Noch schnell im Hotel einen Tippfehler korrigieren. Im Zug einen neuen Artikel veröffentlichen. Im Café Bilder hochladen oder vom Flughafen aus auf eine wichtige E-Mail reagieren.
Technisch ist das heute kein Problem. WordPress lässt sich praktisch von überall administrieren.
Allerdings verändert sich unterwegs die Sicherheitslage. Zu Hause kennen wir unseren Router, unser WLAN und normalerweise auch die Geräte im Netzwerk. Auf Reisen verwenden wir dagegen Hotel-WLANs, öffentliche Hotspots, Mobilfunk und Netzwerke, über deren Konfiguration wir nichts wissen.
Wer unterwegs am eigenen Blog arbeitet, sollte deshalb ein paar Dinge anders machen als am heimischen Schreibtisch.
Das eigentliche Problem ist nicht WordPress#
Wer WordPress unterwegs verwaltet, sollte neben der Netzwerkverbindung auch Zugänge, Gerät und Backups absichern.
WordPress wird nicht plötzlich unsicher, nur weil wir uns in einem Hotel befinden.
Was sich ändert, ist die Umgebung:
Zu Hause
eigenes Notebook
│
eigener Router
│
Internet
│
WordPress
Unterwegs
eigenes Notebook
│
fremdes Netzwerk
│
Internet
│
WordPress
Zu Hause kontrollieren wir zumindest den ersten Teil dieser Verbindung selbst. Im Hotel, Café oder Coworking-Space ist das nicht mehr der Fall.
Dazu kommt ein zweites Problem: Auf Reisen befinden sich häufig besonders viele wichtige Zugänge auf einem einzigen Gerät.
Neben WordPress sind das beispielsweise:
- Hosting
- Domainverwaltung
- Cloud-Speicher
- Passwortmanager
- SSH-Zugänge
- Git-Repositories
- Zahlungsanbieter
Ein verlorenes oder kompromittiertes Notebook kann deshalb erheblich unangenehmer werden als ein einzelner gestohlener WordPress-Zugang.
1. HTTPS ist Pflicht#
Die wichtigste Grundlage ist HTTPS.
Beim Aufruf des WordPress-Backends sollte die Adresse beispielsweise so beginnen:
https://example.com/wp-admin/
und nicht:
http://example.com/wp-admin/
HTTPS verschlüsselt die Kommunikation zwischen Browser und Webserver.
Das ist gerade in fremden Netzwerken wichtig. Zugangsdaten und andere übertragene Inhalte werden dadurch nicht einfach im Klartext über das Netzwerk geschickt.
Moderne WordPress-Websites sollten ohnehin vollständig auf HTTPS laufen. Wer noch unverschlüsselte HTTP-Verbindungen verwendet, sollte dieses Problem beheben, bevor unterwegs am Blog gearbeitet wird.
2. Zwei-Faktor-Authentifizierung aktivieren#
Ein starkes Passwort ist gut. Ein starkes Passwort plus zweiter Faktor ist deutlich besser.
Bei Zwei-Faktor-Authentifizierung reicht das Passwort allein nicht für die Anmeldung.
Ein Angreifer benötigt zusätzlich beispielsweise einen zeitlich begrenzten Code aus einer Authenticator-App.
Das ist unterwegs besonders nützlich. Selbst wenn Zugangsdaten durch Phishing oder auf anderem Weg bekannt werden, ist der Account dadurch nicht automatisch verloren.
2FA sollte nicht nur für WordPress aktiviert werden.
Besonders wichtig sind:
- primäres E-Mail-Konto
- Hosting
- Domainverwaltung
- Cloud-Dienste
- GitHub oder vergleichbare Entwicklerdienste
- Zahlungsdienste
Das E-Mail-Konto verdient besondere Aufmerksamkeit. Wer Zugriff darauf erhält, kann bei vielen anderen Diensten Passwort-Resets durchführen.
3. Keine Passwörter wiederverwenden#
Wer dasselbe Passwort für WordPress, Hosting und E-Mail verwendet, macht aus drei getrennten Accounts praktisch einen einzigen Sicherheitsbereich.
