Updates und die vergessene Website

Software-Updates sind Sicherheitsarbeit. Viele davon beheben Schwachstellen, die Kriminelle bereits kennen und bereits ausnutzen. Der Grundrat der CISA an alle passt in eine Zeile: Aktualisieren Sie Ihre Software, und schalten Sie automatische Updates ein.

Diese Lektion behandelt Ihre eigenen Geräte, Software nach dem Ende ihres Supports und den Teil, den die meisten Einrichtungen übersehen: die Website, an die sich niemand erinnert.

Ihre eigenen Geräte

• Schalten Sie automatische Updates ein für Ihr Telefon, Ihren Computer und Ihren Browser.
• Starten Sie neu, wenn Sie dazu aufgefordert werden. Viele Updates wirken erst nach dem Neustart. Erledigen Sie ihn in der nächsten Pause, am selben Tag.
• Aktualisieren Sie auch Apps, nicht nur das Betriebssystem. Browser, PDF-Reader und Office-Software sind häufige Ziele.

Wenn Ihre Einrichtung Updates zentral verwaltet, besteht Ihr Teil darin, neu zu starten, wenn Sie dazu aufgefordert werden, und ein Gerät zu melden, das immer wieder danach fragt.

Software nach dem Ende ihres Supports

Jedes Produkt erreicht ein Supportende, nach dem der Hersteller keine Sicherheitsprobleme mehr behebt. Windows 10 zum Beispiel hat sein Supportende am 14. Oktober 2025 erreicht. Ein Computer, auf dem es noch läuft, funktioniert weiter, aber neue Lücken bleiben für immer offen.

Achten Sie in Ihrer Einrichtung auf Folgendes: den alten Computer, auf dem ein einziges Programm läuft, das Telefon, das niemand ersetzt hat, den Router von der letzten Renovierung, das Kamerasystem mit seiner ursprünglichen Software. Jedes davon braucht einen Plan: aktualisieren, ersetzen oder vom Internet trennen.

Woran Sie erkennen, was dringend ist

Die CISA führt eine öffentliche Liste namens Known Exploited Vulnerabilities Catalog. Sie nennt die Schwachstellen, die in der Praxis ausgenutzt wurden, und die CISA fordert Organisationen auf, anhand dieser Liste zu entscheiden, was zuerst zu beheben ist.

Sie müssen sie nicht lesen. Ihre IT-Ansprechperson oder Ihr Dienstleister sollte es tun, und Sie können fragen: „Prüfen wir den CISA-Katalog, und wie schnell handeln wir danach?“

Die vergessene Website

Viele Einrichtungen haben mehr Websites, als sie denken:

• die alte Website unter old.yourtown.gov, aufbewahrt „für alle Fälle“,
• die Website für ein Fest, ein Förderprogramm oder eine Abstimmung über eine Anleihe vor Jahren,
• eine Testkopie, die ein Dienstleister beim letzten Redesign angelegt hat,
• eine Website für Bibliothek, Parks oder Ehrenamt, die jemand auf eigene Faust gebaut hat.

Niemand aktualisiert sie, aber sie laufen weiter unter Ihrem Namen. Eine veraltete Website kann übernommen und dazu genutzt werden, Phishing-Seiten oder Schadsoftware zu verbreiten, und die Bürgerinnen und Bürger sehen darauf die Adresse Ihrer Einrichtung.

Jede Website braucht eines von beidem: eine verantwortliche Person, die sie aktuell hält, oder einen Plan, sie vom Netz zu nehmen. Bevor Sie etwas vom Netz nehmen, prüfen Sie Ihre Vorgaben zur Aktenführung. Die Verwaltungsleitung oder die für das Archiv zuständige Person entscheidet, was aufbewahrt werden muss und wie.

Ihre Haupt-Website

Eine Website, die auf einem Content-Management-System wie WordPress oder Drupal aufbaut, hat drei Ebenen, die aktualisiert werden müssen: die Kernsoftware, die Plugins oder Module und das Theme. Fragen Sie die Person, die sie betreibt:

1. Wer spielt Updates ein, und wie oft?
2. Gibt es eine Website-Firewall, die bekannte Angriffe blockiert, solange ein Update aussteht?
3. Welche Plugins oder Module sind installiert, werden aber nicht genutzt? Diese sollten entfernt werden.