Was haben wir unternommen?

Wir haben die verfügbaren Sicherheitsupdates für PHP 7.4 und neuer bereits eingespielt. Wenn deine Website eine dieser PHP-Versionen verwendet, musst du aufgrund dieser Sicherheitslücken nichts weiter unternehmen. Für ältere PHP-Versionen stellen wir keine entsprechenden Sicherheitsupdates zur Verfügung.

Was musst du tun?

Wenn deine Website noch eine PHP-Version unterhalb von 7.4 verwendet, empfehlen wir dir dringend, auf PHP 7.4 oder neuer umzustellen. Wie du deine aktuell verwendete PHP-Version prüfst und änderst, erfährst du in unseren FAQ: https://www.gn2.de/faq/wie-aendere-ich-die-php-version-meiner-website/.

Website nach der Umstellung prüfen

Teste deine Website nach der Umstellung auf die neue PHP-Version. Prüfe insbesondere wichtige Funktionen wie Kontaktformulare oder deinen Onlineshop. Sollten Probleme auftreten, kannst du vorübergehend zur bisherigen PHP-Version zurückwechseln. Wende dich anschließend zeitnah an deinen Webmaster oder aktualisiere deine Website, damit sie mit einer neueren PHP-Version kompatibel ist.

Wichtig: Die Nutzung einer älteren PHP-Version sollte aufgrund des Sicherheitsrisikos nur eine kurzfristige Übergangslösung sein.

Der Beitrag Wichtige Sicherheitsupdates für PHP erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Updates gehören zur normalen Wartung einer Website. WordPress, Plugins, Themes und Shop-Systeme werden laufend weiterentwickelt. Sie beheben Fehler, verbessern die Kompatibilität, bringen neue Funktionen und schließen Sicherheitslücken. Eine Website ist kein fertiges Produkt, das einmal online geht und danach jahrelang unverändert läuft. Sie ist ein laufendes System. Und jedes laufende System braucht Pflege.

Das bedeutet nicht, dass du jeden Tag im Backend nachsehen musst. Aber es bedeutet, dass sich jemand regelmäßig darum kümmern sollte. Wenn du selbst keine Zeit dafür hast, ist das völlig in Ordnung. Dann solltest du diese Aufgabe an jemanden abgeben, der Updates, Backups und die technische Sicherheit deiner Website zuverlässig im Blick behält.

Denn problematisch wird es vor allem dann, wenn Updates über längere Zeit ausbleiben. Sobald eine Sicherheitslücke bekannt ist, können Angreifer gezielt nach betroffenen Websites suchen. Deine Website muss dafür weder besonders groß noch besonders bekannt sein. Was bei einem Angriff passieren kann, woran du einen Hack erkennst und warum regelmäßige Wartung so wichtig ist, schauen wir uns in diesem Artikel genauer an.

Ein Hack sieht nicht immer nach einem Hack aus

Wenn deine Website gehackt wurde, muss das nicht sofort auffallen. Vielleicht funktioniert deine Startseite weiterhin ganz normal. Vielleicht kannst du dich auch noch ganz normal ins Backend einloggen. Im Hintergrund kann trotzdem bereits einiges passiert sein.

Fremde Seiten können angelegt, Besucher auf andere Websites weitergeleitet oder die Website für Spam und Phishing genutzt werden. Auch Zugangsdaten können interessant sein. Wer beispielsweise einen Benutzernamen und ein Passwort erbeutet, versucht diese Daten unter Umständen auch bei anderen Diensten zu verwenden. Bei einem Onlineshop können zusätzlich Kundendaten, Bestellungen oder Zahlungsinformationen betroffen sein.

Manchmal geht es Angreifern aber auch gar nicht um die Website selbst. Sie nutzen deren Speicherplatz, Rechenleistung oder guten Ruf für ihre eigenen Zwecke. Oft bemerkst du einen Angriff deshalb erst später: Google warnt vor deiner Website, ein Kunde meldet eine merkwürdige Weiterleitung oder plötzlich wird über deine Website Spam verschickt.

Deshalb lässt sich auch nicht pauschal sagen, was nach einem erfolgreichen Angriff passiert. Sicher ist nur: Eine Sicherheitslücke kann deutlich mehr Folgen haben als eine nicht erreichbare Website.

Wenn Kundendaten betroffen sind

Bei einem Onlineshop geht es bei einem Angriff schnell um mehr als die Website selbst. Dort liegen schließlich auch Daten deiner Kunden: Namen, E-Mail-Adressen, Anschriften oder Bestelldaten. Gelangt ein Angreifer an diese Daten, wird aus einem technischen Problem unter Umständen auch ein Datenschutzproblem.

Dann muss geklärt werden, welche Daten betroffen sind und was mit ihnen passiert sein könnte. Je nach Art und Umfang des Vorfalls können daraus auch Pflichten nach der DSGVO entstehen, zum Beispiel gegenüber der Datenschutzaufsichtsbehörde oder den betroffenen Kunden. Deshalb gehört zu einem solchen Vorfall nicht nur die technische Bereinigung der Website. Auch die datenschutzrechtliche Seite muss geprüft werden.

Wenn das Geld plötzlich woanders landet

Bei einem Onlineshop geht es nicht nur um Kundendaten. Wenn ein Shopsystem, ein Zahlungs-Plugin oder der Checkout manipuliert wird, können auch Bestellungen und Zahlungen betroffen sein.

