Ein paar Fragen zum Thema gehackte Installation

Zitat von rentokill72

[...] Das passt dem Kunden aber absolut nicht, vor allem wegen der unerwarteten Rechnung und den Folgekosten.

Verständlich, würde mir als Kunde auch nicht passen und wäre ich auch nicht zu zahlen bereit, wenn das Problem nicht eindeutig auf meine Kappe ginge.

Hat der Hacker auch gleich das Licht ausgeknipst, es ist ja gruselig dunkel auf einer Website, die doch eigentlich das Thema Licht und Luft zum Schwerpunkt hat…

Zitat

(...) 1. Wie lässt sich feststellen, wo das Leck in einer WP Installation ist? Ich gebe zu, ich habe von so etwas herzlich wenig Ahnung, das ist mein erster Hack.

Habe ich das jetzt richtig verstanden, Du erstellst Websites mit Wordpress(!) im Kundenauftrag gegen Bezahlung und hast keine Ahnung, was Du bei einem Hack machen sollst, geschweige denn wie es überhaupt dazu kommen kann.

Da wäre ich als Kunde jetzt echt angep… und würde, wenn ich diesen Hack nicht zu verantworten hätte und Du das Problem nicht unverzüglich in den Griff bekommst, einen zusätzlichen Dienstleister zu Deinen Lasten beauftragen, der sich des Problems professionell annimmt, darüber hinausgehenden Schadensersatz würde ich mir ebenso vorbehalten.

Nicht nur deshalb halte ich es für mehr als unklug, hier den Link zur Website reinzuknallen, lass ihn in Deinem ureigenen Interesse lieber wieder entfernen.

Zitat

Von dem was ich so lese, KANN man es finden, aber wenn es zB an einem Plugin liegt, muss man den betreffenden Programmierer anhauen, und ob und wann der dann reagiert ist völlig offen. :-/

Dann geht das erst mal voll auf Deine Kappe und somit zunächst auch finanziell voll zu Deinen Lasten, denn Du hast es eingebaut, möglicherweise kannst Du Dich dann im Zweifel an den Programmierer halten und versuchen mit einer Durchgangshaftung durchzudringen, aber das ist in solchen Fällen juristisch wohl eher sehr dünnes Eis.

Zitat

2. Weiß jemand, ob Strato (oder sonst jemand) ein "secure hosting" oder so anbietet, wo Hacker einfach gar nichts ändern KÖNNEN?

Und es ist tatsächlich noch steigerungsfähig, da hat Dein Kunde wohl gleich mehrfach am falschen Ende gespart…

Zitat

3. Der Kunde hat das Gefühl, ich hätte ihm ein mangelhaftes Produkt verkauft, also eine nicht hack-sichere Homepage.

Und das völlig zu Recht.

Zitat

Er verkauft Fenster und vergleicht das so, dass er ja auch nachbessern müsse wenn er die Fenster falsch eingebaut habe.

So ist es, wenn die Ursache für das Problem nicht der Kunde selbst gesetzt hat, dann bist Du ganz dringend in der Pflicht nachzubessern, es sei denn, Du hast genau im Detail das eingebaut was der Kunde gewünscht hat (aber selbst dann ist man als Dienstleister nicht immer grundsätzlich raus), aber es hat den Anschein, dass der Kunde nur eine funktionierende HP geordert hat und z.B. keinen Einfluss auf den Einbau bestimmter Plugins oder andere Sperenzien genommen hat – oder?

Zitat

Da mag ja was dran sein, aber um bei dem Vergleich zu bleiben - wenn jemand diese Fenster dann einschlägt um in das Haus einzubrechen, ist das ja auch nicht seine Schuld, oder wie seht ihr das?

Anders wird ein Schuh draus, wenn die Fenster eine so mangelnde Sicherheit bieten, dass man sie einfach so von außen öffnen und ein Kunde das vorher nicht gewusst haben kann, wer ist dann wohl in der Pflicht…

Zitat

Die Seite ist jetzt 3 Jahre alt, und von "hacksicherheit" war nie die Rede gewesen - davon abgesehen, dass es sowas ja im Prinzip nicht gibt... (…)

So wie es auch keine absolute Einbruchssicherheit gibt, es gibt aber Mindeststandards, die z.B. eine Versicherung setzt, wurden diese missachtet, ohne dass dem Kunden das vorher ausdrücklich mitgeteilt wurde bzw. dieser es sogar möglicherweise auch noch ausdrücklich anders geordert hatte, wer ist dann wohl in der Pflicht…

Das Thema ist zu komplex um über ein Forum oder Tutorials zum Sicherheitsfachmann zu werden. Wer an was Schuld hat ist eine Frage für Juristen. Wurde vertraglich nichts zum Thema Sicherheit definiert kommt höchsten eine Haftung wegen grober Fahrlässigkeit in Betracht (Benutzername: admin, Passwort 12345678).

Den einzig vernünftigen Rat den ich geben kann: Den Kunden ins Boot holen und gemeinsam ab zum Experten. Der Dachdecker legt mir hübsche Schindeln aufs Dach aber der Statiker legt fest welche Last das Dach tragen kann. Das Problem: Wer sich als dachdeckender Statiker verkauft muss das auch leisten können, weshalb es diese Kombination beim Hausbau nicht gibt. Transparenz ist das A und O. Wenn der Kunde vorher weiß was er NICHT bekommt gibt es auch keine Probleme.

Zitat

es war mir vorher auch nie zu Ohren gekommen dass WP so furchtbar anfällig gegen Angriffe ist.

WP ist auch gar nicht so anfällig! WP, Theme, Plugins aktuell halten, langes u kompliziertes PWD - und als Hoster kein Strato - damit bin ich bisher sehr gut gefahren - und ja ich bin nur ein erfahrener HobbyBlogger.
Dazu lese ich viele WP Nachrichten, versuche es.

Zitat von rentokill72

Hi SuMu und Monika, super, vielen Dank, DAS sind die Vorschläge auf die ich gehofft hatte. (...)

DAS sind Basics die Du kennen solltest, bevor Du eine solche Dienstleitung anbietest - Da fluchen ja immer viele auf den Gesellen- und Meisterzwang, aber Dein Fall zeigt mal wieder krass, dass man in sicherheitsrelevanten Berufen heil froh sein kann, dass wir (noch) gewisse (Mindest)Standards haben, in Deinem Fall kostet es den Kunden zum Glück ja bloß sein Geld...