Website-Sicherheits-Glossar
Was sind XSS, SQL Injection oder eine WAF? Wie schützen MFA, Security Headers und Backups eine Website? Dieses Glossar erklärt Risiken und Gegenmaßnahmen verständlich und technisch präzise.
Angriffe verstehen, Schutz einordnen
Die Begriffe konzentrieren sich auf Websites, Webanwendungen, WordPress und den sicheren Betrieb – mit Querverweisen zwischen Angriffen, Ursachen und Schutzmaßnahmen.
AI Guardrails · Technische und organisatorische Leitplanken
Regeln, Prüfungen und Begrenzungen rund um Eingaben, Ausgaben und Aktionen eines KI-Systems.
Eine Anwendung blockiert sensible Daten, validiert Ausgaben und verlangt vor externen Aktionen eine Freigabe.
Guardrails reduzieren bestimmte Risiken, müssen aber mehrschichtig umgesetzt und regelmäßig gegen reale Fehlerfälle getestet werden.
Authentication · Authentisierung einer Identität
Authentication prüft, wer ein Benutzer oder System ist.
Nach erfolgreicher Prüfung stellt ein System meist eine Sitzung oder ein Token aus; sichere Verfahren behandeln Wiederherstellung und Abmeldung mit.
Ein Benutzer weist seine Identität mit Passkey oder Passwort plus TOTP nach.
Authorization · Berechtigungsprüfung
Authorization entscheidet, welche Daten und Aktionen eine identifizierte Person oder ein System nutzen darf.
Prüfungen müssen serverseitig für jedes geschützte Objekt und jede Aktion erfolgen; Rollen allein reichen bei objektbezogenen Regeln oft nicht.
Ein Redakteur darf Inhalte bearbeiten, aber keine Benutzerkonten verwalten.
Backdoor · Verdeckter dauerhafter Zugang
Eine Backdoor ermöglicht verdeckten Zugriff, der reguläre Sicherheitskontrollen umgeht.
Backdoors können als verschleierte Dateien, manipulierte Plugins, Datenbankinhalte, Benutzerkonten oder geplante Aufgaben bestehen bleiben.
Eine scheinbar harmlose PHP-Datei führt Befehle aus einem verschlüsselten Request-Parameter aus.
Backend · Serverseitiger Teil einer Anwendung
Das Backend verarbeitet Geschäftslogik, Datenzugriff, Berechtigungen und Schnittstellen außerhalb der sichtbaren Browseroberfläche.
Backend-Prozesse validieren Requests, koordinieren Services und Datenbanken und erzeugen HTML oder strukturierte API-Antworten.
Ein Kontakt-Backend prüft Eingaben, begrenzt Missbrauch und speichert eine Anfrage.
Backup · Wiederherstellbare Datensicherung
Ein Backup ist eine getrennte Kopie von Daten und Konfigurationen, aus der ein System wiederhergestellt werden kann.
Verlässliche Sicherungen besitzen passende Intervalle, Aufbewahrung, Zugriffsschutz, Offsite-Kopien und regelmäßig getestete Restore-Prozesse.
Dateien und Datenbank einer Website werden täglich versioniert auf getrennten Speicher gesichert.
Bot Attack · Automatisierter Angriff
Ein Bot-Angriff automatisiert missbräuchliche Aktionen wie Loginversuche, Scraping, Spam oder Warenkorbmanipulation.
Erkennung kombiniert Verhaltenssignale, Rate Limits, Reputation und anwendungsbezogene Regeln; reine IP-Sperren reichen oft nicht.
Automatisierte Programme testen gestohlene Kontodaten gegen einen Shop-Login.
Bot Protection · Schutz vor automatisiertem Missbrauch
Bot Protection erkennt und begrenzt automatisierte Zugriffe, ohne erwünschte Crawler und echte Nutzer pauschal auszusperren.
Signale umfassen Raten, Verhalten, Browsermerkmale, Reputation, Kontokontext und anwendungsspezifische Abläufe.
Ein Shop begrenzt automatisierte Checkout-Versuche und lässt Suchmaschinen weiterhin crawlen.
Brute Force · Systematisches Durchprobieren
Ein Brute-Force-Angriff probiert viele mögliche Zugangsdaten oder Schlüssel automatisiert durch.
Rate Limits, progressive Verzögerungen, MFA, starke Passwörter, Anomalieerkennung und sichere Sperrmechanismen bilden kombinierte Schutzschichten.
Ein Bot sendet tausende Passwortversuche gegen wp-login.php.
CDN · Content Delivery Network
Ein CDN verteilt und speichert Inhalte über mehrere Standorte, damit sie näher bei Besuchern ausgeliefert werden können.
Edge-Server beantworten cachebare Anfragen, terminieren häufig TLS und können Schutzfunktionen wie DDoS-Abwehr oder eine WAF ergänzen.
Bilder und Skripte einer österreichischen Website werden für internationale Besucher aus regionalen Edge-Standorten geladen.