2026 wurde eine Sicherheitslücke in einem WooCommerce-Zahlungsplugin bekannt. Unter bestimmten Voraussetzungen konnten Angreifer Rückerstattungen auslösen und das Geld auf ein von ihnen kontrolliertes Konto umleiten. (https://nvd.nist.gov/vuln/detail/cve-2026-7862)

Auch der Checkout selbst kann manipuliert werden. Beim sogenannten „Man-in-the-Cart“-Angriff sieht für Kunden zunächst alles normal aus. Sie wählen ihre Produkte aus, gehen zur Kasse und schließen die Bestellung ab. Im entscheidenden Moment wird die Zahlung jedoch so verändert, dass das Geld nicht beim Händler, sondern beim Angreifer landet. Ein solcher Fall wurde im Zusammenhang mit einem JTL-Shop beschrieben. (https://go-ecommerce.de/news/man-in-the-cart-jtl-shop-checkout-betrug)

Wie schnell ein Zahlungsmodul zum Einfallstor werden kann, zeigen außerdem Angriffe auf die Onlineshops von asgoodasnew und Kirstein im Jahr 2026. In diesem Fall lag die Schwachstelle nach bisherigen Berichten in einem angebundenen Zahlungsmodul.(https://www.heise.de/news/IT-Einbrueche-bei-asgoodasnew-und-Kirstein-Moegliche-Angriffswelle-auf-Oxid-eShop-11199884.html)

Das zeigt: Bei einem Shop kann ein Sicherheitsproblem direkt den Zahlungsverkehr und damit den laufenden Geschäftsbetrieb betreffen. Was für Besucher wie ein normaler Bestellvorgang aussieht, kann im Hintergrund bereits manipuliert worden sein.

Wenn deine Website plötzlich für Spam genutzt wird

Angreifer müssen eine gehackte Website nicht unbedingt sichtbar verändern. Oft nutzen sie sie einfach im Hintergrund für ihre eigenen Zwecke.

Sie können zum Beispiel Spam-Inhalte einbauen, Phishing-Seiten anlegen oder Besucher auf fremde Websites weiterleiten. Für Besucher sieht das möglicherweise so aus, als gehörten diese Inhalte zu deinem Unternehmen. Damit betrifft der Angriff nicht mehr nur deine Website. Auch dein guter Ruf kann darunter leiden. Wer auf deiner Domain eine gefälschte Login-Seite oder merkwürdige Inhalte findet, bringt das zunächst mit deinem Unternehmen in Verbindung.

Und je nachdem, wofür die gehackte Website genutzt wird, kann auch deine Domain auf Sicherheitslisten landen. Dann warnen Browser oder Suchmaschinen vor deinem Internetauftritt, obwohl du den Angriff selbst gar nicht verursacht hast.

Und plötzlich kommen deine E-Mails nicht mehr an

Wird eine gehackte Website für Spam missbraucht, kann das auch den E-Mail-Verkehr beeinträchtigen. Mailserver und Spamfilter achten unter anderem darauf, welchen Ruf eine technische Umgebung hat. Wird über deine Domain plötzlich Spam verschickt, kann das deshalb Folgen haben.

E-Mails werden dann möglicherweise abgelehnt oder landen im Spam-Ordner. Und das betrifft nicht nur die Nachrichten, die ein Angreifer verschickt. Im schlimmsten Fall kommen auch deine ganz normalen E-Mails nicht mehr zuverlässig an. Eine Bestellung, eine Rechnung oder eine wichtige Nachricht an einen Kunden und sie landet nicht dort, wo sie soll.

Google kann deine Website ausbremsen

Auch Google kann auf eine gehackte Website reagieren. Werden Schadcode oder manipulierte Inhalte erkannt, kann Google Besucher warnen oder betroffene Seiten aus den Suchergebnissen entfernen. Für dich bedeutet das weniger Sichtbarkeit. Für Besucher erscheint stattdessen eine deutliche Warnung: Diese Website könnte gefährlich sein. Warum es dazu gekommen ist, sehen sie nicht. Sie sehen nur die Warnung und klicken im Zweifel nicht weiter.

Vertrauen ist schnell weg

Technische Probleme lassen sich beheben. Vertrauen ist schwieriger. Wenn Kunden auf deiner Website plötzlich fremde Inhalte sehen, weitergeleitet werden oder eine Sicherheitswarnung erhalten, fragen sie sich nicht zuerst, welches Plugin veraltet war.

Sie fragen sich: Kann ich dieser Website noch vertrauen? Gerade bei einem Onlineshop ist das wichtig. Dort geben Kunden persönliche Daten ein und bezahlen. Ein Sicherheitsvorfall kann deshalb noch lange nachwirken, auch wenn die technische Ursache längst behoben ist.

Eine Website läuft selten allein

Eine Website steht außerdem oft nicht für sich allein. Je nach Serverumgebung können auch Datenbanken, Zugänge, weitere Websites oder verbundene Systeme betroffen sein. Deshalb reicht es nicht immer, nur die sichtbare Website zu prüfen. Nach einem Angriff muss die gesamte technische Umgebung untersucht werden. Aus einer einzelnen Sicherheitslücke kann sonst schnell ein größerer Vorfall werden.

Aktuelle Fälle zeigen, wie schnell es gehen kann

Das ist keine theoretische Gefahr. 2026 wurden unter anderem Sicherheitslücken in verbreiteten WordPress-Plugins aktiv ausgenutzt.

