WordPress im öffentlichen WLAN: Brauche ich ein VPN?

#

Schnell im Hotel noch einen WordPress-Artikel korrigieren, im ICE einen Kommentar beantworten oder im Café ein Plugin aktualisieren: Technisch ist das kein Problem. Schließlich lässt sich das WordPress-Backend von praktisch überall erreichen.

Doch wie sicher ist es, sich über ein öffentliches WLAN bei WordPress anzumelden? Kann jemand im gleichen Netzwerk das Passwort mitlesen? Und braucht man dafür tatsächlich ein VPN?

Die kurze Antwort: Eine korrekt konfigurierte HTTPS-Verbindung schützt bereits sehr viel. Ein VPN kann in fremden Netzwerken eine zusätzliche Schutzschicht bieten, ersetzt aber weder HTTPS noch eine vernünftige Absicherung von WordPress.

Schauen wir uns genauer an, was dabei technisch passiert.

Das typische Szenario

#

Nehmen wir an, wir sitzen mit unserem Notebook in einem Hotel und verbinden uns mit dem dort angebotenen WLAN.

Anschließend öffnen wir:

https://example.com/wp-admin/

Damit befinden sich zwischen unserem Browser und WordPress mehrere Stationen:

Notebook
    │
    ▼
öffentliches WLAN
    │
    ▼
Router / Internetzugang
    │
    ▼
Internet
    │
    ▼
Webserver
    │
    ▼
WordPress

Das unangenehme Gefühl entsteht vor allem beim ersten Teil dieser Verbindung: Wir kontrollieren das WLAN nicht.

Wir wissen beispielsweise nicht, wer den Access Point betreibt, wie dieser konfiguriert ist und welche anderen Geräte sich im gleichen Netzwerk befinden.

Kann jemand mein WordPress-Passwort mitlesen?

#

Bei einer korrekt eingerichteten Website mit HTTPS wird die Kommunikation zwischen Browser und Webserver per TLS verschlüsselt.

Das betrifft auch die Zugangsdaten, die wir beim WordPress-Login übertragen.

Ein anderer Teilnehmer im WLAN kann daher nicht einfach den Netzwerkverkehr mitschneiden und darin Benutzername und WordPress-Passwort im Klartext finden.

Das ist ein wichtiger Unterschied zu unverschlüsseltem HTTP.

Deshalb gilt unabhängig von einem VPN:

Das WordPress-Backend sollte ausschließlich über HTTPS erreichbar sein.

Moderne Browser warnen mittlerweile deutlich vor unverschlüsselten Verbindungen. Bei einer Administrationsoberfläche sollte man eine solche Warnung keinesfalls ignorieren.

Was HTTPS nicht löst

#

HTTPS verschlüsselt die Kommunikation mit der aufgerufenen Website. Es macht ein fremdes Netzwerk aber nicht automatisch vertrauenswürdig.

Ein öffentliches WLAN bringt weitere mögliche Risiken mit sich. Dazu gehören beispielsweise manipulierte oder gefälschte WLAN-Zugangspunkte, Angriffe auf andere lokal erreichbare Dienste des Rechners oder Versuche, den Netzwerkverkehr umzuleiten.

Besonders tückisch sind WLANs mit vertraut klingenden Namen.

Neben dem echten:

Hotel_Guest

könnte theoretisch auch jemand einen Access Point mit einem Namen wie

Hotel_Guest_Free

betreiben.

HTTPS bleibt deshalb wichtig: Der Browser überprüft beim Aufbau der Verbindung unter anderem das Zertifikat des angesprochenen Servers.

Eine Zertifikatswarnung beim Aufruf des WordPress-Backends ist ein ernstes Warnsignal.

Was macht ein VPN anders?

#

Ein VPN setzt eine zusätzliche Ebene vor die eigentliche Internetverbindung.

Vereinfacht sieht der Weg dann so aus:

Ein VPN verschlüsselt den Netzwerkverkehr zwischen dem eigenen Gerät und dem VPN-Server. Die HTTPS-Verschlüsselung zur WordPress-Website bleibt davon unabhängig.

Der lokale Netzwerkbetreiber sieht damit nicht mehr die einzelnen Verbindungen vom Notebook zu den jeweiligen Internetdiensten in gleicher Weise, sondern zunächst eine verschlüsselte Verbindung zum VPN-Anbieter.

Erst vom VPN-Server aus wird die Verbindung ins Internet weitergeführt.

Für die WordPress-Verbindung existieren damit zwei unterschiedliche Schutzmechanismen:

Notebook
    │
    │ VPN-Verschlüsselung
    ▼
VPN-Server
    │
    │ HTTPS / TLS
    ▼
WordPress

Das VPN ersetzt HTTPS also nicht.

Beides erfüllt unterschiedliche Aufgaben.

Was ein VPN nicht kann

#

VPN-Werbung vermittelt gelegentlich den Eindruck, ein VPN würde den Computer oder die WordPress-Website grundsätzlich sicher machen.

Das stimmt nicht.

