Bastora Security Audit

Bastora prüft Deine WordPress-Installation gegen einen festen Katalog aus 62 Sicherheitspunkten, härtet sie automatisch und wehrt laufende Angriffe ab. Installieren, aktivieren, einmal „Sicherheitsprüfung starten” klicken. Mehr ist nicht zu tun.

Drei Dinge macht Bastora anders:

1. Ehrliche Außensicht. Bastora prüft Deine Seite so, wie ein Bot sie sieht: Versionslecks im HTML, offene Verzeichnisse, fehlende Security-Header, sichtbare Endpoints. Die meisten anderen Plugins prüfen nur ihre eigene Konfiguration.
2. Konflikt-erkennend. Läuft schon Wordfence, Sucuri, Solid Security, All-In-One WP Security, MalCare, WP Cerber, Limit Login Attempts, Really Simple SSL oder ein vergleichbares Plugin, tritt Bastora in den überlappenden Bereichen zur Seite, statt einen Konflikt zu bauen. Im Dashboard steht pro Härtung im Klartext, warum sie aktiv oder inaktiv ist.
3. Null Konfiguration. Härtungen sind ab Werk aktiv, jede Verbindung nach außen ist ab Werk aus.

Was Bastora tut

• Firewall. Prüft den ganzen Aufruf: Adresszeile, Formulardaten, Roh-Inhalt, hochgeladene Dateien und Kopfzeilen. Die Regeln gegen kritische Lücken im WordPress-Kern greifen in jedem Modus.
• Login-Schutz. Fehlversuche zählen je Adresse, je Konto und für die ganze Website: fünf Fehlversuche sperren 30 Minuten, bei Wiederholung 4 und dann 24 Stunden. Dazu Honeypot, ein einmal gültiges Sicherheitswort im Formular und eine Rechenaufgabe, wenn es eng wird. Cloudflare- und Proxy-IPs werden korrekt erkannt, IPv6 auf dem /64-Präfix gesperrt. Feste Adressen wie das Büro stehen auf einer Whitelist, bekannte Geräte werden nie ausgesperrt.
• Datei-Wache mit Auto-Reparatur. Täglicher Abgleich von Kern, Plugins und Themes gegen die Originale auf wordpress.org. Manipulierte Kerndateien ersetzt Bastora nach doppelter Hash-Prüfung selbst, die vorgefundene Fassung wandert in die Quarantäne.
• Schadcode-Scanner. PHP, JavaScript, HTML und Server-Regeldateien, alle vier Stunden, neue und geänderte Dateien zuerst. Ein Fund nennt Plugin oder Theme beim Namen, dazu Pfad und Zeile.
• Bot- und Scanner-Abwehr. Wer Adressen abfragt, die es auf einer WordPress-Website nie gibt, sperrt sich selbst aus. Das Dashboard zeigt, wie viel Deines Bot-Verkehrs von Marktforschungs-Crawlern und KI-Sammlern kommt, und weist sie auf Klick ab. Suchmaschinen und Linkvorschauen bleiben zugelassen.
• Kommentar-Wache. Spam hält WordPress zurück, räumt ihn aber nicht weg: die Einträge bleiben in der Datenbank stehen. Bastora zählt sie und löscht sie auf Klick endgültig. Dazu lässt sich die Kommentarfunktion schließen, ganz oder nur dort, wo noch keine Kommentare stehen. Jede Seite ist einzeln entscheidbar, und der Weg zurück steht in den Einstellungen.
• Nachbarn auf demselben Webspace. Liegen mehrere WordPress-Installationen in einem Hosting-Paket, laufen sie unter demselben Benutzerkonto des Servers. Bastora sagt Dir, welche davon von Deiner Installation aus erreichbar sind. Gemessen wird nur von der eigenen Seite aus, eine fremde Installation fasst Bastora dabei nicht an.
• Datenbank-Prüfung. Läuft täglich im Hintergrund und meldet untergeschobene Konten, geänderte Adressen und Code in den Einstellungen, ohne dass jemand das Backend öffnen muss.
• Härtung. Versionslecks, RSD- und WLW-Verweise, XML-RPC, Pingbacks, REST-API-Benutzer, Application Passwords, X-Powered-By, Author-Enumeration, Security-Header, PHP-Sperre im Uploads-Verzeichnis, Revisions-Limit und HTTPS-Umstellung auf einen Klick.
• Dashboard im Klartext. Score, jeder Prüfpunkt mit Erklärung, Tagesprofil der letzten 24 Stunden und alle ausgesperrten Adressen mit Grund und Restlaufzeit, einzeln wieder freizugeben.

