordPress-Einstellungen der Website.
- XML-RPC XML-RPC ist ein älterer WordPress-API-Endpunkt, den Angreifer oft für Brute Force und Verstärkung missbrauchen.
