Der Beitrag „wp2shell“: Die WordPress-Sicherheitslücke, die mich zum Newsletter-Comeback gebracht hat erschien zuerst auf Collaborato Training.

Updraft Plus ist ein WordPress Plugin und direkt über euer WordPress installierbar. Backups lassen sich nach der Installation mit einem Knopfdruck erstellen und die Konfiguration ist einfach. Alles was Ihr wissen müsst, damit Euch auch nach einem schief gelaufenen Update oder Hackerangriff die gute Laune nicht vergeht erkläre ich Euch hier.

Installation und erstes WordPress Backup

Die Installation erfolgt wie gewohnt über den Menüpunkt „Plugin“ und „Installieren“ im Backend. Sucht nach dem Begriff „UpdraftPlus Backup“. Das richtige Plugin sieht wie im Foto aus. 

Danach „Jetzt Installieren“ anklicken, kurz warten und „Aktivieren“ anklicken.

Das Plugin führt bei der ersten Installation nach einer kurzen Willkommensmeldung mit dem Button „Drücke hier um zu starten“ zum ersten manuellen Backup. Die beiden Haken „Deine Datenbank zur Sicherung hinzufügen“ und „Deine Dateien zur Sicherung hinzufügen“ sind schon angehakt. Jetzt nur noch auf „Jetzt sichern“ klicken und das erste Backup läuft. 

Jetzt einfach kurz warten bis das WordPress Backup fertig ist – dann gratuliert Euch der Assistent zum ersten Backup ?. 

Der Dialog führt Euch weiter zu den Einstellungen mit dem Button „Gehe zu den Einstellungen“. Dabei sind die nächsten beiden Punkte interessant: Datei-Sicherungsplan und Datenbank-Sicherungsplan. Die Anzahl der Backups steht auf 2 das finde ich zu wenig – ich stelle hier mindestens 15 ein – meist ist heute ja noch reichlich Speicherplatz auf dem Webserver vorhanden – und das Intervall stelle ich auf „wöchentlich“ weil bei mir auf der Seite nicht täglich Neues passiert. Das mache ich synchron für „Dateien“ und „Datenbank“ – da ich immer beides benötige, um WordPress wieder vollständig herzustellen.

Konfiguration des WordPress Backups

Der Dialog weist mich noch auf weitere Einstellmöglicheikeiten hin, die aber im Standard schon gut konfiguriert sind. Ausser Ihr hättet etwas, was explizit NICHT gesichert werden soll. Jetzt fehlt nur noch „Änderungen speichern“ und schon ist die Konfiguration abgeschlossen – Jetzt kommt die Werbung – bzw. die kostenpflichtigen „Premium Features“.  Als Beginner mit einer ersten WordPress-Seite benötigt Ihr die nicht unbedingt. Als erstes kommt „Updraft Central“ – falls man mehrere Webseiten betreuet und die Backups zusammenfassen will. Das ist ein externer Dienst auf deren Server. Mit „Weiter“ weisst das Tool jetzt noch auf die Möglichkeit hin, die Dateien extern zu speichern. Allen voran die Premium-Option „Updraft Vault“. Ein externes Backup ist natürlich wünschenswert – lässt sich aber ggf. über Dropbox erreichen oder noch simpler – Ihr ladet es manuell herunter. Das erkläre ich Euch gleich, vorher sehen wir nach Klick auf „Weiter“ noch „Updraft Plus Premium“ und ignorieren das freundlichen Angebot mit dem Button „Fertigstellen“.

Im Backup-Plugin zurechtfinden

Nachdem die Führung beendet ist, seht Ihr das Plugin zum ersten mal „normal“. Wichtig zu wissen, dass Euch der Dialog über die „Reiter“ die Ihr oben seht, geführt hat. Hier kommt Ihr über den Tab „Sicherung / Wiederherstellen“ wieder zum Anfang zurück. Unter „Einstellungen“ finden sich Einstellungen zum Datei- und Datenbank-Sicherungsplan. Das ganze Plugin – wenn Ihr ganz frisch nach dem Backend-Login zugreifen wollt – findet sich etwas versteckt unter dem Menüpunkt „Einstellungen“ und dann „UpdraftPlus Sicherungen.