Wird ein Zugang kompromittiert, sind möglicherweise alle drei betroffen.
Ein Passwortmanager löst dieses Problem recht elegant. Jeder Dienst erhält ein eigenes langes, zufälliges Passwort.
Statt:
WordPress MeinTollesPasswort123
Hosting MeinTollesPasswort123
E-Mail MeinTollesPasswort123
besser:
WordPress individuelles Passwort
Hosting individuelles Passwort
E-Mail individuelles Passwort
Merken muss man sich diese Passwörter nicht. Genau dafür ist der Passwortmanager da.
4. Vorsicht bei öffentlichem WLAN#
Das kostenlose WLAN im Hotel oder Café ist praktisch. Es ist aber ein Netzwerk, das wir nicht selbst kontrollieren.
Dabei muss nicht einmal der Betreiber des Hotspots bösartig sein.
Schon die Frage, ob wir uns tatsächlich mit dem richtigen WLAN verbinden, kann problematisch sein.
Neben:
Hotel_Guest
könnte beispielsweise auch ein fremder Access Point auftauchen:
Hotel_Guest_Free
Ein vertraut klingender WLAN-Name beweist nicht, wer den Access Point betreibt.
Wer tiefer verstehen möchte, was beim Arbeiten in solchen Netzwerken passiert, findet dazu unseren ausführlichen Artikel WordPress im öffentlichen WLAN: Brauche ich ein VPN?.
5. Mobilfunk ist eine gute Alternative#
Nicht jedes Hotel-WLAN muss verwendet werden.
Für kurze administrative Aufgaben ist der persönliche Hotspot des Smartphones häufig die unkompliziertere Alternative.
Notebook
│
▼
Smartphone
│
▼
Mobilfunknetz
│
▼
Internet
Damit umgehen wir zumindest das lokale öffentliche WLAN.
Das bedeutet nicht, dass Mobilfunk sämtliche Sicherheitsprobleme löst. Für einen schnellen WordPress-Login oder eine administrative Änderung kann der eigene Mobilfunkzugang aber eine attraktive Alternative zu einem unbekannten Hotspot sein.
6. Wann ein VPN sinnvoll wird#
Wer häufig über fremde Netzwerke arbeitet, kann zusätzlich ein VPN verwenden.
Unterwegs gibt es mehrere Möglichkeiten: Ein eigener Smartphone-Hotspot umgeht das fremde WLAN, während ein VPN eine zusätzliche verschlüsselte Verbindung über ein fremdes Netzwerk herstellt.
Dabei wird zwischen dem eigenen Gerät und einem VPN-Server ein verschlüsselter Tunnel aufgebaut:
Notebook
│
│ verschlüsselter VPN-Tunnel
▼
VPN-Server
│
▼
Internet
│
▼
WordPress / Hosting / E-Mail
Das ist vor allem in Hotels, Cafés, Flughäfen, Coworking-Spaces und anderen fremden Netzwerken interessant.
Ein VPN ersetzt HTTPS allerdings nicht.
Auch mit VPN sollte die Verbindung zu WordPress weiterhin über HTTPS laufen.
Ob sich ein VPN für den eigenen Arbeitsalltag überhaupt lohnt, behandeln wir ausführlicher im Artikel Brauche ich als Blogger ein VPN?.
7. SSH-Zugänge besonders schützen#
Wer nicht nur WordPress verwendet, sondern einen eigenen Server administriert, sollte SSH-Zugänge ebenfalls absichern.
Passwortbasierte SSH-Logins sind dabei häufig nicht die beste Wahl.
SSH-Keys ermöglichen eine deutlich robustere Authentifizierung.
Zusätzlich sollte der private Schlüssel auf dem Notebook geschützt sein.
Denn ein wichtiger Unterschied wird unterwegs gerne übersehen:
Ein sicher konfigurierter Server hilft wenig, wenn das Notebook mit allen Zugangsschlüsseln ungeschützt verloren geht.
8. Das Notebook selbst absichern#
Bei Reisen existiert ein Risiko, das mit Netzwerkangriffen überhaupt nichts zu tun hat:
Das Gerät kann verloren gehen oder gestohlen werden.
