Mehrere Einrichtungen haben ihre Online-Angebote zuletzt vorsorglich vom Netz genommen. Doch wer reagiert eigentlich, wenn die eigene Website betroffen ist? Welche Nachricht Betriebe an ihren Dienstleister schicken sollten – und wie sie für den Ausfall vorsorgen.
Wer einen Handwerksbetrieb führt, kann nicht bei jeder Sicherheitswarnung alles stehen und liegen lassen. Morgens fehlt Material, ein Kunde verschiebt seinen Termin, abends müssen noch Angebote raus. Die Website soll einfach laufen. Dafür zahlt man schließlich einen Anbieter.
Dann kommt die Nachricht: Wegen einer Sicherheitslücke muss der Internetauftritt vorübergehend abgeschaltet werden.
In den vergangenen Tagen ist genau das bei zahlreichen Einrichtungen passiert. Anlass waren kritische Schwachstellen in PHP, einer technischen Grundlage vieler Websites. Betroffene haben ihre Online-Dienste vorsorglich vom Netz genommen. Nach den Sicherheitsupdates waren sie wieder erreichbar.
Für Handwerksbetriebe stellt sich damit eine praktische Frage: Wie bereitet man sich auf so einen Tag vor, ohne selbst zum IT-Fachmann werden zu müssen?
Jeden Betrieb kann es treffen
PHP läuft auf dem Server, der eine Website ausliefert. Bestimmte Fehler erlauben es Angreifern, dort eigenen Programmcode auszuführen. Bei den aktuellen Lücken beschreibt das PHP-Projekt sogar einen nachgewiesenen Angriff auf eine verbreitete Art, PHP auf dem Server zu betreiben: Dafür genügt eine präparierte Anfrage. Dafür braucht es weder ein gestohlenes Passwort noch einen Mitarbeiter, der auf einen falschen Link klickt.
Wie groß der Schaden am Ende wird, hängt unter anderem davon ab, welche Rechte und Verbindungen das angegriffene System hat. Zu klein, um interessant zu sein, ist ein Betrieb jedenfalls nicht, denn automatisierte Angriffe suchen schlicht nach verwundbarer Technik, egal wem sie gehört.
Wer kümmert sich wirklich?
Handeln lohnt sich also für jeden Betrieb – und der erste Schritt kostet nur eine Nachricht an den Dienstleister:
"Bitte teilen Sie uns schriftlich mit, wer Sicherheitsupdates für unsere Website, ihre Erweiterungen und die Servertechnik einschließlich PHP übernimmt. Wer reagiert bei einer kritischen Warnung, wie schnell, und unter welcher Nummer erreichen wir Sie?"
Die Antwort gehört zu den Betriebsunterlagen. "Die Agentur macht das" stimmt nämlich nur, wenn die Agentur diese Aufgabe auch übernommen hat. Manche Agenturen kümmern sich ausschließlich um Texte und Bilder, für die Servertechnik ist dann vielleicht der Hostinganbieter zuständig. Gibt es bisher keine Sicherheitswartung, lassen Sie sich zeitnah ein konkretes Angebot machen. Fragen Sie dabei auch gleich: Wer springt ein, wenn der Ansprechpartner nicht erreichbar ist, und wer darf eine Abschaltung freigeben?
Kommt dann tatsächlich eine Warnung, brauchen Sie drei Auskünfte: Sind wir betroffen? Was wurde dagegen getan? Gibt es Hinweise darauf, dass schon jemand drin war? Ein eingespieltes Update beantwortet die dritte Frage nicht.
20 Minuten, die sich lohnen
Nehmen Sie sich beim nächsten Termin mit Ihrem Dienstleister 20 Minuten mehr Zeit und spielen Sie den Ernstfall durch: Die Website ist seit heute früh nicht erreichbar. Was nun?
Gehen Sie dafür einen ganz normalen Auftrag durch. Ein Kunde will anfragen, das Büro sucht die Kontaktdaten des Kunden, der Monteur braucht die Einsatzadresse, später soll die Rechnung raus. An welchen dieser Stellen ist Ihr Betrieb auf die Website angewiesen? Meist merkt man es erst, wenn man es aufschreibt.
