Aktives Mitglied
AW: Kennt jemand NVU??
Da sehe ich aber nur eine Lösung (nicht ironisch/zynisch gemeint - auch wenn es zunächst so klingt): dem WWW fern bleiben.
Im Ergebnis sehe ich nicht, dass jemand der erst programmieren lernen müsste, produktiv eine sicherere Lösung zustande bringt, als eine aktive Community mit regelmäßigen Updates (egal welches CMS, lebende vorausgesetzt).
Klar - zunächst kann jemand ohnehin nur statische Lösungen bauen, die ohne die ganzen Dynamikgeber wie PHP, eine Datenbank oder JavaScript auskommen. Diese Eingeschränktheit gibt Sicherheit. Allerdings sehe ich da zunächst die gleichen Server-seitigen Fallen wie Directory-Listings unterbinden etc., die bleiben.
Hier glaube ich dann wieder, dass ein Laie mit einem "Machs-mir-dicht"-Plugin (dass dann auch eine .htaccess generiert etc.) mehr absichern kann, als in einem leeren Server-Verzeichnis, wo eigentlich nur ein Admin per se überhaupt weiß, wo er hingreifen muss.
Zuletzt: ich teile die Meinung/Erfahrung, dass man ohnehin kaum ein System wirklich gegen gezielte Angriffe von erfahrenen Hackern abdichten kann. Das geht nicht mal bei einer Haustür. Auch da kann jeder immer reinkommen, wenn er sich gezielt mit dem System auseinandersetzt und genug Zeit bekommt. Im Kern ist Alles was man immer daher machen kann: die benötigte Zeit für den Angreifer erhöhen.
Bei so einer Vereinsseite halte ich das mit einfachen Abwehrmaßnahmen auch für kein so großes Problem - man verkauft ja nichts und hat auch kein Service-Level zu erfüllen o.ä.
Man sollte bei beiden Vorgehensweisen (zu Fuss ebenso wie mit CMS)
1) immer nach wesentlichen Updates Backups ziehen, um gestörte Systeme wieder auf den letzten korrekten Stand bringen zu können (20 Minuten Arbeit, wenn mal was war - trivial meine ich, selbst wenn es zweimal im Jahr wäre)
2) in regelmässigen Abständen, mindestens wöchentlich, nach dem Online-Stand sehen, auch wenn nichts geändert wurde.
Letzteres, damit ein kompromitiertes System nicht zu einer Störerhaftung führt - also, damit man es einfach selbst mitkriegt. Ein Zombiesystem sollte man nicht einfach weiter laufen lassen, auch wenn das eigene Angebot nicht kritisch/unkommerziell ist.
Das ewige Security-Thema - klar, ... und bei allen CMS, ja - auch klar.
Mir leider schon, sogar in meinem eigenen Kundenstamm - einmal auch erfolgreich, trotz diverser Sicherheitsmaßnahmen.
Da sehe ich aber nur eine Lösung (nicht ironisch/zynisch gemeint - auch wenn es zunächst so klingt): dem WWW fern bleiben.
Im Ergebnis sehe ich nicht, dass jemand der erst programmieren lernen müsste, produktiv eine sicherere Lösung zustande bringt, als eine aktive Community mit regelmäßigen Updates (egal welches CMS, lebende vorausgesetzt).
Klar - zunächst kann jemand ohnehin nur statische Lösungen bauen, die ohne die ganzen Dynamikgeber wie PHP, eine Datenbank oder JavaScript auskommen. Diese Eingeschränktheit gibt Sicherheit. Allerdings sehe ich da zunächst die gleichen Server-seitigen Fallen wie Directory-Listings unterbinden etc., die bleiben.
Hier glaube ich dann wieder, dass ein Laie mit einem "Machs-mir-dicht"-Plugin (dass dann auch eine .htaccess generiert etc.) mehr absichern kann, als in einem leeren Server-Verzeichnis, wo eigentlich nur ein Admin per se überhaupt weiß, wo er hingreifen muss.
Zuletzt: ich teile die Meinung/Erfahrung, dass man ohnehin kaum ein System wirklich gegen gezielte Angriffe von erfahrenen Hackern abdichten kann. Das geht nicht mal bei einer Haustür. Auch da kann jeder immer reinkommen, wenn er sich gezielt mit dem System auseinandersetzt und genug Zeit bekommt. Im Kern ist Alles was man immer daher machen kann: die benötigte Zeit für den Angreifer erhöhen.
Bei so einer Vereinsseite halte ich das mit einfachen Abwehrmaßnahmen auch für kein so großes Problem - man verkauft ja nichts und hat auch kein Service-Level zu erfüllen o.ä.
Man sollte bei beiden Vorgehensweisen (zu Fuss ebenso wie mit CMS)
1) immer nach wesentlichen Updates Backups ziehen, um gestörte Systeme wieder auf den letzten korrekten Stand bringen zu können (20 Minuten Arbeit, wenn mal was war - trivial meine ich, selbst wenn es zweimal im Jahr wäre)
2) in regelmässigen Abständen, mindestens wöchentlich, nach dem Online-Stand sehen, auch wenn nichts geändert wurde.
Letzteres, damit ein kompromitiertes System nicht zu einer Störerhaftung führt - also, damit man es einfach selbst mitkriegt. Ein Zombiesystem sollte man nicht einfach weiter laufen lassen, auch wenn das eigene Angebot nicht kritisch/unkommerziell ist.
Zuletzt bearbeitet:
