Wie lässt sich der Missbrauch von Backend-Konten bei einer SaaS-Website verhindern?

Ein scheinbar gewöhnlicher Login im Backend kann die gesamte Kette zur Gewinnung ausländischer Kunden beeinflussen: Angreifer ändern die E-Mail-Adresse für Kundenanfragen, sodass das Vertriebsteam keine Kundennachrichten mehr erhält; sie ersetzen den Link zur Werbe-Landingpage, sodass das Werbebudget möglicherweise auf eine falsche Adresse gelenkt wird. Werden zusätzlich DNS-Einstellungen der Domain oder Administratorrechte geändert, kann sich der Schaden weiter ausweiten. Ein Sicherheitskonzept für eine SaaS-Website besteht nicht nur darin, das Backend mit einem komplexen Passwort zu schützen. Es muss auch geklärt werden, wer sich anmelden darf, welche Aktionen möglich sind und wie ungewöhnliche Vorgänge rechtzeitig erkannt und behandelt werden.

Zuerst die Konten erfassen: Nicht nur die Website-Administratoren berücksichtigen

Bei der Überprüfung können die zuständigen Sicherheitsmitarbeiter zunächst die Personen und Zugangspunkte systematisch erfassen. Neben den Superadministratoren der Website kommen auch Redakteure, SEO-Mitarbeiter, Werbeagenturen, technische Dienstleister und befristet beschäftigte Übersetzer mit dem Backend oder verbundenen Plattformen in Kontakt. Unternehmen sollten außerdem den Domain-Registrar, DNS-Dienste, E-Mail-Konten, Werbekonten und mit der Website verknüpfte Drittanbieteranwendungen überprüfen. Diese Zugangspunkte gehören zwar nicht unbedingt zum Website-Backend, können aber indirekt den Websitezugriff und Kundendaten beeinflussen.

Halten Sie für jedes Konto die verantwortliche Person, den Zweck, den Berechtigungsumfang und die letzte Nutzung fest. Achten Sie besonders auf gemeinsam genutzte Konten, Konten ehemaliger Mitarbeiter, lange ungenutzte Konten und nicht zugeordnete Autorisierungen für Drittanbieter. Gerade bei mehrsprachigen Websites können sich die Auswirkungen eines Fehlers oder eines kompromittierten Kontos erheblich vergrößern, wenn die Bearbeitungsrechte eines regionalen Teams alle Websites umfassen.

Die Anmeldehürden erhöhen, ohne Mitarbeiter zum Umgehen der Regeln zu verleiten

Für das Backend sollten individuelle Konten verwendet werden, damit nicht mehrere Personen dasselbe Passwort nutzen. Andernfalls lässt sich im Problemfall nur schwer nachvollziehen, wer was getan hat. Passwörter sollten ausreichend lang sein und nicht für andere Konten wie E-Mail- oder Social-Media-Konten wiederverwendet werden. Ein Passwortmanager kann zufällige Passwörter generieren und sicher speichern. Bei Verdacht auf eine Offenlegung sollte das Passwort sofort geändert werden, statt sich lediglich auf regelmäßige Änderungen zu verlassen.

Aktivieren Sie die Multi-Faktor-Authentifizierung vorrangig für Administratoren, Finanzmitarbeiter und Konten mit Zugriff auf Kundendaten. Sofern die Plattform dies unterstützt, sollten Sicherheitsschlüssel, Passkeys oder Authenticator-Apps bevorzugt werden. Die SMS-Verifizierung kann als Alternative dienen, allerdings sind dabei Risiken wie die Übernahme einer Telefonnummer zu berücksichtigen. Wiederherstellungscodes sollten offline oder an einem sicheren Ort aufbewahrt und nicht zusammen mit dem Anmeldepasswort in einem freigegebenen Dokument gespeichert werden.

Bei Teams, die häufig international reisen oder remote zusammenarbeiten, kann eine pauschale Sperrung von Anmeldungen nach Ländern oder Regionen die normale Arbeit beeinträchtigen. Sicherer ist es, die Möglichkeiten der Plattform zu nutzen und Benachrichtigungen bei ungewöhnlichen Anmeldungen, Beschränkungen fehlgeschlagener Anmeldeversuche, Sitzungs-Timeouts oder die Verwaltung vertrauenswürdiger Geräte einzurichten. Für privilegierte Mitarbeiter, die das Büronetzwerk nutzen und sich in der Regel von festen Standorten aus anmelden, kann auch eine Beschränkung des IP-Zugriffs geprüft werden. Welche Funktionen verfügbar sind, hängt von der jeweils ausgewählten SaaS-Plattform ab.

