Updaten, Updaten, Updaten

Wenn sich nach der Erstellung einer Webseite niemand mehr zuständig fühlt, dann ist das natürlich ein Problem. Idealerweise sollte jemand in der Verantwortung sein, der zumindest über anstehende Updates informiert und die Wichtigkeit einschätzen kann, denn nicht jedes Update ist sicherheitsrelevant. Das kann der Entwickler, der Hoster oder auch ein guter Newsletter sein. Die meisten CMS bieten entsprechende Security Announcements über verschiedene Kanäle an (Mail, RSS, Social Media...). Hier sollte immer eine Quelle dabei sein, die den eigenen Anforderungen entspricht.

Jeder Entwickler bzw. jede Agentur sollte im eigenen Interesse auf Updates hinweisen, denn jedes Update ist ja wieder etwas Umsatz.

Es gibt auch Hoster (z.B. jweiland im Bereich TYPO3), die sich automatisch um Updates kümmern. Das kostet ein paar Euro mehr, als ein "normales" Hosting, ist aber am Ende des Tages wirtschaftlich eine sinnvolle und gute Lösung.

Diesen Satz habe ich schon häufig gehört. Der Hoster wird schon ein Backup haben, das wird eingespielt und alles ist gut. Doch so einfach ist das leider nicht. Denn Backups werden nicht ewig vorgehalten und es ist nicht immer ersichtlich wann sich Angreifer Zugriff verschafft haben. Ggf. ist das Backup bereits befallen. Doch unabhängig davon, sollte Folgendes bedacht werden:

1. Ihre Webseite - Ihre Verantwortung! Wenn eine gehackte Webseite Malware, Raubkopien oder schlimmeres verbreitet, dann ist der Betreiber rechtlich in der Verantwortung. Liegt veraltete Software vor, wird es schwer hier Fahrlässigkeit anzunehmen. Wenn der Hoster die Webseite auf Grund einer Infektion sperrt, ist das erst mal der Schaden des Webseitenbetreibers, wenn diese nicht mehr aufrufbar ist und dadurch Kunden oder Umsätze verloren gehen. Der Hoster hat sich über AGBs o.ä. für diesen Fall abgesichtert. Wenn das Backup nicht mehr hilft, muss in mühsamer Kleinarbeit versucht werden, die manipulierten Dateien zu finden und zu eliminieren.
2. Google mag gehackte Webseiten nicht: Gute Rankings bei Google? Diese können schnell weg sein, wenn die Webseite gehackt wird. Google wird den User im schlimmsten Fall sogar warnen, so dass kaum noch Besucher über die Suchmaschine auf die Webseite kommen werden. Jahrelange SEO-Arbeit kann innerhalb weniger Tage zunichte gemacht werden.
3. Die DSGVO: Wer personenbezogene Daten auf bzw. über seine Webseite verarbeitet ist bei einem Hack schnell im Bereich eines meldungspflichtigen Datenschutzvorfalls. Man kann schon bei einem Kontaktformular welches die Eingaben speichert davon ausgehen, dass es mindestens grenzwertig wird. Der damit verbundene Prozess ist langwierig und teuer

Es sollte klar geworden sein, dass damit nicht zu spassen ist.

Pauschale Aussagen über Kosten von Updates lassen sich nur schwer treffen. Ein minor update - also z.B. von TYPO3 10.6.2 auf 10.6.3 - ist in den meisten Fällen schnell eingespielt. Noch ein paar Tests, ob noch alles funktioniert und das Update ist erledigt. Die Preise hierfür mögen je Art der Webseite, des CMS oder der Agentur unterschiedlich ausfallen, sollten sich aber immer in einem überschaubaren Rahmen bewegen. Und im Vergleich zu den möglichen Schäden durch eine gehackte Webseite sind Updates in jedem Fall eine gute Investition.

Ein Tipp am Ende: nicht nur das CMS bedarf Updates, sondern auch alle installierten Plugins. Gerade bei CMS die viele Plugins nutzen (z.B. Wordpress) ist der Angriffsvektor bzw. der Updateaufwand nochmal deutlich höher.