Traduction pas encore disponible : version originale en allemand.
Einleitung: Warum Self‑Hosted Security für Content‑Plattformen wichtig ist
Viele Redakteurinnen, Agenturen und Website‑Betreiber möchten die Kontrolle über Inhalte und Daten behalten – deshalb setzen sie auf Self‑Hosted‑Lösungen wie Marqentra. Der Vorteil: Daten bleiben auf dem eigenen Webspace, Integrationen sind flexibel. Der Nachteil: Die Verantwortung für Sicherheit liegt vollständig beim Betreiber. Dieser Beitrag liefert eine praxisnahe Checkliste mit konkreten Server-, Netzwerk‑ und Applikations‑Einstellungen, damit Ihre Marqentra‑Instanz zuverlässig, wartbar und sicher läuft.
1. Grundlagen: Server‑ und Betriebssystemhärtung
Minimaler Service‑Footprint
Installieren Sie nur die Dienste, die für den Betrieb von Marqentra nötig sind. Jeder zusätzliche Daemon erhöht die Angriffsfläche. Entfernen oder deaktivieren Sie ungenutzte Pakete und Demo‑Software.
Benutzer und Dateirechte
- Benutzen Sie einen dedizierten Systembenutzer für den Marqentra‑Dienst statt root.
- Vergeben Sie Dateirechte restriktiv: Verzeichnisse 750, Dateien 640; Konfigurationsdateien (z. B. credentials) maximal 640 oder 600.
- Trennen Sie Webserver‑ und Datenbankkonten; der DB‑User erhält nur die notwendigen Rechte.
SSH‑Härtung
- Erzwingen Sie Key‑basierte Authentifizierung; deaktivieren Sie Passwort‑Logins.
- Deaktivieren Sie Root‑Login über SSH.
- Beschränken Sie SSH‑Zugriffe per Firewall oder Allowlist auf administrative IPs, wenn möglich.
2. Netzwerk‑ und Perimeter‑Sicherheit
Firewall und offene Ports
Öffnen Sie nur 80 (HTTP) und 443 (HTTPS) öffentlich. Verwaltungsports (SSH, Datenbank, Management) sollten durch Firewall‑Regeln beschränkt oder über VPN erreichbar sein.
Reverse Proxy und TLS
Setzen Sie einen Reverse Proxy (z. B. Nginx oder Traefik) vor Marqentra. Nutzen Sie TLS 1.2+ idealerweise 1.3. Let’s Encrypt ist eine bewährte Option für automatische Zertifikate. Konfigurieren Sie:
- HTTP → HTTPS Redirect
- HSTS mit pragmatischem max‑age (z. B. initial gering testen, später erhöhen); preload nur nach sorgfältiger Prüfung
- Starke Cipher‑Suites und PFS‑Konfiguration
Brute‑Force‑Schutz
Nutzen Sie fail2ban oder ähnliche Werkzeuge, um wiederholte Login‑Versuche zu blockieren. Rate Limiting für Formulare (Login, APIs) reduziert Missbrauch.
3. Applikations‑Einstellungen in Marqentra
HTTPS erzwingen und sichere Cookies
- Erzwingen Sie HTTPS für alle Seiten und APIs.
- Setzen Sie Cookie‑Flags: Secure, HttpOnly und SameSite (Lax oder Strict für Session‑Cookies).
Content Security Policy (CSP)
Eine CSP reduziert XSS‑Risiken. Startpunkt (an Ihre Ressourcen anpassen):
default‑src 'self'; script‑src 'self' https://trusted-cdn.example.com; style‑src 'self' 'unsafe-inline' https://fonts.googleapis.com; img‑src 'self' data:; object‑src 'none'; frame‑ancestors 'none'; base‑uri 'self'; form‑action 'self'; upgrade‑insecure‑requests;
Testen Sie CSP im Report‑Only‑Modus, bevor Sie Verstößen im Produktivbetrieb blockierend begegnen.
Debug‑Modus und Fehlerseiten
Deaktivieren Sie Debug‑ und Verbose‑Logging im Produktivbetrieb. Fehlerseiten dürfen keine Stacktraces oder Pfade offenlegen.
Upload‑ und Medienverwaltung
- Beschränken Sie erlaubte Dateitypen und setzen Sie Größenlimits.
- Scan von Uploads auf Malware (optional über externe Scanner) und Speicherung außerhalb des Webroot oder mit zufälligen Dateinamen.
4. Datenbanken und Geheimnisse
- Verwenden Sie für die Datenbank einen eigenen Account mit minimalen Rechten.
- Verschlüsseln Sie Verbindungen zur Datenbank (TLS) wenn möglich, besonders bei separatem DB‑Host.
