Kapitel 3 · 3.7
Sichere Passwörter und was Sie bei einem geleakten Passwort tun
Ein gutes Passwort ist der wichtigste Schutz Ihrer Website und E-Mail. In diesem Artikel lesen Sie, welche Passwörter zu Ihrem Paket gehören, wie Sie diese sicher gestalten und was Sie tun, wenn eines davon geleakt ist.
Welche Passwörter haben Sie?
| Passwort | Wofür? | Ändern |
|---|---|---|
| Mein WebOké | Ihre Kundenumgebung und damit auch die Schaltfläche zu DirectAdmin. | Mein WebOké, Mijn Administratie, Inloggegevens |
| DA-Passwort | Direktes Einloggen in DirectAdmin und das Standard-FTP-Konto. | Ihr DA-Passwort einrichten oder ändern |
| Postfach | Jede E-Mail-Adresse hat ein eigenes Passwort. | Das Passwort einer E-Mail-Adresse ändern |
| FTP-Konto | Jedes zusätzliche FTP-Konto hat ein eigenes Passwort. | FTP-Konten erstellen und verwalten |
| Datenbank | Der Datenbankbenutzer Ihrer Website. Steht auch in den Einstellungen Ihrer Website, wie wp-config.php. | Datenbank-Benutzer, Berechtigungen und Passwörter |
| Ihre Website | Zum Beispiel der Administrator von WordPress. Diesen verwalten Sie in Ihrer Website selbst. | In Ihrer Website |
Diese Passwörter stehen unabhängig voneinander. Ändern Sie Ihr DA-Passwort, ändern sich Ihre Postfach-, Datenbank- und Website-Passwörter nicht.
Ein sicheres Passwort
- Lang: mindestens 15 Zeichen. Länge macht ein Passwort viel stärker als ungewöhnliche Zeichen. Ein Passwortsatz aus fünf oder sechs zufällig gewählten Wörtern ist stark und dennoch leicht zu merken.
- Wirklich zufällig: lassen Sie das Passwort oder die Wörter von einem Passwort-Manager wählen. Ein Passwort, das Sie sich selbst ausdenken, wie ein Wort mit einer Jahreszahl und einem Ausrufezeichen, folgt fast immer einem Muster, das Angreifer als Erstes ausprobieren.
- Einzigartig: verwenden Sie jedes Passwort nur an einer Stelle. Wird es bei einer anderen Website geleakt, bleibt Ihr Paket sicher.
- Nicht zu erraten: kein Name, Geburtsdatum, Firmenname oder Domainname.
- Gespeichert in einem Passwort-Manager, wie Bitwarden, 1Password oder dem Passwort-Manager Ihres Browsers. Dieser kann auch starke Passwörter für Sie erstellen. In Mein WebOké geht das mit Generieren beim DA-Passwort.
- Nicht geteilt per E-Mail, WhatsApp oder einem Zettel auf Ihrem Bildschirm.
- Nicht ohne Grund wechseln: ein starkes, einzigartiges Passwort müssen Sie nicht alle paar Monate ändern. Ändern Sie es jedoch sofort, wenn es einen Grund gibt, zum Beispiel eine Meldung über ein Leck oder ein Kollege, der geht und das Passwort kannte.
Diese Empfehlungen folgen der Richtlinie des US-amerikanischen NIST (SP 800-63B-4) und der Empfehlung des Nationalen Cyber Security Centrums. Manche Systeme stellen zusätzlich eigene Anforderungen, wie einen Großbuchstaben, eine Zahl oder ein Sonderzeichen. Fügen Sie diese dann zu Ihrem langen Passwort hinzu.
Zusätzliche Sicherheit
- Aktivieren Sie die Zwei-Schritt-Authentifizierung in DirectAdmin (siehe Zwei-Schritt-Authentifizierung einrichten) und verwenden Sie eine Authenticator-App für Mein WebOké.
- Geben Sie anderen keinen Zugang mit Ihrem eigenen Passwort. Erstellen Sie für einen Webentwickler ein eigenes FTP-Konto (siehe FTP-Konten erstellen und verwalten) oder einen Anmeldeschlüssel mit Ablaufdatum (siehe Anmeldeschlüssel: Anmeldung für Skripte und Programme).
- Melden Sie sich auf einem Computer ab, den Sie mit anderen teilen (siehe Abmelden und sicher beenden).
Vermuten Sie, dass ein Passwort geleakt wurde?
Zum Beispiel, weil Sie eine Meldung über ein Datenleck erhalten haben, Sie eine fremde IP-Adresse im Anmeldeverlauf sehen oder weil plötzlich E-Mails in Ihrem Namen verschickt werden. Gehen Sie dann wie folgt vor:
- Ändern Sie das Passwort sofort. Geht es um DirectAdmin, stellen Sie in Mein WebOké ein neues DA-Passwort ein (siehe Ihr DA-Passwort einrichten oder ändern). Das funktioniert auch, wenn jemand anders das alte Passwort bereits geändert hat.
- Beenden Sie alle anderen Sitzungen in DirectAdmin: Profil, Registerkarte Sitzungen, BEËINDIG ALLE ANDERE (siehe Abmelden und sicher beenden).
- Überprüfen Sie den Anmeldeverlauf auf unbekannte IP-Adressen (siehe Anmeldeverlauf: Wer hat sich wann angemeldet?).
- Überprüfen Sie die Anmeldeschlüssel und entfernen Sie Schlüssel, die Sie nicht kennen (siehe Anmeldeschlüssel: Anmeldung für Skripte und Programme).
- Überprüfen Sie Ihre FTP-Konten und entfernen Sie Konten, die Sie nicht kennen (siehe FTP-Konten erstellen und verwalten).
- Überprüfen Sie Ihre E-Mail: schauen Sie bei E-Mail-Weiterleitungen, ob keine Weiterleitung an eine fremde Adresse hinzugekommen ist, und ändern Sie die Passwörter Ihrer Postfächer (siehe E-Mail-Weiterleitungen: Mail an eine andere Adresse weiterleiten und Das Passwort einer E-Mail-Adresse ändern). Wird Spam von Ihrer Adresse verschickt, lesen Sie Was tun, wenn Ihre E-Mail-Adresse missbraucht wird.
- Lassen Sie Ihre Website scannen auf Malware mit Imunify360 (siehe Imunify360: Ihre Website auf Malware scannen). Ist Ihre Website gehackt, folgen Sie Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung.
- Aktivieren Sie die Zwei-Schritt-Authentifizierung (siehe Zwei-Schritt-Authentifizierung einrichten).
- Ändern Sie das Passwort auch an anderen Stellen, an denen Sie dasselbe Passwort verwendet haben.
Hinweis: Passen Sie nach dem Ändern eines Postfach-Passworts auch das Passwort in Ihrem E-Mail-Programm auf Ihrem Computer und Telefon an. Versucht ein Gerät es weiterhin mit dem alten Passwort, blockiert der Server nach einiger Zeit Ihre IP-Adresse (siehe Probleme beim Einloggen lösen).
Geht das auch in Mein WebOké?
Ja. Ihr DA-Passwort stellen Sie in Mein WebOké ein, ohne das alte zu kennen: Meine Produkte, Beheer, Block DA-Passwort ändern. Das neue Passwort gilt sofort, auch für das Standard-FTP-Konto.
Tipp: Sind Sie sich nicht sicher, ob etwas nicht stimmt? Erstellen Sie ein Ticket über das Support-Center. Wir können in den Protokollen des Servers nachsehen.