WordPress Wartung & Support in Bonn

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seine Postanschrift in Bonn, und seine Veröffentlichungen sind frei lesbar. Dieser Text zeigt, was das BSI in seinen Bausteinen zum Betrieb von Webanwendungen und Webservern schreibt und wie ich daraus bei WordPress-Seiten von Unternehmen in Bonn und im Rheinland eine Monatsroutine mache. Ich bin ein einzelner Entwickler, die Arbeit läuft remote und in Textform.

Foto: Wolkenkratzer, CC BY-SA 3.0, Wikimedia Commons.

#Was der IT-Grundschutz für eine WordPress-Seite bedeutet

Das BSI nennt den IT-Grundschutz Methode, Anleitung, Empfehlung und Hilfe zur Selbsthilfe für Behörden, Unternehmen und Institutionen. Verbindliche Mindeststandards beschreibt die Seite für Einrichtungen des Bundes. Für eine Kanzlei, einen Händler oder einen Verein in Bonn ist er deshalb kein Gesetz, sondern eine Prüfliste, die jemand mit viel Erfahrung geschrieben hat.

Zwei Hinweise aus derselben Seite sind für die Planung wichtig. Das BSI entwickelt den IT-Grundschutz fort und ersetzt das Kompendium langfristig durch ein digitales Regelwerk als JSON-Datei. Das bisherige Kompendium bleibt laut BSI in einer mehrjährigen Übergangszeit anwendbar. Und für kleine Institutionen gibt es die Checklisten “Weg in die Basis-Absicherung” (WiBA), mit denen sich Grundanforderungen ohne eigenes Managementsystem umsetzen lassen.

Ich zertifiziere nichts und bin kein Auditor. Ich nehme die Aussagen, die auf eine WordPress-Installation zutreffen, und mache sie zu Arbeitsschritten mit schriftlichem Nachweis.

#Welche Bausteine für Webseiten einschlägig sind

Die Bausteine der Edition 2023 stammen laut BSI vom Februar 2023. Für den Betrieb einer WordPress-Seite lese ich diese:

• APP.3.1 Webanwendungen und Webservices, weil WordPress eine Webanwendung ist.
• APP.3.2 Webserver, für alles, was beim Hosting liegt.
• OPS.1.1.6 Software-Tests und -Freigaben, für die Staging-Prüfung.
• CON.3 Datensicherungskonzept, für Backups.
• OPS.1.1.3 Patch- und Änderungsmanagement, den ich auf der Seite WordPress Wartung Frankfurt bereits ausgeführt habe.

APP.3.1 legt den Schwerpunkt auf die Lebenszyklusphase Betrieb. Die Entwicklung von Webanwendungen behandelt das BSI in CON.10, Webserver in APP.3.2. Diese Trennung ist hilfreich: Was in Ihrem Theme steht, ist Entwicklung, was im Hosting-Vertrag steht, ist Webserver, und was ich monatlich tue, ist Betrieb.

#Was APP.3.1 verlangt und was ich daraus mache

Der Baustein unterscheidet Basis-Anforderungen (MÜSSEN), Standard-Anforderungen (SOLLTEN) und Vorschläge bei erhöhtem Schutzbedarf. Die folgende Tabelle gibt wieder, was das BSI schreibt, und daneben, was ich bei WordPress tatsächlich prüfe. Die rechte Spalte ist meine Arbeitsweise, keine BSI-Vorgabe.

Zur Beschaffung nennt der Baustein (A9) unter anderem regelmäßige Sicherheitsupdates durch den Entwickelnden der Software als Kriterium. Das ist der Grund, warum ich vor einer Plugin-Empfehlung nachsehe, wann es zuletzt aktualisiert wurde.

#Was APP.3.2 für Server und Hosting sagt

Der Baustein Webserver richtet sich an den, der den Server betreibt. Bei Managed Hosting ist das der Hoster, und ich kann dort nur prüfen und schriftlich nachfragen. Das BSI verlangt unter anderem:

• den Webserver-Prozess mit einem Konto minimaler Rechte zu betreiben und nicht benötigte Module zu deaktivieren (A1),
• Dateien vor unbefugtem Lesen und Ändern zu schützen und keine Verzeichnislisten auszugeben (A2),
• erfolgreiche und fehlgeschlagene Zugriffe sowie Fehlermeldungen zu protokollieren (A4),
• Verschlüsselung über TLS für alle Verbindungen anzubieten und keinen Mixed Content auszuliefern (A11),
• weder Produktname noch Version des Webservers in HTTP-Informationen und Fehlermeldungen sichtbar zu machen (A12),
• Zugriffe von Webcrawlern nach dem Robots-Exclusion-Standard zu regeln (A13),
• regelmäßig zu prüfen, ob Konfiguration und ausgelieferte Dateien noch integer sind, und Dateien auf Schadsoftware zu prüfen (A14).