Content Security Policy · CSP
Eine CSP begrenzt, aus welchen Quellen eine Seite Skripte, Styles, Bilder und andere Ressourcen laden darf.
Die HTTP-Richtlinie arbeitet mit Direktiven und Source Expressions; Nonces oder Hashes können gezielt erlaubten Inline-Code kennzeichnen.
script-src 'self' erlaubt Skripte grundsätzlich nur vom eigenen Ursprung.
Eine sorgfältig eingeführte CSP erschwert XSS, kann bei falscher Konfiguration aber legitime Funktionen blockieren.
Cookie · Vom Browser gespeicherter HTTP-Wert
Ein Cookie ist ein kleiner Wert, den eine Website im Browser setzen und bei passenden späteren Anfragen mitsenden lassen kann.
Attribute wie Domain, Path, Expires, Secure, HttpOnly und SameSite begrenzen Lebensdauer und Übertragung.
Eine zufällige Sitzungskennung verbindet mehrere Anfragen mit einer angemeldeten Sitzung.
Cookies können technisch notwendig sein oder Einwilligung und transparente Datenschutzinformationen erfordern.
CORS · Cross-Origin Resource Sharing
CORS regelt, welche anderen Ursprünge Browser auf Ressourcen eines Servers zugreifen lassen dürfen.
Server setzen Access-Control-Allow-* Header; nicht einfache Anfragen können einen OPTIONS-Preflight auslösen. CORS ist keine serverseitige Authentisierung.
Eine API erlaubt Browserzugriffe nur von der Produktionsdomain des Frontends.
Credential Stuffing · Wiederverwendung gestohlener Zugangsdaten
Credential Stuffing testet bekannte Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei anderen Diensten.
Der Angriff nutzt Passwortwiederverwendung statt eine Schwachstelle im Ziel; MFA, Passkeys, Rate Limits und Leaked-Credential-Prüfung helfen.
Daten aus einem fremden Leak werden gegen den Kundenlogin eines Shops getestet.
Cross-Site Scripting · XSS
XSS ermöglicht es, nicht vertrauenswürdige Inhalte als aktiven Code im Browser anderer Nutzer auszuführen.
Kontextspezifische Ausgabekodierung, sichere DOM-APIs, Sanitizing und eine restriktive CSP bilden zentrale Schutzschichten.
Ein ungefilterter Kommentar wird als HTML ausgegeben und enthält ein ausführbares script-Element.
CSRF · Cross-Site Request Forgery
CSRF bringt einen angemeldeten Browser dazu, ungewollt eine zustandsändernde Anfrage zu senden.
Synchronizer Tokens, SameSite-Cookies, Origin-Prüfung und sichere HTTP-Methoden reduzieren das Risiko; XSS kann viele CSRF-Schutzmaßnahmen umgehen.
Eine fremde Seite löst im Hintergrund eine Kontoänderung bei einem bereits angemeldeten Dienst aus.
CVE · Common Vulnerabilities and Exposures
Eine CVE-ID bezeichnet eine öffentlich erfasste konkrete Sicherheitslücke eindeutig.
Die Kennung liefert Referenzierbarkeit, während Beschreibung, betroffene Versionen, Bewertung und Gegenmaßnahmen aus Advisories und Datenbanken stammen.
Ein Herstellerhinweis nennt eine CVE und die erste gepatchte Plugin-Version.
CVSS · Common Vulnerability Scoring System
CVSS beschreibt technische Eigenschaften und Schwere einer Schwachstelle als standardisierten Vektor und Zahlenwert.
Der Basiswert allein bestimmt nicht das betriebliche Risiko; Exposition, betroffene Daten, aktive Ausnutzung und vorhandene Kontrollen gehören in die Priorisierung.
Eine hoch bewertete Lücke in einer deaktivierten Komponente kann anders priorisiert werden als eine aktiv ausgenutzte mittelstarke Lücke.
CWE · Common Weakness Enumeration
CWE klassifiziert allgemeine Arten von Software- und Hardware-Schwächen.
Eine CVE beschreibt typischerweise eine konkrete Schwachstelle in einem Produkt, eine CWE das zugrunde liegende Fehlermuster.
SQL Injection ist ein Schwachstellentyp, konkrete betroffene Plugin-Versionen erhalten gegebenenfalls CVE-IDs.
Cybersecurity · Informations- und IT-Sicherheit
Cybersecurity schützt digitale Systeme, Daten und Dienste vor Angriffen, Missbrauch und unbeabsichtigten Schäden.
Der Bereich umfasst Prävention, Erkennung, Reaktion und Wiederherstellung über Identitäten, Anwendungen, Netzwerke, Endgeräte und Prozesse hinweg.
Zugriffskontrollen, sichere Konfiguration, Protokollierung und Notfallpläne reduzieren gemeinsam das Risiko.
Datenschutz · Schutz personenbezogener Daten
Regeln und Maßnahmen für die rechtmäßige, zweckgebundene und sichere Verarbeitung personenbezogener Daten.