Backup-Dateien für manuell downloaden

Dazu als erstes auf der ersten Plugin-Seite (Reiter „Sicherung / Wiederherstellen“) bis zur Liste der vorhandenen Backups scrollen und auf die einzelnen Teile der jeweiligen Backups klicken. Die Knöpfe heissen „Datenbank“, „Plugins“, „Themes“, „Uploads“ und „Andere“ . Jedes mal entsteht oberhalb der Buttonliste ein Dialog „Herunterladen db (Datum….)“ und kurz darauf kommt ein Button „Auf deinen Computer herunterladen“ den Ihr noch drücken müsst (zweitens), um den Download zu starten. Bitte nicht ohne Not auf den anderen Button „Vom Webserver löschen“ drücken – dann bleibt die Kopie direkt im Plugin erhalten. Das macht Ihr dann für jeden einzelnen Button. Ist die Website recht umfangreich, kann es sein, das Updraft Plus die Datei in mehrere Pakete verteilt – dann bitte ausnahmslos alle herunterladen.

Bitte überprüft, ob beim zweiten Download auch wirklich ein Download stattfindet. Chrome hat die Eigenart, dass er nur einen Download pro Webseite zulässt. Will man mehr Dateien herunterladen, muss man in der Browser-Adressleiste auf das Icon klicken und mehr Dowloads zulassen. (Foto)

Nach klick auf das markierte Icon öffnet sich dieser Dialog. „…gestatten“ auswählen und mit „Fertig“ bestätigen.

Macht euer Browser die Downloads wie gewünscht, gibt es das Icon gar nicht und Ihr müsst auch nichts machen.

Und: Habt Ihr eine große Seite mit großen Datenmengen, teilt Updraft Plus den Datei-Download in viele kleine Datei-Häppchen auf. Bei großen Installationen kann das viel werden und schlicht nerven.

Im Erstfall: der WordPress Restore aus dem Backup

Ist mit Euerer Webseite etwas schief gelaufen und die Seite „spinnt“ oder der Datenstand ist nicht der richtige und Ihr habt ggf. Daten verloren könnt Ihr jederzeit ein vorhandenes WordPress Backup einspielen. Hinweis: Wenn Ihr nicht sicher seid, ob die Version die zurückgespielt wird besser ist als euere aktuelle, dann bitte zuerst ein Backup von der jetzigen Version machen. Denn, nur dann kommt ihr wieder auf den Stand vor dem Restore zurück. Für das Einspielen eines ältenen Standes einfach den Haken bei der gewünschten Version machen und auf „Wiederherstellen“ drücken und bestätigen

Danach kommt eine Auswahlbox in der ich für ein komplettes Restore alles anklicke: 

Nach Bestätigung mit „Weiter“ kommt in der gerade aktuellen Version einer Warnung die ich ignoriere. Es wurden keine Tabellen beim Backup ausgelassen. Vielleicht hängt der Fehler mit dem kurz vorher durchgeführten WordPress-Update zusammen.

Danach läuft der Restore-Prozesse mit einem Protokoll und zum Schluss ist das System wieder im ursprünglichen Zustand. Jetzt rufe ich einfach meine Domain wieder auf und ich bin wieder auf meiner Webseite im Zustand am Backup-Zeitpunkt.

Wird die Sicherung gar nicht mehr im Plugin angezeigt, könnt Ihr die auf dem lokalen Rechner gespeicherten Dateien hochladen. Das ist besonders wichtig, wenn WordPress nach einem Fehler gar nicht mehr ansprechbar ist. Sollte das der Fall sein und Ihr habt ein aktuelles Backup, dann könnt Ihr WordPress neu installieren, das Plugin installieren und aktivieren. Danach seid Ihr bereit, Euere Backup-Dateien hochzuladen und das Zurückspielen des Backups zu starten.