Was Bastora bewusst nicht macht

• Kein erzwungenes TOTP. Solopreneure sperren sich regelmäßig mit Authenticator-Apps aus. Bastora setzt stattdessen auf Brute-Force-Schutz, Rate-Limit und Anomalie-Erkennung.
• Kein Verstecken der Login-URL. Eine umbenannte Login-URL macht den Passwort-Reset-Link kaputt, sobald das Plugin deaktiviert wird. Rate-Limit plus Honeypot ist die saubere Lösung.
• Verbindungen nach außen nur mit Deiner Freigabe. Bastora fragt nach dem Zweck: Die Schutzdienste (Versions-Abgleich gegen wordpress.org, Bastora-Schwarm, Schad-URL-Feed, Passwort-Leck-Check) gibst Du mit einem Haken frei, die Sicherheitsforschung mit einem zweiten. Ab Werk ist alles aus, in den Einstellungen schaltest Du jeden Dienst auch einzeln.

Einwilligung zur Sicherheitsforschung (Opt-in)

Mit Deiner Einwilligung schickt Bastora täglich eine kurze Zählung und alle 28 Tage eine Zusammenfassung an bastora.de (Server in Deutschland). Zweck: Angriffe und Bots über viele Websites erkennen, Firewall-Regeln, Signaturen und Sperrlisten für alle Bastora-Websites anpassen, Fehlalarme verringern und die Wirkung der Härtung messen. Keine Werbung, keine Profile, keine Weitergabe.

Nie übertragen werden IP-Adressen, Deine Domain, Benutzernamen, E-Mail-Adressen, Inhalte und alles, was jemand in ein Formular Deiner Website eingibt. Die Einwilligung ist ab Werk aus, freiwillig und jederzeit in den Einstellungen widerrufbar. Alle Einzelheiten stehen unter „Privacy”.

Privacy

Auf Deiner Website

Zum Schutz Deiner Website verarbeitet Bastora die folgenden Daten auf Deinem eigenen Server. Verantwortlich im Sinne der DSGVO bist Du als Betreiber der Website. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse am sicheren Betrieb der Website. Einen passenden Textbaustein für Deine Datenschutzerklärung findest Du in WordPress unter Einstellungen, Datenschutz. Normale Seitenaufrufe Deiner Besucher hält Bastora nicht fest.

Fehlversuche bei der Anmeldung. Fehlgeschlagene Anmeldeversuche und falsch gelöste Rechenaufgaben zählt Bastora je IP-Adresse, Anmeldeversuche zusätzlich je Benutzername. Die Zähler liegen unter der IP-Adresse und verfallen höchstens 25 Stunden nach dem letzten Versuch.

Ereignisprotokoll. Anmeldungen, Fehlversuche, Aufrufe nicht vorhandener Seiten, abgewehrte Angriffe und Treffer der Sperrliste hält Bastora sieben Tage lang fest, höchstens die letzten 1.000 Einträge: Zeitpunkt, Art des Ereignisses, aufgerufene Adresse, Anfrageart, Antwortcode, Browserkennung, verweisende Seite, bei Anmeldungen der eingegebene Benutzername, dazu ein täglich wechselnder Abdruck der IP-Adresse und der Netzbereich (bei IPv4 ohne die letzte Zahl, bei IPv6 die ersten vier Blöcke).

Firewall-Protokoll. Zu jeder abgewehrten Anfrage speichert Bastora 30 Tage lang Zeitpunkt, aufgerufene Adresse, Anfrageart, die auslösende Regel, einen gekürzten Ausschnitt der auffälligen Stelle, die Browserkennung, einen täglich wechselnden Abdruck der IP-Adresse und den Netzbereich.

Sperrliste. Sperrt Bastora eine Adresse selbsttätig, etwa weil sie wiederholt Firewall-Regeln auslöst oder Adressen abfragt, die es auf einer WordPress-Website nie gibt, steht die IP-Adresse mit Grund und Ablaufzeit in der Sperrliste. Wird ein Administratorkonto untergeschoben, sperrt Bastora auf dieselbe Weise den Netzbereich der Herkunft. Selbsttätige Sperren laufen nach 15 Minuten bis 24 Stunden ab und werden einmal täglich gelöscht. Wie oft eine Adresse in den letzten 24 Stunden gesperrt wurde, merkt sich Bastora unter einem Abdruck der Adresse. Sperren, die ein Administrator von Hand anlegt, bleiben, bis er sie entfernt.

