Mit diesem Beitrag unserer Informationsserie möchten wir Sie für bestimmte Sicherheitsthemen sensibilisieren.
Leider kommen manche Absicherungen im Arbeitsalltag schnell zu kurz. Setzen Sie den einen oder anderen Tipp schon um, ist es umso besser. Wurde eine Schwachstelle aber erst einmal ausgenutzt, kann dies unangenehme Konsequenzen für Ihre Kunden und für Sie als Shopbetreiber haben.
Diese Tipps und weitere Unterstützung beim Thema „Sicherheit“ haben wir ebenfalls unter der Adresse sicherheit.oxidmodule.com für Sie zusammengefasst.
Tipp 4: Warum Sie Ihre Passworte & Co. überprüfen sollten.
Die meisten Onlinedienste nutzen zur Anmeldung eine Kombination aus Benutzername und Passwort. Leider ist diese Authentifizierungskombination nicht wirklich stark. Warum dies so ist, ist kurz erklärt:
Authentifizierungsmethoden unterscheiden sich in 3 Bereiche:
- Wissen (z.B. Passwort, PIN, E-Mailadresse, Postleitzahl, Name des ersten Haustiers)
- Besitz (z.B. Schlüssel, Chipkarte, TAN-Liste, Smartphone mit zertifiziertem Keygenerator)
- Biometrie (Fingerabdruck, Gesichtserkennung, Handschrift, Iriserkennung)
Weitere Informationen finden Sie unter anderem bei Wikipedia.
Jede Methode hat Vor- und Nachteile. Im Idealfall werden alle 3 Methoden gemeinsam verwendet. Bei kritischen Anwendungen (z.B. Online-Banking) hat sich die Verwendung von 2 Methoden durchgesetzt. Im Alltag wird dies als 2-Faktor-Authentifizierung bezeichnet.
Unser Beispiel „Benutzername + Passwort“ verwendet jedoch nur eine dieser Methoden. Um unberechtigt an die Zugangsdaten zu kommen, reichen daher schon einfache Mittel (z.B. Raten oder Social Engineering) aus.
Da sich die Authentifizierungsmethoden jedoch häufig nicht oder nur schwer ändern lassen, achten Sie bitte ganz besonders auf Ihre Daten. Passworte sollten demnach einem gewissen Sicherheitsstand entsprechen:
- haben eine Mindestlänge von 12 Zeichen
- enthalten Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen
- entsprechen keinem gebräuchlichen Wort oder Namen
- sollen sich zwischen 2 Anmeldungen / Diensten unterscheiden
- werden regelmäßig geändert
Die meisten dieser Bedingungen lassen sich durch ein paar Eselsbrücken leicht realisieren (siehe z.B. bei Wikipedia). Leider wird im Alltag von vielen Anbietern die komplette Einhaltung dieser Empfehlungen sehr erschwert.
Wenn Sie es schaffen, allein 4 dieser Kriterien zu erfüllen, sind Sie schon sicherer unterwegs, als 95% der Bevölkerung.
Zur Generierung sicherer Passwort empfehlen wir unabhängige Passwortgeneratoren (z.B. diesen oder diesen).
Halten Sie auch Ihre Mitarbeiter, Dienstleister und Kunden zu sicheren Passworten an. Im Netz gibt es einbaufertige Analysetools (Beispiel), die im Ampelverfahren anzeigen, ob ein Passwort sicher ist.
Sichern Sie besonders sensible Bereiche (wie z.B. den Adminbereich Ihres Shops) zusätzlich durch einen Verzeichnisschutz Ihrer Serversoftware ab. Die Erfahrungen der vergangenen Jahre zeigt, dass die wenigsten Autorisierungsbereiche wirklich sicher sind.
Trennen Sie administrative Rechte von Ihren Alltagsrechten. Wenn Sie im Alltag nicht regelmäßig z.B. die Benutzerverwaltung benötigen, legen Sie dafür eine spezielle Anmeldung ab.
Haben Sie Fragen oder Anregungen zu diesem Thema, stehen wir Ihnen gern zur Verfügung.
Nach langer Entwicklungsarbeit und verschobenen Veröffentlichungsterminen wurde nun endlich PHP7 als finales Release der Öffentlichkeit zur Verfügung gestellt.