Oft zeigt sich dabei, dass Termine und Einsatzinformationen über die Website oder ein damit verbundenes Portal laufen. Wie kommt das Büro an diese Daten, wenn die Website abgeschaltet ist? Eine geschützte Offlinefunktion kann reichen, ebenso eine verschlossen aufbewahrte Tagesliste. Wichtig ist, dass auch die Vertretung weiß, wo die Liste liegt. Und Kundendaten gehören nur so weit darauf, wie es der Tag verlangt.
Wichtige Kontaktdaten ausdrucken und ablegen
Als Nächstes lohnt sich eine schlichte Ersatzseite mit Firmennamen, Telefonnummer, Öffnungszeiten und einer Kontaktmöglichkeit, die funktioniert. Sie sollte unabhängig vom eigentlichen Websystem laufen. Lassen Sie sich erklären, wer sie einschaltet und wie lange das dauert. Im Ernstfall erst Texte und Zugangsdaten zusammenzusuchen, kostet Stunden, die niemand hat.
Ein ausgedrucktes Blatt mit den Telefonnummern des Dienstleisters, seiner Vertretung und der zuständigen Person im Betrieb gehört dorthin, wo auch die anderen wichtigen Unterlagen liegen. Eine Telefonnummer im E-Mail-Postfach hilft wenig, wenn das Postfach gerade nicht erreichbar ist.
Dazu kommt die Datensicherung. Bitten Sie Ihren Dienstleister, probeweise eine gesicherte Datei sowie die Website in einer separaten Testumgebung wiederherzustellen, ohne den laufenden Betrieb zu beeinträchtigen. Dabei erfahren Sie, wie alt der letzte verfügbare Stand ist und wie lange die Wiederherstellung dauert. Eine Sicherung, die nie ausprobiert wurde, ist vor allem eine Hoffnung.
Und schließlich die Zugänge. Scheidet jemand aus oder wechseln Sie die Agentur, gehört die Prüfung der Websitezugänge auf dieselbe Checkliste wie die Rückgabe von Schlüssel und Firmenhandy. Jeder bekommt einen eigenen Zugang mit genau den Rechten, die er braucht, und wo möglich einen zweiten Anmeldefaktor. Gegen Lücken wie die aktuelle in PHP hilft das zwar nicht, wohl aber gegen gestohlene Passwörter und vergessene Altzugänge. Das empfehlen auch staatliche Cybersicherheitsstellen für Webauftritte. Der Dienstleister sollte zudem prüfen, ob die Website überhaupt auf interne Systeme oder Betriebsdaten zugreifen kann. Eine Lücke im Internetauftritt soll möglichst keine Tür zu weiteren Bereichen öffnen.
KI hilft beiden Seiten
Künstliche Intelligenz hilft Angreifern, Schwachstellen schneller zu finden und Werkzeuge zu bauen, mit denen sie sich ausnutzen lassen. Das britische Cybersicherheitszentrum NCSC rechnet deshalb mit noch kürzeren Reaktionsfenstern. Ein kritisches Update bis zur nächsten allgemeinen Wartung liegenzulassen, wird damit riskanter.
Auch die Verteidiger nutzen KI. Diese kann technische Protokolle auswerten und auffällige Muster erkennen, löst aber mitunter Fehlalarme aus oder übersieht einen Angriff.
Fragen Sie Ihren Dienstleister deshalb ganz konkret: Wenn das System am Samstag einen Angriff meldet, wer kümmert sich darum? Welche Anfragen werden automatisch blockiert, wann schaut ein Mensch drauf, und wann klingelt bei mir das Telefon?
Weitere Sicherheitslücken werden kommen. Ein Handwerksbetrieb braucht dafür Abläufe, die zwischen Baustelle und Büro funktionieren. Beginnen Sie mit der Nachricht an Ihren Dienstleister. An der Antwort sehen Sie schnell, was bereits geregelt ist und wo bisher alle darauf vertrauen, dass sich schon jemand kümmert.
Zum Autor: Thomas Kress ist IT-Sicherheitsexperte und Geschäftsführer der Deutschen CyberKom. Nach mehr als 25 Jahren in leitenden Funktionen bei internationalen IT-Projekten gründete er ein eigenes Unternehmen. Es bündelt heute unter dem Dach der Deutschen CyberKom die Bereiche IT-Sicherheit und Telekommunikation. Kress schreibt als Fachautor für IT- und Wirtschaftsmedien und berät Unternehmen und Systemhäuser zu IT-Sicherheit, Infrastruktur und digitaler Souveränität.