WordPress Hacksicher Machen

[@rolf2665]

Das Video hat Mir sehr geholfen. Werde mich noch intensiver damit beschäftigen und umsetzen. Danke LG Rolf

[@dominikliss]

Danke Rolf! Freut mich 😊

[@seins-musik]

Mir wurde das PlugIn empfohlen, doch ich wusste nicht genau, wie ich damit umgehen soll. Nun, dank deines Videos weiß ich es. Vielen Lieben dank dafür. 🙏 Es ist schon sehr erschreckend, auf was man alles achten muss, um kein Ärger zu bekommen oder angegriffen zu werden. Was für eine verkehrte Welt... 🙈

[@dominikliss]

Danke 😊 freut mich, dass dir das Video geholfen hat! Ja das stimmt ... wenn man bei WordPress ein bisschen in Materie eintaucht, dann ist das ein bisschen wie ein endloses schwarzes Loch

[@martinrenner7251]

Deine Videos sind sehr hilfreich vielen Dank!

[@dominikliss]

Danke! 😊 Freut mich, dass dir die Videos helfen 👍

[@hpeindl2525]

Sehr hilfreich, danke! Wie schaut es bei diesem Plugin mit der DSGVO aus? IP Adressen usw. werden gespeichert.

[@dominikliss]

Danke für die Frage Harald. Hab gerade in der Datenbank nachgeschaut und das Plugin speichert die IP Adressen beim Login Formular. Da werden alle Versuche in der Datenbank gespeichert. Bei mehreren Fehlversuchen wird die IP Adresse auch als blockierte IP Adresse in der Datenbank gespeichert. Vom normalen Traffic wird nichts gespeichert. Ob das als dsgvo konform gilt, kann ich nicht sagen, da ich kein Anwalt bin. Das Plugin setzt nur Sicherheitsregeln in der .htacces Datei, aber der normale Traffic wird nicht überwacht. Die Backend Login Seite wird nicht an die Suchmaschinen geschickt und mit der Änderung der Login URL sollte sich auch kein "normaler" Besucher auf der Login Seite verlaufen. Die Login Seite ist zwar öffentlich erreichbar (weil sonst könnte man sich nicht einloggen), aber man muss den genauen Link im Browser angeben um auf die Login Seite zu kommen.

[@punisher5486]

Hallo Dominik, danke für das hilfreiche Video. Kann es aber sein, dass es das "All In One WP Security"-Plugin nicht mehr gibt? Zumindest finde ich es bei mir nicht.

[@dominikliss]

Danke! Das Plugin wurde glaub in der Zwischenzeit aufgekauft und das Design hat sich etwas geändert ... Das Plugin gibt's aber noch 👍 wordpress.org/plugins/all-in-one-wp-security-and-firewall/ Ich werde aber bald wahrscheinlich ein aktuelles Video zu dem Thema machen.

[@christophneumayer2140]

Super Video! Vielen Dank!

[@dominikliss]

Danke! 😊 Freut mich, dass dir das Video geholfen hat

[@werbekueche]

Danke vielmals für diesen Tool-Tipp und die Erläuterungen! 2 meiner Websites leiden grade unter Brute-Force-Angriffen und dank dir weiß ich jetzt, besser damit umzugehen! Mit dem Plugin wollte ich meine Login-Page URL ändern. Aber wenn ich das getan habe und die neue Login URL aufrufe, dann kommt nur "Fehler" und ich kann mich nicht mehr einloggen. Hast du eine Ahnung, was ich falsch gemacht habe? Muss noch ein Cache gelöscht werden?

[@dominikliss]

Mhhh ... welche Fehlermeldung bekommst du? 🤔 Falls es ein kritischer Fehler ist, dann bekommst im Debug Modus mehr Infos ... in dem Video hab ich das etwas genauer erklärt, wie du diesen einschalten kannst. kzbin.info/www/bejne/Y17EY4uZhNGHfsk Könntest du nachschauen, ob du dann eine aussagekräftigere Fehlermeldung bekommst? Lg Dominik

[@clavocal-zauber]

HAllo Dominik, bin deinem video gefolgt und kann mich promt nun nicht mehr einloggen... Angeblich sei weder meine Emailadresse noch mein Anmeldename bekannt!? JEtzt hab ich gearade ein bisschen Angst, weil ich diese Sicherheitsgeschichte gleich auch für die 2. gerade eben fertig gestellte Website gemacht habe. bitte hilf mir!

