--- title: "Sicherheitsbedenken im Shared Hosting verstehen" date: 2019-02-28 language: de topics: ["cloud", "cyber-security", "data", "hacking", "linux", "networking", "programming", "server", "web", "webdesign"] source_url: https://willem.com/de/2019-02-28_sicherheitsbedenken-im-shared-hosting-verstehen/ --- # Sicherheitsbedenken im Shared Hosting verstehen *Offene Ports und ungenutzte Netzwerkdienste im Blick* > Es gibt Leute, die mich dafür bezahlen, dass ich sie hacke, solange ich ihnen erkläre, wie es ging, damit künftige Hacks verhindert werden können. Als Sicherheitsberater suche ich in den Apps, Webshops und Websites meiner Kunden nach Schwachstellen. Sehr oft beginnt ein Hack mit einer Sicherheitslücke, die man aus der Ferne sehen kann. Lies weiter und erfahre, wie Hacker Sicherheitslücken finden und wie du sie schließen kannst. Wer eine App, einen Webshop oder eine Website hacken will, greift oft die Server an, auf denen sie laufen. Um zu verstehen, warum Hacker das tun, musst du zuerst wissen, was Hosting ist und welche Arten von Hosting es gibt. ## Was ist Hosting? Hosting ist ein Dienst, der deine App, deinen Webshop oder deine Website im Internet verfügbar macht. Dafür werden spezielle Computer verwendet, sogenannte Server. Wenn jemand deine Website-Adresse in seinen Browser eingibt, verbindet sich sein Gerät mit deinem Server. Können Hacker einen Server unter ihre Kontrolle bringen, haben sie Zugriff auf alle Informationen darauf und können sie manipulieren. Außerdem können sie das Netzwerk und die Rechenleistung des Servers für ihre üblen Zwecke missbrauchen. Das willst du auf keinen Fall... ![Ein typischer Server im Rechenzentrum, eine physische Maschine, die Apps, Webshops und Websites hosten kann](https://willem.com/global/images/cafc9709255f.webp) ## Verschiedene Arten von Hosting Deine App, dein Webshop oder deine Website kann auf unterschiedliche Weise gehostet werden. Jede Art hat ihre eigenen Sicherheitsrisiken, aber das ist relativ leicht zu verstehen, denn es kommt nur darauf an, wie der physische Server (im Rechenzentrum) unter den Websites aufgeteilt wird. Webhoster betreiben meist mehrere Server und verteilen deren Kapazität auf die Websites, die gehostet werden müssen. Ein großer Server kann problemlos mehrere Websites beherbergen, je nachdem, wie viel Traffic die App, der Webshop oder die Website hat. ![Verschiedene Arten von Hosting: Shared Hosting, VPS-Hosting und Dedicated Hosting dargestellt (ein Kreis steht für einen physischen Server)](https://willem.com/global/images/0158845e7a25.webp) Es gibt drei Arten von Hosting: - **Shared Hosting**: Der Server betreibt mehrere Websites und teilt sich dabei Betriebssystem, Arbeitsspeicher, Prozessorkerne und Festplattenspeicher. Zwischen den Websites gibt es keine feste Trennung. - **VPS-Hosting**: Auf dem physischen Server laufen mehrere virtuelle private Server (VPS), die jeweils ein eigenes Betriebssystem und einen eigenen Anteil an Arbeitsspeicher, Prozessorleistung und Speicherplatz haben. Ein einzelner VPS lässt sich so einrichten, dass er eine oder mehrere (zusammengehörige) Websites betreibt. Wegen der strikten Trennung der VPS-Instanzen ist es für Hacker sehr schwer, von einem VPS auf einen anderen zu kommen. - **Dedicated Hosting**: Auf dem physischen Server läuft nur eine Website. Nichts wird geteilt, alle Ressourcen gehören einer einzigen App, einem Webshop oder einer Website. Durch diese physische Trennung bist du von Hacks anderer Websites nicht betroffen. ### Achtung: „Cloud Hosting“ ist oft umbenanntes Shared Hosting Wichtig zu wissen: Das meiste moderne „Cloud Hosting“ ist in Wahrheit *Shared Hosting* mit einem schicken Namen. Webdesign-Agenturen richten ihren dedizierten oder virtuellen privaten Server oft so ein, dass sie ihren Kunden Shared Hosting verkaufen können. Wenn du also nicht deinen eigenen VPS oder dedizierten Server betreibst, bist du sehr wahrscheinlich auf Shared Hosting. ## Sicherheitsbedenken bei Shared Hosting Die Sicherheitsrisiken von Shared Hosting kommen aus dem Teilen selbst. Wird eine der Websites auf demselben Server wie deine gehackt, ist die Wahrscheinlichkeit hoch, dass auch deine Website betroffen ist. Dann reichen die Sicherheitsmaßnahmen auf deiner eigenen Website womöglich nicht aus, um sie vor Hackern zu schützen. ![Ansteckungseffekt