Beim Plugin Super Forms konnten Angreifer ohne Anmeldung Dateien auf betroffenen Websites hochladen. Unter bestimmten Voraussetzungen war darunter auch ausführbarer PHP-Code. Wordfence registrierte dabei mehr als 250.000 Angriffsversuche. (https://www.wordfence.com/blog/2026/09/attackers-actively-exploiting-critical-vulnerability-in-super-forms-plugin)

Auch Elementor Pro war von einer Sicherheitslücke betroffen, über die unter bestimmten Voraussetzungen Dateien hochgeladen und eigener Code ausgeführt werden konnte. Hier wurden mehr als 190.000 Angriffsversuche blockiert. (https://www.heise.de/news/Luecke-in-WordPress-Plug-in-Elementor-Pro-6-Millionen-Webseiten-gefaehrdet-11421805.html)

Eine weitere massiv ausgenutzte Sicherheitslücke betraf das Templateframework Avada (https://www.hexnode.com/threat-watch/avada-cve-2026-18431-critical-wordpress-rce-patch-guide/)

Und auch Joomla war betroffen. Eine Schwachstelle im weit verbreiteten JCE Editor wurde ebenfalls aktiv ausgenutzt. Nicht angemeldete Angreifer konnten dabei unter bestimmten Voraussetzungen Dateien auf betroffene Websites hochladen. (https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites) Daneben gab es noch jede Menge andere teils kritischer Sicherheitslücken in Templateframeworks und Plugins von Joomla https://djumla.dev/vel/

Beispiel einer eingeschleusten php Datei

Updates sind normale Wartung

Updates sollten deshalb nicht erst dann wichtig werden, wenn eine Sicherheitslücke Schlagzeilen macht. Sie gehören zur normalen Pflege einer Website. Dabei werden Fehler behoben, Sicherheitslücken geschlossen und die Kompatibilität verbessert. Außerdem sorgen Updates dafür, dass CMS, Plugins, Themes und andere Komponenten weiterhin zusammenspielen. Eine Website wird einmal erstellt. Aber sie ist damit nicht fertig. Sie bleibt ein laufendes System. Und ein laufendes System braucht Wartung.

Was zur Wartung gehört

Wartung bedeutet deshalb mehr als nur auf „Update“ zu klicken:

• Zugänge absichern: Sichere, einzigartige Passwörter und – wo möglich – Zwei-Faktor-Authentifizierung verwenden.
• CMS aktuell halten: WordPress, Joomla oder das eingesetzte System regelmäßig aktualisieren.
• Plugins, Extensions und Themes prüfen: Nicht jede Erweiterung bleibt automatisch kompatibel oder sicher.
• Unnötige Komponenten entfernen: Was nicht gebraucht wird, muss auch keine zusätzliche Angriffsfläche bieten.
• Backups erstellen und testen: Ein Backup hilft nur, wenn es vorhanden ist und sich die Website damit tatsächlich wiederherstellen lässt.
• Änderungen kontrollieren: Unbekannte Benutzer, Dateien oder ungewöhnliche Login-Aktivitäten sollten geprüft werden.

Und wenn die Website bereits gehackt wurde?

Dann reicht es normalerweise nicht, einfach die auffällige Datei zu löschen.

Zuerst muss geklärt werden:

• Wie ist der Angreifer hineingekommen?
• Was wurde verändert?
• Welche Bereiche sind betroffen?
• Gibt es weitere manipulierte Dateien oder versteckte Zugänge?

Mögliche Hinweise sind unbekannte Dateien, neue Benutzerkonten, Veränderungen an PHP-Dateien, Weiterleitungen, unerwartete Shop-Änderungen oder ungewöhnliche Server- und Login-Aktivitäten. Das Schwierige dabei: Nicht alles, was ein Angreifer hinterlässt, ist auf den ersten Blick sichtbar.

Eine einzelne Datei zu löschen, kann deshalb zwar das sichtbare Problem beseitigen – aber nicht unbedingt die Ursache. Nach einem Angriff sollte die Website gründlich untersucht und anschließend vollständig bereinigt oder aus einem sauberen Backup wiederhergestellt werden.

Wenn dir die Zeit für Wartung fehlt

Du musst dich um diese Aufgaben nicht zwingend selbst kümmern. Aber jemand sollte sie zuverlässig übernehmen.

Wenn dir im Alltag die Zeit für Updates, Backups und Sicherheitsprüfungen fehlt, kannst du diese Aufgaben abgeben. Mit unserem Managed-WordPress-Wartungsvertrag (https://www.gn2.de/managed-hosting/) übernehmen wir die laufende technische Betreuung deiner WordPress-Site, inklusive regelmäßiger Updates und Backups. Denn Wartung bedeutet nicht, ständig etwas an deiner Website verändern zu müssen. Wartung bedeutet vor allem, dafür zu sorgen, dass sie aktuell, funktionsfähig und technisch betreut bleibt. Und wenn dabei eine bekannte Sicherheitslücke geschlossen wird, ist das kein Sonderfall.

Das ist schlicht gute Wartung.

Vielleicht interessiert Dich noch folgendes?

Yoast Duplicate Post: Anleitung und Plugin Vorstellung

Weiterlesen

Aktualisierung fehlgeschlagen. Du bist wahrscheinlich offline

Weiterlesen

Sa11y: Barrierearmut deiner Website verbessern

Weiterlesen

Der Beitrag Website-Sicherheit: Warum regelmäßige Updates unverzichtbar sind erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Bitte klicke nicht auf enthaltene Links und gib keine Daten ein. Solche Mails stammen nicht vom echten Anbieter. Deine Domains verlängern sich automatisch, du musst dafür nichts tun.

Wenn du unsicher bist, schick uns die Mail einfach weiter. Wir schauen uns das an und geben dir Bescheid.

Beispiel solcher Mails

Woran du solche Mails erkennst

Phishing-Mails sind oft täuschend echt gestaltet, Logo, Farben und Absendername können auf den ersten Blick seriös wirken.

Typische Warnsignale sind:

• Unbekannte oder leicht abgewandelte Absenderadresse
• Aufforderung zur sofortigen Zahlung oder drohende Domain-Kündigung
• Links, die auf fremde oder seltsam aussehende Domains führen
• Kein persönlicher Name in der Anrede

Im Zweifel: Fahre mit der Maus über den Link, ohne zu klicken, so siehst du die echte Zieladresse.

Was passiert, wenn du draufklickst?

Solche Links führen meist auf gefälschte Zahlungsseiten, über die Kreditkarten- oder Zugangsdaten abgegriffen werden. Wer dort Daten eingibt, riskiert im schlimmsten Fall Identitätsmissbrauch oder ungewollte Abbuchungen.