Nachteile des WordPress Backups Updraft Plus

Ein Nachteil ist, dass es viele Dateien erzeugt die man beim Restore alle wieder zusammenbekommen muss. Ausserdem muss WordPress und das Plugin funktionieren, sonst klappt auch das Einspielen des Backups nicht. Der Vorteil dabei ist aber, dass User die sich vor dem direkten Einspielen der Dateien per FTP und dem Importieren der Datenbank über Oberflächen wie PHPMyAdmin scheuen trotzdem ein Restore hinbekommen können. Ausserdem ist die Konfiguration extrem simpel und bisher hat es mich mit Zuverlässigkeit überzeugt. Etwas lästig sind die Hinweise auf die Premium-Dienste und nicht optimal finde ich, dass so ein wichtiges Plugin seine Oberfläche unter „Enstellungen / Updraft“ versteckt. Kostenpflichtige Dienste wie hier der Domainwechsel – z. B. vom Testserver zum Livebetrieb unter der richtigen Domain gibt es nur mit Aufpreis – oder mit anderen Plugins wie z.B. „Duplicator“ – ein extrem praktisches Plugin über das ich auch einen Artikel plane. 

Vergleich mit BackWPup

Ein anderes gutes Tool ist BackWPUp von Inpsyde GmbH. Es hat viele Einstellmöglichkeiten und das macht es auch schon komplexer alles zu durchschauen. Vorteil hier: Es wird nur eine Datei pro Backup erzeugt. Und: Man kann mehrere Backupjobs parallel konfigurieren – z. B. nur alles aus 2020. Bei größeren Installationen macht das Sinn. 

Letze Worte

Wenn Ihr bis hierher gelesen habt dann gibt es künftig keine Ausrede mehr im Notfall kein Backup euerer Webseite zu haben. Ich empfehle, immer bevor Ihr eines euerer regelmäßigen Updates macht, vorher auf den „Backup erstellen“ Button zu klicken. Ist die Seite in einem Zustand, den Ihr auch länger aufbewahren wollt – z.b. kurz nach dem Relaunch – dann setzt den Haken „Backup behalten“. Dann wird es nicht automatisch gelöscht sondern aufbewahrt. Und: Testet den Restore-Vorgang gelegentlich – einfach um zu prüfen, ob es auch im Notfall klappt.  

Über mich

Ich bin Günther A. Biebl und gebe WordPress-Seminare und unterstütze Unternehmen dabei ihre WordPress Webseite zu erstellen und eigenständig zu publizieren. Bei Fragen einfach melden.

Der Beitrag WordPress Backup einfach und kostenlos einspielen mit Updraft Plus erschien zuerst auf Collaborato Training.

Vorteile des Plugins:

• Schnelle Grundkonfiguration mit „Secure Site“-Funktion.
• Umfangreiche Funktionen mit englischer Beschreibung 
• Über den Menüpunkt „Log“ bekommt man einen Eindruck was alles passiert

Nachteile des Plugins:

• Man kann sich schnell selber aussperren, wen man nicht aufpasst
• Manchmal werden etwas zu Warnungen zu leichtfertig ausgesprochen
• Es speichert IP-Adressen der (vermeintlichen) Angreifer und meldet diese bei aktivierter Funktion „Network Brute Force Detection“ auch an den Hersteller.

Ich schalte also immer die Funktion „Network Brute Force Detection“ ab und deaktiviere auch den Newsletter beim ersten Durchlauf der „Secure Site“-Funktion. Danach warte ich erstmal ab was sich in ein paar Wochen im Log findet. Passieren viele unberechtigte Loginversuche von unbekannten Nutzern, ziehe ich Schritt für Schritt die Sicherheitseinstellungen höher. Weniger Loginversuche, längere Aussperrungen usw. Nach meiner Erfahrung ist der Punkt „File Change Detection“ zu hysterisch in seinen Meldungen – das macht eher Panik als dass es hilft. Und: Es gibt einen Punkt „Lockout Whitelist“ unter „Global Settings“ mit dem man seine aktuelle IP-Adresse eintragen kann, falls ohne Aussperrungsgefahr das Plugin testen will.