[@dominikliss]

Hallo, ich hab dir gerade auf deine Email geantwortet. Das werden wir schon hinbekommen 👍 Lg Dominik

[@Hanfintelligenz]

Wegen der IP Aufzeichnung von Login-Versuchen muss man wegen der DSGVO schauen.

[@dominikliss]

Da bin ich rechtlich überfragt, da ich kein Rechtsanwalt bin ... aber wenn man zu 100% korrekt sein will, sollte man glaub ich beim Login Formular eine Zustimmung hinzufügen, damit beim Login-Versuch der Besucher dem Speichern der IP Adresse zustimmt. Werde das vielleicht noch in einem Video ergänzen

[@Saitentanz]

Vor ein paar Jahren gab es viele User, die von All-in-on-Security aus WordPress ausgesperrt wurden und sich nicht mehr einloggen konnten. Mir ist das auch passiert. Darum habe ich das Plugin entsorgt. Dass es kaum Einfluss auf die Performance hat, ist nicht ganz richtig. Dies ist nur der Fall, solange man keinen nennenswerten Traffic hat. Ab 3.000 Besucher pro Tag ändert sich, weil die Datenbank ins Schwitzen kommt und die Performance ausbremst. Hierfür gibt es das kostenlose Plugin Ninja Firewall. Es kommt ohne Datenbank aus und arbeitet lediglich mit einer Textdatei. Damit hat es auch bei High Traffic Websites keinerlei Einfluss auf die Performance. Ein bekannter Sicherheitsexperte nutzt es selbst und empfiehlt es. Er hat auch eine Konfigurationsdatei zum Importieren zur Verfügung gestellt, die quasi für jede Art von Website einsetzbar ist.

[@dominikliss]

Hallo Saitentanz, danke für dein Feedback. Da muss ich dir leider widersprechen ... also nicht in dem Punkt, dass man sich nicht einloggen konnte. Das Problem hab ich selbst noch nicht gehabt. Aber ich kann mir gut vorstellen, dass es durch ein nicht ganz sauberes Plugin Update ausgelöst wurde. Das Problem hat man wahrscheinlich durch das Deaktivieren des Plugins (Plugin Ordner kurzfristig umbenennen) lösen können. Bzgl Performance hab ich mit dem Plugin noch keine schlechten Erfahrungen gemacht. Da kommt auch die Datenbank nicht ins Schwitzen ... und das auch bei Seiten mit mehr als 5000 Aufrufen / Tag. Das All in one Security Plugin funktioniert dann wahrscheinlich genauso wie das Ninja Firewall Plugin. Das Plugin setzt Regeln in der htaccess Datei (das ist glaub ich das was du mit txt Datei gemeint hast) und es verbessert so die Sicherheit der WordPress Seite. Lg Dominik

[@Saitentanz]

@@dominikliss Ich muss Dir widersprechen. Der Fehler wurde durch das All-in-one Plugin ausgelöst. Ich habe Dein Video nicht bis zu Ende angeschaut. In der damaligen Version hatte ich einen Wert zu hoch eingestellt. Insbesondere war die Dokumentation des Herstellers schlecht. Das Ändern des Login Pfads wird landläufig als "Security by obscurity" bezeichnet, weil es rein gar nichts bringt. Das wird Dir auch jeder Sicherheitsexperte bestätigen. Hackbots finden den Pfad. Man kann sie ganz einfach mit einem Honeypot austricksen. Der Hersteller verdient seine Brötchen hauptsächlich durch Lösungen im Daten-Management-Bereich aber nicht in der in der Datensicherheit. Die Daten, die bei anderen Sicherheits-Plugins für die WP Datenbank benötigt werden, schreibt Ninja Firewall nicht in die htaccess sondern über eine eigene Textdatei, die es selbst regelt. LG Bernd

[@dominikliss]