Daraus ergeben sich Prüfpunkte, die ich ohne Serverzugriff erledigen kann: Mixed Content auf den Seiten, die Header-Ausgabe, die Verzeichnisliste im Uploads-Ordner und die Frage, ob die Seite Versionsnummern preisgibt. Was nur der Hoster ändern kann, schreibe ich Ihnen als Frage an den Hoster auf.

Der Baustein A7 nennt außerdem die Telemedien- und Datenschutzgesetze sowie das Urheberrecht als rechtliche Rahmenbedingungen für Webangebote. Das ist der Anschluss an Impressum und Datenschutzerklärung, die ich bei größeren Änderungen mitprüfe.

#Test, Freigabe und Backup: OPS.1.1.6 und CON.3

OPS.1.1.6 verlangt, dass funktionale Tests so durchgeführt werden, dass sie den Produktivbetrieb nicht beeinflussen, dass die Ergebnisse ausgewertet und dokumentiert werden und dass die fachlich zuständige Stelle die Software in Form einer Freigabeerklärung freigibt. Übertragen heißt das: Updates laufen auf einer Staging-Kopie, ich dokumentiere, was ich geprüft habe, und Sie bestätigen die Freigabe in Textform, bevor etwas live geht. Bei einem Shop gehören Checkout und Zahlarten zu den Testfällen, bei einer Dienstleisterseite Kontaktformular und Terminanfrage.

CON.3 fordert, Datensicherungen auf separaten Speichermedien zu halten und räumlich getrennt von den gesicherten Systemen aufzubewahren. Der Datensicherungsplan soll außerdem festlegen, in welcher Reihenfolge Systeme und Anwendungen wiederhergestellt werden. Bei mir bedeutet das: Backups liegen außerhalb des Hosting-Kontos, und die Reihenfolge der Wiederherstellung (Datenbank, Dateien, Konfiguration, Prüfung) steht schriftlich im Bericht.

#CERT-Bund, Bürger-CERT und die CVD-Richtlinie

Auf der Seite zu CERT-Bund beschreibt das BSI das Computer-Notfallteam für Bundesbehörden. Es weist auf Schwachstellen in Hardware- und Software-Produkten hin und veröffentlicht Handlungsempfehlungen. Seine Dienstleistungen stehen laut BSI in erster Linie den Bundesbehörden zur Verfügung. Für Privatpersonen gibt es das Bürger-CERT, das kostenfrei und neutral über Schadsoftware und Sicherheitslücken informiert.

Für ein Unternehmen in Bonn ist CERT-Bund deshalb eine Informationsquelle, kein Ansprechpartner für den Vorfall. Ich lese die öffentlichen Warnungen mit. Ob eine Lücke Ihre Seite betrifft, entscheidet aber der Abgleich von Plugin-Inventar und Herstellerangaben. Das Ergebnis steht im Monatsbericht.

Die Richtlinie zur koordinierten Schwachstellenmeldung (CVD) enthält einen Grundsatz, den ich übernehme: Betrifft eine Schwachstelle Produkte von Herstellern außerhalb der Bundesverwaltung, soll sie zuerst dem Hersteller gemeldet werden. Finde ich bei einem Plugin eine Lücke, geht die Meldung deshalb zuerst an die Entwickler des Plugins und nicht an eine Öffentlichkeit.

#Datenpanne in Nordrhein-Westfalen: LDI NRW und BSI

Zuständige Aufsicht ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Sie nennt auf ihrer Seite zur Meldepflicht diese Punkte:

• Datenpannen mit mehr als geringem Risiko sind unverzüglich, möglichst binnen 72 Stunden, zu melden (Art. 33 DSGVO).
• Jede Verletzung ist unabhängig von der Meldepflicht intern zu dokumentieren (Art. 33 Abs. 5 DSGVO).
• Bei hohem Risiko sind zusätzlich die betroffenen Personen zu informieren (Art. 34 DSGVO).
• Ein Auftragsverarbeiter informiert den Verantwortlichen unverzüglich und unterstützt ihn.