Deshalb sollte das Notebook mindestens durch eine Anmeldung geschützt sein.
Noch wichtiger ist eine vollständige Laufwerksverschlüsselung.
Unter Windows kommt dafür beispielsweise BitLocker infrage. Linux bietet unter anderem LUKS-basierte Festplattenverschlüsselung. macOS verwendet FileVault.
Bei ausgeschaltetem Gerät schützt die Verschlüsselung die gespeicherten Daten davor, einfach über ein anderes Betriebssystem oder durch Ausbau des Datenträgers gelesen zu werden.
9. Updates vor der Reise erledigen#
Der Abend vor einer längeren Reise ist ein guter Zeitpunkt für einen kurzen technischen Check.
Sind Betriebssystem und Browser aktuell?
Sind wichtige Anwendungen aktualisiert?
Funktioniert der Passwortmanager?
Funktioniert 2FA?
Sind die notwendigen Zugangsdaten vorhanden?
Und vor allem: Funktionieren die Backups?
Solche Dinge möchte man nicht erst feststellen, wenn man mehrere tausend Kilometer vom eigenen Arbeitsplatz entfernt ist.
10. Backup bedeutet nicht Synchronisation#
Wer unterwegs arbeitet, sollte wichtige Daten nicht ausschließlich auf dem Notebook speichern.
Dabei ist allerdings zwischen Synchronisation und Backup zu unterscheiden.
Wenn eine beschädigte oder versehentlich gelöschte Datei sofort mit einem Cloud-Dienst synchronisiert wird, wurde möglicherweise nur die beschädigte Version erfolgreich auf mehrere Geräte verteilt.
Ein richtiges Backup besitzt ältere Zustände, auf die zurückgegriffen werden kann.
Das gilt sowohl für lokale Arbeitsdateien als auch für WordPress selbst.
NordVPN als zusätzliche Schutzschicht#
Für die Arbeit in fremden Netzwerken kann ein kommerzieller VPN-Dienst eine zusätzliche Schutzschicht darstellen.
Ein Beispiel dafür ist NordVPN.
Der relevante Punkt für unseren Anwendungsfall ist der verschlüsselte Tunnel zwischen dem eigenen Gerät und dem VPN-Server. Gerade bei regelmäßigem Arbeiten in Hotels, Cafés oder anderen fremden Netzwerken kann das sinnvoll sein.
VPN für öffentliche und fremde Netzwerke.
NordVPN ansehen Affiliate-Link: Bei einem Kauf erhalten wir eine Provision. Für dich ändert sich der Preis nicht.Affiliate-Hinweis: Wenn ihr über diesen Link einen Vertrag abschließt, erhalten wir möglicherweise eine Provision. Für euch ändert sich der Preis dadurch nicht.
Meine Checkliste vor dem Arbeiten unterwegs#
Vor dem ersten WordPress-Login in einem fremden Netzwerk lohnt sich ein kurzer Check:
HTTPS ✓
Zwei-Faktor-Authentifizierung ✓
Passwortmanager ✓
Notebook verschlüsselt ✓
Betriebssystem aktuell ✓
Browser aktuell ✓
Backup vorhanden ✓
WLAN vertrauenswürdig? ?
Mobilfunk als Alternative? ?
VPN bei fremdem Netzwerk? ?
Das klingt zunächst nach viel Aufwand.
In der Praxis sind die meisten Punkte einmal eingerichtet und funktionieren anschließend automatisch.
Fazit#
WordPress lässt sich problemlos unterwegs administrieren. Die entscheidende Frage ist weniger, ob WordPress dafür geeignet ist, sondern wie sicher das verwendete Gerät, die eigenen Accounts und die Netzwerkverbindung sind.
HTTPS, individuelle Passwörter, Zwei-Faktor-Authentifizierung, Updates, verschlüsselte Datenträger und Backups bilden die Grundlage.
Wer regelmäßig fremde WLANs verwendet, kann zusätzlich Mobilfunk oder einen VPN-Dienst einsetzen.
Die wichtigste Regel ist dabei erstaunlich einfach:
Je weniger Kontrolle wir über das Netzwerk haben, desto weniger sollten wir ihm vertrauen.