Sicherheit und Datenschutz

Genossi begrenzt fehlgeschlagene Anmeldungen bereits nach dem Aktivieren des Themes. Unter Einstellungen → Sicherheit kannst du den Schutz anpassen. Für den täglichen Betrieb kannst du die Voreinstellungen zunächst beibehalten.

Zwei-Faktor-Anmeldung

Zum Passwort kommt ein Code, den nur dein Handy kennt. Wer dein Passwort erfährt, kommt damit allein noch nicht in dein Konto. Jede Person schaltet das für sich selbst ein. Dafür brauchst du kein Plugin.

Solange dein Konto keine Zwei-Faktor-Anmeldung nutzt, zeigt der Adminbereich eine große rote Warnung, auch im Block-Editor. Du kannst sie weder schließen noch in den Einstellungen abschalten. Der Link in der Warnung führt direkt zur Einrichtung. Nach dem Einschalten verschwindet sie beim nächsten Seitenaufruf. Schaltest du die Zwei-Faktor-Anmeldung später aus, erscheint sie wieder. Auf einer Entwicklungskopie der Website auf deinem eigenen Computer erscheint die Warnung nicht.

1. Installiere eine Authenticator-App auf deinem Handy, zum Beispiel Aegis, Google Authenticator oder Microsoft Authenticator. Auf dem iPhone kann das auch die Passwort-App.
2. Öffne Benutzer → Zwei-Faktor-Anmeldung (wenn du keine Benutzer verwaltest: Profil → Zwei-Faktor-Anmeldung).
3. Scanne den QR-Code mit der App oder tippe den Schlüssel von Hand ein.
4. Trage den Code ein, den die App zeigt, und klicke auf Einschalten.
5. Bewahre die zehn Wiederherstellungscodes sicher auf, zum Beispiel ausgedruckt oder im Passwort-Manager. Sie werden nur dieses eine Mal gezeigt.

Beim Anmelden fragt die Website nach dem Passwort jetzt nach dem Code. Das gilt auch für die Anmeldung im Wartungsmodus und im Fenster, das erscheint, wenn deine Sitzung abgelaufen ist. Beim Einschalten werden deine anderen angemeldeten Geräte abgemeldet.

Hast du dein Handy nicht zur Hand, gib statt des Codes einen Wiederherstellungscode ein. Jeder funktioniert einmal. Unter Zwei-Faktor-Anmeldung siehst du, wie viele noch übrig sind, und erstellst neue. Zum Erstellen neuer Codes und zum Ausschalten brauchst du einen gültigen Code, damit eine vergessene offene Sitzung dafür nicht reicht.

Deinen Anmeldeschutz prüfen

Die Übersicht Dein Anmeldeschutz zeigt den aktuellen Zustand deines Kontos: Nicht eingerichtet oder Aktiv. Bei aktiver Zwei-Faktor-Anmeldung siehst du außerdem, wie viele Wiederherstellungscodes noch verfügbar sind. Nach dem Einrichten, Erstellen neuer Codes oder Ausschalten passt sich die Übersicht an.

Sind nur noch zwei Codes oder weniger übrig, erscheint ein Hinweis und Neue Wiederherstellungscodes ist bereits aufgeklappt. Bei null Codes warnt die Übersicht rot. Neue Codes ersetzen alle bisherigen Codes.

Unter Anmeldeschutz verwalten klappst du die benötigte Aktion auf. Das Ausschalten zeigt zuerst die Folgen und verlangt weiterhin einen gültigen Code. Schlägt die Bestätigung fehl, bleibt die gewählte Aktion geöffnet, damit du es erneut versuchen kannst.

Falsche Codes zählen wie falsche Passwörter (siehe unten). Nach jedem falschen Code wartest du außerdem etwas länger, bis du es wieder versuchen kannst.

Programme, die über die Schnittstelle von WordPress arbeiten, melden sich mit einem Anwendungspasswort an (Benutzer → Profil). Das normale Passwort reicht dort nicht mehr aus.

Wenn du Handy und Wiederherstellungscodes verloren hast

Eine Administratorin oder ein Administrator kann die Zwei-Faktor-Anmeldung für dich ausschalten: unter Benutzer dein Konto öffnen und Für diese Person ausschalten ankreuzen. Prüfe vorher, dass die Bitte wirklich von dieser Person kommt. In der Spalte 2FA der Benutzerliste steht, wer sie nutzt.

Kommt niemand mehr hinein, kann der Hoster sie auf der Kommandozeile ausschalten: wp genossi 2fa disable BENUTZERNAME.