Solche Phishing-Wellen kommen immer wieder vor, mal im Namen bekannter Hoster, mal als vermeintliche Behördenpost.

Grundsätzlich gilt: Seriöse Anbieter fordern dich nie per Mail zu einer sofortigen Zahlung auf, ohne dass du das vorher selbst angefordert hast.

Weiterführender Link

• https://www.gn2.de/spam-mails-wie-kann-man-sie-erkennen/

Der Beitrag Phishing-Mail im Namen von DomainFactory erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

So funktioniert die Prüfung ab sofort

Bisher wurden Domaindaten hauptsächlich einmalig bei der Registrierung kontrolliert. Das ändert sich: Die DENIC prüft ab sofort alle Domain- und Inhaberdaten laufend über eine automatisierte Risiko-Bewertung. Tauchen dabei Unstimmigkeiten auf, etwa veraltete, unvollständige oder widersprüchliche Angaben – fordert die DENIC eine Verifizierung an.

Hinzu kommt eine neue Pflicht zur E-Mail-Bestätigung: Die beim Domaininhaber hinterlegte E-Mail-Adresse muss aktiv verifiziert werden. Wer das noch nicht getan hat, bekommt automatisch eine Aufforderung.

Worauf du bei deinen Inhaberdaten achten solltest

Seit dem 14. April sind die Registrierungsdaten von juristischen Personen – also Unternehmen, Vereinen und Organisationen, im öffentlichen WHOIS der DENIC sichtbar. Das macht es umso wichtiger, dass dort keine privaten oder veralteten Daten stehen.

Konkret solltest du Folgendes prüfen:

• Steht im Feld „Firma“ wirklich die korrekte, eingetragene Firmierung und kein Privatname?
• Sind E-Mail und Telefonnummer geschäftlich erreichbar? Persönliche Adressen einzelner Mitarbeiter sind hier fehl am Platz, besser geeignet sind Sammeladressen wie kontakt@… oder info@….

Ein besonderer Hinweis für Kleingewerbe und Einzelunternehmen: Wer die Domain auf sich als Privatperson ummelden lässt, bleibt im WHOIS unsichtbar, denn Daten natürlicher Personen werden dort nicht angezeigt. Das kann in manchen Fällen die sinnvollere Lösung sein.

Was passiert bei Nicht-Reaktion?

Wer eine Verifizierungsanfrage ignoriert, riskiert schnell den Verlust seiner Domain. Nach 7 Tagen ohne Rückmeldung wird die Domain deaktiviert – sie ist dann nicht mehr erreichbar. Bleiben weitere 90 Tage ohne Reaktion, folgt die endgültige Löschung. Anders als sonst gibt es dabei keine Wiederherstellungsfrist (RGP).

Kurz-Checkliste

Damit es gar nicht erst so weit kommt, empfehlen wir dir, folgende Punkte kurz zu kontrollieren:

• Ist die Inhaber-E-Mail-Adresse aktuell und abrufbar?
• Sind alle Kontaktdaten vollständig und auf dem neuesten Stand?
• Läuft eine Domain über einen Treuhänder? Dann empfehlen wir eine Umstellung auf den tatsächlichen Inhaber – sonst können Verifizierungsanfragen unbemerkt untergehen.

Wenn du eine E-Mail mit einer Verifizierungsanfrage erhältst, reagiere bitte zeitnah. Diese Mails werden im Auftrag der DENIC von uns oder direkt von der DENIC verschickt.

Achtung: Mit den neuen Verifizierungspflichten steigt auch das Risiko von Phishing-Mails, die echte DENIC-Anfragen imitieren. Im Zweifel: Nicht direkt auf Links klicken, sondern vorher bei uns nachfragen.

Du brauchst Hilfe?

Wenn du dir unsicher bist, ob deine Daten korrekt hinterlegt sind, oder du Unterstützung bei der Aktualisierung brauchst, melde dich einfach bei uns. Wir helfen dir gerne.

Links

• https://blog.denic.de/neue-gesetzgebung-was-andert-sich-bei-der-registrierung-von-de-domains/

Der Beitrag Neue DENIC Vorgaben ab April 2026: Was du als Domain-Inhaber jetzt wissen musst erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Mit dieser Version profitierst du von spürbaren Performance-Verbesserungen, einem optimierten JIT-Compiler und neuen Sprachfunktionen, die deinen Code noch effizienter und wartungsfreundlicher machen. Besonders spannend sind die neuen Attributes und Enums, die klarere Strukturen ermöglichen, sowie die überarbeiteten asynchronen Streams für moderne, performante Webanwendungen.

PHP 8.5 kannst du ganz einfach im Hosting-Panel unter „PHP-Versionen“ aktivieren. Wenn du Unterstützung bei der Umstellung oder beim Testen deiner Anwendung brauchst, helfen wir dir gerne weiter. Wir empfehlen, den Wechsel zunächst in einer Testumgebung vorzunehmen, um mögliche Inkompatibilitäten frühzeitig zu erkennen.

Der Beitrag PHP 8.5 ab sofort auf unseren Erfurter Servern verfügbar erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

• mit FTP-Zugriff manuell zum eigenen Rechner
• mit SSH über ein selbst geschriebenes Shell-Script auf dem Server, welches dann per Cron-Job angestoßen wird oder auch
• über eins der vielen Backup-Plugins für WordPress.

Es macht aus verschiedenen Überlegungen heraus keinen Sinn, das Backup auf dem eigenen Server abzulegen – und hier wird es schwierig für die WordPress-Backup-Plugins: Integrationen für die Ablage der Backup-Dateien auf Cloud-Diensten erfordern durch die Bank weg die Pro-Versionen dieser Plugins. Dabei ist vor dem Kauf noch nicht immer klar, ob Nextcloud überhaupt unterstützt wird.

