Ein Sicherheitsupdate ist eine Aktualisierung, die eine bekannt gewordene Sicherheitslücke schließt. Es unterscheidet sich von einem gewöhnlichen CMS-Update durch die Dringlichkeit: Mit der Veröffentlichung wird die Lücke öffentlich und damit auch für Angreifer auffindbar.
- Sicherheitsupdate
Eine Aktualisierung, die eine bekannt gewordene Sicherheitslücke schließt.
Beispiel: „Das Sicherheitsupdate wurde am selben Abend eingespielt.“Auch: Security-Update.
Abgrenzung zum Sicherheitspatch: Der behebt eine einzelne Lücke und erscheint kurzfristig; ein Update bündelt mehrere Korrekturen und folgt meist einem festen Zyklus.
Betrifft Kern und Erweiterungen gleichermaßen; die Mehrzahl der ausgenutzten Lücken steckt in Erweiterungen.
Warum die Zeit bis zum Einspielen entscheidet
Weil die Veröffentlichung einer Lücke zugleich die Anleitung mitliefert. Sobald eine Schwachstelle beschrieben ist, suchen automatisierte Programme das Netz nach Installationen ab, die sie noch haben. Das ist kein gezielter Angriff auf ein Unternehmen, sondern ein Abgrasen des gesamten Netzes.
Daraus folgt eine unbequeme Wahrheit: Die Größe der eigenen Website spielt keine Rolle. Eine Seite mit fünfzig Besuchern im Monat wird genauso gefunden wie eine mit fünfzigtausend, weil gesucht wird, was verwundbar ist, und nicht, was bekannt ist.
Wie sich Sicherheitsupdates organisieren lassen
Über Benachrichtigungen und eine feste Zuständigkeit. Die großen Systeme und viele Erweiterungen bieten Meldungen zu Sicherheitsveröffentlichungen an; wer sie abonniert, erfährt von einer Lücke, bevor die Website sie meldet.
Darauf folgt die Frage, wer reagiert. In unseren über 2.500 Projekten ist das die eigentliche Trennlinie: Technisch ist ein Sicherheitsupdate meist in Minuten eingespielt. Wo es monatelang liegen bleibt, fehlt keine Fähigkeit, sondern eine benannte Person oder ein Wartungsvertrag.
Was zusätzlich schützt
Weniger Angriffsfläche. Jede Erweiterung, die entfernt wird, ist eine, die nicht mehr aktualisiert werden muss. Deaktivieren genügt dabei nicht: Dateien, die auf dem Server liegen, sind unter Umständen weiterhin aufrufbar.
Dazu kommen abgestufte Zugänge, eine Zwei-Faktor-Anmeldung für das Backend und regelmäßige Sicherungen. Keine dieser Maßnahmen ersetzt das Einspielen von Updates, aber zusammen begrenzen sie den Schaden, wenn doch etwas durchkommt.