Die Zwei-Faktor-Anmeldung gehört zum Theme. Wechselst du zu einem anderen Theme, reicht wieder das Passwort.

Wenn die Anmeldung gesperrt ist

Nach vier fehlgeschlagenen Anmeldungen sperrt Genossi die IP-Adresse für 20 Minuten. Nach vier solchen Sperren dauert die Sperre 24 Stunden. Währenddessen helfen auch richtige Zugangsdaten nicht. Die Anmeldung zeigt die verbleibende Sperrzeit an.

Warte diese Zeit ab oder bitte eine andere Administratorin beziehungsweise einen anderen Administrator, die Adresse unter Einstellungen → Sicherheit → IP-Adresse entsperren freizugeben. Steht die Adresse zusätzlich in Gesperrte IP-Adressen, muss sie auch dort entfernt werden.

Bei einer gemeinsamen Internetverbindung teilen sich mehrere Personen denselben Zähler. Eine Sperre kann deshalb auch entstehen, wenn eine andere Person im selben Büro mehrfach ein falsches Passwort eingibt. Die öffentliche Website bleibt erreichbar. Bereits angemeldete Personen derselben gesperrten IP-Adresse können allerdings ebenfalls den Zugang verlieren.

Die Grenzen einstellen

Unter Einstellungen → Sicherheit legst du erlaubte Fehlversuche, Sperrdauer und die längere Sperre nach wiederholten Fehlern fest.

Standardmäßig vergisst Genossi Fehlversuche und wiederholte Sperren nach zwölf Stunden ohne weiteren Fehlversuch. Eine noch laufende Sperre endet dadurch nicht früher. Eine erfolgreiche Passwortanmeldung setzt die bisherigen Fehlversuche und Sperren dieser Adresse zurück. Ein normaler Seitenaufruf mit bestehender Anmeldung tut das nicht.

Der Schutz gilt für die WordPress-Anmeldung, das Anmeldefeld im Wartungsmodus und die normale WooCommerce-Anmeldung. Falls eine Erweiterung XML-RPC wieder einschaltet, greift er auch dort. Gefälschte Anmelde-Cookies zählen als Fehler, fehlende oder abgelaufene Cookies nicht.

Einzelne Adressen erlauben oder sperren

In Erlaubte IP-Adressen kannst du Adressen vom Versuchslimit ausnehmen. Benutzername und Passwort müssen weiterhin stimmen. Gesperrte IP-Adressen verhindert jede Anmeldung von den eingetragenen Adressen. Die Sperrliste hat Vorrang vor der erlaubten Liste.

Trage pro Zeile eine IPv4- oder IPv6-Adresse ein. Netzwerkbereiche in CIDR-Schreibweise sind ebenfalls möglich, etwa 192.0.2.0/24. Wenn du mit dieser Schreibweise nicht vertraut bist, lass die Liste vom Hoster einrichten. Ungültige Eingaben lösen eine Meldung aus, die bisherige Liste bleibt dann erhalten.

IP-Adresse entsperren löscht die Fehlversuche und zeitlichen Sperren dieser Adresse. Es entfernt keine dauerhafte Sperre aus der Sperrliste.

Protokoll und Benachrichtigungen

Protokoll und E-Mail-Benachrichtigung sind zunächst ausgeschaltet. Wenn du das Protokoll einschaltest, enthält es nur IP-Adresse und Sperrzeit. Genossi speichert dort keine Benutzernamen, Passwörter oder Cookie-Werte.

Das Protokoll zeigt höchstens 100 Sperren aus den letzten sieben Tagen. Ein täglicher Hintergrundlauf entfernt ältere Einträge. Nach dem Ausschalten der Protokollierung löscht dieser Lauf das Protokoll ebenfalls.

Mit E-Mail-Benachrichtigung erhält die Administration bei jeder längeren Sperre eine Nachricht. Empfänger ist die Adresse unter Einstellungen → Allgemein.

Auch ohne Protokoll braucht der Schutz vorübergehende Zähler. Genossi speichert sie unter einem aus der IP-Adresse und einem WordPress-Sicherheitsschlüssel abgeleiteten Schlüssel.

Einstellungen für den Hoster

Wenn die Website hinter einem Reverse Proxy oder Sucuri läuft, muss der Hoster die Ermittlung der Besucheradresse prüfen. Ohne besondere Einrichtung zählt Genossi die Adresse der direkten Serververbindung.