Vor einem KI-Dienst werden Zweck, notwendige Daten, Anbieter, Speicherort, Verträge und Löschfristen geprüft.
KI ändert die Datenschutzgrundsätze nicht. Entscheidend ist der konkrete Datenfluss, nicht das Etikett des eingesetzten Werkzeugs.
DDoS · Distributed Denial of Service
Ein DDoS-Angriff versucht, einen Dienst durch verteilte Anfragen oder Datenströme zu überlasten.
Schutz wird auf Netzwerk-, Protokoll- und Anwendungsebene umgesetzt und benötigt häufig vorgeschaltete Anycast-, CDN- oder Scrubbing-Infrastruktur.
Viele kompromittierte Geräte senden gleichzeitig Anfragen an einen Onlineshop.
Dependency Confusion · Verwechslung interner und öffentlicher Pakete
Dependency Confusion bringt ein Buildsystem dazu, ein bösartiges öffentliches Paket statt einer vorgesehenen internen Abhängigkeit zu laden.
Eindeutige Namespaces, festgelegte Registries, Lockfiles und kontrollierte Auflösung verhindern überraschende Quellenwechsel.
Ein öffentlich veröffentlichtes Paket trägt denselben Namen wie eine interne Bibliothek und erhält eine höhere Version.
Disaster Recovery · Geplante Wiederherstellung nach einem Ausfall
Disaster Recovery beschreibt vorbereitete Abläufe zur Wiederherstellung von Systemen und Daten nach schweren Störungen.
Ziele wie RTO und RPO, Verantwortlichkeiten, alternative Infrastruktur, Schlüsselmaterial und getestete Runbooks bestimmen die tatsächliche Wiederherstellbarkeit.
Nach einem Serverausfall wird die Website aus einer geprüften Sicherung auf neuer Infrastruktur gestartet.
Encryption · Verschlüsselung
Verschlüsselung wandelt Daten mit einem Schlüssel in eine nicht direkt lesbare Form um und ist grundsätzlich umkehrbar.
Symmetrische Verfahren verwenden denselben geheimen Schlüssel, asymmetrische ein zusammengehörendes öffentliches und privates Schlüsselpaar.
TLS verschlüsselt Daten während der Übertragung zwischen Browser und Server.
Exploit · Ausnutzung einer Schwachstelle
Ein Exploit ist eine Methode oder ein Code, der eine Schwachstelle gezielt ausnutzt.
Die Auswirkung reicht von Informationspreisgabe über Rechteausweitung bis zu beliebiger Codeausführung; Voraussetzungen können Version, Konfiguration oder Benutzerinteraktion sein.
Eine speziell präparierte Anfrage löst einen Fehler aus und umgeht eine Zugriffskontrolle.
File Inclusion · Unsicheres Einbinden von Dateien
File Inclusion entsteht, wenn nicht vertrauenswürdige Eingaben bestimmen, welche Datei eine Anwendung lädt oder ausführt.
LFI zielt auf lokale, RFI auf entfernte Quellen; feste Zuordnungen statt dynamischer Pfade und minimale Laufzeitrechte reduzieren das Risiko.
Ein Template-Parameter wird ungeprüft an eine serverseitige include-Funktion übergeben.
File Integrity Monitoring · Überwachung von Dateiänderungen
File Integrity Monitoring erkennt unerwartete Änderungen an überwachten Dateien.
Vergleiche nutzen Hashes, bekannte Herstellerstände oder kontrollierte Baselines; legitime Deployments müssen von verdächtigen Änderungen unterscheidbar sein.
Ein Alarm meldet eine neue PHP-Datei in einem Upload-Verzeichnis.
Firewall · Kontrollpunkt für Netzwerkverkehr
Eine Firewall erlaubt oder blockiert Netzwerkverkehr anhand definierter Regeln.
Je nach Ebene werden Adressen, Ports, Verbindungszustände, Protokolle oder Anwendungsmerkmale ausgewertet.
Ein Datenbankport ist nur aus dem internen Anwendungsnetz erreichbar.
Hashing · Einweg-Abbildung von Daten
Hashing erzeugt aus Daten einen Wert fester Länge, ohne eine vorgesehene Rückumwandlung.
Passwörter benötigen langsame, speicherintensive Verfahren mit individuellem Salt; schnelle Prüfsummen wie SHA-256 sind dafür allein ungeeignet.
Ein Login vergleicht einen Argon2id-Hash statt ein gespeichertes Klartextpasswort.
HSTS · HTTP Strict Transport Security
HSTS weist Browser an, eine Domain für einen festgelegten Zeitraum ausschließlich über HTTPS aufzurufen.
Der Strict-Transport-Security-Header kann Subdomains einschließen; Preloading reduziert auch das Risiko beim allerersten Aufruf.
Ein Browser ersetzt einen später eingegebenen http-Aufruf lokal durch https.
