Kurzfassung
Google-Hacking – auch bekannt als Google-Dorking – ist eine Aufklärungstechnik, bei der Angreifer:innen erweiterte Suchoperatoren verwenden, um öffentlich zugängliche Schwachstellen auf Ihrer Website aufzudecken, wie etwa unverschlüsselte Anmeldedaten, offene Verzeichnisse und veraltete Software. Die Abwehr dagegen erfordert eine Kombination aus der Verschlüsselung sensibler Daten, der Verwendung von Robots-Direktiven (robots.txt, Robots-Meta-Tags oder X-Robots-Tag) um zu steuern, was Suchmaschinen indexieren, und das Durchführen von Schwachstellen-Scans, um Sicherheitslücken zu schließen, bevor Angreifer:innen diese ausnutzen können.
Google-Hacking (manchmal auch Google Dorking genannt) ist ein Vorgang, bei dem Hacker:innen Suchmaschinen nutzen, um Sicherheitslücken zu identifizieren. Mit etwas Zeit und Suchkenntnissen könnte ein Hacker den besten Weg finden, um anzugreifen.
Ihre Website aus Google zu entfernen, ist nicht klug. Ihre Kund:innen müssen Sie finden, und die meisten von ihnen werden dafür Suchmaschinen nutzen. Sie können jedoch vorbeugende Maßnahmen ergreifen, um sicherzustellen, dass Hacker:innen nicht über Google herausfinden, wie sie Sie angreifen können.
Wie funktioniert ein Google-Hack?
Ein Google-Hack ist eine Recherche-Sitzung, die auf Daten basiert, die Sie über eine Suchmaschine öffentlich zugänglich gemacht haben. Um sich und Ihr Unternehmen zu schützen, müssen Sie prüfen, was Sie Google sehen lassen und was privat bleiben sollte.
Hacker könnten jede Website für Recherchen nutzen. Da Google jedoch einen Marktanteil von 90 % hat, ist der Unternehmensname zu einem Synonym für die Suche geworden. Deshalb bezeichnen wir dies als Google-Hack und nicht als einfachen Suchmaschinen-Hack.
Es mag seltsam erscheinen, etwas wie eine Suchmaschine zu verwenden, um Sicherheitslücken aufzuspüren. Aber leider ist diese Technik unglaublich effektiv.
Studien deuten darauf hin, dass etwa die Hälfte aller Entwicklungsteams anfälligen Code live schaltet, weil ihnen die Zeit für Tests fehlt. Beim Google Hacking suchen Expert:innen nach jeder Schwachstelle.
Wonach suchen Hacker:innen bei einem Google-Hack?
Sie könnten nach Folgendem suchen:
- Kameras: Verfügen Sie über vernetzte Geräte, die wichtige Bewegungen aufzeichnen?
- Directories: Können Nutzer:innen schnell die Namen und Kontaktinformationen wichtiger Mitarbeiter:innen finden?
- Passwörter: Indizieren Sie Ordner mit sensiblen Informationen? Verschlüsseln Sie diese Informationen?
- Portale: Können Nutzer Ihre Login-Landing-Pages finden?
- Versionen: Verwenden Sie Software mit bekannten Schwachstellen? Zögern Sie, Sicherheitspatches herunterzuladen?
Hacker:innen nutzen erweiterte Suchoperatoren, um ihre Arbeit schneller und effizienter zu gestalten. In Kombination mit dem Namen Ihrer Website liefern diese Begriffe Seiten oder Texte, die sehr spezifisch und leicht zu parsen sind.
Am Ende eines Google-Hacks wissen Ihre Gegner:innen ziemlich viel über Sie und darüber, was Sie unternehmen, um Ihr Unternehmen zu schützen. Diese:r Angreifer:in kann keinen Angriff über Google starten, aber die Recherche könnte dieser Person helfen, ihre nächsten Schritte zu planen.
Wie können Sie Google-Hacking-Angriffe verhindern?
Sie sollten sich vor dieser Art von Angriff schützen. Verschlüsseln Sie zunächst alle sensiblen Informationen wie Zahlungsinformationen, Benutzernamen, Passwörter und Nachrichten.
Wie helfen Robots-Direktiven dabei, die Angriffsfläche zu begrenzen?