Dabei sind solche Backups direkt aus der Serververwaltung bei gn2 über die dort installierte Software restic problemlos mit wenigen Klicks möglich.

Mit lediglich zwei Schritten ist die Einrichtung perfekt und sowohl das Backup als auch die Rücksicherung von Nextcloud auf den WordPress-Server funktionieren stabil:

Einrichtung eines Repositories auf der Nextcloud

Zunächst muss ein Repository festgelegt werden. Um das zu tun, benutzt man den Button „Repository-Verwaltung“

Dieses Repository braucht einen selbstvergebenen Namen und ein Passwort, das möglichst unabhängig vom Nextcloud-Zugang ist.

Nun muss noch die Anzahl der Snapshots, also Sicherungen (Backups) festgelegt werden. Je größer dieser Wert ist, desto mehr Speicher wird auf der Nextcloud verbraucht. Wenn also eine tägliche Sicherung festgelegt wird mit zehn Snapshots wie hier im Beispiel, könnte man bis auf einen Stand von vor zehn Tagen rücksichern.

Weiter unten auf der gleichen Seite werden die Speicher-Einstellungen festgelegt. Da Nextcloud im Popout-Menü des Speichertyps nicht konfigurierbar ist, entscheiden wir uns für WebDAV, was auch von Nextcloud unterstützt wird und absolut stabil läuft.

Des weiteren muss die WebDAV URL eingegeben werden, die im Falle von Nextcloud diesen Konventionen entspricht. Dabei sollte beispiel.de durch die eigene Nextcloud-URL ersetzt werden:

https://beispiel.de/remote.php/webdav/

Für die ebenfalls zu hinterlegenden Zugangsdaten legt man am besten in der Nextcloud ggf. einen eigenen Benutzer an. Die Daten dieses Backups müssen nicht mit anderen Benutzern geteilt werden, weil die Rücksicherung letztlich auch wieder über die gn2-Serververwaltung passiert.

Nun muss nur noch ein Verzeichnis angegeben werden, in das die Dateien gesichert werden sollen. Hier im Beispiel ist das der Ordner /SIK_WP-NX/, der für den neuen Benutzer website.sik in dessen Hauptverzeichnis angelegt wird. Innerhalb dieses Verzeichnisses werden durch restic mehrere Unterverzeichnisse während des Backups angelegt.

Nun ist unser Repository fertig angelegt.

Regelmäßige Backups planen

Im zweiten und letzten Schritt planen wir regelmäßige Backups. Dazu bedarf es einen Klicks auf den Button „Regelmäßige Backups planen“ in der Backup-Übersicht der Serververwaltung. Hier müssen wir zunächst einen „Backup-Zeitplan hinzufügen“.

Das Formular ist selbsterklärend: Hier wird der Job auf „aktiv“ gesetzt, festgelegt, in welchen Intervallen eine Sicherung stattfinden soll (möglichst zu Zeiten, wenn die WordPress-Seite nicht mit Besuchern überlastet ist) und keine anderen Arbeiten anstehen. „Zurück zur Übersicht“ leitet auf die Liste der möglicherweise unterschiedlich geplanten Backups. Von dort aus kann die Sicherung auch manuell angestossen werden um zu schauen, ob wirklich Dateien im Zielordner auf der Nextcloud ankommen.

Der Beitrag WordPress Backups in der eigenen Nextcloud sichern erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Kurz: Ein nicht unerheblicher Aufwand, den viele unterschätzen – mit unserem Umzugsservice versuchen wir jedoch, den Wechsel so entspannt wie möglich zu gestalten.

Problem: Wechsel ohne Plan

Manchmal läuft alles reibungslos – oft aber nicht. Es wird schnell gekündigt und transferiert, doch erst später fällt auf: Wichtige Mails oder Daten fehlen. Und wenn die Backups beim alten Anbieter aus Datenschutzgründen bereits gelöscht sind, gibt es kein Zurück.

Dazu kommt: Nicht jeder Wechsel passiert aus technischen Gründen. Oft steckt dahinter, dass Agenturen oder Freelancer lieber mit einem bestimmten Hoster arbeiten – oder an Vermittlungen mitverdienen. Das ist völlig in Ordnung, solange es offen kommuniziert wird. Aber wenn der Kunde am Ende unglücklich ist, weil der neue Anbieter doch nicht passt, beginnt das Umzugs-Chaos von vorn.

Lösung: Ein Wechsel, der wirklich Sinn ergibt

Natürlich gibt es gute Gründe, den Hoster zu wechseln:

Aber ein Wechsel „weil es woanders bestimmt besser ist“? Meist Wunschdenken. Wir erleben oft, dass Kunden nach einiger Zeit zurückkommen, weil der Service beim neuen Anbieter nicht hält, was versprochen wurde.

Unser Vorschlag: Lass uns vorher in Ruhe sprechen. Wann ist ein Wechsel wirklich sinnvoll? Wo lauern Fallstricke? Und selbst wenn du uns verlässt – wir helfen dir dabei, damit alles reibungslos läuft. Denn am Ende zählt nicht nur, wo deine Webseite liegt, sondern dass du dich gut aufgehoben fühlst. 😊

Der Beitrag Es gibt wenig wirklich triftige Gründe für einen Providerwechsel! erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Der Beitrag PHP 8.4 auf unserer neuen Plattform erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Es gibt mehrere Möglichkeiten, diese Dateien gezielt von der Indexierung auszuschließen:

robots.txt-Datei anpassen

Um alle PDFs von der Indexierung auszuschließen, kannst du in deiner robots.txt folgende Zeile hinzufügen:

User-agent: *
Disallow: /*.pdf$

• User-agent: *:
  • Diese Anweisung gilt für alle Suchmaschinen-Crawler (z.B. Googlebot, Bingbot). Das * ist ein Platzhalter für alle Crawler.
• Disallow: /*.pdf$:
  • Diese Anweisung sagt den Crawlern, dass sie alle URLs, die auf .pdf enden, nicht durchsuchen und indexieren sollen.
  • Der Teil /*.pdf bedeutet, dass jede Datei mit der Endung .pdf betroffen ist.
  • Das $-Zeichen stellt sicher, dass die Regel nur auf URLs zutrifft, die genau mit .pdf enden.