HTTP 500 · Internal Server Error
Der Statuscode 500 meldet einen unerwarteten serverseitigen Fehler bei der Verarbeitung einer Anfrage.
Die öffentliche Antwort bleibt absichtlich allgemein; konkrete Ursachen stehen in Anwendungs- und Serverlogs und können von Codefehlern bis zu Ressourcenproblemen reichen.
Ein fehlerhaftes Plugin löst eine unbehandelte PHP-Ausnahme aus.
HTTP Header · Metadaten einer HTTP-Nachricht
HTTP Header transportieren Zusatzinformationen über eine Anfrage oder Antwort.
Header steuern unter anderem Inhaltstyp, Caching, Authentifizierung, Kompression, Cookies, CORS und Browser-Sicherheitsregeln.
Content-Type: application/json kennzeichnet eine JSON-Antwort.
HttpOnly · Cookie-Schutz vor JavaScript-Zugriff
HttpOnly verhindert, dass JavaScript im Browser den Wert eines Cookies direkt ausliest.
Der Browser sendet das Cookie weiterhin automatisch mit passenden HTTP-Anfragen; deshalb bleiben CSRF-Schutz und XSS-Vermeidung notwendig.
Die Session-ID ist für document.cookie nicht sichtbar.
HTTPS · HTTP über TLS
HTTPS schützt die Verbindung zwischen Client und Server durch TLS vor einfachem Mitlesen und Manipulieren.
Nach dem TLS-Handshake werden HTTP-Nachrichten verschlüsselt und authentisiert übertragen; das Zertifikat bindet den öffentlichen Schlüssel an einen Hostnamen.
Ein Login-Formular überträgt Zugangsdaten nicht als unverschlüsselten Klartext im Netzwerk.
HTTPS ist Grundvoraussetzung für sichere Formulare, moderne Browserfunktionen und vertrauenswürdigen Websitebetrieb.
Injection · Einschleusen von Befehlen oder Syntax
Bei einer Injection werden Daten so verarbeitet, dass sie unbeabsichtigt als Befehle oder Programmsyntax wirken.
Sichere APIs, Kontextkodierung, Parametrisierung, strikte Trennung von Daten und Code sowie minimale Rechte reduzieren das Risiko.
SQL-, Betriebssystem- oder Template-Syntax gelangt über eine ungesicherte Eingabe in einen Interpreter.
Input Validation · Eingabevalidierung
Eingabevalidierung prüft, ob Daten erwarteten Typen, Formaten, Längen und Geschäftsregeln entsprechen.
Die entscheidende Prüfung erfolgt an der Vertrauensgrenze auf dem Server; sie ersetzt keine kontextspezifische Kodierung oder parametrisierte APIs.
Eine ID muss eine positive Ganzzahl sein und auf einen Datensatz zugreifen, für den der Benutzer berechtigt ist.
IP Blocking · Sperren von Netzwerkadressen
IP Blocking verweigert Anfragen von ausgewählten IP-Adressen oder Netzen.
Die Maßnahme ist grob, weil Adressen geteilt, dynamisch oder über Proxys gewechselt werden können; sie sollte Teil einer mehrstufigen Erkennung sein.
Ein eindeutig missbrauchender Host wird vorübergehend am Webserver blockiert.
Least Privilege · Prinzip minimaler Rechte
Least Privilege vergibt nur die Rechte, die für eine konkrete Aufgabe tatsächlich notwendig sind.
Das Prinzip gilt für Benutzer, Prozesse, Datenbanken, API-Tokens und Netzwerke und begrenzt die Auswirkung kompromittierter Komponenten.
Die Website verbindet sich mit einem Datenbankkonto ohne globale Administratorrechte.
Logging · Protokollierung von Ereignissen
Logging zeichnet technische und sicherheitsrelevante Ereignisse für Diagnose, Nachvollziehbarkeit und Erkennung auf.
Gute Logs enthalten Zeit, Ereignistyp und notwendigen Kontext, vermeiden sensible Inhalte und werden gegen unbemerkte Manipulation geschützt.
Fehlgeschlagene Logins werden mit Konto, Zeitpunkt und grobem Ursprung protokolliert.
Malware · Schädliche Software
Malware ist Software oder eingeschleuster Code mit schädlicher oder unerlaubter Funktion.
Auf Websites verändert Malware Dateien oder Datenbanken, legt Zugänge an, leitet Besucher um, versendet Spam oder lädt weitere Komponenten nach.
Ein kompromittiertes Plugin schleust ein Skript ein, das Besucher auf betrügerische Seiten umleitet.
Bereinigung muss neben sichtbaren Dateien auch Eintrittsweg, Persistenz und kompromittierte Zugangsdaten behandeln.
Malware Scanning · Automatisierte Suche nach Schadcode
Malware Scanning untersucht Dateien, Inhalte oder Verhalten auf Hinweise für Schadcode.