Verwenden Sie dann eines von drei Google-Tags für Ihre Inhalte, um zu steuern, wie Such-Bots wichtige Informationen indexieren (oder überspringen).
| Richtlinie | Gilt für | Hauptverwendungszweck |
|---|---|---|
| robots.txt | Gesamte Website/Crawl-Verhalten | Reduziert die Serverlast durch Crawling; kann private Inhalte nicht von der Indexierung ausschließen |
| Robots-Meta-Tag | Einzelne HTML-Seiten | Steuern Sie, wie eine bestimmte HTML-Seite in den Ergebnissen angezeigt wird, oder schließen Sie sie vollständig aus |
| X-robots-tag | Nicht-HTML-Seiten (z. B. PDFs) | Steuern Sie, wie Nicht-HTML-Seiten in den Ergebnissen erscheinen, oder blockieren Sie deren Anzeige. |
Ihr Webentwickler hat möglicherweise eine feste Meinung dazu, welches Tag für Sie und Ihr Unternehmen das Richtige ist. Sobald Sie den gewählten Code implementiert haben, beobachten Sie Ihre Traffic-Werte, um sicherzustellen, dass Sie Kund:innen nicht von Seiten fernhalten, die sie als kritisch erachten.
Welche Tools können Sie verwenden, um offengelegte Dateien zu finden?
Sie können auch einen Schwachstellen-Scanner verwenden, um sicherzustellen, dass Sie keine Dateien oder Seiten offenlegen, die verborgen bleiben sollten. Das Open Web Application Security Project (OWASP) listet mehrere dieser Tools auf, und einige bieten kostenlose Scans, die Sie vor dem Kauf nutzen können.
Zusammenarbeit mit Okta
Was ist, wenn bereits eine Google-Dorking-Session stattgefunden hat? Wie können Sie Ihr Unternehmen schützen?
Erfahren Sie mehr darüber, wie Sie Ihre Sicherheit mit Okta erhöhen können.
Häufig gestellte Fragen
Was ist Google-Hacking, und ist es illegal?
Google-Hacking – auch Google-Dorking genannt – bezeichnet die Methode, erweiterte Suchoperatoren zu verwenden, um öffentlich zugängliche Sicherheitslücken auf einer Website zu finden. Die Technik selbst basiert auf öffentlich verfügbaren Suchmaschinendaten, aber die Nutzung der Erkenntnisse, um unbefugten Zugriff auf Systeme zu erlangen, ist illegal.
Welche Arten von Schwachstellen kann ein Google-Hack aufdecken?
Angreifer:innen können Google-Hacking nutzen, um verbundene Kameras, Mitarbeiter-Verzeichnisse, unverschlüsselte Passwortdateien, Login-Portale und Software mit bekannten Schwachstellen aufzuspüren – im Wesentlichen alle sensiblen Informationen, die Ihre Website Suchmaschinen-Crawlern versehentlich zugänglich macht.
Warum haben so viele Organisationen ausnutzbare Schwachstellen?
Studien zeigen, dass fast die Hälfte aller Entwicklungsteams anfälligen Code in die Produktion überführt, weil ihnen die Zeit zum Testen fehlt. Dadurch entstehen Sicherheitslücken, die durch Google-Hacking schnell identifiziert werden können.
Wie schützen Robots.txt-Richtlinien vor Google-Hacking?
Google stellt drei Anweisungen bereit – robots.txt, Robots-Meta-Tags und X-Robots-Tag – mit denen Sie steuern können, wie Suchbots Ihre Inhalte crawlen und indexieren. Jeder hat einen anderen Anwendungsbereich: robots.txt steuert das Crawling-Verhalten für die gesamte Website, robots-Meta kontrolliert einzelne HTML-Seiten und X-Robots-Tag verwaltet Nicht-HTML-Dateien wie PDFs.
Was sollten Sie tun, wenn eine Google-Dorking-Session bereits Ihre Website ins Visier genommen hat?
Wenn Sie vermuten, dass Ihre Website bereits mittels Google Dorking ausgespäht wurde, hat es oberste Priorität, vertrauliche Daten umgehend zu verschlüsseln, ein Audit Ihrer robots-Direktiven durchzuführen, um eine weitere Offenlegung zu begrenzen, und einen Schwachstellen-Scan auszuführen, um offene Angriffsflächen zu identifizieren und zu schließen, bevor diese ausgenutzt werden können.
Gibt es kostenlose Tools, um nach Google-Hacking-Schwachstellen zu scannen?
Ja. Das Open Web Application Security Project (OWASP) führt eine Liste von Schwachstellen-Scan-Tools, von denen mehrere kostenlose Scans anbieten, mit denen Sie Ihre Gefährdung bewerten können, bevor Sie sich für eine kostenpflichtige Lösung entscheiden.
Referenzen
Wie Google mehr als 90 % Marktanteil behält. (April 2018). Insider.
DevSecOps-Studie ergibt, dass fast die Hälfte der Unternehmen aufgrund von Zeitdruck bewusst anfällige Anwendungen bereitstellt. (August 2020). PR Newswire.
Robots-FAQs. Google Search Central.
Schwachstellen-Scan-Tools. OWSAP.
