Deine Website ist ein offenes Formular, kein Tresor
Wenn Vereine und Verbände an „Sicherheit" bei ihrer Website denken, denken sie meist an Hacker, die von außen einbrechen. In der Praxis sieht das Risiko unspektakulärer aus: Es sind die alltäglichen Berührungspunkte — Kontaktformulare, Login-Bereiche, Datei-Uploads —, die am häufigsten offenstehen, weil niemand sie als sicherheitsrelevant erkannt hat.
Die drei häufigsten offenen Türen
Ein Kontaktformular, das im Browser prüft, ob die E-Mail-Adresse gültig aussieht, prüft nichts auf dem Server — wer die Prüfung im Browser umgeht, kann trotzdem senden, was er will. Ein Login-Bereich ohne Update-Rhythmus sammelt über die Jahre bekannt gewordene Schwachstellen an, für die es längst Reparaturen gäbe. Und ein Datei-Upload ohne Typ- und Größenprüfung nimmt im Zweifel entgegen, was jemand hochlädt — nicht nur Bilder.
<!-- nimmt entgegen, was auch immer kommt -->
<input type="file" name="anhang">
<!-- grenzt zumindest im Browser schon ein -->
<input type="file" name="anhang"
accept="image/png, image/jpeg">Wichtig dabei: Das accept-Attribut ist eine Komfortfunktion für Besucher:innen, keine Absicherung — wer will, kann es umgehen. Die eigentliche Prüfung muss serverseitig passieren, dort, wo Besucher:innen keinen Zugriff mehr haben. Das Beispiel zeigt trotzdem den Grundgedanken: Jede Stelle, die etwas entgegennimmt, sollte auch etwas ablehnen können.
Sicherheit ist kein Feature, das man hinzufügt. Es ist eine Frage, die man bei jeder Entscheidung mitstellt.
Was du als Redaktion wirklich tun kannst
Du musst kein Sicherheitsexperte werden, um die Website sicherer zu machen. Drei Dinge liegen in deiner Hand: Updates nicht monatelang aufschieben, Redaktionsrechte so vergeben, wie sie gebraucht werden — eine Redakteurin muss keine Administratorin sein —, und in Formularen nur abfragen, was wirklich gebraucht wird. Weniger gespeicherte Daten sind auch weniger, was im Ernstfall angreifbar ist.
Genau deshalb gehören Updates, Backups und Auftragsverarbeitung nach DSGVO bei mir vertraglich dazu, nicht als nachträgliches Angebot — wie ich das absichere, steht auf der Über-mich-Seite.
Erstgespräch vereinbaren