Erklärung

• https://meineseite.de/dokument.pdf → Wird nicht indexiert.
• https://meineseite.de/ordner/datei.pdf → Wird nicht indexiert.
• https://meineseite.de/download?file=dokument.pdf → Wird ebenfalls nicht indexiert.

Separaten Ordner für PDF-Dateien nutzen

Lege alle PDF-Dateien, die nur über den Newsletter geteilt werden, in einen eigenen Ordner, z.B. /wp-content/uploads/newsletter-pdfs/.

Füge dann folgende Regel in deine robots.txt ein:

User-agent: *
Disallow: /wp-content/uploads/newsletter-pdfs/

Damit stellst du sicher, dass nur die Dateien in diesem Ordner von Suchmaschinen ignoriert werden.

PDFs per .htaccess von der Indexierung ausschließen

du kannst den Zugriff auf PDF-Dateien für Suchmaschinen verhindern, indem du HTTP-Header mit der X-Robots-Tag-Anweisung in der .htaccess-Datei hinzufügst. Diese Methode weist den Crawlern an, die Dateien nicht zu indexieren.

# BLOCKIEREN VON PDF-INDEXIERUNG DURCH SUCHMASCHINEN
<IfModule mod_headers.c>
    <FilesMatch "\.pdf$">
        Header set X-Robots-Tag "noindex, nofollow"
    </FilesMatch>
</IfModule>

Erklärung der Änderungen:

• <IfModule mod_headers.c>: Überprüft, ob das Modul mod_headers geladen ist, bevor die Header gesetzt werden.
• <FilesMatch „\.pdf$“>: Diese Regel wird auf alle Dateien angewendet, die mit .pdf enden.
• Header set X-Robots-Tag „noindex, nofollow“: Fügt einen HTTP-Header hinzu, der Suchmaschinen-Crawler anweist, diese PDF-Dateien nicht zu indexieren.

Nachdem du diese Änderungen in deine .htaccess eingefügt hast, wird der HTTP-Header X-Robots-Tag für alle PDF-Dateien gesetzt, was dazu führt, dass Suchmaschinen diese nicht indexieren.

Vielleicht interessiert Dich auch folgendes?

Probleme bei WordPressupdate: cURL error 60 SSL certificate problem certificate has expired

Weiterlesen

Der Beitrag Quicktipp: So verhinderst du die Indexierung von PDFs erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Es ist wichtig, die richtigen Redirects einzurichten, damit du keine Besucher verlierst und deinen SEO-Wert bewahrst. Hier sind einige gezielte Tipps, um die Redirects effektiv umzusetzen und einen reibungslosen Wechsel zu gewährleisten.

Die richtige Strategie für Redirects über .htaccess

Die .htaccess-Datei befindet sich normalerweise im Stammverzeichnis deiner Website.

Für eine erfolgreiche Domainzusammenführung sind die folgenden Schritte entscheidend:

301-Redirects nutzen: Pfade bleiben gleich

Setze 301-Redirects ein, um alte Domains dauerhaft auf die neue Domain weiterzuleiten. Wenn die Pfade gleich bleiben, ist dies unkompliziert.

Zum Beispiel: Wenn du von www.alte-domain1.de und www.alte-domain2.de auf www.neue-domain.de wechselst, kannst du alle URLs von beiden alten Domains einfach auf die neue Domain umleiten.

Ein Beispiel für die Umleitung wäre: www.alte-domain1.de/produkte wird auf www.neue-domain.de/produkte umgeleitet.

Eins zu eins Zuordnung

Leite jede alte URL direkt auf die entsprechende neue URL weiter.

Hinweis: Bei fehlenden Entsprechungen solltest du die Nutzer auf die nächstgelegene relevante Seite weiterleiten. So bleibt die Nutzererfahrung konsistent und verwirrende Fehlerseiten werden vermieden.

301-Redirects nutzen: Pfade ändern sich

Setze 301-Redirects ein, um alte Domains dauerhaft auf die neue Domain weiterzuleiten. Wenn die Pfade sich ändern, musst du sicherstellen, dass die neuen URLs relevant und klar strukturiert sind.

Zum Beispiel: Wenn du von www.alte-domain1.de und www.alte-domain2.de auf www.neue-domain.de wechselst, aber die Seitenstruktur sich ändert, musst du spezifische Umleitungen festlegen.

Ein Beispiel für die Umleitung wäre:

• von: www.alte-domain1.de/angebote
• nach: www.neue-domain.de/produkte

In diesem Fall wird die alte Seite, die Informationen zu Angeboten hatte, auf die neue Seite für Produkte umgeleitet. Achte darauf, dass die neuen Seiten für die Nutzer sinnvoll sind und die gleichen Informationen oder Dienstleistungen bereitstellen, um eine positive Nutzererfahrung zu gewährleisten.

Zusätzlich solltest du alle URLs genau planen und im Voraus testen, um sicherzustellen, dass die Umleitungen korrekt funktionieren und die Nutzer die gewünschten Inhalte problemlos finden können.

