Web-Security ist die Sicherheit von Websites und Webanwendungen gegen Angriffe von außen. Gemeint ist der Ausschnitt der Informationssicherheit, der sich um das kümmert, was über den Browser erreichbar ist.
- Web-Security
Die Sicherheit von Websites und Webanwendungen gegen Angriffe von außen.
Beispiel: „Web-Security ist kein Projekt mit Enddatum, sondern eine Aufgabe im laufenden Betrieb.“Auch: Websicherheit, Anwendungssicherheit im Web. Als Oberbegriff für alles Digitale dienen IT-Sicherheit und Informationssicherheit.
Abgrenzung zum Datenschutz: Der fragt, welche Daten überhaupt erhoben und wofür sie verwendet werden dürfen. Web-Security fragt, ob sie vor fremdem Zugriff geschützt sind.
Die vier Flächen, an denen eine Website angegriffen wird
Anwendung, Zugänge, Unterbau und Menschen. Jede Fläche hat eigene Angriffe und eigene Gegenmittel, und keine lässt sich durch eine andere ausgleichen.
Fläche | Was dort angegriffen wird | Wo es im Glossar steht |
|---|---|---|
Die Anwendung | Eingaben, die der Server verarbeitet | |
Die Zugänge | Anmeldung, Rechte, Sitzungen | |
Der Unterbau | Server, Erweiterungen, Abhängigkeiten | |
Die Menschen | Mitarbeiter, Kunden, Dienstleister |
Daraus folgt die unbequeme Erkenntnis: Ein Haus, das sich nur um die Anwendung kümmert, ist über die Menschen angreifbar, und umgekehrt. Die großen Vorfälle der letzten Jahre begannen überwiegend an der vierten Fläche und endeten an der dritten.
Womit ein Betrieb anfängt
Mit vier Maßnahmen, die zusammen den größten Teil der verbreiteten Angriffe abdecken und keine Woche Arbeit kosten. Aktualisierungen zügig einspielen, siehe Patch-Management. Einen zweiten Faktor für alle Verwaltungszugänge. Eine Sicherung, die außerhalb des Netzes liegt, siehe Backup-Strategie. Und eine Liste, wer im Ernstfall was tut, siehe Incident Response.
Alles Weitere baut darauf auf. Eine Web Application Firewall vor einer Anwendung, die seit Monaten keine Aktualisierung bekommen hat, verschiebt das Problem und löst es nicht.
Was von außen nicht zu sehen ist
Der größte Teil. Eine Website, die im Browser einwandfrei aussieht, kann veraltete Erweiterungen einsetzen, Passwörter ungesalzen speichern, keine Sicherung haben und jedem Mitarbeiter Verwalterrechte geben; nichts davon fällt beim Besuch auf. Umgekehrt sagt ein fehlendes Detail in den Kopfzeilen wenig über die tatsächliche Lage aus.
Deshalb lässt sich Web-Security nicht aus der Ferne beurteilen, weder beim eigenen Anbieter noch bei einem Dienstleister. Was hilft, sind Fragen: Wann wurde zuletzt aktualisiert, wo liegt die letzte Sicherung, wer hat Verwalterrechte, und wann wurde das zuletzt geprüft?
Warum Web-Security nie fertig wird
Weil sich beide Seiten bewegen. Die eigene Anwendung ändert sich mit jeder Erweiterung, und die bekannten Lücken ändern sich mit jedem Tag; was gestern sicher war, ist es heute vielleicht nicht mehr, ohne dass jemand etwas getan hat. Der Unterschied zwischen einem gut und einem schlecht geschützten Haus liegt deshalb selten in der Technik, sondern in der Frage, ob jemand zuständig ist und regelmäßig hinsieht.