Signaturen, Heuristiken, Reputationsdaten und Dateivergleiche ergänzen sich; kein einzelner Scan beweist, dass ein System sauber ist.
Ein Scanner findet eine bekannte Web-Shell-Signatur in einer veränderten Plugin-Datei.
MFA / 2FA · Mehrfaktor-Authentisierung
MFA verlangt für eine Anmeldung mehrere voneinander unabhängige Nachweise.
Faktoren stammen typischerweise aus Wissen, Besitz oder Inhärenz; phishing-resistente Verfahren wie WebAuthn sind stärker als übertragbare Einmalcodes.
Neben dem Passwort bestätigt ein Administrator die Anmeldung mit einem Sicherheitsschlüssel.
Monitoring · Laufende Systemüberwachung
Monitoring beobachtet Verfügbarkeit, Leistung, Fehler und ausgewählte Sicherheitssignale eines Systems.
Messwerte, synthetische Prüfungen und Logsignale benötigen Schwellenwerte, Alarmwege und verantwortliche Reaktionen, damit aus Daten Handlungen werden.
Ein Alarm wird ausgelöst, wenn die Website nicht erreichbar ist oder Fehler stark ansteigen.
Passkey · Phishing-resistente Anmeldung mit Schlüsselpaar
Ein Passkey meldet einen Benutzer mit einem kryptografischen Schlüsselpaar statt eines gemeinsam bekannten Passworts an.
Der private Schlüssel bleibt auf dem Gerät oder in einem geschützten Sync-System; der Server speichert nur den öffentlichen Schlüssel und eine Credential-ID.
Eine Anmeldung wird mit Geräte-PIN oder Biometrie bestätigt, ohne ein Passwort an die Website zu senden.
Path Traversal · Unzulässiger Dateipfad-Zugriff
Path Traversal manipuliert Dateipfade, um außerhalb eines erlaubten Verzeichnisses auf Dateien zuzugreifen.
Anwendungen sollten Benutzereingaben nicht direkt als Pfade verwenden, kanonische Ziele prüfen und Dateizugriffe auf festgelegte Wurzeln begrenzen.
Eine Downloadfunktion akzeptiert ../-Sequenzen und liefert eine Konfigurationsdatei aus.
Phishing · Täuschung zur Erlangung sensibler Informationen
Phishing täuscht vertrauenswürdige Kommunikation vor, um Zugangsdaten, Zahlungen oder andere sensible Handlungen zu erschleichen.
Angreifer kombinieren Social Engineering mit nachgebauten Loginseiten, präparierten Anhängen, OAuth-Freigaben oder betrügerischen Zahlungsanweisungen.
Eine gefälschte Hosting-Nachricht fordert zur Anmeldung auf einer ähnlich geschriebenen Domain auf.
Plugin-Sicherheitslücke · Schwachstelle in einer Erweiterung
Eine Plugin-Sicherheitslücke ist eine ausnutzbare Schwäche in einer Erweiterung oder ihrer Konfiguration.
Das Risiko hängt von Erreichbarkeit, notwendigen Rechten, aktiver Nutzung, verfügbarer Ausnutzung und möglicher Auswirkung ab.
Eine Upload-Funktion prüft Dateityp und Berechtigung nicht ausreichend.
Privilege Escalation · Rechteausweitung
Privilege Escalation verschafft einem Benutzer oder Prozess mehr Rechte als vorgesehen.
Vertikale Eskalation erreicht höhere Rollen, horizontale greift auf gleichrangige fremde Ressourcen zu; serverseitige Autorisierung ist entscheidend.
Ein normaler Benutzer ändert eine URL und erreicht eine nur für Administratoren gedachte Aktion.
Prompt Injection · Manipulation durch eingeschleuste Anweisungen
Angriff, bei dem schädliche Anweisungen in Eingaben oder gelesenen Inhalten das KI-System manipulieren sollen.
Ein Dokument enthält versteckte Anweisungen, die einen Agenten zum Preisgeben von Daten oder Aufrufen eines Werkzeugs bewegen sollen.
Sobald Modelle fremde Inhalte lesen oder Werkzeuge nutzen, reichen System Prompts nicht aus; Rechte und Aktionen müssen technisch begrenzt werden.
Ransomware · Erpressungssoftware
Ransomware verschlüsselt oder entzieht Daten und Systeme, um eine Zahlung zu erpressen.
Angriffe kombinieren häufig Zugangsdiebstahl, laterale Bewegung, Datenabfluss und die gezielte Beeinträchtigung von Backups.
Ein kompromittiertes Administratorkonto wird genutzt, um Serverdaten und erreichbare Sicherungen zu verschlüsseln.
Rate Limiting · Begrenzung von Anfragen
Rate Limiting begrenzt, wie viele Aktionen in einem Zeitraum zugelassen werden.
Grenzen können pro Konto, Token, IP, Route oder Risikosignal gelten; verteilte Systeme benötigen einen gemeinsamen oder konsistenten Zähler.
