Liebe Schachfreunde,
wer in den vergangenen Wochen unsere Seiten besucht hat, ist möglicherweise über Merkwürdigkeiten gestolpert: Weiterleitungen auf fremde Seiten, seltsame Suchmaschinen-Treffer, zeitweise Ausfälle. Der Grund ist unerfreulich, und ich möchte offen damit umgehen.
Was passiert ist
Mitte Juni wurden mehrere unserer Webseiten kompromittiert. Angreifer nutzten eine bekannte Sicherheitslücke in einer Zusatzkomponente unseres Content-Management-Systems aus, um Schadcode einzuschleusen. Konkret wurden Besucher unbemerkt auf fremde Seiten umgeleitet und die Seiten für Suchmaschinen-Manipulation missbraucht.
Betroffen waren mehrere Installationen gleichzeitig, weil sie auf demselben Webspace lagen. Das ist die unangenehme Eigenschaft solcher Angriffe: Eine Lücke, viele Opfer.
Ob dabei personenbezogene Daten eingesehen wurden, lässt sich nachträglich nicht mit Sicherheit feststellen. Wir klären derzeit mit der zuständigen Datenschutzbehörde, welche Schritte erforderlich sind, und werden hier darüber informieren. Unabhängig davon empfehlen wir allen, die auf unseren Seiten ein Konto hatten: Falls Sie das dortige Passwort auch anderswo verwenden, ändern Sie es.
Die Entscheidung: Neu bauen statt reparieren
Nach einem solchen Vorfall gibt es zwei Wege. Man kann versuchen, den Schaden zu beseitigen – Schadcode suchen, Dateien säubern, hoffen, nichts übersehen zu haben. Oder man baut neu.
Wir haben uns für den zweiten Weg entschieden. Der Grund ist einfach: Nach einem erfolgreichen Einbruch weiß niemand mit Sicherheit, was der Angreifer alles hinterlassen hat. Eine gesäuberte Installation bleibt eine Installation, der man nicht mehr trauen kann.
Also: neuer Server, neuer Anbieter, frische Installationen, neue Zugangsdaten für alles. Die Inhalte – Turnierergebnisse, Berichte, Termine – wurden aus geprüften Sicherungen übernommen.
Was das gekostet hat
Ehrlich gesagt: fast eine ganze Woche Arbeit. Aufräumen, neu aufsetzen, migrieren, testen. Dazu der Umzug sämtlicher Domains des Bezirks zum neuen Anbieter, damit künftig alles aus einer Hand kommt und nicht über drei Dienstleister verteilt ist.
Diese Woche liegt hinter uns. Die Websites laufen wieder.
Was sich für euch ändert
Die Adressen bleiben. sboo.de, bezirksmeisterschaft.org – alles wie gewohnt. Wer die alte, lange Adresse schachbezirk-oldenburg-ostfriesland.de im Lesezeichen hat, wird automatisch weitergeleitet.
Der Login ist neu. Wer sich auf unseren Seiten anmeldet, tut das künftig über ein zentrales Anmeldesystem. Einmal registrieren, überall angemeldet. Wie das funktioniert und warum wir das gemacht haben, steht weiter unten und in Teil 2.
Die E-Mail-Adressen des Bezirks (@sboo.de) sind ebenfalls umgezogen. Die Funktionäre wurden informiert; für alle anderen ändert sich nichts – schreibt weiter an die gewohnten Adressen.
Was noch fehlt
Der Ergebnisdienst unter ergebnisse.sboo.de ist noch nicht wieder online. Wir rechnen mit etwa zwei Wochen. Die Verzögerung hat einen guten Grund: Der Ergebnisdienst greift auf einen erheblichen Datenbestand zu, und wir wollen ihn nicht überstürzt aus möglicherweise belasteten Sicherungen wiederherstellen. Wer kurzfristig Ergebnisse braucht, wendet sich bitte direkt an den Turnierleiter.
Wir bitten um Geduld. Lieber zwei Wochen später und sauber als nächste Woche und wieder anfällig.
Der neue Login
Bisher hatte jede unserer Seiten ihre eigene Benutzerverwaltung. Das war unbequem und, wie sich zeigte, unsicher.
Künftig läuft die Anmeldung über einen zentralen Dienst. Praktisch heißt das:
- Einmal registrieren, dann Zugang zu allen Bereichen, für die man berechtigt ist
- E-Mail-Bestätigung bei der Registrierung – kein Konto ohne verifizierte Adresse
- Ein Passwort statt drei, und dieses eine an einer Stelle, die dafür gebaut ist
Wer sich neu registrieren möchte: Der Weg führt über den Anmelde-Knopf auf sboo.de. Wer nicht weiterkommt, meldet sich bei mir.
Was ich mir wünsche
Diese Woche war unangenehm, aber sie hat auch gezeigt, dass unsere Infrastruktur gewachsen ist, ohne dass jemand systematisch nach ihr geschaut hat. Das ändert sich gerade.
Kritik, Lob und konstruktive Vorschläge sind ausdrücklich erwünscht. Wenn etwas nicht funktioniert, wenn eine Seite seltsam aussieht, wenn ihr eine Idee habt, was besser laufen könnte – schreibt mir. Auch unbequeme Rückmeldungen sind willkommen. Eine Vereinswebsite ist kein Selbstzweck.
Und falls jemand unter euch beruflich oder privat mit Webtechnik zu tun hat und Lust hätte, gelegentlich einen Blick auf unsere Systeme zu werfen: Meldet euch. Vier Augen sehen mehr.
Wer wissen möchte, was technisch dahintersteckt, findet in Teil 2 die Details.
Schachliche Grüße
Thomas Schwietert