Ein VPN schützt beispielsweise nicht vor einem schwachen WordPress-Passwort, einer ungepatchten Sicherheitslücke in einem Plugin oder einem kompromittierten Rechner.

Auch Phishing verschwindet dadurch nicht.

Wer seine Zugangsdaten auf einer gefälschten Login-Seite eingibt, kann dies genauso gut über eine VPN-Verbindung tun.

Ein VPN ist deshalb eine zusätzliche Schutzmaßnahme für die Netzwerkverbindung und keine vollständige Sicherheitslösung.

Ein VPN schützt den Netzwerkweg bis zum VPN-Server. Es ersetzt weder HTTPS noch die Absicherung von WordPress und des eigenen Rechners.

WordPress unterwegs sicher administrieren

#

Wer regelmäßig über fremde Netzwerke auf WordPress zugreift, sollte mehrere Maßnahmen kombinieren.

HTTPS verwenden

#

Die komplette Website und insbesondere /wp-admin/ müssen über HTTPS erreichbar sein.

HTTP sollte automatisch auf HTTPS umgeleitet werden.

Zwei-Faktor-Authentifizierung aktivieren

#

Eine Zwei-Faktor-Authentifizierung schützt den Account zusätzlich, wenn ein Passwort doch einmal kompromittiert wird.

Neben dem Passwort wird dann ein zweiter Faktor benötigt.

Für Administratorenkonten ist das eine der sinnvollsten zusätzlichen Sicherheitsmaßnahmen.

WordPress aktuell halten

#

WordPress Core, Plugins und Themes sollten regelmäßig aktualisiert werden.

Ein VPN kann keine Sicherheitslücke in einem veralteten Plugin beheben.

Das eigene Gerät absichern

#

Auch Notebook und Betriebssystem gehören zur Sicherheitskette.

Updates, eine vernünftige Gerätesperre und möglichst wenige unnötig erreichbare Netzwerkdienste sind gerade in fremden Netzwerken wichtig.

In fremden Netzwerken ein VPN verwenden

#

Wer häufig in Hotels, Cafés, Flughäfen, Coworking-Spaces oder anderen fremden Netzwerken arbeitet, kann zusätzlich einen VPN-Dienst verwenden.

Dadurch wird der Netzwerkverkehr zunächst durch einen verschlüsselten Tunnel zum VPN-Anbieter geleitet.

Brauche ich für WordPress unbedingt ein VPN?

#

Nein.

Wer WordPress ausschließlich aus dem eigenen vertrauenswürdigen Netzwerk administriert, benötigt allein für WordPress nicht zwingend einen kommerziellen VPN-Dienst.

Auch in einem öffentlichen Netzwerk sorgt korrekt verwendetes HTTPS bereits dafür, dass die Kommunikation mit dem WordPress-Server verschlüsselt wird.

Interessanter wird ein VPN für Menschen, die regelmäßig über Netzwerke arbeiten, die sie selbst nicht kontrollieren.

Dazu gehören beispielsweise:

• Hotels
• Flughäfen
• Cafés
• öffentliche Hotspots
• Coworking-Spaces
• fremde Unternehmensnetzwerke

Hier kann ein VPN eine zusätzliche, sinnvoll kontrollierbare Schutzschicht schaffen.

VPN-Anbieter

#

Einer der bekannten kommerziellen VPN-Anbieter ist NordVPN. Der Dienst bietet Anwendungen für die gängigen Desktop- und Mobilbetriebssysteme und baut einen verschlüsselten Tunnel zwischen dem eigenen Gerät und einem VPN-Server auf.

Wer häufig unterwegs arbeitet und einen kommerziellen VPN-Dienst verwenden möchte, kann sich die aktuellen Angebote von NordVPN hier ansehen:

NordVPN

VPN für öffentliche und fremde Netzwerke.

NordVPN ansehen Affiliate-Link: Bei einem Kauf erhalten wir eine Provision. Für dich ändert sich der Preis nicht.

Affiliate-Hinweis: Wenn ihr über diesen Link einen Vertrag abschließt, erhalten wir möglicherweise eine Provision. Für euch ändert sich der Preis dadurch nicht.

Fazit

#

Für die sichere WordPress-Administration ist ein VPN kein Ersatz für HTTPS, sichere Zugangsdaten, Zwei-Faktor-Authentifizierung und aktuelle Software.

Wer ausschließlich aus dem eigenen Netzwerk arbeitet, muss sich deshalb nicht allein wegen WordPress einen VPN-Dienst anschaffen.

Wer dagegen regelmäßig im Hotel, Café, Zug oder über andere fremde Netzwerke arbeitet, kann mit einem VPN eine zusätzliche Schutzschicht zwischen dem eigenen Gerät und dem lokalen Netzwerk schaffen.

Entscheidend ist, die Aufgaben auseinanderzuhalten:

HTTPS schützt die Verbindung zur WordPress-Website. Ein VPN schützt zusätzlich den Netzwerkweg bis zum VPN-Server. Eine sichere WordPress-Installation braucht weiterhin ihre eigenen Schutzmaßnahmen.