Nach mehreren fehlgeschlagenen Logins werden weitere Versuche schrittweise verzögert.
Remote Code Execution · RCE
Remote Code Execution ermöglicht das Ausführen von Angreifercode auf einem entfernten System.
RCE kann aus Injection, unsicherer Deserialisierung, Datei-Uploads, Speicherkorruption oder kompromittierten Abhängigkeiten entstehen und hat meist hohe Auswirkung.
Eine verwundbare Erweiterung führt einen eingeschleusten Systembefehl mit den Rechten des Webservers aus.
robots.txt · Crawler-Steuerdatei
robots.txt gibt kooperierenden Crawlern Regeln für den Abruf bestimmter Websitebereiche.
Die Datei liegt am Ursprung unter /robots.txt; Disallow verhindert keinen sicheren Zugriff und ist kein verlässlicher Schutz vor Indexierung oder Angreifern.
Interne Suchergebnisse werden für Suchmaschinen-Crawler vom Abruf ausgeschlossen.
SameSite Cookie · Begrenzung ursprungsübergreifender Cookie-Übertragung
SameSite steuert, wann ein Browser Cookies bei Anfragen aus einem anderen Site-Kontext mitsendet.
Strict, Lax und None besitzen unterschiedliche Navigations- und Einbettungsregeln; SameSite=None verlangt Secure.
Ein Lax-Session-Cookie reduziert viele einfache CSRF-Szenarien, ohne normale Linknavigation zu verhindern.
Secure Cookie · Nur über HTTPS übertragbares Cookie
Das Secure-Attribut sorgt dafür, dass ein Cookie nur über verschlüsselte HTTPS-Verbindungen gesendet wird.
Es schützt nicht vor clientseitigem Auslesen und sollte für sensible Cookies mit HttpOnly, SameSite und enger Domain-/Path-Begrenzung kombiniert werden.
Ein Session-Cookie wird nie über eine unverschlüsselte HTTP-Verbindung übertragen.
Security Headers · HTTP-Sicherheitsheader
Security Headers geben dem Browser zusätzliche Sicherheitsregeln für eine Website vor.
CSP, HSTS, frame-ancestors, Referrer-Policy und weitere Header begrenzen Ladequellen, Protokoll-Downgrades, Einbettung und Informationsweitergabe.
Eine CSP verhindert, dass beliebige fremde Skripte auf einer Seite ausgeführt werden dürfen.
Security Patch · Sicherheitsaktualisierung
Ein Security Patch ist eine Änderung, die bekannte Sicherheitsprobleme behebt oder deren Ausnutzung erschwert.
Vor dem Einspielen sollten Abhängigkeiten, Kompatibilität, Backups und ein Rückweg geprüft werden; verzögerte Patches vergrößern das Angriffsfenster.
Ein Plugin-Update schließt eine veröffentlichte Zugriffskontrolllücke.
Session · Serverseitiger Sitzungszustand
Eine Session hält zusammengehörende Benutzeranfragen über mehrere Seitenaufrufe hinweg in einem gemeinsamen Zustand.
Meist speichert der Server den Zustand und der Browser sendet lediglich eine zufällige Session-ID in einem geschützten Cookie.
Nach dem Login erkennt der Server anhand der Session-ID den angemeldeten Benutzer.
Session Hijacking · Übernahme einer Sitzung
Session Hijacking übernimmt eine gültige Sitzung, ohne das ursprüngliche Passwort kennen zu müssen.
Sitzungskennungen können durch XSS, Malware, unsichere Übertragung oder Leaks gestohlen werden; kurze Laufzeiten und erneute Authentisierung begrenzen Folgen.
Ein gestohlenes Session-Cookie ermöglicht Zugriff auf ein bereits angemeldetes Konto.
Social Engineering · Manipulation von Menschen
Social Engineering nutzt Vertrauen, Zeitdruck oder Autorität, um Menschen zu riskanten Handlungen zu bewegen.
Technische Kontrollen helfen, müssen aber durch verifizierbare Prozesse für Zugänge, Zahlungen und Supportanfragen ergänzt werden.
Ein angeblicher Geschäftsführer fordert per E-Mail eine dringende Überweisung an.
Software Supply Chain Attack · Angriff über die Software-Lieferkette
Ein Supply-Chain-Angriff kompromittiert Software über Hersteller, Build-Prozesse, Updates oder Abhängigkeiten.
Schutz umfasst überprüfbare Quellen, minimale Abhängigkeiten, Lockfiles, Signaturen, isolierte Builds, Inventar und schnelle Reaktion auf Advisories.
Eine manipulierte Paketversion wird über ein reguläres Update in viele Anwendungen übernommen.
SQL Injection · Einschleusen von SQL-Befehlen
SQL Injection entsteht, wenn unkontrollierte Eingaben die Struktur einer Datenbankabfrage verändern können.
Parametrisierte Abfragen trennen Daten von SQL-Syntax; zusätzliche Maßnahmen sind minimale Datenbankrechte, sichere Fehlerbehandlung und Eingabevalidierung.