In der Pro-Version (die ich Wartungskunden zur Verfügung stellen kann) gibt es z. B. zusätzlich eine Funktion die eine 2-Faktor-Anmeldung für Benutzer ermöglicht. Dann entfällt das zuletzt vorgestellte Math-Captca zugunsten einer Authentifizierungs-App auf dem Handy. Kleiner DSGVO-Hinweis: Da für das Log IP-Adressen gespeichert werden, sollte das meines Wissens nach auch in der Datenschutzerklärung beschrieben sein.

Hier der Link zum Plugin und hier mein WordPress-Beratungsangebot.

Der Beitrag Security-Plugin iThemes Security – eine kurze Einschätzung erschien zuerst auf Collaborato Training.

Zum einen sind die dafür benötigten SSL-Zertifikate heute kostenlos zu bekommen und zum anderen haben wir in der Vergangenheit gesehen, wer alles diese Daten mitlesen will. Die Browserhersteller – allen voran Mozilla mit dem Firefox – warnen inzwischen sogar den Benutzer, wenn er Daten in ein unverschlüsseltes Formular eingibt und Google will mit Chrome nachziehen.  Deshalb zeige ich hier, wie Sie ein bestehendes WordPress auf HTTPS:// umschalten können. Ich halte die Beschreibung allgemein, meine Beispiele kommen aber von meinem Provider All-inkl.com.

1. Zertifikat bestellen

Zunächst gilt es zu prüfen, ob ein einfaches SSL-Zertifikat bereits im Webspace-Vertrag enthalten ist. Es gibt immer auch noch extra zu bezahlende Zertifikate wie z.B. „Wildcard-Zertifikate“, die für alle Subdomains gelten – die meine ich nicht. Es reicht, wenn z.B. „Lets Encrypt“ oder ähnliche freie Zertifikate unterstützt werden. Ist das nicht der Fall, muss ggf für ca. 10-12 Euro / Jahr die Funktion dazu gebucht werden.

Bei All-inkl.com muss nur im kleinsten Tarif „Privat“ die Funktion für 99ct / Monat über die Members-Area dazugebucht werden. Alle anderen Pakete enthalten die Funktion bereits.

2. Zertifikat aktivieren

Jetzt wird das Zertifikat einer Domain (Webadresse) zugewiesen. Die Funktion ist über den Login-Bereich beim Provider zu erreichen. Bei All-Inkl.com befindet sich die Funkton im „KAS“ unter dem Menüpunkt „Domain“. Hier der Ablauf für All-inkl.com – bei andern Providern analog verfahren.

Dort erscheint eine Liste aller verfügbaren Domains – zunächst noch ohne das rote Schloss-Symbol. Hier wählen wir die Domain aus auf der die Webseite läuft und klicken rechts auf das Bearbeiten-Symbol (links von der Mülltonne).

Jetzt erscheinen die Details zur Domain. Hier einfach auf neben dem Text „SSL-Schutz“ auf „Bearbeiten“ klicken.

Dann wird das Zertifikat ausgewählt und aktiviert: Auf den Reiter „Let’s Encrypt“ klicken, Haftungsausschuss zustimmen durch anhaken und den Button „Jetzt ein Let´s Encrypt Zertifikat beziehen….“ klicken.

Nach kurzer Zeit meldet sich das System mit „Das Zertifikat wurde bearbeitet….“ zurück. Jetzt gilt es, ein paar Minuten zu warten. Je nach Provider kann das auch ein paar Stunden dauern.

3. Zertifikat testen

Rufen Sie jetzt Ihre Seite auf indem Sie die Domain mit führendem https:// in die Adresszeile des Browsers eintippen. z.B. „https://collaboato.de“ . Kommt eine Fehlermeldung wie „Seite ist nicht sicher….“ ist das Zertifikat noch nicht fertig eingerichtet. Bitte unbedingt warten bis hier KEINE Fehlermeldung mehr erscheint, und die Seite anstandslos geladen wird.

In der Adresszeile steht dann gleich nach dem Laden der Seite „https://“ – oder „Sicher“ – Je nach Browser. Die Anzeige wird heute nicht mehr unbedingt in grüner Schrift mit einem grünen Schloss dargestellt, da die Browserhersteller das als den Normalzustand anzeigen wollen.