Änderungsprotokoll. Anmeldungen von Administratoren und Änderungen im Backend stehen 90 Tage im Änderungsprotokoll: Zeitpunkt, Konto, betroffenes Objekt, Netzbereich und ein täglich wechselnder Abdruck der IP-Adresse. Muss Bastora bei einem Vorfall die Sitzungen eines Kontos beenden, sichert es vorher deren Anmeldezeitpunkt, IP-Adresse und Browserkennung, ebenfalls 90 Tage, damit sich klären lässt, wer betroffen war. Fällt eine Anmeldung auf, merkt sich Bastora für die Übersicht im Backend den Netzbereich, bis ein neues Passwort gesetzt wird, höchstens für 20 Konten.

Vorfälle und Bot-Statistik. Für die Übersicht im Backend zählt Bastora Vorfälle mit Zeitpunkt, aufgerufener Adresse und Einstufung, höchstens die letzten 500, sowie Zugriffe bekannter Bots mit Name, Pfad und einem Abdruck der Browserkennung, 28 Tage lang. IP-Adressen stehen darin nicht.

Gerätekennzeichen. Meldet sich ein Administrator an oder wird eine Anmeldung per Link bestätigt, legt Bastora ein zufälliges Kennzeichen als Cookie im Browser ab: ein Jahr gültig und für Skripte nicht lesbar. In der Datenbank steht davon nur ein Abdruck, dazu die Zeitpunkte der ersten und der letzten Anmeldung, höchstens zehn Geräte je Konto. Gerätenamen, Browserdaten oder Standorte erfasst Bastora dafür nicht. Das Kennzeichen dient allein der Sicherheit des Zugangs: Ein bekanntes Gerät wird nicht ausgesperrt, und bei einem neuen Gerät bekommt der Kontoinhaber eine Nachricht. Damit ist es für den vom Nutzer gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Ein neues Passwort löscht alle Geräte des Kontos. In den Einstellungen lässt sich das Vertrauen in bekannte Geräte abschalten, und jeder Administrator kann die Geräte seines Kontos löschen.

IP-Adresse Whitelist. Trägt ein Administrator Adressen ein, speichert Bastora die Adresse, eine selbst gewählte Bezeichnung, eine mögliche Befristung und den Zeitpunkt, zu dem die Adresse zuletzt auf der Website war. Die Einträge bleiben, bis ein Administrator sie entfernt.

Weitergabe. Diese Daten bleiben auf Deiner Website. Einzige Ausnahme ist der Schwarm, wenn Du ihn einschaltest: Sperrt Bastora eine IP-Adresse wegen zu vieler Fehlversuche oder eines Angriffs, meldet es diese Adresse an bastora.de (siehe „Externe Verbindungen“, Punkt 2). Adressen auf der Whitelist und bekannte Geräte meldet Bastora nie.

Beim Löschen des Plugins entfernt Bastora alle genannten Protokolle, Listen und Geräteabdrücke aus der Datenbank.

Externe Verbindungen

Ab Werk baut Bastora keine einzige Verbindung nach außen auf. Die Verbindungen 1 bis 5 dienen dem Schutz Deiner Website. Im Einrichtungs-Assistenten schaltest Du sie mit einem Haken für diesen Zweck frei, in den Einstellungen jede einzeln, und kannst sie jederzeit wieder abschalten. Verbindung 6 ist eine eigene Einwilligung mit eigenem Haken. Angesprochen werden dabei nur zwei Gegenstellen: wordpress.org und bastora.de.

1. Abgleich gegen wordpress.org (Opt-in)

Bastora fragt die offizielle WordPress-API nach der aktuellen Kern-Version, nach den Datei-Hashes Deiner Version und nach dem Update-Stand der installierten Plugins und Themes. Für den Datei-Abgleich und die Reparatur lädt Bastora zusätzlich die offiziellen Pakete von wordpress.org. Das ist dieselbe Schnittstelle, die WordPress für seine eigenen Update-Prüfungen nutzt.

Übertragen werden nur Name (Slug) und Version von WordPress, Plugins und Themes sowie die Sprache der Installation, keine Domain, keine Nutzerdaten, keine Besucher-IP. Antworten werden 24 Stunden zwischengespeichert, geladene Pakete liegen 7 Tage lokal im Quarantäne-Verzeichnis. Vor dem Ersetzen einer Kerndatei prüft Bastora deren Hash gegen den von wordpress.org gemeldeten Wert. Plugins und Themes, die nicht im offiziellen Verzeichnis liegen (Premium, Eigenentwicklung), werden als „extern, nicht prüfbar” geführt; bei Plugins repariert Bastora bewusst nicht, sondern meldet abweichende Dateien per Mail. Ohne diese Freigabe gelten die betroffenen Prüfpunkte als „nicht prüfbar” und es geht keine Anfrage raus.