Eine Anwendung hängt Formulareingaben direkt an einen SQL-String an, statt vorbereitete Parameter zu verwenden.
SSRF · Server-Side Request Forgery
SSRF missbraucht eine Serverfunktion, um vom Server aus unerlaubte Ziele aufzurufen.
Gefährdet sind URL-Importer, Webhooks und Proxys; Schutz verlangt Ziel-Allowlisting, Netzwerksegmentierung und robuste Prüfung nach DNS-Auflösung und Weiterleitungen.
Ein Bildimporter wird dazu gebracht, einen internen Metadaten-Endpunkt statt eines öffentlichen Bildes abzurufen.
Subresource Integrity · SRI
SRI lässt Browser prüfen, ob eine extern geladene Ressource exakt dem erwarteten kryptografischen Hash entspricht.
Das integrity-Attribut enthält einen oder mehrere Hashwerte; bei Cross-Origin-Ressourcen muss die CORS-Konfiguration zur Prüfung passen.
Ein CDN-Skript wird nur ausgeführt, wenn sein Inhalt dem hinterlegten SHA-384-Hash entspricht.
TLS · Transport Layer Security
TLS ist ein Protokoll für verschlüsselte und gegen Manipulation geschützte Netzwerkverbindungen.
Der Handshake handelt Version und kryptografische Verfahren aus, prüft Zertifikate und leitet Sitzungsschlüssel für die symmetrische Verschlüsselung ab.
HTTPS, sichere Mailübertragung und viele APIs verwenden TLS als Transportschutz.
TLS-Zertifikat · Digitales Zertifikat für einen Hostnamen
Ein TLS-Zertifikat bestätigt die Zuordnung eines öffentlichen Schlüssels zu einem Domainnamen.
Browser prüfen Signatur, Gültigkeit, Hostnamen und Zertifikatskette bis zu einer vertrauenswürdigen Zertifizierungsstelle.
Let's Encrypt stellt automatisierbare Domain-Zertifikate für HTTPS bereit.
TOTP · Time-based One-Time Password
TOTP erzeugt aus einem gemeinsamen geheimen Schlüssel und der aktuellen Zeit kurz gültige Einmalcodes.
Server und Authenticator berechnen denselben Wert in Zeitfenstern; das Verfahren ist stärker als nur ein Passwort, aber nicht vollständig phishing-resistent.
Eine Authenticator-App zeigt alle 30 Sekunden einen neuen sechsstelligen Code.
Vulnerability · Sicherheitslücke oder Schwachstelle
Eine Vulnerability ist eine Schwäche, die Sicherheitseigenschaften eines Systems beeinträchtigen kann.
Schwachstellen können aus Codefehlern, unsicherem Design, Fehlkonfiguration, Abhängigkeiten oder mangelhaften Betriebsprozessen entstehen.
Eine fehlende Berechtigungsprüfung erlaubt einem Benutzer den Zugriff auf fremde Datensätze.
Web Application Firewall · WAF
Eine WAF analysiert HTTP-Verkehr und blockiert verdächtige Anfragen vor einer Webanwendung.
Regeln können bekannte Angriffsmuster, Bots, Raten und anwendungsspezifische Abweichungen erkennen; eine WAF ersetzt keine sichere Anwendung.
Eine virtuelle Patch-Regel blockiert bekannte Exploit-Anfragen bis ein Softwareupdate eingespielt ist.
WebAuthn · Web Authentication API
WebAuthn ist die Browser-API für starke Public-Key-Anmeldungen mit Passkeys und Sicherheitsschlüsseln.
Der Server sendet eine Challenge; der Authenticator signiert sie für die konkrete Relying Party und verhindert dadurch einfache Phishing-Wiederverwendung.
Ein Hardware-Sicherheitsschlüssel bestätigt die Administratoranmeldung.
Webhook · Ereignisbasierter HTTP-Aufruf
Ein Webhook informiert ein anderes System per HTTP automatisch über ein Ereignis.
Der Sender ruft eine registrierte URL auf; Empfänger sollten Signaturen prüfen, Wiederholungen vertragen und Verarbeitung idempotent gestalten.
Ein Zahlungsanbieter meldet dem Shop, dass eine Zahlung erfolgreich abgeschlossen wurde.
Webserver · Server für HTTP-Anfragen
Ein Webserver nimmt HTTP-Anfragen entgegen und liefert Dateien oder dynamisch erzeugte Antworten an Browser und andere Clients.
Software wie nginx oder Apache übernimmt TLS, Routing, Caching, Kompression und die Weiterleitung an Anwendungsprozesse.
Der Webserver liefert eine statische HTML-Datei direkt aus oder leitet eine PHP-Anfrage an PHP-FPM weiter.
Website-Sicherheit · Schutz von Websites und Webanwendungen
Website-Sicherheit umfasst technische und organisatorische Maßnahmen gegen unbefugten Zugriff, Manipulation, Datenverlust und Ausfälle.