4. WordPress umschalten

Wenn das zuverlässig klappt, loggen wir uns im WordPress ein und begeben uns zum Menüpunkt „Einstellungen“ und dort in den Bereich „Allgemein“. Hier steht Titel und Untertitel auch die WordPress-Adresse  und die Webseiten-Adresse.

Unsere Domain steht hier noch ohne „https://“. Also hier bitte das fehlende „s“ einfügen und unten auf „Änderungen speichern“ klicken. Bei der Adressänderung bitte besonders vorsichtig sein und keine weiteren Änderungen vornehmen – sonst reagiert WordPress gleich nicht mehr. Die Tatsache, dass wir uns jetzt wieder einloggen müssen ist allerdings normal.

5. Plugin installieren und aktivieren

Warum jetzt noch ein Schritt wo HTTPS doch schon läuft? Im momentanen Stadium kann man zwar jede Seite per HTTPS aufrufen, sobald man aber einen internen Link oder einen Menüpunkt anklickt, ist „https://“ aber wieder weg, da die internen Links noch auf „http://“ lauten. Das wollen wir aber dauerhaft umstellen. Dazu ändern wir die Verlinkung in der Datenbank per suchen & ersetzen mit einem Plugin. Die Schritte 5-7 entfallen, falls das WordPress gerade erst frisch installiert wurde und noch keine Inhalte angelegt wurden.

Bitte folgendes Plugin installieren und aktivieren: Better Search Replace von Delicious Brains. Nach dem Aktivieren finden wird die neue Funktion unter dem Menüpunkt „Werkzeuge“ im Unterpunkt „Better Search Replace“.

6. Backup der Datenbank

Spätestens jetzt sollten wir unsere Datenbank sichern. Ich benütze dafür gerne das Plugin BackWPup von Inpsyde GmbH. Das Tool ist recht umfangreich, erklärt sich aber auch weitgehend selbst. Ich gehe hier jetzt nicht detailliert auf die Konfiguration ein. Falls Sie mein WordPress Seminar besucht haben, haben Sie meine Anleitung bereits im Handout vorliegen.

7. Suchen und Ersetzen mit dem Plugin

Zurück im Menü des Better Search Replace Plugins unter „Werkzeuge“ / „Better Search Replace“ stellen wir folgendes ein:

1. Suchen nach: Die Adresse (URL) Ihrer Webseite ohne „https“.
   (Achtung, meine Adresse im Foto ist nur ein Beispiel…)
2. Ersetzen durch: Die Adresse Ihrer Webseite mit „https:“.
   Bitte noch mal kontrollieren ob man sich vertippt hat, oder irgendwo Leerzeichen sich eingeschlichen haben. Das Ergebnis wäre ein nicht mehr reagierendes WordPress. Bitte auch auf jeden Fall die Adresse (URL, Domain) der eigenen Webseite mit angeben, nicht nur „http://“ und „https://“ – sonst erwischt man ggf. zu viele ungewollte Stellen gleich mit.
3. Jetzt alle Tabellen auswählen (das sind sicher andere als auf meinem Bild vom Testserver, bitte nicht irritieren lassen). Einen Eintrag anklicken und mit Cmd+A (Mac) oder Ctrl+A (PC) alle Tabellen markieren spart Arbeit.
4. Den Haken bei „Gross- und Kleinschreibung ignorieren“ setzen.
5. Den Haken bei „auch GUIDs ersetzen“ setzen

Wenn Testlauf gewünscht, dann den „Testlauf“-Haken drin lassen. Dann werden zunächst keine Änderungen vorgenommen, sondern nur angezeigt wie viele Änderungen anstehen. Für eine tatsächliche Durchführung muss der Haken aber raus.

8. Neu einloggen und testen.

Sobald das Plugin fertig ist, sollte immer „Sicher“ angezeigt werden, egal welche Seite wir aufrufen und welchem Link wir folgen. Sollte es auf einer Seite so sein, dass noch ein Fehler angezeigt wird, kann es sein, dass zusätzliche Inhalte wie eingebettete Karten oder Videos noch nicht per HTTPS:// eingebunden sind. Diese Inhalte dann bitte noch mal mit der richtigen Adresse einbetten.

