Bundesamt für Sicherheit in der Informationstechnik

Sicheres Bereitstellen von Web-Angeboten (ISi-Web-Server)

Viele Wirtschaftsunternehmen und Behörden stellen heute Web-Angebote im Internet zur Verfügung und öffnen ihre Dienstleistungen einer großen Zahl von Benutzern. Gleichzeitig können aber auch Angreifer Schwachstellen der Web-Angebote ausnutzen, um unberechtigterweise Daten auszulesen, zu verändern oder den Betrieb der Dienste zu stören. Schlecht abgesicherte Web-Server werden von Angreifern missbraucht, um z. B. vertrauliche Daten zu stehlen. Daher ist es für jeden Anbieter unverzichtbar, seine Web-Angebote angemessen zu schützen.

Die Studie "Sicheres Bereitstellen von Web-Angeboten" behandelt ausführlich die besonderen Gefährdungen, die bei dem Bereitstellen von Web-Angeboten beachtet werden müssen, und stellt entsprechende Gegenmaßnahmen vor. Im Mittelpunkt steht eine Grundarchitektur für den normalen Schutzbedarf, mit der alle relevanten Gegenmaßnahmen abgedeckt sind. Um diese Architektur flexibel an die Größe der Infrastruktur und individuellen Schutzanforderungen anpassen zu können, stellt die Studie zusätzlich ergänzende oder alternative Maßnahmen vor. Auch einem erhöhten Schutzbedarf kann so Rechnung getragen werden.

Die Grundarchitektur beschreibt die Anordnung und Absicherung der verschiedenen zum Web-Angebot gehörenden Systeme.

  • Der Web-Server nimmt die Anfragen der Benutzer entgegen.
  • Der Web-Anwendungs-Server realisiert Angebote, die über ein statisches Informationsangebot hinausgehen. Web-Anwendungen sind häufig anfällig für Schwachstellen und werden auf ein separates System ausgelagert. Auf den Einsatz Aktiver Inhalte in den Web-Angeboten sollte verzichtet werden, um die Benutzer nicht unnötigen Gefahren auszusetzen.
  • Viele Web-Angebote generieren auf der Basis vertraulicher Daten individuelle Antworten für die Benutzer. Die Systeme, die diese Daten beinhalten, und ggf. weitere erforderliche Hintergrundsysteme werden in einer separaten Sicherheitszone aufgestellt.
  • Aus dem internen Netz wird auf das Web-Angebot über einen eigenen internen Webserver zugegriffen. Hierüber kann das Web-Angebot auch gepflegt werden.
  • Der Logging-Server protokolliert die sicherheitsrelevanten Aktionen oder sammelt die zu Abrechnungszwecken notwendigen Daten.

Die Studie "Sicheres Bereitstellen von Web-Angeboten" gibt darüber hinaus Empfehlungen für den sicheren Betrieb, die Konfiguration und für die Beschaffung der für das Web-Angebot notwendigen Systeme. Insgesamt lässt sich damit ein angemessener Schutz für den normalen oder hohen Schutzbedarf umsetzen.

Dokumente der ISi-Reihe zu Web-Servern

Bestandteile des Moduls "Sicheres Bereitstellen von Web-Angeboten" sind die Leitlinie (ISi-L) mit einem kurzen Abriss und die Studie (ISi-S) zu diesem Fachthema sowie zugehörige Checklisten (ISi-Check). Die Leitlinie ISi-L richtet sich primär an Führungskräfte und IT-Koordinatoren, die Studie ISi-S an alle IT-Fachleute und die Checkliste ISi-Check speziell an die Administratoren, Programmierer und Web-Entwickler sowie an die Revisoren.

Absicherung von Web-Anwendungen

Ein sicherer Web-Server ist die eine Seite der Medaille, sichere Web-Anwendungen sind die andere. Themen wie Cross-Site Scripting (XSS) oder SQL Injection sind inzwischen Alltags-Gefährdungen. Sie basieren rein auf fehlerhaft oder – freundlicher formuliert – nicht ausreichend sicher programmierten Webseiten. Gefahren können dabei sowohl für den Anbieter der Seiten als auch für den Anwender entstehen.

Aktive Inhalte

Aktiven Inhalte werden von vielen Webseiten-Anbietern zur Realisierung von speziellen Funktionen sowie zur (vermeintlichen) Erhöhung des Bedienkomforts genutzt. Bei vertrauenswürdigen Web-Angeboten sollte man davon ausgehen können, dass die auf ihnen eingesetzten Aktiven Inhalten selbst keine direkte Gefahr für den Anwender darstellen. Um aber Aktive Inhalte im Browser ausführen zu können, muss diese Funktion durch den Nutzer im Browser zunächst freigeschaltet werden. Einmal freigeschaltet ist der Weg auch offen für bösartige Aktive Inhalte, die auf speziell für Angriffe eingerichteten Webseiten eingebaut oder in vertrauenswürdige Web-Server eingeschleust wurden. So werden Aktive Inhalte inzwischen vielfach genutzt, um Trojanische Pferde auf Rechner von unbedarften Anwendern einzuschleusen. Das BSI empfiehlt grundsätzlich, beim Erstellen von Web-Angeboten komplett auf Aktive Inhalte zu verzichten.

In der Praxis kommt es jedoch vor, dass für vertrauenswürdige Web-Anwendungen Standard-Software eingesetzt werden soll, die Aktive Inhalte auf eine Weise beinhaltet, dass die Anwendung ohne eine – zumindest begrenzte – Freischaltung nicht nutzbar wäre. Wie hiermit umzugehen ist, wird im nachfolgenden Dokument erläutert

Web 2.0

Der Begriff "Web 2.0" ist ein derzeit häufig gebrauchtes Schlagwort, dessen Bedeutung allerdings nicht immer ganz klar ist und je nach Kontext schwanken kann. Die meisten Anwendungen, die mit dem Stichwort Web 2.0 in Verbindung gebracht werden, haben aber eines gemeinsam: Sie nutzen intensiv Aktive Inhalte.

Die vorliegende Studie beschäftigt sich mit den Sicherheitsaspekten einiger dieser Anwendungen, insbesondere mit einer Technik, die in vielen Fällen die technische Grundlage für Web 2.0 Anwendungen ist: Ajax (Asynchronous JavaScript and XML).

Das Ergebnis der Studie bestätigt erneut die Position des BSI, von der Verwendung Aktiver Inhalte in Web-Anwendungen abzuraten. Den neuen Möglichkeiten, die Technologien wie Ajax bieten, steht eine Anzahl neuer Gefährdungen gegenüber, die bei einer Abwägung von Nutzen gegen Risiko klar gegen die Nutzung Aktiver Inhalte sprechen.

IT-Grundschutz

Mit den IT-Grundschutz-Katalogen stellt das BSI in Form von Bausteinen zu verschiedenen Themen Zusammenstellungen von Gefährdungen und Maßnahmen zur Verfügung. Nachfolgend werden exemplarisch einige dieser Gefährdungen und Maßnahmen herausgegriffen, die einen besonderen Bezug zum betrachteten Thema haben. Eine umfassende Grundsicherung nach IT-Grundschutz eines IT-Verbunds kann jedoch nur erreicht werden, wenn die im BSI-Standard 100-2 beschriebene IT-Grundschutz-Vorgehensweise insgesamt angewendet wird.

Die IT-Grundschutz-Kataloge widmen dem Thema "Webserver" (B 5.4) einen eigenen allgemeinen Baustein.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK