Fragen und Antworten

Wie kann ich Content-Management-Systeme gegen Brute-Force-Login-Angriffe absichern?

Sobald Sie ein weit verbreitetes Content-Management-System wie WordPress oder Joomla installieren, wird es schon nach kurzer Zeit regelmäßige Login-Versuche durch Unbefugte geben. Hierbei handelt es sich im Regelfall um bösartige Programme, die im Internet nach WordPress- bzw. Joomla-Installationen suchen, und dann probieren, sich mittels einer Liste häufig genutzter Benutzernamen und Passwörter anzumelden (Brute-Force-Login). Sie sollten daher unbedingt sichere Passwörter für alle Benutzer vergeben.

Diese Angriffe erzeugen häufig auch eine hohe CPU-Last auf dem Webserver, wodurch sich die die Ladezeit Ihrer Webseiten verlangsamt. Bei sehr vielen gleichzeitigen Login-Versuchen kann sogar Ihr PHP-Prozesslimit überschritten werden, und Ihre Webseiten können nicht mehr aufgerufen werden. Zum Schutz vor solchen Brute-Force-Login-Angriffen empfehlen wir, die Login-Seiten von Content-Management-Systemen mit einem zusätlichen HTTP-Passwortschutz zu versehen.

WordPress

Erstellen Sie zunächst ein HTTP-Passwort und fügen dies in eine Textdatei mit dem Namen ".htpasswd" ein. Laden Sie diese Datei dann per (S)FTP in das Hauptverzeichnis Ihrer WordPress-Installation auf dem Webserver. Dort sollte sich auch eine Datei mit Namen ".htaccess" befinden. Laden Sie diese Datei per (S)FTP herunter und öffnen sie mit einem Text-Editor. Ergänzen Sie dort am Ende dann folgende Zeilen:

<Files wp-login.php>
   AuthType Basic
   AuthName "Restricted Admin Area"
   AuthUserFile /homepages/u12345/wordpress/.htpasswd
   Require valid-user
</Files>
Ersetzen Sie dabei unter "AuthUserFile" "u12345" durch Ihre Benutzerkennung und "wordpress" durch den Pfad zu Ihrem WordPress-Installationsverzeichnis (falls Sie WordPress direkt in Ihrem Benutzerverzeichnis installiert haben, nutzen Sie einfach "/homepages/u12345/.htpasswd"). Abschließend übertragen sie diese Datei wieder per (S)FTP zurück in das WordPress-Hauptverzeichnis auf dem Webserver.

Joomla

Erstellen Sie zunächst ein HTTP-Passwort und fügen dies in eine Textdatei mit dem Namen ".htpasswd" ein. Erstellen Sie dann eine weitere Textdatei mit Namen ".htaccess" und folgendem Inhalt:

AuthType Basic
AuthName "Restricted Admin Area"
AuthUserFile /homepages/u12345/joomla/administrator/.htpasswd
Require valid-user

Ersetzen Sie dabei unter "AuthUserFile" "u12345" durch Ihre Benutzerkennung und "joomla" durch den Pfad zu Ihrem Joomla-Installationsverzeichnis (falls Sie Joomla direkt in Ihrem Benutzerverzeichnis installiert haben, nutzen Sie einfach "/homepages/u12345/administrator/.htpasswd"). Übertragen Sie dann beide Dateien per (S)FTP in das Unterverzeichnis "administrator" in das Joomla-Installationsverzeichnis auf dem Webserver.