2. Bastora-Schwarm (Opt-in)

Anonymer Austausch von Angreifer-Adressen mit anderen teilnehmenden Websites, über bastora.de. Beim Aktivieren vergibt der Server einen anonymen Token; übertragen wird dabei nur die Plugin-Version. Bei einem erkannten Angriff meldet Bastora Token, Angreifer-IP, Angriffs-Typ, Schweregrad und Plugin-Version. Im Gegenzug holt Bastora alle paar Minuten die Sperrliste und zweimal täglich die signierten Firewall-Regeln ab, jeweils nur mit dem Token im Header. Beim Abschalten oder Deinstallieren wird der Knoten sofort gelöscht.

Der User-Agent ist statisch („Bastora-Swarm”), damit WordPress die Domain nicht mitschickt. Nicht übertragen werden Domain, URL, Besucher-IPs und Betreiberdaten. Reports werden serverseitig nach 14 Tagen gelöscht, Sperrlisten-Einträge verfallen je nach Art nach 6 Stunden bis 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Angriffsabwehr).

3. Passwort-Leck-Check (Opt-in, nur Backend-Login)

Beim Backend-Login schickt Bastora höchstens einmal pro Nutzer und Woche die ersten fünf Hex-Zeichen des SHA-1-Hashes des eingegebenen Passworts an bastora.de. Mehr geht nicht raus: nicht das Passwort, nicht der vollständige Hash, kein Benutzername, keine Domain, keine Kennung. Der Server fragt damit die offizielle haveibeenpwned.com-API ab und liefert die Hash-Endungen zurück, der Abgleich passiert lokal in WordPress. Das Verfahren heißt k-Anonymity und wird auch von 1Password, Firefox und Chrome genutzt. Bei einem Treffer bekommt der Nutzer einen Hinweis, der Login wird nie blockiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Schad-URL-Feed (Opt-in)

Einmal täglich holt Bastora eine Liste bekannter Schad-Domains von bastora.de. Mitgesendet werden allein die Bastora-Version in der Programm-Kennung und der Prüfwert der zuletzt geladenen Liste, damit eine unveränderte Liste nicht erneut übertragen wird. Dieser Prüfwert beschreibt nur den Listenstand und ist für alle Websites gleich. Es geht keine Domain, keine Besucher-Daten und keine Kennung raus. Die Antwort ist eine Datendatei ohne ausführbaren Code, rund 2 MB: je Eintrag ein Prüfwert der Schad-Domain (die ersten 8 Byte ihres SHA-256) mit Typ und Schweregrad. Bastora legt sie unter wp-content/uploads/bastora/ ab, gesperrt für Abrufe von außen, und gleicht Links in Beiträgen und Kommentaren ausschließlich auf Deiner Website dagegen ab. Geprüfte Adressen verlassen Deine Website nie. Beim Abschalten der Funktion und beim Löschen des Plugins entfernt Bastora die Datei. Quellen: URLhaus und ThreatFox (abuse.ch, CC0 1.0), der OpenPhish-Community-Feed, Phishing Army (CC BY 4.0) und CERT Polska. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5. Schwachstellen-Liste (Opt-in, zusammen mit Punkt 1)

Einmal täglich lädt Bastora die Liste der bekannten Sicherheitslücken von bastora.de. Das ist ein reiner Abruf: keine Domain, keine Kennung, keine Liste Deiner Erweiterungen, kein Parameter in der Adresse. Mitgesendet wird allein die Bastora-Version in der Programm-Kennung. Die Antwort ist eine JSON-Liste aus Kennnummer, betroffener Erweiterung, betroffenen Versionen und behobener Version, ohne ausführbaren Code. Welche Deiner Erweiterungen betroffen sind, rechnet Bastora danach ausschließlich lokal aus. Der Abruf hängt an derselben Freigabe wie Punkt 1; ohne sie geht keine Anfrage raus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Einwilligung zur Sicherheitsforschung (Opt-in, ab Werk aus)

Empfänger: https://www.bastora.de/api/tmtr/ (Server in Deutschland). Rhythmus: täglich eine kurze Zählung, alle 28 Tage eine Zusammenfassung. Beim Deaktivieren von Bastora geht eine letzte Meldung an https://www.bastora.de/api/rueckmeldung/: die Installationskennung, die Versionsstände von Bastora und WordPress und dass abgeschaltet wurde. Vor Deiner Einwilligung wird kein einziger Aufruf ausgeführt.