9. Optional: Webserver auf HTTPS umleiten.

Nach meiner Erfahrung reichen die Schritte oben für eine komplette Umstellung. Es gibt noch den Fall, dass jemand bewusst http://meinefirma.de aufruft – also bewusst ohne das „s“, oder eine alte Verlinkung noch nicht auf „https:“ umgestellt ist. In der Vergangenheit war das dann so, dass WordPress auch diese eine Seite ohne Verschlüsselung ausgeliefert hatte. Es gab die Seite also sozusagen doppelt: Mit und ohne https. Meine Tests ergeben aber, dass schon bis hierher konfiguriert der Server per erwünschter 301 Umleitung auf https:// verweist. Früher war das tatsächlich nicht so, inzwischen ist das aber Standard bei WordPress. Weiss jemand mehr dazu? Infos gerne in die Kommentare. (Nachtrag unten)

Will man diesen letzten Schritt noch gehen, gibt es eine allgemeine Methode und eine Abkürzung bei All-Inkl.com.

1. Allgemeine Methode: Es muss die Datei .htaccess auf dem Server bearbeitet werden. Dazu braucht man ein FTP-Programm wie „Filezilla“ und die FTP-Zugangsdaten seines Providers. Im Hauptverzeichnis der WordPress-Installation findet man dann diese Datei. Dort schreibt man folgendes rein: (nachdem man sich eine Kopie gemacht hat!) ….
   <IfModule mod_rewrite.c>
   RewriteEngine On
   RewriteCond %{HTTPS} off
   RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
   </IfModule>
2. Oder, falls man All-Inkl.com nutzt, kann man auch im KAS wieder zu seinem SSL-Zertifikat navigieren (wie in Punkt 2 dieser Anleitung). Also erst zum Menüpunkt Domains und dann dort bei der einsprechenden Domain auf „bearbeiten“ klicken.
   

   

   
   Jetzt auf SSL-Schutz bearbeiten klicken

   

   
   Dann öffnen sich jetzt die Details zum oben neu eingerichteten Zertifikat.

   

   
   Dort können Sie den Schalter bei „SSL erzwingen“ auf „Ja“ schalten. Auf diese Weise verhindert der Server, dass noch http ausgeliefert wird. (Bevor die Frage kommt: HSTS ist ein zusätzliches Sicherheitsfeature – dann kann die Seite in nächster Zeit NICHT MEHR ohne HTTPS:// aufgerufen werden. Falls Sie also HTTPS:// doch wieder deaktivieren, können Sie für diese Zeitspanne nicht mehr auf Ihre Webseite zugreifen. In meinem Beispiel sind das knapp 2 Wochen – also Vorsicht mit dieser Funktion, für den Basisschutz ist sie nicht notwendig.)

Soweit von mir, viel Erfolg mit euerer Webseite!

Nachtrag: Ich hatte kürzlich die Gelegenheit den Umzug bei einem Strato-Kunden durchzuführen. Tatsächlich musste ich eine separate Umleitung einrichten, damit die Seite immer sofort und zuverlässig auf https:// umschaltet. Ich habe mir das einfach gemacht und das Plugin iThemes-Security (das schon installiert war) verwendet. Dort gibt es ein Modul namens „SSL“ das einfach auf „Enabled (Recommended)“ eingestellt wird. Fertig. Da ich das Plugin ohnehin ganz gut finde, passt die Lösung für mich.

Abkürzung per Plugin (Nachtrag 2)

Wem der Weg oben zu aufwändig ist, der kann das Plugin „Really Simple SSL“ probieren. Vorher ist es aber gut, wie im Schritt 3 oben beschrieben zu testen ob bereits ein SSL-Zertifikat für die Seite aktiv ist. Kommt eine Fehlermeldung das Plugin bitte nicht per Schalter in den Plugin-Einstellungen scharf schalten, sondern vorher die obigen Schritte 1 und 2 ausführen und dann noch mal testen. (Bzw. analog zu euerem Provider das Zertifikat ggf. bestellen und für die verwendete Domain aktivieren.

Der Beitrag Die WordPress Webseite auf https:// umstellen (=per SSL absichern) erschien zuerst auf Collaborato Training.