Wordpress, Joomla und Co: Backend mit htaccess sichern

Diejenigen von euch, die eine eigene Webseite oder einen eigenen Webserver betreiben und ab und an mal in die Log-Dateien schauen, werden das kennen: Da stehen unzählige Zugriffe von meist ausländischen IPs, die versuchen URLs aufzurufen, die es gar nicht gibt – oder schlimmer – die es zwar gibt, aber außer dem Administrator der Seite niemanden etwas angehen.

Hinter solchen Zugriffen stecken meist Bots, die auskundschaften, mit was für einem Content-Management-System (CMS) die jeweilige Webseite betrieben wird, um dieses gegebenenfalls anzugreifen und die Webseite zu kapern. Die Programme suchen gezielt nach Seiten mit veralteten CMS-Versionen, bei denen kritische Sicherheitslücken noch nicht gepatcht wurden. Finden Sie so eine Seite, wird automatisch ein Exploit ausgeführt, um die Seite zu übernehmen. Das Ganze dauert oft nur ein paar Millisekunden.
Danach folgen für den Betreiber dann böse Überraschungen: Alle Inhalte wurden gelöscht, auf der eigenen Webseite sind plötzlich fremde (oft illegale) Inhalte zu finden, über die Seite werden massenhaft Spam-Nachrichten versendet oder der Server, auf dem die Seite läuft, ist zum Mitglied in einem Botnet geworden.

Administrationsbereich schützen

Um die eigene Webseite besser zu schützen und dafür zu sorgen, dass solche Bots keinen Zugriff auf den Log-in-Bereich erhalten, ist es ratsam, diesen zusätzlich mittels HTTP-Authentifizierung abzusichern. Das hat zwar den Seiteneffekt, dass man sich, um in den Administrationsbereich seiner Webseite zu gelangen, zukünftig zwei Mal einloggen muss, dafür sind die fiesen Bots dann aber eben ausgesperrt.

Bei den meisten Content-Management-Systemen gibt es ein Verzeichnis, welches Inhalte enthält, die ausschließlich für den Administrator zugänglich sein sollten. Beim verbreiteten Joomla CMS ist dies beispielsweise das Verzeichnis /administrator. Um diesen als "Backend" bezeichneten Bereich zu schützen, kann man einen Passwortschutz mittels einer .htaccess- und einer .htpasswd-Datei einrichten, welche man entsprechend konfiguriert im zu schützenden Verzeichnis ablegt. Wie genau das funktioniert, ist auf zahlreichen Internetseiten beschrieben und wird deshalb hier nicht im Detail erklärt. Wer schon eine Weile vor sich hin webmastert, wird das Prozedere ohnehin schon kennen. Ansonsten gilt: Die Suchmaschine ist dein Freund, such einfach mal nach ".htpasswd Generator".

Eine .htaccess-Datei, die den Passwortschutz für ein Verzeichnis aktiviert, kann zum Beispiel so aussehen:

In der im gleichen Verzeichnis liegenden .htpasswd-Datei sind die Log-ins samt verschlüsselter Passwörter hinterlegt:

Vorsicht bei der Verwendung der Verzeichnisschutz-Funktion des Providers

Wer seinen Webserver nicht selbst administriert und sich nur irgendwo ein bisschen Webspace angemietet hat, der wird in der Verwaltungsoberfläche des Providers ziemlich wahrscheinlich ein grafisches Werkzeug finden, mit dem man so einen Passwortschutz für beliebige Ordner auch einrichten kann, ohne selbst die Dateien editieren zu müssen.
Das funktioniert meist sehr gut, allerdings ist auch etwas Vorsicht geboten! Viele dieser Verwaltungssysteme schreiben im Dateisystem nämlich einfach munter drauf los und legen die entsprechenden Dateien neu an — ungeachtet dessen, ob da vielleicht schon eine .htaccess-Datei liegt, welche gegebenenfalls wichtige Einstellungen für die Webseite enthält. Ist dies der Fall, so kann einem der neue Passwortschutz die komplette Webseite zerschießen. Daher rate ich eher dazu, die Dateien doch händisch anzulegen oder vor der Verwendung der entsprechenden Tools des Providers zumindest zu prüfen, ob da nicht schon eine .htaccess-Datei im zu schützenden Verzeichnis liegt. (ACHTUNG: Dateien, die mit einem Punkt beginnen sind auf unixoiden Systemen versteckte Dateien! Man sieht sie also nur, wenn im jeweiligen S/FTP-Programm oder Dateibrowser eingestellt ist, dass versteckte Dateien angezeigt werden sollen.)

Sonderfall Wordpress: Dashboard schützen

Das "Dashboard" genannte Backend des derzeit wohl beliebtesten Content-Management-Systems Wordpress zu schützen, ist leider nicht ganz so einfach. Die meisten Anwender würden wohl einen Verzeichnisschutz für das Verzeichnis

anlegen, in dem man sich aufhält, wenn man seine Wordpress-Webseite administriert. Dieses Verzeichnis versuchen übrigens auch viele garstige Bots aufzufinden – kein anderes sehe ich derartig häufig in den Log-Dateien verschiedener Webserver.

Leider ist Wordpress, was den Log-in angeht, aber ein bisschen unschön strukturiert. Es gibt zwei Gründe, warum es eine schlechte Idee ist, das wp-admin-Verzeichnis mit einem Passwortschutz zu versehen:


Ein Verzeichnisschutz bringt einen hier also nicht weiter, denn wenn man das Wurzelverzeichnis der Webseite mit einem Passwort versehen würde, wäre ja die komplette Webseite nur noch für Leute einsehbar, die den Log-in kennen.
Glücklicherweise lässt sich aber auch dieser Fall mit einer .htaccess-Authentifizierung lösen. Es ist nämlich auch möglich, nur einzelne Dateien mit einem Passwortschutz zu versehen. Dazu legt man eine .htaccess-Datei mit folgenden Inhalten an:


Die Funktionsweise ist genau die Gleiche, wie bei einem Verzeichnisschutz, nur dass hier eben ausschließlich die Datei wp-login.php geschützt wird. In der .htpasswd-Datei müssen natürlich die entsprechenden Log-ins hinterlegt sein.

Fail2ban: Brute-Force-Angriffe erkennen und abwehren

Zum Schluss habe ich noch einen Tipp für alle, die das Linux, auf dem der Webserver läuft, selbst administrieren: Schaut euch mal die Software Fail2ban an.

Fail2ban ist ein "Intrusion Prevention System", also eine Software zur Vorbeugung von Einbrüchen in das System. Fail2ban läuft auf dem Webserver als Service im Hintergrund und analysiert die Log-Dateien verschiedener anderer Dienste (z. B. von SSH oder eben vom Web-Server). Erkennt Fail2ban, dass es zu viele fehlgeschlagene Log-in-Versuche von einer IP-Adresse gab, so sperrt es diese IP für einen definierbaren Zeitraum (mittels iptables) aus. Damit kann verhindert werden, dass ein angreifender Bot so lange mögliche Passwörter durchprobiert, bis er Erfolg hat (Brute-Force-Angriff).


Das wär es erst einmal zum Passwortschutz mittels .htaccess und Fail2ban.
Dann sichert mal schön eure Seiten ab! :)

Geschnatter