Was muv Security tut

muv Security schließt an Ihrer WordPress-Website, was nicht gebraucht wird. Die Datei-Editoren im Backend sind aus, Versionsnummern bleiben verborgen, und wer sich falsch anmeldet, erfährt nicht, ob der Name oder das Passwort falsch waren. Anmeldungen, die eine fremde Website abschickt, weist es ab. Diese Sicherheitsmechanismen greifen sofort nach dem Aktivieren des Plugins, ohne dass etwas eingestellt werden muss.

Wer sich wiederholt mit falschen Zugangsdaten anzumelden versucht, wird für eine gewisse Zeit ausgesperrt und muss warten, ähnlich wie bei einem Smartphone, das nach mehreren falschen Codes eine Weile sperrt. Nach Ablauf der Wartezeit ist ein erneuter Anmeldeversuch selbstverständlich wieder möglich.

Optional kann auch die integrierte FirewallDie kontrollierte Tür zwischen Ihrem Netz und dem Internet. Entscheidend ist nicht das Gerät, sondern dass jemand die Regeln pflegt.Ganze Erklärung lesen aktiviert werden. Sie steht wie ein Pförtner vor WordPress und weist Anfragen, die nach bekannten Angriffsmustern aussehen, ab, bevor WordPress überhaupt startet. Weil dabei auch etwas Erwünschtes hängen bleiben kann, läuft sie zuerst im Probelauf: Sie zeichnet auf, wehrt aber noch nichts ab. So sieht ein Administrator vorher, ob sie etwas blocken würde, das gebraucht wird.

So bedienen Sie muv Security

Im Dashboard zeigt das Feld „Sicherheit“, wie viele Anmeldeversuche heute und in den letzten 30 Tagen abgewehrt wurden und, sobald die Firewall läuft, wie viele Anfragen sie geblockt hat. Als abgewehrt zählt nur, was eindeutig kein Tippfehler war.

Unter „muv“ und dann „Sicherheit“ liegt die Übersicht. In der Übersicht können Sie sehen, was gerade aktiv ist. Darunter werden unsere Empfehlungen angezeigt. Zum Beispiel empfehlen wir einem Benutzer, dessen Anzeigename unter jedem Beitrag zugleich sein Anmeldename ist, dies zu ändern. Neben jeder Empfehlung steht ein Knopf, der sie umsetzt.

Weiter unten in der Übersicht stehen die gerade gesperrten Netze. Hat sich ein Mitarbeiter ausgesperrt, geben Sie ihn dort wieder frei. In der Liste „Nie sperren“ tragen Sie die Adresse Ihres Büros ein, damit das gar nicht erst passiert.

Ausnahmen bei der Härtung sind die Ausnahme. Drei Dinge lassen sich bei Bedarf wieder öffnen: die Schnittstelle XML-RPC für die WordPress-App und ältere Schreibprogramme, die Registrierung für Mitgliederbereiche und die öffentliche Benutzerliste für Programme, die sie abfragen. Alles andere bleibt geschlossen.

Die Firewall: erst zusehen, dann einschalten

Die Firewall steht in der Datei .htaccess, die der Webserver liest, bevor er WordPress startet. Ein Fehler darin träfe die ganze Website. muv Security schreibt sie deshalb nie von selbst, sondern nur, wenn ein Administrator es ausdrücklich will und vorher bestätigt, dass er per FTP an die Dateien der Website kommt.

Zuerst läuft ein Probelauf. Die Firewall blockt dabei noch nichts, sie schreibt nur ins Protokoll, was sie geblockt hätte. Nach zwei bis drei Tagen sehen Sie dort, ob etwas Erwünschtes dabei ist, etwa eine Seite oder ein Dienst, der Ihre Website regelmäßig abfragt.

Danach schalten Sie scharf. Vor jedem Schreiben ruft muv Security einige Seiten der eigenen Website auf, danach noch einmal. Antwortet eine davon anders als vorher, wird der alte Stand sofort zurückgeschrieben. Eine Sicherung der vorherigen .htaccess liegt daneben, und die Firewall lässt sich mit einem Knopf wieder entfernen.

Die Regeln sind in sieben Bereiche geteilt, etwa Adressen, Abfrageparameter, Programme und Cookies. Jeder Bereich lässt sich einzeln abschalten, falls er auf einer Website mehr stört als nützt. Programme, die Ihre Website lesen sollen, zum Beispiel ein Überwachungsdienst oder ein Werkzeug für Suchmaschinen, tragen Sie unter „Zugelassene Programme“ ein.