einer gehackten Website (Rot bedeutet Ärger)](https://willem.com/global/images/bfbc8fc6e058.webp) ### Gemeinsame IP-Adresse Bei Shared Hosting teilen sich in der Regel außerdem alle Websites dieselbe IP-Adresse. Das wird zum Problem, wenn eine andere Website Unfug treibt, zum Beispiel Spam verschickt oder illegale Inhalte hostet. Deine Website kann dadurch auf eine schwarze Liste geraten, gesperrt oder in den Suchergebnissen abgewertet werden. ### Leistung Hoster packen meist Hunderte, manchmal sogar Tausende (!) Websites auf denselben Shared Server. Da wird klar, warum das die Wahrscheinlichkeit erhöht, gehackt zu werden. Neben den Sicherheitsproblemen beeinträchtigt Shared Hosting auch die Leistung deiner Website, denn sie muss mit den anderen Websites um dieselben begrenzten Serverressourcen konkurrieren. Wenn eine andere Website plötzlich extrem viel Traffic bekommt, kann das auch deine App, deinen Webshop oder deine Website ausbremsen! ### Gemeinsame Netzwerkdienste Ein weiteres Problem: Auf dem Server sind meist viele Netzwerkdienste aktiviert, etwa Web-, Mail-, FTP- und Datenbankdienste. Sie sind über offene Ports erreichbar. Es ist schlechter Stil, alle Ports für alle zu öffnen, denn damit sind die Dienste, die dort lauschen, Exploits ausgesetzt. Firewalls können einschränken, wer sich mit einem bestimmten Port verbinden darf, aber bei Shared Hosting sind diese Regeln oft nicht sehr streng (weil auf demselben Server so viele verschiedene Dinge laufen). ## Eine App, einen Webshop oder eine Website hacken Um deine App, deinen Webshop oder deine Website zu hacken, kann ein Hacker deinen Hosting-Server nach offenen Ports scannen und so herausfinden, welche Dienste auf dem Server laufen. Dafür wird oft das Unix-Programm *nmap* benutzt. Der Hacker verbindet sich mit dem Dienst, der an einem offenen Port lauscht, und findet so heraus, um welches Programm es sich handelt. ![Mit nmap einen Hosting-Server scannen und Netzwerkdienste und offene Ports erkennen](https://willem.com/global/images/950d6bfeda3c.webp) Mit diesen Informationen lässt sich prüfen, ob die laufenden Netzwerkdienste bekannte Sicherheitslücken haben. In Online-Datenbanken (https://www.cvedetails.com) kann man solche Schwachstellen nach Softwarename und Version nachschlagen. Eine bekannte Schwachstelle zu finden ist so einfach wie eine Google_Suche (https://www.google.com/search?q=php+5.5.9+exploit). Findet der Hacker eine bestehende Schwachstelle, kann er sich damit Zugang zum Server verschaffen. Über die IP-Adresse des Hosting-Servers kann der Hacker feststellen, ob der Server noch weitere Apps, Webshops oder Websites beherbergt. Mit Reverse-DNS-Lookups lassen sich alle Websites auflisten, die auf demselben Server liegen. Deine eigene Website mag aktuell und sicher sein, aber andere auf demselben Server laufen vielleicht mit veralteter Software (und Sicherheitslücken). Gängige Website-Software ist gut dokumentiert: Ältere Versionen von PHP (https://www.cvedetails.com/vulnerability-list/vendor_id-74/product_id-128/PHP-PHP.html) und WordPress (https://www.cvedetails.com/vulnerability-list.php?vendor_id=2337&product_id=4096&order=3) haben bekanntermaßen ernste Sicherheitsprobleme. ![Sobald ein Hacker weiß, welche Software deine Website nutzt, findet er bekannte Sicherheitslücken ganz leicht in Datenbanken wie cvedetails.com](https://willem.com/global/images/c3d8458c889e.webp) ## Fazit Der beste Weg, deine App, deinen Webshop oder deine Website zu schützen, ist, die Angriffsfläche so klein wie möglich zu halten. Deine Website-Software auf dem neuesten Stand zu halten ist entscheidend, reicht aber womöglich nicht aus, wenn dein Hosting geteilt ist. Damit andere Hacks nicht auf deine App, deinen Webshop oder deine Website durchschlagen, solltest du sie auf einem dedizierten physischen oder virtuellen Server mit eigener IP-Adresse hosten. Dann kannst du die Sicherheit erhöhen, indem du offene Ports filterst und ungenutzte Netzwerkdienste abschaltest. So verkleinerst du das, was Cybersicherheitsexperten die „Angriffsfläche“ nennen. Je kleiner sie ist, desto leichter lässt sie sich verteidigen. Viel Glück, und denk daran: Hilfe_gibt_es (https://digidef.nl)! ![Denk daran: Hilfe gibt es. Ich kenne mich mit Servern und Cybersicherheit aus](https://willem.com/global/images/e37a7be2befb.webp)