Die Studie zeigt, dass die untersuchten CMS ein angemessenes Sicherheitsniveau bieten und einen hinreichenden Sicherheitsprozess zur Behebung von Schwachstellen implementiert haben. Um einen sicheren Betrieb einer Webseite zu gewährleisten, reicht es jedoch nicht aus, die untersuchten Lösungen in der Standardinstallation einzusetzen und zu betreiben. Vielmehr bedürfen die CMS einer sachgemäßen Konfiguration und kontinuierlichen Pflege, denn nur ein angemessenes Systemmanagement und ein umsichtiges Verwenden von Erweiterungen kann das Risiko unentdeckter Schwachstellen minimieren. Die Betreiber und Administratoren der Webseite sollten daher ein besonderes Augenmerk auf die tägliche Pflege des Systems und die Information zu möglichen Sicherheitsupdates legen und die dafür notwendige Zeit einplanen.
Handlungsempfehlungen anhand praxisnaher Anwendungsszenarien
Die Studie bietet unter anderem eine Analyse der Schwachstellen der untersuchten CMS. Zudem werden die Entwicklungsprozesse der Systeme mit dem Fokus auf Sicherheit untersucht und bewertet. Darüber hinaus ermöglicht die Studie eine verlässliche sicherheitstechnische Beurteilung von CMS im Rahmen der Planung und Beschaffung. Dazu werden exemplarisch wichtige Aspekte zur Absicherung der Software anhand von vier typischen Anwendungsszenarien beleuchtet: "Private Event Site" zum Aufbau einer privaten Webseite, "Bürgerbüro einer kleinen Gemeinde", "Open Government Site einer Kleinstadt" und "Mittelständisches Unternehmen mit mehreren Standorten".
Content Management Systeme werden zur Erstellung und Pflege von Internetauftritten im privaten Umfeld ebenso eingesetzt wie in Verwaltungen und Unternehmen. Immer wieder bieten diese Systeme jedoch Angriffsflächen für Hacker und Schadprogramme. Denn schon durch kleine Sicherheitslücken oder Fehlkonfigurationen können sich unerlaubte Zugänge zu Online-Anwendungen, IT-Infrastrukturen und sensiblen Daten öffnen. Die mangelhafte Pflege von Content Management Systemen kann auch dazu führen, dass Online-Kriminelle den Rechner oder Webserver des Anwenders übernehmen, diesen zum Teil eines Botnetzes machen und den Rechner so beispielsweise für DDoS-Angriffe missbrauchen. Schwachstellen in Content Management Systemen, die aufgrund von mangelhafter Pflege nicht geschlossen wurden, waren beispielsweise eine Ursache für die in den letzten Monaten bekannt gewordenen DDoS-Angriffe gegen US-Finanzinstitutionen.
Mit der Durchführung der Studie hatte das BSI die ]init[ AG für digitale Kommunikation und das Fraunhofer-Institut für Sichere Informationstechnologie (Fraunhofer SIT) beauftragt.
Die Studie Content Management System (CMS) (pdf, 5,07 MB) steht auf der Webseite des BSI kostenfrei zum Download zur Verfügung:
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studi…