Ausnahmen nur dort, wo sie gebraucht werden

Gelegentlich hält die Firewall etwas für verdächtig, das auf Ihrer Website ganz normal ist, zum Beispiel einen Seitennamen. Dann tragen Sie diese Adresse als Ausnahme ein. Eine Ausnahme gilt nur für die Bereiche, die bei ihr angehakt sind. Alle anderen Bereiche prüfen die Adresse weiter.

Am einfachsten geht es aus dem Protokoll. Jede Zeile nennt den Bereich, der ausgelöst hat, und der Knopf „Als Ausnahme“ nimmt die Adresse genau für diesen Bereich aus. Steht dieselbe Adresse schon in den Ausnahmen, wird der Bereich dort ergänzt, statt eine zweite Zeile anzulegen. Die Regeln werden dabei neu geschrieben und erneut geprüft.

Im Reiter „Firewall“ steht jede Ausnahme mit ihrer Adresse und einem Häkchen je Bereich. Dort lässt sich eine Ausnahme einschränken, erweitern oder entfernen. Ausnahmen aus älteren Versionen gelten weiter für alle Bereiche, bis jemand sie ändert. Die Übersicht nennt sämtliche Ausnahmen mit ihren Bereichen, damit Sie an einer Stelle sehen, was geöffnet ist.

Was muv Security bewusst nicht tut

• Keine lange Liste von Schaltern. Der Schutz ist ab Werk eingeschaltet. Jeder Schalter wäre ein Weg, ihn versehentlich abzuschalten, und ein vergessener Haken fällt niemandem auf.
• Keine Zahlenfelder für den Login-Schutz. Wie lange gewartet werden muss, ist fest und vernünftig eingestellt.
• Keine Sperre für Bestehendes. Ein Benutzer, mit dem sich jemand seit Jahren anmeldet, wird nicht ausgesperrt, auch wenn er heute so nicht mehr angelegt werden dürfte. Er erscheint als Empfehlung.
• Kein Schreiben ohne Auftrag. Die Firewall kommt nur auf ausdrücklichen Klick in die .htaccess, nie bei einem Update.
• Keine fremden Dienste. muv Security fragt keine Listen im Internet ab und schickt keine Daten nach außen.
• Kein Ersatz für Updates. Ob WordPress, Theme und Plugins auf dem aktuellen Stand sind, prüft muv Security nicht.

Häufige Fragen

Was tun, wenn sich ein Mitarbeiter ausgesperrt hat?

In der Übersicht stehen die gesperrten Netze, die jüngste Sperre oben. Ist es Ihr eigenes Netz, steht das dabei, und „Freigeben“ hebt die Sperre sofort auf. Damit es nicht wieder vorkommt, tragen Sie die Adresse Ihres Büros unter „Nie sperren“ ein.

Bei uns heißt ein Benutzer „admin“. Wird er gesperrt?

Nein. Ein Benutzer, den es schon gibt, meldet sich weiter an wie bisher. Die Übersicht empfiehlt, ihn umzubenennen, und bietet dafür einen Knopf. Passwort, Beiträge und Rechte bleiben dabei erhalten.

Was speichert muv Security über Besucher?

So wenig wie möglich. Der Login-Schutz speichert keine Adressen, sondern nur eine unkenntlich gemachte Kennung des Netzes, aus dem die Fehlversuche kamen, und die lässt sich schon nach kurzer Zeit keinem Netz mehr zuordnen. Das Protokoll der Firewall führt Adressen nur gekürzt und löscht ältere Einträge von selbst.

Läuft die Firewall auf jedem Server?

Sie braucht einen Webserver, der die Datei .htaccess liest, wie es bei den meisten Hostern für WordPress üblich ist. Liest der Server sie nicht, stellt das der Selbsttest fest und nimmt die Regeln wieder heraus, statt einen Schutz anzuzeigen, der keiner ist.

Was, wenn nach dem Einschalten etwas nicht mehr geht?

Fällt es beim Selbsttest auf, ist der vorherige Stand schon wiederhergestellt. Fällt es erst später auf, zeigt das Protokoll, welche Anfrage geblockt wurde, und ein Klick macht daraus eine Ausnahme. Bleibt trotzdem etwas hängen, genügt es, den Block der Firewall per FTP aus der .htaccess zu löschen, oder Sie rufen uns an.

Brauche ich eine Lizenz?

Nein, sofern Ihre Website durch uns betreut wird. muv Security gehört zu den Plugins, die wir für die Websites unserer Kunden selbst schreiben, und ist Teil unserer Betreuung.

Was passiert, wenn das Plugin entfernt wird?

muv Security räumt hinter sich auf. Sperren, Zähler und Protokoll werden gelöscht, und der Block der Firewall verschwindet aus der .htaccess. Ihre Einstellungen wie Ausnahmen und „Nie sperren“ bleiben gespeichert und gelten, sobald das Plugin wieder installiert ist.