Die LDI NRW hat außerdem eine Seite Hilfe, ein Cyberangriff. Sie rät, betroffene Systeme vom Internet und vom internen Netz zu trennen, Ursache, Umfang und Ablauf zu untersuchen und die Folgen für die Betroffenen zu bewerten. Sie verweist ausdrücklich auf die Informationen des BSI zum Umgang mit Cyberangriffen, darunter Listen von IT-Sicherheits-Dienstleistern und die “TOP 12 Maßnahmen bei Cyberangriffen”.

Die Meldung selbst gehört Ihrem Unternehmen. Ich liefere die technische Beschreibung: was betroffen war, wann ich es bemerkt habe, wie der Zugang erfolgt sein könnte und was ich unternommen habe.

#So sieht der Monat bei mir aus

1. Inventar. Plugins, Themes, PHP-Version, Anmeldewege und Upload-Funktionen stehen in einer Liste, die ich jeden Monat abgleiche.
2. Backup außerhalb des Hosting-Kontos. Eine frische Kopie liegt getrennt vom Server, bevor ich etwas verändere.
3. Staging. Updates laufen zuerst auf einer Kopie mit echten Inhalten. Ich klicke die Wege durch, die für Ihr Geschäft zählen.
4. Freigabe in Textform. Sie bestätigen schriftlich, dann geht das Update live, mit dokumentiertem Rückweg.
5. Monitoring. Erreichbarkeit und Fehlerprotokolle behalte ich im Blick.
6. Monatsbericht. Er nennt, was geändert wurde, was offen ist und welche Fragen an den Hoster gehen.

Die Stunden der Wartung verfallen am Monatsende und rollen nicht in den nächsten Monat. Das Layout kommt von Ihnen, die technische Umsetzung übernehme ich.

#Häufige Fragen

#Ist der IT-Grundschutz des BSI für meine Firmenwebsite Pflicht?

Das BSI beschreibt ihn als Methode und Hilfe zur Selbsthilfe für Behörden, Unternehmen und Institutionen. Verbindliche Mindeststandards nennt es für Einrichtungen des Bundes. Für eine private Firmenseite ist er eine Prüfliste, kein Pflichtenheft.

#Zertifizieren Sie meine Seite nach IT-Grundschutz?

Nein. Ich bin ein einzelner Entwickler und kein Auditor. Ich arbeite die technischen Punkte ab, die für WordPress zutreffen, und dokumentiere sie schriftlich.

#Welche Bausteine sind für eine WordPress-Seite am wichtigsten?

APP.3.1 Webanwendungen und Webservices, APP.3.2 Webserver, OPS.1.1.6 Software-Tests und Freigaben sowie CON.3 Datensicherungskonzept. Für den Update-Prozess kommt OPS.1.1.3 hinzu.

#Hilft mir CERT-Bund, wenn mein Plugin eine Lücke hat?

Laut BSI stehen die Dienstleistungen von CERT-Bund in erster Linie den Bundesbehörden zur Verfügung. Das Bürger-CERT informiert Privatpersonen. Für Ihre Seite lese ich die öffentlichen Warnungen mit, die Lücke in Ihrem Plugin prüfe ich aber gegen die Herstellerangaben.

#Wer meldet eine Datenpanne an die LDI NRW?

Das ist Sache des Verantwortlichen, also Ihres Unternehmens. Ich liefere die technische Beschreibung und die Zeitachse. Die LDI NRW nennt für die Meldung die Frist von möglichst 72 Stunden nach Art. 33 DSGVO.

#Betreuen Sie meine Seite vor Ort in Bonn?

Nein. Vor Ort in Bonn arbeite ich nicht, die Zusammenarbeit läuft allein remote und in Textform, ohne Termine. Gestaltung und Layout bringen Sie mit, die Umsetzung und die laufende Pflege übernehme ich.

#Ihre Anfrage

Schreiben Sie mir die Adresse Ihrer Seite, das eingesetzte Hosting, die wichtigsten Funktionen (Formulare, Shop, Mehrsprachigkeit) und ob es bereits eine Prüfung oder einen Vorfall gab. Ich antworte schriftlich an Werktagen mit einer ersten Einschätzung, welche Punkte der Bausteine bei Ihnen offen sind. Eine erste Einschätzung per Mail kostet nichts. Den Kontakt finden Sie unter Kontakt.