Blog
Praxisnahe Artikel für alle, die Systeme betreiben: was zu beheben ist, in welcher Reihenfolge und warum.
- Alle Themen
- WordPress
- Websicherheit
- Incident Response
- Ransomware
- Sichere Entwicklung
- Compliance
- Identität und Zugriff
- Phishing
- Penetrationstests
- E-Mail-Sicherheit
- Schwachstellen
-
Eine praxisnahe Sicherheits-Checkliste für WordPress
Zwölf Schritte zur WordPress-Härtung in sinnvoller Reihenfolge, von Updates und verwaisten Plugins bis zu 2FA, XML-RPC, Backups, Dateiintegrität und WAF.
-
Incident-Response-Tabletop in zwei Stunden: diese Woche starten
Führen Sie mit einem kleinen Team ein zweistündiges Tabletop zu Ransomware oder Account Takeover durch und machen Sie aus den Lücken ein kurzes Runbook.
-
Security-Header, die zählen – und welche ausgedient haben
Ein Praxisleitfaden zu CSP mit Nonces, HSTS und Preload, frame-ancestors, Referrer-Policy, Permissions-Policy und COOP – mit Beispielen und was wegkann.
-
Bevor Sie Unternehmensdaten an einen KI-Assistenten anbinden
Checkliste für IT-Teams vor der LLM-Anbindung: Datenklassifizierung, Eingaben, Zugriffskontrolle, Logging, Anbieterprüfung, Verantwortung.
-
Sichere Datei-Uploads: Konzeption und Tests
Checkliste für Upload-Funktionen auf Basis des OWASP Cheat Sheets, mit einer Tabelle von Tests, die Sie gegen jeden Upload-Endpunkt ausführen können.
-
Passwörter und Passkeys – was NIST SP 800-63B-4 empfiehlt
Die aktuellen NIST-Passwortregeln: mindestens 15 Zeichen, kein erzwungener Wechsel, Abgleich mit geleakten Passwörtern – dazu MFA-Stärke und Passkeys.
-
NIS2 Artikel 21 in der Praxis für mittelgroße Organisationen
Die zehn Risikomanagementmaßnahmen aus Art. 21 NIS2 praxisnah erklärt, dazu die Meldefristen nach Art. 23: 24 Stunden, 72 Stunden und ein Monat.
-
Sicherheitsfallen bei JWT und wie Sie sie vermeiden
Häufige JWT-Fehler: alg none, RS256/HS256-Verwechslung, schwache HMAC-Secrets, fehlende Claim-Prüfung, kid-Injection, Widerruf, Speicherung – und Lösungen.
-
Phishing-Links erkennen, bevor Sie klicken
URLs so lesen, wie Angreifer sie bauen: registrierbare Domains, Doppelgänger und Punycode, der @-Trick, offene Weiterleitungen, Kurz-URLs, neue TLDs.
-
So lesen Sie einen Penetrationstest-Bericht
Was ein guter Pentest-Bericht enthält, wie Befunde bewertet werden, was Vorrang hat und wie Sie echte Tests von umetikettierten Scans unterscheiden.
-
GitHub Actions absichern: Ein Wochenplan für Entwicklungsteams
Fünf Tagesaufgaben für GitHub Actions: Token-Berechtigungen, Action-Audits, Script Injection, Umgang mit Secrets und Zuständigkeit für Workflows.
-
Die ersten 24 Stunden eines Ransomware-Vorfalls
Tag eins eines Ransomware-Angriffs: eindämmen ohne Beweisverlust, Passwörter zurücksetzen, Backups prüfen, DSGVO- und NIS2-Fristen, zahlen oder nicht.