Erklärung: Wichtige Elemente in der .htaccess-Datei für 301-Redirects

Beispiele RewriteCond

• %{HTTP_HOST}: Prüft den Hostnamen der Anfrage
• ^(www.)?alte-domain.de$: Regulärer Ausdruck zur Überprüfung der alten Domain
• [NC]: No Case – macht die Prüfung nicht case-sensitiv

Beispiele RewriteRule

• ^angebote/?$: Regulärer Ausdruck für den spezifischen Pfad

Sitemap aktualisieren

Vergiss nicht, deine Sitemap mit den neuen URLs zu aktualisieren. Eine aktuelle Sitemap hilft Suchmaschinen, die neuen Seiten schnell zu finden und zu indexieren.

Google Search Console nutzen

Reiche die aktualisierte Sitemap in der Google Search Console ein. Informiere Google über die Domainänderung, um die Indexierung zu beschleunigen und mögliche Probleme frühzeitig zu erkennen.

Redirects testen

Überprüfe alle Redirects mit Tools wie Redirect-Checker oder durchsuche die Google-Suche nach indexierten Unterseiten. Achte darauf, ob die Redirects korrekt funktionieren. So stellst du sicher, dass alles reibungslos läuft und kannst schnell auf mögliche Fehler reagieren.

Traffic überwachen

Nach der Umstellung solltest du den Traffic genau beobachten. Nutze Analysetools, um Veränderungen zu erkennen und mögliche Probleme zu identifizieren.

Weiterführende Links

• https://developers.google.com/search/docs/crawling-indexing/301-redirects
• https://www.301-redirect.online/htaccess-rewrite-generator

Vielleicht interessiert Dich auch folgendes?

Quicktipp: So verhinderst du die Indexierung von PDFs

Weiterlesen

Probleme bei WordPressupdate: cURL error 60 SSL certificate problem certificate has expired

Weiterlesen

Der Beitrag Quicktipp: Domainzusammenführung – Redirect-Tipps erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Der Beitrag Aktivierung DKIM Rechenzentrum Köln erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Genau hier kommt das DNS ins Spiel. Es fungiert wie ein Telefonbuch für das Internet und übersetzt benutzerfreundliche Domainnamen wie logbuch.gn2.de in die numerischen IP-Adressen, die Computer zum Auffinden und Kommunizieren miteinander verwenden.

In diesem Blogbeitrag werfen wir einen Blick darauf, wie DNS funktioniert, warum es so wichtig ist und wie du es für deine Bedürfnisse verändern bzw. ergänzen kannst.

Videotipp: Das DNS PROTOKOLL (einfach erklärt) | Domain Name System: https://www.youtube.com/watch?v=Aat_zA5uKrU

Um die DNS-Einträge einer Webseite herauszufinden, gibt es verschiedene Möglichkeiten:

1. Verwendung von Online-Tools: Es gibt Online-Tools, mit denen du die DNS-Einträge einer Webseite überprüfen kannst. Zum Beispiel: MXToolbox + Whatsmydns
2. Verwendung von einem Software-Tool: Wir nutzen zum Beispiel WhatRoute. WhatRoute ist eine Netzwerkanalyse-Software für Mac, die Traceroute, Ping, DNS- und Whois-Abfragen bietet, um Netzwerkprobleme zu diagnostizieren.

Indem du eine dieser Methoden verwendest, kannst du leicht die DNS-Einträge einer Webseite herausfinden und wichtige Informationen wie die IP-Adresse des Servers, den Mailserver und andere relevante DNS-Einträge erhalten.

Was sind die Hauptkomponenten des DNS?

1. Domain Registrar: Dies ist der Dienst, bei dem Domainnamen erworben werden können.
2. Nameserver: Diese Server speichern DNS-Einträge und stellen sie bereit. Sie sind nicht für das Hosting von Webseiten, sondern ausschließlich für die DNS-Verwaltung zuständig.
3. DNS-Einträge: Diese Datensätze werden auf Nameservern hinterlegt und sind für die Auflösung von Domainnamen in IP-Adressen verantwortlich. Zu den wichtigsten Einträgen gehören A-, CNAME-, MX- und TXT-Records.

Das sind die wesentlichen Elemente, die für das Funktionieren des Domain Name Systems benötigt werden.

Welche DNS-Einträge gibt es?

Es gibt verschiedene Arten von DNS-Einträgen, doch in der Regel sind dies hier die wichtigsten:

• A (Address) Records: Diese Einträge verknüpfen einen Hostnamen mit einer IPv4-Adresse. Sie werden verwendet, um eine direkte Verbindung zwischen einem Domainnamen und der IP-Adresse des Servers herzustellen.
• AAAA (IPv6 Address) Records: Ähnlich wie A-Records, aber für IPv6-Adressen. Sie verknüpfen einen Hostnamen mit einer IPv6-Adresse.
• CNAME (Canonical Name) Records: Diese Einträge werden verwendet, um einen Alias für einen Hostnamen zu erstellen. Sie verweisen auf den Canonical-Namen eines anderen Hosts, der dann die tatsächliche IP-Adresse enthält.
• MX (Mail Exchange) Records: Diese Einträge zeigen an, welche Mailserver für eine Domain zuständig sind. Sie werden verwendet, um E-Mails an die richtigen Server zu senden.
• TXT (Text) Records: Diese Einträge enthalten textuelle Informationen über eine Domain. Sie werden für verschiedene Zwecke wie SPF-Authentifizierung, DKIM und andere Sicherheits- und Identitätszwecke verwendet.
• NS (Name Server) Records: Diese Einträge zeigen an, welche DNS-Server für eine Domain zuständig sind. Sie sind wichtig für die Delegation von Subdomains und die Weiterleitung von DNS-Anfragen.
• SOA (Start of Authority) Records: Diese Einträge enthalten grundlegende Informationen über eine Domain, einschließlich des primären DNS-Servers, des Administrators und der Seriennummer für die Zonendatei.