Wie lassen sich Berechtigungen so verteilen, dass nicht „ein gestohlenes Konto die gesamte Website gefährdet“?

Bei der Gestaltung von Berechtigungen geht es nicht darum, allen möglichst wenige Handlungsmöglichkeiten zu geben, sondern sicherzustellen, dass jeder nur auf die Inhalte zugreifen kann, die für seine Arbeit erforderlich sind. Ein Redakteur, der Produktartikel veröffentlicht, muss in der Regel weder Domains ändern noch Administratoren anlegen können. Auch eine Werbeagentur, die Landingpages einsehen muss, benötigt nicht unbedingt die Berechtigung, sämtliche Kundenanfragen zu exportieren.

• Berechtigungen nach Aufgabenbereich vergeben: Unterscheiden Sie zwischen Systemverwaltung, Inhaltsbearbeitung, Marketingbetrieb und Datenansicht. Wenn die Plattform abgestufte Berechtigungen unterstützt, sollten diese möglichst auf bestimmte Websites, Sprachversionen oder Datenbereiche beschränkt werden.
• Risikoreiche Aktionen gesondert kontrollieren: Änderungen an der E-Mail-Adresse für Kundenanfragen, die Verknüpfung einer Domain, der Export von Kundendaten und Änderungen an Administratoren sollten, soweit möglich, eine Genehmigung, eine zusätzliche Verifizierung oder eine Prüfung durch zwei Personen erfordern.
• Befristete Berechtigungen zeitlich begrenzen: Entziehen Sie externen Mitarbeitern die Berechtigungen, sobald sie die Seitenerstellung oder die Einrichtung von Werbeanzeigen abgeschlossen haben. Deaktivieren Sie bei einem Aufgabenwechsel oder Austritt eines Mitarbeiters zugleich dessen Konto und prüfen Sie die von ihm erstellten Freigabelinks und Autorisierungen.
• Ein kontrolliertes Notfall-Administratorkonto vorhalten: Vermeiden Sie, dass nur eine Person über die höchsten Berechtigungen verfügt. Sichern Sie Ersatzkonten zusätzlich ab und überprüfen Sie regelmäßig, ob sie noch verwendet werden können.

Wenn die Plattform derzeit keine fein abgestuften Rollen unterstützt, sollten Superadministratorkonten nicht einfach aus Gründen der Bequemlichkeit gemeinsam genutzt werden. Stattdessen können risikoreiche Aktionen bestimmten Personen vorbehalten und durch Tickets, Änderungsprotokolle und Gegenprüfungen abgesichert werden, bis eine geeignetere Möglichkeit zur Berechtigungsverwaltung gefunden ist.

Worauf sollte ein Sicherheitsaudit achten, um Auffälligkeiten zu erkennen?

Protokolle sind nicht nur Unterlagen, die man erst nach einem Vorfall durchsieht. Qualitäts- oder Sicherheitsverantwortliche sollten mit dem Website-Team eine regelmäßige Prüfung vereinbaren und dabei Anmeldezeitpunkte, Herkunft, Anzahl fehlgeschlagener Versuche sowie Kontoerstellungen, Berechtigungsänderungen, Exporte sensibler Informationen und Änderungen wichtiger Konfigurationen berücksichtigen. Bei wichtigen Websites können verfügbare Warnmeldungen in die üblichen Benachrichtigungskanäle des Unternehmens eingebunden werden. Legen Sie klar fest, wer darauf reagiert, damit Hinweise nicht unbeachtet bleiben.

Verbinden Sie die Überprüfung außerdem mit den Geschäftsergebnissen. Eine Website kann beispielsweise scheinbar normal funktionieren, obwohl die E-Mail-Adresse für Benachrichtigungen über Kundenanfragen geändert wurde. Das Problem wird dann möglicherweise erst bemerkt, wenn Kunden verloren gehen. Überprüfen Sie regelmäßig die Empfängeradressen für Anfragen, die Ergebnisse von Formularübermittlungen, Links zu Werbe-Landingpages, Zahlungs- oder Kontaktinformationen sowie wichtige Weiterleitungen auf mehrsprachigen Seiten. Verwenden Sie beim Testen von Formularen eindeutig gekennzeichnete Testdaten und bestätigen Sie, dass die gesamte Kette von der Übermittlung bis zum Empfang funktioniert.

