Die UNHEIMLICHE WAHRHEIT über Deine Moodle-Installation – 7 PUNKTE, die ALLES ÄNDERN

Willkommen! Schön, dass Du den Weg zu unserem vertiefenden Sicherheits-Check gefunden hast.

Wie Du weißt, ist Moodle ein fantastisches Open-Source-LMS – flexibel, anpassbar und unglaublich mächtig. Diese Flexibilität bringt jedoch auch Verantwortung mit sich. Eine sichere Moodle-Umgebung ist die Basis für das Vertrauen Deiner Lernenden und den Schutz sensibler Daten.

🔒 Die Moodle-Sicherheitscheckliste: 7 essenzielle Punkte, die Du jetzt prüfen musst

Wir haben in unserer Arbeit als Moodle-Betreuer unzählige Installationen gesehen. Und ehrlich gesagt, die meisten machen bei den gleichen kritischen Punkten Fehler. Unsere 7-Punkte-Checkliste ist das Destillat dieser Erfahrung und hilft Dir, die gängigsten und gefährlichsten Sicherheitslücken zu schließen.

1. Plugin-Hygiene: Der Schlüssel zur Stabilität (Wiederholung und Vertiefung)

Wir haben es kurz angerissen: Veraltete oder ungenutzte Plugins sind das größte Sicherheitsrisiko. Jedes zusätzliche Plugin ist ein potenzielles Tor für Angreifer.

Dein direkter Aktionspunkt:

• Audit durchführen: Gehe die Liste Deiner installierten Plugins durch.
• Deinstalliere statt Deaktivieren: Deaktiviere ein Plugin nicht nur, wenn Du es nicht mehr brauchst – deinstalliere es komplett (über Website-Administration > Plugins > Übersicht). Dadurch werden Code-Dateien entfernt, die sonst von Angreifern missbraucht werden könnten.
• Quelle prüfen: Installierst Du Plugins nur aus dem offiziellen Moodle-Plugins-Verzeichnis (moodle.org)? Externe Quellen sind ein großes Risiko.

2. Passwort-Policies und Rollen-Management (Wiederholung und Vertiefung)

Schwache Passwörter sind nach wie vor einer der häufigsten Angriffsvektoren. Gerade bei Administratoren, die Zugriff auf die gesamte Datenbank haben, ist das fatal.

Dein direkter Aktionspunkt:

• Erzwinge starke Passwörter: Stelle sicher, dass Du unter Website-Administration > Nutzer > Authentifizierung > Passwörter die Mindestanforderungen hochgesetzt hast (Länge, Groß-/Kleinbuchstaben, Sonderzeichen).
• Der Grundsatz der minimalen Rechte: Gib Nutzern (auch Trainern) niemals mehr Rechte, als sie wirklich brauchen, um ihre Aufgaben zu erfüllen. Prüfe die Standard-Rollen Manager und Trainer und reduziere administrative Rechte konsequent.
• Multi-Faktor-Authentifizierung (MFA): Wenn möglich, richte für alle privilegierten Rollen (Admin, Manager) MFA ein. Ein Must-have in der modernen IT-Sicherheit!

---

3. 🚨 Moodle Cronjob & Logging: Die stille Überwachung

Der Moodle-Cronjob ist das Herzstück Deiner Installation. Er führt notwendige Prozesse durch (z.B. Updates, Benachrichtigungen, Backups). Wenn er ausfällt oder nicht sicher konfiguriert ist, merkt das niemand, bis das System instabil wird.

Warum das sicherheitsrelevant ist: Wenn der Cron nicht läuft, werden Sicherheitspatches, die über geplante Aufgaben ausgeführt werden sollen, nicht angewandt.

Dein direkter Aktionspunkt:

• Überprüfung: Stelle sicher, dass der Cronjob minütlich oder zumindest alle 5 Minuten ausgeführt wird und nur über die CLI (Command Line Interface) oder einen geheimen Cron-Schlüssel läuft. Niemals solltest Du den Cron ohne Schlüssel im Browser aufrufen lassen.
• Logging einschalten: Aktiviere das erweiterte Logging und prüfe regelmäßig die Protokolle auf ungewöhnliche Anmeldeversuche oder Systemfehler.