Weitere Einträge die man kennen sollte

• DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein E-Mail-Authentifizierungsprotokoll, das E-Mail-Spoofing verhindert. Es baut auf SPF und DKIM auf und ermöglicht Domäneninhabern, festzulegen, wie empfangende Server mit nicht authentifizierten E-Mails umgehen sollen.
• DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsprotokoll. Es fügt eine digitale Signatur zu ausgehenden E-Mails hinzu, die empfangende Server mit einem im DNS veröffentlichten öffentlichen Schlüssel überprüfen können. Dadurch wird sichergestellt, dass die E-Mail echt ist und nicht verändert wurde.

Wo kann man die DNS-Einträge bei gn2 ändern?

Hier kurze Hinweise an welchen Stellen die Einträge in den beiden verschiedenen Rechenzentren verändert bzw. eingetragen werden.

Rechenzentrum Erfurt

• Login ins Kundenbackend
• Menü-Eintrag Domains suchen
• DNS-Editor
• dort können dann alle relevanten Einträge vorgenommen werden

Rechnungszentrum Köln

• Login ins Kundenbackend
• Menü-Eintrag Domain
• Rechts auf die drei Striche
• Nameserver editieren auswählen
• Änderungen vornehmen

Was bedeutet die Einstellung TTL?

Die Einstellung TTL (Time to Live) im Server-Backend bestimmt, wie lange ein DNS-Eintrag im Cache eines Servers oder Clients gespeichert bleibt, bevor er erneut abgefragt wird. Ein kürzeres TTL-Intervall führt zu häufigeren Aktualisierungen, während ein längeres Intervall die Last auf den DNS-Server reduziert.

Die TTL wird in Sekunden angegeben, wenn für einen DNS-Eintrag keine TTL vorgegeben wird, so nutzen wir einen Standardwert von 3600 Sekunden (1 Stunde).

Weiterführende Links

• https://wissen.gn2.de/wissen/welche-nameserver-records-koennen-angepasst-werden/
• https://www.gn2.de/wie-kann-man-schnell-ueberpruefen-welche-nameservereintraege-gerade-weltweit-fuer-eine-domain-gueltig-sind/
• https://www.gn2.de/wie-richtet-man-einen-spf-record-ein/

Wenn du Schwierigkeiten hast, die Einstellungen zu ändern oder unsicher bist, welche Anpassungen du vornehmen musst. Schick uns einfach eine kurze E-Mail, und wir unterstützen dich gern.

Der Beitrag DNS einfach erklärt: Wie das Domain Name System das Internet steuert erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Beispiel: Shopware 6 Login für den Administrationsbereich

In Shopware 6 gibt der Login-Endpunkt im Administrationsbereich bei einer fehlgeschlagenen Anmeldung den Statuscode 400 Bad Request zurück. Dadurch kann Fail2ban leicht konfiguriert werden, um diese fehlgeschlagenen Logins zu erkennen und zu blockieren.

Ein typischer Log-Eintrag sieht so aus:

127.0.0.1 - - [26/Mar/2024:14:42:00 +0100] "POST /api/oauth/token HTTP/2.0" 400 101 "http://localhost/admin" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:124.0) Gecko/20100101 Firefox/124.0" 551 506

Wichtig sind die IP-Adresse, der Zeitstempel, die Request-Methode (POST), der Pfad und der Statuscode.

Filter-Datei erstellen

Erstelle eine Filter-Datei namens apache-shopware-access.conf im Ordner config/filter.d mit folgendem Inhalt:

[INCLUDES]
before = apache-common.conf

[Definition]
failregex = ^<HOST> \S+ \S+ \[[^\"]*\] "POST /api/oauth/token HTTP/\d(\.\d)?" 400

datepattern = ^[^\[]*\[({DATE})

Jail-Konfiguration

Die Filter werden über sogenannte „Jails“ gesteuert. Erstelle eine Jail-Datei im Ordner config/jail.d mit folgendem Inhalt:

[apache-shopware-access]
enabled  = true
port     = http,https
logpath  = %(apache_access_log)s
maxretry = 10
findtime = 10m
bantime  = 15m

Hier wird der Name des Filters angegeben, die zu blockierenden Ports, der Pfad zu den Log-Dateien und die Bedingungen für das Blockieren (maxretry, findtime, bantime).

Testen des Jails

Zum Testen kann die Aktion dummy verwendet werden, die zu sperrende IP-Adressen nur in eine Logdatei schreibt:

banaction = dummy[target=/usr/local/apache2/fail2ban.sw-access.txt]

Pfade überschreiben

Falls der Pfad %(apache_access_log)s nicht funktioniert, können die Pfade in der Datei paths-overrides.local angepasst werden:

[DEFAULT]
apache_access_log = /home/users/*/logs/*/access.log
apache_error_log = /home/users/*/logs/*/error.log

Fazit

Mit einfachen Filter-Regeln kann ein zusätzlicher Schutz für den Login von Webanwendungen realisiert werden. Da diese Filter auf Log-Dateien zugreifen, können die verfügbaren Daten manchmal nicht ausreichen, um eine genaue Erkennung zu gewährleisten. Bei WordPress liefert der Login-Endpunkt beispielsweise immer den Statuscode 200, unabhängig vom Erfolg des Logins. In solchen Fällen müssen die Einstellungen in der Jail-Konfiguration möglicherweise lockerer gehalten werden.

Weitere Informationen:

https://www.vps-mart.com/blog/prevent-ssh-brute-force-attacks-on-linux-using-fail2ban
https://matthewsetter.com/bruteforce-protection-with-fail2ban/
https://www.nixtree.com/blog/fail2ban-security-feature/

Der Beitrag Logins mit Fail2ban zusätzlich absichern erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Der Beitrag Optimierter Darkmode für die Serververwaltung erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.

Der Beitrag Spontanbesuch eines zufriedenen Kunden erschien zuerst auf gn2 GmbH Hosting | Internetagentur in Coburg.