Hallo Bernd, da hab ich mich nicht genau ausgedrückt ... der Fehler konnte durch ein Update ausgelöst werden und die Updates kommen ja vom Plugin Hersteller ... also lags ohne hin am Plugin. Aber an dem will ich mich jetzt nicht festhalten. Ich verstehe, dass du deine Meinung hast und ich sag auch nicht, dass Ninja Firewall schlecht ist. Es ist bestimmt ein super Plugin. Hab mir das Plugin jetzt nach deiner Empfehlung kurz angeschaut und auf den ersten Blick scheint es ebenfalls eine Firewall zu haben, nur mit weniger Optionen als aio security. Dafür hat das Ninjna Firewall Plugin einen guten traffic und file Scanner. Ich will jetzt auch nicht auf einzelne Sicherheitsmaßnahmen aus dem Video eingehen. Weil es im Endeffekt darum geht die Wahrscheinlichkeit, dass eine WordPress Seite gehackt wird zu minimieren. Und das kann man am besten durch die Kombination von verschiedenen Maßnahmen erzielen. Eine 100%ige Hackgarantie gibt es nie und das Argument ""Security by obscurity"" kann man bei sehr vielen einzelnen Sicherheitsmaßnahme anführen. Ich werde mir das Ninja Firewall Plugin auf jeden Fall noch genauer anschauen. Der File Scanner schaut auf jeden Fall sehr hilfreich aus. Danke an der Stelle für die Empfehlung 😊 Ich steh aber zu meiner Meinung, dass aio security sich nicht negativ auf die Datenbank Performance auswirkt, da die Sicherheitsmaßnahmen in der .htaccess Datei gespeichert werden und um die Sicherheitsmaßnahmen bei einem Seitenaufruf auszuführen, wird die Datenbank nicht gebraucht. Lg Dominik

[@Saitentanz]

@@dominikliss An einem Update lag der Fehler nicht sondern, wie bereits gesagt, an dem Umstand eines zu hohen Wertes; der Hersteller hatte offenbar keine ausreichenden Tests gemacht, um einen konkreten Hinweis zu geben oder den Wert entsprechend herabzusetzen. Unabhängig davon fällt mir auf, das WP-Profis bestimmte Anweisungen der htaccess direkt hinzufügen, und dann ist Sense. Auch wenn der Login-Pfad bekannt ist, ist ein komplexes PW ausreichend. Der Angriff über Ports oder XWS ist bei WP äußerst selten, wenn alles auf dem aktuellen Stand und kompatibel ist. Dabei sollte man auch regelmäßig auf die WP Sicherheitsberichte zu den Plugins achten, da es Kandidaten gibt, die immer wieder wegen Sicherheitsproblemen auffallen. Die will man möglichst nicht haben.

[@ferdinandgetti1260]

Weiß nicht ob das eine gute Idee ist - aber man könnte auch den Zugriff auf das backend auf eine bestimmte IP reduzieren! (oder auch mehrere)

[@dominikliss]

Hallo Ferdinand, ist auf jede Fall eine Super Idee 👍 wollte ich in dem Fall nicht hinzufügen ... weil viele Zuschauer daheim eine dynamische IP Adresse haben beim Router. D.h. dass du eine neue IP Adresse bekommst sobald du den Router neu startest bzw. wenn du mal Unterwegs bist, hast du sowieso eine neue IP Adresse. Das hab ich bei einem eigenen WordPress Projekt mal so eingestellt und es ist auf jeden Fall dann auch sehr sicher, aber ein bisschen mühsam, weil du dann irgendwo eine config Datei mit den IP Adressen am Server ablegen musst, um die Liste gegebenenfalls anzupassen. Und man kann glaub ich auch als Hacker die eigene IP Adresse anpassen. Also im Request Header den du an den Server schickst. Aber da wird mal der Hacker oder der Bot wissen müssen, welche IP Adressen überhaupt erlaubt sind und wenn du nach 2-3 Fehlversuchen die IP Adresse sperrst, dann kannst das Herausfinden von den zugelassenen IP Adressen durch Brute Force minimieren. Also an Sich finde ich, dass es eine super Schutz-Maßnahme ist 😁 Da es aber ein bisschen tricky zum Aufsetzen ist, nicht bei jedem (wegen der dynamischen IP Adresse) rund funktionieren wird und die Wartung teilweise anstrengend ist, hab ich den Punkt beim Video mal ausgelassen. Aber falls du eine schnelle Möglichkeit gefunden hast das aufzusetzen, dann kann ich mir das natürlich anschauen und wenn es jeder halbwegs leicht aufsetzen kann, dann kann ich dazu noch gerne ein Video machen. (Mit Credits an dich logischerweise 😉) Lg Dominik