Zweck: Angriffe und Bots über viele Websites erkennen, Firewall-Regeln, Signaturen und Sperrlisten anpassen, Fehlalarme verringern, die Wirkung der Härtung messen und gekaufte Plugins und Themes im Abgleich auf Veränderungen prüfen. Keine Werbung, keine Profile, keine Weitergabe.

Kategorien:

• eine zufällige Installationskennung (UUID), lokal beim ersten Start erzeugt. Sie ist pseudonym.
• Versionen und Umgebung: Bastora, WordPress samt Update-Status, PHP, MySQL, Server-Software, Sprache, Zeitzone, Multisite ja oder nein, ein Hosting-Anbieter-Kürzel (z. B. „hetzner”, „ionos”), ermittelt aus lokalen Markern und einer lokalen Namensauflösung der eigenen Server-IP. Die Server-IP selbst wird nicht gesendet.
• Härtungs- und Prüfstand: Punktzahl, je Prüfpunkt ein Status-Code, Konfigurations-Flags wie WP_DEBUG, DISALLOW_FILE_EDIT, FORCE_SSL_ADMIN, die Bastora-Härtungen mit Aktiv-Status, einmalig der Stand vor der ersten Härtung
• Verzeichnis der Erweiterungen: je Plugin (max. 200) und Theme (max. 75) Slug, Version, verfügbare Version, Update- und Auto-Update-Status, aktiv oder inaktiv, dazu erkannte andere Sicherheits-Plugins
• Größenangaben: Nutzerzahlen je Rolle, Zahl der Beiträge, Seiten und Kommentare, Umfang der automatisch geladenen Einstellungen. Nur Zahlen, keine Namen, keine Inhalte.
• Nutzungsart: für mich selbst, im Auftrag, für eine Organisation, samt Erstwahl
• Zählwerte zu Sicherheitsereignissen, auch je Stunde: abgewehrte Angriffe, Fehlerseiten, Anmeldeversuche, Bot-Anfragen nach Art (gutartig, feindlich, KI, SEO, unbekannt) und danach, ob Bastora sie gesperrt hat, die Nutzung von Whitelist und Gerätevertrauen (Zahl der Einträge, davon befristet, Zahl der Geräte und Konten, Schalter an oder aus)
• gesäuberte Angriffsmuster: erkanntes Muster aus der Adresszeile und den Kopfdaten der Anfrage, angeschlagene Firewall-Regel, aufgerufener Pfad (bei Plugins, Themes und WordPress-eigenen Pfaden wie wp-admin, wp-includes und wp-json vollständig, bei Uploads nur /wp-content/uploads/, sonst nur der erste Bestandteil), Werkzeug-Kennung, Tageszeit, dazu in derselben Kürzung die Pfade, die Bots am häufigsten aufrufen, und das Muster von Adressen, die massenhaft ins Leere laufen (erster Adressbestandteil, Anzahl, Dateiendung). Browser-Kennungen echter Besucher werden durch das Wort „Browser” ersetzt, Mailadressen und lange Zahlenfolgen unkenntlich gemacht.
• Abgleich gekaufter Plugins und Themes (ab Fassung 6 der Einwilligung): für jedes Plugin und Theme, für das wordpress.org kein passendes Original bereitstellt (max. 150), Slug, Version und eine SHA-256-Prüfsumme über seine PHP-Dateien, einmal täglich an https://www.bastora.de/api/abdruck/. Die Antwort sagt nur, ob dieselbe Version auf anderen Bastora-Websites dieselben Dateien hat. Um unabhängige Websites zu zählen, bildet bastora.de aus dem Netzbereich der Server-IP (die ersten drei Blöcke bei IPv4, die ersten 48 Bit bei IPv6) eine verkürzte, nicht umkehrbare Kennung mit geheimem Schlüssel und speichert nur diese, nie die IP-Adresse.

Nie übertragen werden: IP-Adressen, Domains, URL der Website, Server-IP, E-Mail-Adressen, Benutzernamen, Beitrags-, Datei- und Datenbank-Inhalte sowie alles, was jemand in ein Formular Deiner Website eingibt.

Die Einwilligung gilt für diesen Zweck und diese Kategorien. Neue Zählwerte innerhalb einer Kategorie deckt sie ab. Vor einem neuen Zweck, einer neuen Kategorie oder einer Weitergabe fragt Bastora erneut …