Wirksamer Schutz kombiniert sichere Entwicklung, minimale Berechtigungen, Updates, Härtung, Backups, Überwachung und einen vorbereiteten Reaktionsprozess.
Eine WordPress-Website wird aktuell gehalten, mit MFA geschützt, überwacht und regelmäßig gesichert.
Sicherheit ist kein einzelnes Plugin, sondern ein laufender Prozess über Anwendung, Hosting, Konten und Betrieb.
WordPress · Open-Source Content-Management-System
WordPress ist ein weit verbreitetes Open-Source-CMS für Websites, redaktionelle Inhalte und mit Erweiterungen auch Onlineshops.
WordPress basiert überwiegend auf PHP und MySQL, besitzt Theme-, Plugin-, Hook-, Rollen- und REST-API-Systeme und benötigt laufende Updates.
Ein individuelles Theme bildet die Unternehmensgestaltung ab, während strukturierte Inhaltsfelder die Pflege vereinfachen.
Die Qualität hängt stark von Architektur, Erweiterungen, Wartung, Hosting und Sicherheitskonfiguration ab.
WordPress Hardening · Gezielte Härtung einer WordPress-Installation
WordPress Hardening reduziert unnötige Angriffsflächen und begrenzt die Folgen eines Sicherheitsproblems.
Dazu gehören minimale Erweiterungen und Rechte, sichere Konten, Updates, geschützte Konfiguration, restriktive Dateirechte, Header, Backups und Überwachung.
Unbenutzte Plugins werden entfernt, Administratoren verwenden MFA und kritische Dateien sind nicht öffentlich beschreibbar.
WordPress Nonce · Zeitlich begrenzter Aktionsnachweis
Eine WordPress Nonce bestätigt, dass eine Aktion aus einem erwarteten Anwendungskontext ausgelöst wurde.
WordPress-Nonces sind zeitabhängige Token und keine einmalig verwendeten Zufallswerte; sie ergänzen, aber ersetzen keine Berechtigungsprüfung.
Ein Administrationsformular prüft Nonce und Capability vor einer Änderung.
WordPress Security Keys · Authentisierungsschlüssel und Salts
WordPress Security Keys und Salts stärken kryptografische Signaturen für Cookies und andere Sicherheitswerte.
Die geheimen Zufallswerte stehen in wp-config.php; ein Austausch macht bestehende Login-Cookies ungültig und verlangt sichere Dateiberechtigungen.
Nach einem Sicherheitsvorfall werden Keys rotiert, damit alte Sitzungen ihre Gültigkeit verlieren.
WP-Cron · Ereignisplanung in WordPress
WP-Cron führt geplante WordPress-Aufgaben aus, wird standardmäßig aber durch Seitenaufrufe angestoßen.
Bei unregelmäßigem oder hohem Verkehr kann ein echter System-Cron zuverlässiger sein; blockierte oder überlastete Cron-Läufe beeinträchtigen Updates und Hintergrundjobs.
Geplante Veröffentlichungen und WooCommerce-Hintergrundaufgaben hängen von zuverlässig ausgeführten Cron-Ereignissen ab.
XML-RPC · WordPress-Schnittstelle über XML und HTTP
XML-RPC ist eine ältere WordPress-Schnittstelle für entfernte Aufrufe, die einige Apps und Integrationen verwenden.
Nicht benötigte Methoden können deaktiviert oder am Rand begrenzt werden; pauschales Abschalten kann abhängige Funktionen beeinträchtigen.
Automatisierte Loginversuche missbrauchen erreichbare XML-RPC-Methoden.
Zero Trust · Kontinuierlich geprüfter Zugriff
Zero Trust behandelt Standort oder Netzwerkzugehörigkeit nicht automatisch als Vertrauensbeweis.
Zugriffe werden anhand von Identität, Gerätezustand, Kontext, minimalen Rechten und fortlaufenden Signalen bewertet.
Ein interner Administrationsdienst verlangt auch aus dem Firmennetz eine starke Anmeldung und explizite Berechtigung.
Zero-Day · Noch nicht behobene Schwachstelle
Ein Zero-Day ist eine Schwachstelle, für die zum relevanten Zeitpunkt noch kein allgemein verfügbarer Fix besteht.
Kompensierende Kontrollen wie WAF-Regeln, Funktionsabschaltung, Isolation oder Zugriffsbegrenzung können das Risiko bis zum Patch reduzieren.
Ein aktiv angegriffenes Plugin muss vorübergehend deaktiviert werden, weil noch kein Update verfügbar ist.
Versuchen Sie einen allgemeineren Suchbegriff oder setzen Sie die Filter zurück.
Risiko konkret prüfen
Eine technische Prüfung zeigt veraltete Komponenten, Fehlkonfigurationen, fehlende Schutzschichten und sinnvolle nächste Schritte.
Website-Sicherheit prüfen