[@ferdinandgetti1260]

@@dominikliss Hallo Dominik! Ok. Danke für den Tipp. Routerexperte bin ich bei Gott keiner. Versuche gerade zu prüfen, ob mein Router gehackt worden ist. Der Pro Virenscanner hat nichts angezeigt, aber drinnen war jemand. Kein Spaß ich finde es langsam nervig was da so abgeht. Ein führender provider in Ö wurde selbst ein halbes Jahr gehackt. Cloud Services sind auch nicht 100 Prozent sicher wie man weiß. Große Industrieunternehmen müssen schon mal eine Million in IT security zusätzlich im Jahr investieren. Die panama papers waren selbst schuld. Da verwendet man kein wordpress mit anfälligen plugins. Abgesehen davon bin ich im Moment etwas gestresst. Windows komplett neu aufsetzen beim notebook. Und mal lernen wie der Router so funkioniert. 😫

[@dominikliss]

Hallo Ferdinant, das klingt nach ziemlichen Stress gerade bei dir ... Was IT Security an sich betrifft bin ich jetzt kein Experte 😅 hab im Studium nur die Basics gelernt, hab mich da aber nicht weiter vertieft in das Thema ... Routern vertraue ich auch immer weniger. Mach jetzt deswegen alles über eine vpn Verbindung ... im Endeffekt weißt du auch nicht was nordvpn in dem Fall im Hintergrund macht mit dem Traffic, aber zumindest glaub ich dass es sicherer ist, als eine einfache Verbindung mit dem Router Im Endeffekt ist alles von Hackern angreifbar sobald es mit dem Internet verbunden ist. Aber da kann eine lange Diskussion starten 😄 Ich wünsche dir auf jeden viel Erfolg noch mit deinem Rechner und Router und hoffe, dass alles klappen wird 👍 Lg Dominik

[@ferdinandgetti1260]

@@dominikliss Hallo Dominik. Danke. Gott sei Dank nichts geschäftliches - 'nur privat'. Ja man braucht Glück heutzutage........... Ein Kleinunternehmen in Österreich um ein Beispiel zu nennen - 1 Mann Unternehmen - Consulting mit nicht unwesentlichen Datenverkehr - 500 Euro pro Monat für IT Security. (sichere Leitung, Überwachung) DANKE!

[@AlfonsBurtscher]

Hallo Dominik, habe jetzt gerade meine Seite nach deinen Anweisungen gesichert. Leider kann ich nun nicht mehr einloggen. Was kann das sein? Wie komme ich wieder rein. Es wird angezeigt, dass meine IP gesperrt ist, vermutlich einige Zeit und ich mich an den Administrator wenden soll. Aber ich bin der Administrator. Was kann ich jetzt machen. Übrigens habe ich auch google-captcha aktiviert, aber auf der login-Seite ist nichts erschienen. Danke LG Alfons

[@dominikliss]

Hallo Alfons, kann es sein, dass du dich ein paar mal falsch eingeloggt hast? 😅 ... Da kannst du auch einfach deinen Router neu starten, damit du eine neue IP Adresse bekommst (falls du eine dynamische IP Adresse hast) oder dich kurz per mobile hotspot verbinden oder ein vpn Service verwenden. Damit hast du dann jeweils eine neue IP Adresse, welche nicht gesperrt ist. Sobald du dich eingeloggt hast kannst du in den Plugineinstellungen die gesperrte IP Adresse wieder freigeben. bzgl Google reCaptcha ... da wirst du das Service auch bei Google aktivieren müssen, damit du das auf deiner Webseite nutzen kannst. Falls du das nur im Plugin aktiviert hast, dann wird es wahrscheinlich noch nicht angezeigt werden. Lg Dominik

[@AlfonsBurtscher]

@@dominikliss Danke für die Infos. Habe das Plugin deaktivieren lassen über meinen Hoster. Jetzt geht es wieder. LG

[@webgeneral]

Eine besonders gute Sicherheitsmaßnahme ist meiner Meinung nach das Ändern des Login-Usernames in der Datenbank.... Erfordert nichtmal ein Plugin...

[@dominikliss]

Danke für den Tipp! Da stimm ich dir zu 100% zu 👍 je weniger default Werte verwendet werden, desto sicherer ist die Seite gegen Bot angriffe 👌