Es ist doch schon oft genug vorgekommen,dass "nur" die Datenbank angegriffen wurde oder?

Wie gesagt: Datenbanken stehen i.d.R. hinter den Application-Servern in geschützten, internen Netzwerken. Sie direkt anzugreifen ist tausendmal schwieriger als einen Fehler in der öffentlich zugänglichen Webanwendung zu finden.

Hört man fast wöchentlich, dass von einer der größeren Websites Datensätze aufgetaucht sind.

Höchstwahrscheinlich nicht weil die Datenbank als solche angegriffen wurde. Da hat jemand einen leicht erreichbaren Server geknackt, der autorisierten Zugriff auf die Datenbank hat. Ein Server, auf dem du Zugangsdaten und Schlüssel für die Datenbank speichern willst.

Auf was ich hinaus möchte ist, dass ein "bisschen" mehr Sicherheit immer noch besser ist als gar keine.

An der richtigen Stelle ist wirksame Sicherheit ein Gewinn. An der falschen Stelle ist unwirksame Sicherheit Zeitverschwendung und lenkt von anderen Problemen ab.

Natürlich kann man sich irgendwelche unwahrscheinlichen Angriffsfälle konstruieren und »Sicherheitsmaßnahmen« dagegen ergreifen. Das gibt einem ein gutes Gefühl, hat aber keinen signifikanten Einfluss auf die Sicherheit.

Noch einmal Crockford:

»… related to that is the idea that you shouldn’t be trying to do things that are not going to be effective. Sometimes there’s the idea, well, we can’t stop them but we sure as heck can slow them down. We’ll put some speed bumps in the information super highway and that’ll keep us safe for a little while. That turns out not to work at all. If what you’re doing is not effective then it’s ineffective, and you’re wasting your time. In putting together these speed bumps, you’re using resources that could have been used to do something that was more effective. Don’t prohibit what you can’t prevent. The corollary is that the bad guys will exploit whatever you cannot prevent.

False security is worse than no security. If you know that you have no security then at least you’ll be smart about risk taking. If you think you are secure and you’re not, you’re going to make really bad judgments. Also, it turns out that false security has a cost, and by pursuing false security you’re not pursuing better forms of security.«

http://www.youtube.com/watch?v=zKuFu19LgZA%23t=27m35s
http://transcriptvids.com/v2/zKuFu19LgZA.html

Mathias