4. ⚙️ Härtung der Konfigurationsdatei (config.php)

Die Datei config.php enthält die sensibelsten Informationen Deiner Installation (Datenbankzugänge, Geheimschlüssel, etc.). Sie ist ein primäres Ziel für Angreifer, die sich einmal Zugang zum Dateisystem verschafft haben.

Dein direkter Aktionspunkt:

• Berechtigungen setzen: Stelle sicher, dass die Zugriffsrechte der config.php so restriktiv wie möglich sind (z.B. nur für den Webserver-Nutzer lesbar, für andere nicht).
• Datenbank-Passwort-Rotation: Wechsle regelmäßig das Datenbank-Passwort und passe es entsprechend in der config.php an.
• Datenbank-Präfix: Nutze niemals den Standard-Tabellenpräfix (mdl_). Das ist ein kleiner, aber wichtiger Schutz gegen standardisierte SQL-Injektionsangriffe.

5. 📂 Moodledata-Verzeichnis schützen

Das Moodledata-Verzeichnis enthält alle hochgeladenen Dateien Deiner Nutzer, Backups und Caches. Es darf niemals direkt über den Webbrowser erreichbar sein.

Dein direkter Aktionspunkt:

• Standort prüfen: Vergewissere Dich, dass das Moodledata-Verzeichnis außerhalb des öffentlichen Web-Root-Verzeichnisses (z.B. public_html oder htdocs) liegt.
• Webserver-Konfiguration: Ist das nicht möglich (was eine schlechte Praxis ist!), sorge unbedingt dafür, dass der Webserver (Apache/Nginx) den Zugriff auf dieses Verzeichnis blockiert (z.B. über .htaccess oder Nginx-Konfiguration).

6. 🔄 Aktualisierungsstrategie (Patch-Management)

Die Moodle-Community veröffentlicht regelmäßig Sicherheits- und Stabilitätsupdates. Das Ignorieren von Updates ist gleichbedeutend mit dem Ignorieren bekannter Schwachstellen.

Dein direkter Aktionspunkt:

• Prozesse etablieren: Lege einen festen Rhythmus für die Überprüfung und Installation von Minor-Updates (Patches) fest (z.B. monatlich).
• Testumgebung nutzen: Führe Major-Updates immer zuerst auf einer Test- oder Staging-Umgebung durch, um Kompatibilitätsprobleme mit Plugins frühzeitig zu erkennen. Nie direkt auf dem Live-System!

7. 📤 E-Mail-Sicherheit (SMTP & Spamschutz)

Moodle nutzt E-Mails für Benachrichtigungen und vor allem für die Passwortwiederherstellung. Wenn Dein Moodle-SMTP-Server kompromittiert wird, können Angreifer Passwörter zurücksetzen oder die Plattform für Spam-Attacken missbrauchen.

Dein direkter Aktionspunkt:

• Authentifizierten SMTP nutzen: Konfiguriere Moodle so, dass es einen externen, authentifizierten SMTP-Dienst (z.B. SendGrid, Mailgun oder einen dedizierten, gesicherten Mailserver) nutzt, anstatt direkt Mails zu versenden. Das erhöht die Zustellbarkeit und reduziert das Risiko, dass Deine Server-IP auf einer Spam-Liste landet.
• Captchas aktivieren: Aktiviere Captchas für die Selbstanmeldung (sofern genutzt) und idealerweise auch für die Passwortwiederherstellung, um automatisierte Angriffe zu verhindern.

---

Dein nächster Schritt

Eine sichere Moodle-Umgebung ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Wir hoffen, diese tiefgreifende Checkliste hilft Dir dabei, Deine Installation robuster und zukunftssicher zu machen.

Stehst Du nach diesem Audit vor Fragen? Bist Du Dir unsicher, ob Dein config.php wirklich sicher konfiguriert ist oder wie Du am besten eine Testumgebung aufsetzt?

Kein Problem! Wir sind für Dich da. Nutze einfach das Formular unten, um uns Deine spezifische Herausforderung mitzuteilen. Wir melden uns zeitnah bei Dir, um zu besprechen, wie wir Dir als erfahrene Moodle-Spezialisten helfen können.

Wir freuen uns auf Deine Nachricht!