Fragen Sie bei der Beschaffung oder Überprüfung eines SaaS-Dienstes, welche Vorgänge protokolliert werden, wie lange die Protokolle gespeichert bleiben, ob sie exportiert werden können und welche Unterstützung der Anbieter im Falle eines ungewöhnlichen Vorfalls leisten kann. Setzen Sie „Protokolle sind vorhanden“ nicht mit „das Audit ist abgeschlossen“ gleich. Vergewissern Sie sich auch, dass die Protokolle ausreichen, um das konkrete Konto und den Zeitpunkt der Aktion zu ermitteln.

Bei Verdacht auf ein kompromittiertes Konto ist die Reihenfolge der Maßnahmen wichtiger als die Ursachenvermutung

1. Zuerst die Auswirkungen begrenzen: Deaktivieren oder sperren Sie das verdächtige Konto und widerrufen Sie aktive Sitzungen und zugehörige Autorisierungen. Ändern Sie das Passwort des betroffenen Kontos von einem vertrauenswürdigen Gerät aus und prüfen Sie, ob die Multi-Faktor-Authentifizierung manipuliert wurde.
2. Wichtige Ressourcen schützen: Überprüfen Sie weitere Administratorkonten, Domain und DNS, die E-Mail-Adresse für Kundenanfragen, Werbekonten und Drittanbieteranwendungen, damit Angreifer nicht über verbundene Zugangspunkte erneut eindringen können.
3. Beweise sichern und das Ausmaß feststellen: Sichern Sie Anmelde- und Aktionsprotokolle, auffällige Seiten und Zeitpunkte von Änderungen. Bitten Sie den SaaS-Anbieter um Unterstützung bei der Untersuchung und löschen Sie Datensätze nicht eigenmächtig, bevor Beweise gesichert wurden.
4. Wiederherstellen und überprüfen: Stellen Sie Inhalte anhand vertrauenswürdiger Backups oder bestätigter Konfigurationen wieder her und testen Sie Seiten, Formulare und Weiterleitungen einzeln. Wenn Kundendaten betroffen sind, prüfen Sie gemäß den geltenden Gesetzen und Vorschriften sowie internen Abläufen, ob Benachrichtigungs- oder Meldepflichten bestehen.

Analysieren Sie im Anschluss auch den Zugangspunkt: Waren es Phishing-E-Mails, wiederverwendete Passwörter, nicht deaktivierte Konten ausgeschiedener Mitarbeiter oder zu weitreichende Autorisierungen für Drittanbieter? Nur wenn die Ursachen in Änderungen an Berechtigungen, Schulungen oder Abläufen umgesetzt werden, lassen sich ähnliche Vorfälle künftig reduzieren.

Bei der Auswahl einer Website-Plattform die Sicherheitsverantwortung klären

Wenn Website- und Marketingdienste integriert sind, arbeiten Website-Erstellung, SEO, Werbung und Social Media enger zusammen, und die Grenzen zwischen Konten werden komplexer. Bei der Auswahl einer Plattform sollten Unternehmen neben den Funktionen für mehrsprachige Websites und Marketing auch die Unterstützung für Multi-Faktor-Authentifizierung, Rollenberechtigungen, Aktionsprotokolle, Datensicherung und -wiederherstellung sowie die Verwaltung von Drittanbieterautorisierungen prüfen. Informieren Sie sich außerdem darüber, wie der Anbieter auf Ausfälle und Sicherheitsvorfälle reagiert. Welche Funktionen verfügbar sind, für welchen Bereich sie gelten und unter welchen Bedingungen sie eingerichtet werden können, ist den Angaben des Anbieters zu entnehmen.

Am Beispiel der intelligenten Website-Erstellung und der Auslandsmarketing-Dienste von 易营宝 können Unternehmen bei der Planung ihrer Website und Marketingabläufe ihre Aufgabenverteilung berücksichtigen und mit dem Serviceteam die Backend-Berechtigungen, den Datenzugriff und die Übergabe abstimmen, statt erst nach Auffälligkeiten bei einem Konto eine Bestandsaufnahme vorzunehmen. Ein tatsächlich umsetzbares Sicherheitskonzept für eine SaaS-Website setzt voraus, dass die Plattform die erforderlichen Kontrollmöglichkeiten bietet und das Unternehmen zugleich die Kontoverwaltung, regelmäßige Prüfungen und Notfallübungen kontinuierlich umsetzt.