Woran erkenne ich, ob mein Dienstleister meine Website sicher betreibt?
An den Antworten auf sechs Fragen und daran, ob es zu jeder einen Beleg gibt. Gefragt wird nach dem Stand der Aktualisierungen, der Zugriffsverwaltung, der Verschlüsselung, den Sicherungen samt Rückspieltest, den Protokollen und dem Meldeweg im Vorfall. Eine Zusage ohne Unterlage ist eine Behauptung.
Sechs Fragen mit prüfbarer Antwort
Sicherheit im Betrieb einer Website ist für den Auftraggeber von außen nicht sichtbar. Prüfbar wird sie über Fragen, zu denen es eine Unterlage gibt. Zu jeder Frage unten steht deshalb, was als Beleg taugt.
1. Sind System und Komponenten aktuell?
Software, die eine Website betreibt, bekommt fortlaufend Korrekturen, darunter solche, die bekannt gewordene Sicherheitslücken schließen. Der Beleg ist eine Übersicht, die je Komponente den installierten Stand, den verfügbaren Stand und das Datum der letzten Aktualisierung nennt.
Was dagegen kein Beleg ist: die Aussage, es werde regelmäßig aktualisiert. Wie ein geordneter Rhythmus aussieht, beschreibt die Frage, wie oft eine Website aktualisiert werden sollte.
2. Wer hat Zugriff, und mit welchen Rechten?
Der Beleg ist eine Liste der Zugänge mit Name, Rolle und Datum der letzten Prüfung. Zwei Dinge fallen darin auf, wenn sie fehlen: gemeinsam genutzte Konten ohne persönliche Zuordnung und Zugänge von Personen, die nicht mehr am Projekt arbeiten. Was beim Ausscheiden zu geschehen hat, behandelt die Frage zum Entzug von Zugängen.
3. Wie werden Kennwörter und Schlüssel verwahrt?
Zugangsdaten gehören in einen Kennwort-Verwalter mit Zugriffsprotokoll, Schlüssel für Schnittstellen in eine getrennte Konfiguration außerhalb des Quellcodes. Der Beleg ist die Auskunft, wo beides liegt, und die Zusage, dass im Quellcode keine Zugangsdaten stehen. Diese Zusage lässt sich stichprobenartig prüfen.
4. Wird gesichert, und wurde eine Sicherung zurückgespielt?
Der zweite Teil der Frage ist der wichtigere. Eine Sicherung, die nie zurückgespielt wurde, birgt unkalkulierbare Risiken, weil ihre Lesbarkeit und Vollständigkeit unbekannt sind. Der Beleg ist ein Protokoll des letzten Rückspieltests mit Datum und gemessener Dauer. Die Einzelheiten stehen in der Frage, wie oft gesichert wird und wie schnell die Website zurückkommt.
5. Gibt es Protokolle, und wie lange reichen sie zurück?
Protokolle halten fest, wer wann was getan hat. Ohne sie lässt sich nach einem Vorfall nicht feststellen, was geschehen ist und welche Daten betroffen waren. Der Beleg ist die Angabe, welche Vorgänge protokolliert werden, wo die Protokolle liegen und über welchen Zeitraum sie verfügbar sind.
6. Was geschieht bei einem Vorfall?
Der Beleg ist eine schriftliche Ablaufbeschreibung: wer meldet, an wen, in welcher Frist, wer entscheidet über die Abschaltung, wer informiert Betroffene. Wer diese Frage im Gespräch erstmals hört, hat keinen Ablauf. Wie ein solcher Fall praktisch verläuft, beschreibt die Frage, was nach einem Angriff zu tun ist.
Die Antwortzeit ist bereits ein Befund
Ein Dienstleister, der diese Unterlagen führt, liefert sie in wenigen Tagen. Wer dafür Wochen braucht, stellt sie in dieser Zeit erst her. Beides ist eine Auskunft über den Zustand des Betriebs.
Wenn Antworten ausbleiben
Sie können die Prüfung auch von außen ansetzen lassen. Ein technisches Audit stellt fest, welche Komponenten in welchem Stand laufen, welche Übertragungswege verschlüsselt sind und welche Angaben öffentlich einsehbar sind, die es nicht sein sollten. Den vollständigen Pflichtenkatalog eines Dienstleisters behandelt unser Beitrag dazu, was ein Dienstleister für die Sicherheit seines Kunden schuldet.