Nur Adressen in Vertrauenswürdige Proxy-Adressen dürfen den gewählten IP-Header des Proxys liefern. Für Sucuri kann der Hoster dessen aktuelle Proxy-Netze eintragen und X-Sucuri-ClientIP wählen. Bei X-Forwarded-For prüft Genossi bekannte Proxys von rechts bis zur ersten unbekannten Adresse.

Lass diese Felder vom Hoster ausfüllen. Eine pauschale Freigabe aller Adressen würde erlauben, die ausgewertete IP-Adresse zu fälschen. Der Hoster muss außerdem sicherstellen, dass eingehende fremde Header überschrieben oder um die tatsächliche Verbindung ergänzt werden.

Wenn niemand mehr hineinkommt

Der Hoster kann in wp-config.php vor dem Laden von WordPress vorübergehend define( 'EU_LOGIN_PROTECTION', false ); setzen. Danach kann die Administration die betreffende IP-Adresse entsperren oder eine falsche Liste korrigieren. Anschließend muss der Hoster die Zeile wieder entfernen.

Der Schalter gilt auch bei einer Netzwerkvorgabe. Der Anmeldeschutz gehört zum Theme und endet beim Wechsel zu einem anderen Theme. Ein gelöschter Zählerspeicher setzt die Versuchslimits zurück.

Mehrere Websites in einer WordPress-Installation

Bei einer Multisite kann die Netzwerkverwaltung unter Einstellungen → Sicherheit gemeinsame Vorgaben für alle Websites mit Genossi festlegen. Die einzelne Website zeigt dann diese Vorgaben und sperrt ihre Bearbeitung. Zähler, Protokolle und Entsperrungen bleiben pro Website getrennt. Websites mit einem anderen Theme sind davon nicht geschützt.

Personenbezogene Daten aufräumen

Prüfe vor dem Start die Seite Datenschutz und wähle sie unter Einstellungen → Datenschutz aus. Beschreibe die tatsächlich verwendeten Formulare, Einbettungen und Dienste. Die mitgelieferte Seite enthält Platzhalter, die du ersetzen musst.

Die Aufbewahrungsfrist für Formularnachrichten stellst du unter Genossi CMS → Formulare ein. Der Standard sind 180 Tage. Die automatische Löschung betrifft WordPress-Nachrichten, keine E-Mail-Kopien in deinem Postfach. Den Ablauf für Export und Löschung findest du unter Formulare und Nachrichten.

Für Pop-ups merkt sich der Browser, ob sie schon angezeigt oder beantwortet wurden. Mastodon-Einbettungen speichern eine Kopie des öffentlichen Posts samt Bildern. Wenn der Original-Post gelöscht wird, bleibt diese Kopie bestehen. Entferne den Block selbst, wenn du ihn nicht mehr zeigen möchtest.

Plugins ergänzen

Unter Plugins und Plugins → Plugin hinzufügen steht der Hinweis Vorsicht bei Plugins. Ein Plugin kann Inhalte und Einstellungen der Website lesen und ändern. Prüfe zuerst die aufklappbare Liste Was Genossi CMS schon kann …. Sie nennt die bereits eingebauten Funktionen und mögliche Konflikte.

Ein zusätzliches Cache-, Sprach-, Formular-, Wartungsmodus-, Anmeldebegrenzungs- oder Zwei-Faktor-Plugin übernimmt häufig dieselbe Aufgabe wie das Theme. Zwei Lösungen für dieselbe Funktion können sich gegenseitig stören.

Wenn du eine Erweiterung brauchst:

1. Prüfe, ob Genossi die Funktion schon anbietet.
2. Nutze das WordPress-Plugin-Verzeichnis oder die Website des Herstellers und prüfe, ob das Plugin gepflegt wird.
3. Erstelle mit deinem Hosting ein Backup der Datenbank und Dateien.
4. Installiere das Plugin und prüfe die betroffenen Funktionen ohne Anmeldung. So siehst du auch die Besucheransicht aus dem Cache.
5. Lösche Erweiterungen, die du nicht mehr verwendest.

Geht danach etwas kaputt, deaktiviere zuerst das neue Plugin. Das leert auch den Seitenspeicher. Ist der Admin-Bereich nicht mehr erreichbar, nutze den Wiederherstellungslink aus der WordPress-E-Mail. Wenn das nicht reicht, kann der Hoster den Plugin-Ordner unter wp-content/plugins umbenennen. Leere danach den Cache und prüfe die Website erneut.