Sicherheit für öffentliche Stellen
Dieser Bereich richtet sich an Informationssicherheitsbeauftragte, Administratorinnen und Administratoren,
Entwicklerinnen und Entwickler, Hosting-Teams und Projektverantwortliche öffentlicher Stellen, die eine Website mit
Exponential betreiben. Jede Aussage über das Produkt stammt aus dem Repository: aus den
Sicherheitsstandards des Projekts (deren Statusangaben „Teilweise erfüllt“,
„Nicht geprüft“ und, für OWASP A09, „Erfüllt“ unverändert übernommen werden), aus der
Sicherheitshärtung, aus
Kapitel 13 der Installationsanleitung, dem Audit-Leitfaden und den
Funktionsseiten. Lücken werden benannt, wo es sie gibt: Kontosperre standardmäßig aus, zweistufige Anmeldung nur auf
Wunsch, CSP in der Administration nur im Report-only-Modus und auf Websites aus, HSTS standardmäßig leer, keine
mitgelieferte security.txt, kein Abhängigkeitsscan in der CI des Projekts.
Inhalt
Lesereihenfolge
- Sicherheitsbeauftragte und Projektverantwortliche: Sicherheitslage auf einen Blick, die OWASP-Zuordnungen, die Seiten zur Einordnung (NIS2, NIST CSF, ISO 27001), die Go-live-Checkliste, Penetrationstests, die Reaktion auf Sicherheitsvorfälle.
- Administratorinnen und Administratoren: Härtung im Überblick, dann die Seiten zu Anmeldung, Sitzungen, Headern, HTTPS, CSP, Audit-Protokoll, Protokollen und Sicherungen.
- Entwicklungs- und Hosting-Teams: CSP-Plan, Uploads, Formular-Tokens, Proxys, Dateirechte, von der Bereitstellung verwaltete Konfiguration, request-shield.
Seiten in diesem Bereich
| Seite | Beantwortet |
|---|---|
| Die Sicherheitslage von Exponential auf einen Blick | Status je Standard; was standardmäßig an und aus ist; bekannte Lücken |
| Die OWASP Top 10 auf Exponential abgebildet | Gegenmaßnahmen, Ihr Anteil und Nachweise je Kategorie |
| OWASP ASVS auf Exponential abgebildet | Kontrollen nach Kapitel; die Lücke bei der Passwortlänge |
| Eine Exponential-Website für eine öffentliche Stelle härten | die Schichten in ihrer Reihenfolge |
| Sicherheits-Checkliste vor dem Go-live öffentlicher Websites | Checkliste mit abzulegenden Nachweisen |
| Das Audit-Protokoll für öffentliche Stellen | was aufgezeichnet wird (und was nicht), Aufbewahrung, wer es liest |
| Audit-Alarme und ihre Empfänger | die sieben mitgelieferten Regeln; Zustellung per E-Mail |
| Integrität und Prüfung des Audit-Protokolls | Hash-Ketten, Prüfpunkte, Prüfung, unterbrochene Ketten |
| Das Audit-Protokoll an ein SIEM weiterleiten | Syslog- und Webhook-Ziele |
| Zweistufige Anmeldung für Beschäftigte öffentlicher Stellen | einschalten, verlangen, einführen, verlorene Telefone |
| Content Security Policy für öffentliche Websites | wie sie ausgeliefert wird, Einstellungen, Berichte |
| Von Report-only zu einer durchgesetzten CSP | ein gestufter Plan mit Rückfallmöglichkeit |
| request-shield vor einer öffentlichen Website | die Firewall vor dem Kernel, seit 6.0.15 Teil der Standardinstallation |
| Anfrageprotokolle und das Sicherheitsprotokoll | 404.log, security.log, Maskierung, Aufbewahrung |
| Sicherheits-Header | die fünf Standardwerte; prüfen und ändern |
| HTTPS und HSTS | Schritte, Einstellungen, HSTS sicher anheben |
| Passwortrichtlinie | Einstellungen und eine längenbasierte Richtlinie |
| Kontosperre | standardmäßig aus; einschalten, entsperren |
| Sitzungen und Cookies | Cookie-Attribute, Zeitlimits, Benutzer abmelden |
| Rollen und minimale Rechte | sensible Richtlinien, ein Rollenkonzept, Zugriffsüberprüfungen |
| Datei-Uploads und SVG | Schutz bei Uploads und der SVG-Bereiniger |
| Von der Bereitstellung verwaltete Konfiguration | Konfigurationsänderungen im Produktivbetrieb sperren |
| Dateikonsistenzprüfung | geänderte Dateien erkennen |
| Offenlegung von Schwachstellen | die Richtlinie des Projekts und Ihre eigene |
| security.txt hinzufügen | Datei nach RFC 9116 und die Rewrite-Regel |
| Patch-Rhythmus | was zu beobachten ist und eine Aktualisierungsroutine |
| NIS2 und eine Exponential-Website | allgemeine Einordnung üblicher Maßnahmen |
| NIST Cybersecurity Framework und eine Exponential-Website | die sechs Funktionen |
| ISO/IEC 27001 und eine Exponential-Website | ISMS-Geltungsbereich und Nachweise |
| Penetrationstests einer Exponential-Website | Umfang, Vorbereitung, Befunde |
| Geheimnisse in settings/override | welche Dateien Geheimnisse enthalten und wie Sie sie schützen |
| Die Administration abtrennen | eigener Host, Netzwerkbeschränkung, Anfrageregeln |
| Routine zur Protokollprüfung | wöchentliche und monatliche Prüfungen |
| Debug-Ausgabe im Produktivbetrieb | sichere Standardwerte; Debugging für eine Adresse |
| CSRF und Formular-Tokens | ezformtoken und eigener Code |
| Proxys und vertrauenswürdige Header | TrustedProxies[], von rechts lesen |
| Dateirechte und Eigentümer | ein Schreiber, schreibgeschützter Code, gehärtete Modi |
| Sicherung und Wiederherstellung | konsistente Sicherungen, Wiederherstellungstests, kleinere Wiederherstellungen |
| Reaktion auf Sicherheitsvorfälle bei einer Exponential-Website | eindämmen, untersuchen, neu aufbauen, melden |
Aufgaben, die diese Seiten Schritt für Schritt anwenden, finden Sie in den Compliance-Aufgaben dieser Hilfe (Compliance-Aufgaben).
Verwandte Seiten
- Nach oben: Verwaltungen: hier beginnen
- Sicherheitsstandards
- Sicherheitshärtung
- Sicherheit für Hoster
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.
Werden Sie Exponential-Partner
Partner teilen ihre Informationen, stellen Mittel bereit, geben Beiträge zurück und entwickeln die Produkte mit uns, und so wächst Exponential. Eine Partner-Website und ein Dashboard sind für Mitte 2027 geplant: Werden Sie noch heute Partner, damit wir schneller wachsen und neue Funktionen früher liefern.