- Halten Sie Zugangsdaten außerhalb des VCS; nutzen Sie Umgebungsvariablen oder einen Secret‑Manager.
5. Backups und Wiederherstellung
Backups sind unverzichtbar. Umsetzungsempfehlungen:
- Tägliche inkrementelle Backups und wöchentliche Vollbackups.
- Bewahren Sie Backups mindestens an einem externen, geografisch getrennten Ort auf.
- Verschlüsseln Sie Backup‑Archive und testen Sie Wiederherstellungen mindestens monatlich.
- Bewahren Sie eine klare Retention‑Policy: kurzfristige Wiederherstellung und langfristige Archivierung nach Bedarf.
6. Logging, Monitoring und Audit‑Trail
Verfügbare Logs müssen nachvollziehbar und manipulationssicher sein:
- Aktivieren Sie Applikations‑Audit‑Logging für kritische Aktionen (Benutzerverwaltung, Veröffentlichung, Rechteänderungen).
- Sammeln Sie System‑ und Applikationslogs zentral (rsyslog, syslog‑ng, oder ein SIEM) und schützen Sie Logfilie vor Schreibzugriffen durch Applikation.
- Behalten Sie geeignete Aufbewahrungszeiträume und Zugriffskontrollen für Logs.
- Monitoring und Alerts (z. B. CPU, Speicher, Disk, Fehlerstatus) informieren frühzeitig über Ausfälle oder ungewöhnliche Aktivität.
7. Update‑ und Patch‑Management
Ein geplanter Update‑Prozess reduziert Risiken durch bekannte Schwachstellen:
- Betreiben Sie eine Stage‑Umgebung für Updates und Tests, bevor Änderungen in Produktion gehen.
- Wenden Sie Sicherheitsupdates für OS, Webserver, DB und Marqentra zeitnah an.
- Automatisierung hat Vorteile (z. B. automatische OS‑Security‑Patches), prüfen Sie Nebenwirkungen vor dem Rollout.
8. Nutzerverwaltung und Zugriffskonzepte
- Prinzip der geringsten Rechte: Rollen und Rechte granular vergeben (Redakteure, Reviewer, Admins).
- Erzwingen Sie starke Passwörter und, wo möglich, Multi‑Factor‑Authentication (MFA) für administrativen Zugriff.
- Regelmäßige Überprüfung von Accounts; inaktive Accounts zeitnah deaktivieren.
9. Notfallplanung und regelmäßige Überprüfung
Definieren Sie klare Prozesse für Incident Response: wer informiert wird, wie Backups eingespielt werden und wie Kommunikation erfolgt. Führen Sie regelmäßige Security‑Reviews und Penetrationstests durch oder beauftragen Sie Dienstleister dafür.
Marqentra‑spezifische Hinweise
Marqentra wurde als Self‑Hosted‑Plattform konzipiert, die Themenfindung, KI‑gestützte Content‑Erstellung, Medienverwaltung und automatisches Publishing in einem System vereint. Beim Self‑Hosting profitieren Sie von vollständiger Datenkontrolle – gleichzeitig bedeutet das, dass die oben beschriebenen Maßnahmen Teil Ihres Betriebsprozesses sein müssen. Für WordPress‑Nutzer gibt es ergänzend Marqentra for WordPress, das sich in Ihre bestehende WP‑Umgebung integrieren lässt; auch hier gelten dieselben Sicherheitsprinzipien (TLS, Zugangskontrolle, regelmäßige Backups, Updates).
Fazit und nächster Schritt
Mit einem strukturierten Sicherheitsansatz – Härtung des Servers, restriktive Netzwerkregeln, sichere Applikationskonfiguration, verlässliche Backups, Audit‑Logs und ein disziplinierter Update‑Prozess – sichern Sie Ihre Marqentra‑Instanz gegen die häufigsten Bedrohungen. Starten Sie mit den Basismaßnahmen (TLS, Firewall, Benutzerrechte, Backups) und erweitern Sie schrittweise Monitoring, CSP und Audit‑Logging. Dokumentieren Sie alle Schritte und testen Sie Wiederherstellungen und Updates regelmäßig.
Marqentra entdecken und Demo testen: https://marqentra.com
Nächster Schritt
Marqentra selbst ausprobieren
Marqentra verbindet Themenfindung, KI-gestützte Content-Erstellung, Medienverwaltung, Redaktionsplanung, automatische Veröffentlichung und Analyse in einem zentralen System. Die eigenständige Marqentra-Software läuft auf dem eigenen Webspace bzw. Server. Für WordPress steht zusätzlich Marqentra for WordPress zur Verfügung.