Die Bedeutung der Content Security Policy für WordPress
WordPress ist mit Abstand das meistgenutzte CMS der Welt. Aber wusstest du, dass diese Popularität auch ihre Schattenseiten hat? Ja, WordPress-Websites sind ein beliebtes Ziel für Hacker. Aber bevor du jetzt in Panik gerätst, möchte ich dir etwas vorstellen, das dir helfen kann: Die Content Security Policy (CSP).
Stell dir vor, du öffnest deinen Lieblingsblog und plötzlich wird auf deinem Computer Schadcode ausgeführt, nur weil du die Seite besucht hast. Beängstigend, oder? Genau das können Cross-Site Scripting (XSS)-Angriffe bewirken. Und genau hier kommt die Content Security Policy (CSP) ins Spiel.
Wenn du Plugins und Themes von Drittanbietern für deine WordPress-Website verwendest, erhöhst du das Risiko von Sicherheitslücken. Das ist keine Kritik an den Entwicklern dieser Tools, sondern eine Tatsache, derer du dir bewusst sein solltest. Einige dieser Tools können – oft unbeabsichtigt – Schwachstellen enthalten. Hacker können diese Schwachstellen ausnutzen, um schädlichen Code in deine Website einzuschleusen.
Eine CSP schützt deine Website vor solchen Angriffen. Sie bestimmt, welche Inhalte von wo geladen werden dürfen. Man kann sich das wie einen Türsteher für deine Website vorstellen. Selbst wenn es einem Hacker gelingt, bösartigen Code auf deiner Website zu platzieren, wird die CSP ihn blockieren, wenn er nicht von einer vertrauenswürdigen Quelle stammt.
Darüber hinaus bietet dir eine gut konfigurierte CSP einen weiteren Vorteil. Sie schützt die Privatsphäre deiner Besucher. In Zeiten von Datenschutzskandalen und -verletzungen ist dies nicht nur wünschenswert, sondern oft auch gesetzlich vorgeschrieben.
Natürlich ist die Implementierung einer CSP in WordPress nicht immer ganz einfach. Aber keine Sorge, ich werde dir Schritt für Schritt zeigen, wie es geht. Es erfordert etwas Planung und vielleicht auch etwas Geduld, aber das Ergebnis ist es wert. Du wirst eine sichere Website haben, die vor vielen Angriffen geschützt ist.
Grundlegende Konzepte der Content Security Policy
Die Content Security Policy mag auf den ersten Blick kompliziert erscheinen, aber lass uns gemeinsam die Grundprinzipien verstehen. Denke daran, dass die Content Security Policy (CSP) dazu dient, festzulegen, welche Inhalte auf deine Website geladen werden dürfen und welche nicht.
Richtlinien und Direktiven
Eine CSP besteht aus einer Reihe von Richtlinien. Jede Policy hat eine oder mehrere Direktiven, die festlegen, welche Quellen für bestimmte Inhalte vertrauenswürdig sind. Beispielsweise legt die Direktive script-src fest, von welchen Quellen Skripte geladen werden dürfen.
‚default-src‘
Diese Direktive ist besonders wichtig, da sie die Standardregel für alle Ressourcen festlegt, für die keine spezifische Direktive definiert wurde.
’self‘ und ’none‘
Diese beiden Schlüsselwörter sind zentral in der CSP. ’self‘ erlaubt das Laden von Ressourcen aus der eigenen Domain. ’none‘ blockiert alle Ressourcen, unabhängig von ihrer Quelle.
Wildcards und Protokolle
Man kann auch Wildcards (z.B. *) verwenden, um alle Subdomains zuzulassen, oder bestimmte protokolle wie https: angeben.
Inline-Skripte und ‚unsafe-inline‘
Wenn du mit WordPress arbeitest, wirst du feststellen, dass viele Plugins und Themes Inline-Skripte verwenden. Dabei handelt es sich um Code, der sich direkt in HTML-Dokumenten und nicht in externen Dateien befindet. Standardmäßig blockiert die CSP diese Skripte. Man kann sie aber mit dem Schlüsselwort ‚unsafe-inline‘ zulassen. Aber Vorsicht: Wie der Name schon sagt, ist dies unsicher und sollte nur als letzter Ausweg betrachtet werden.
Fehlerberichte
Ein praktisches Feature von CSPs ist die Möglichkeit, Berichte zu generieren, wenn Richtlinien verletzt werden. So können potentielle Probleme frühzeitig erkannt und behoben werden.
Das klingt vielleicht noch etwas abstrakt, aber keine Sorge. Im Folgenden werden wir uns im Detail anschauen, wie du eine Content Security Policy (CSP) für deine WordPress-Website erstellst und welche Richtlinien dabei besonders relevant sind.
Die Erstellung und Implementierung einer CSP in WordPress
Das Einrichten einer Content Security Policy in WordPress kann etwas knifflig sein, vor allem wegen der Plugins und Themes, die du vielleicht verwendest. Aber mit den richtigen Schritten und einer klaren Strategie wird es viel einfacher.
- Analyse der Website:
Bevor du mit der Erstellung deiner CSP beginnst, solltest du deine WordPress-Website gründlich analysieren. Schau dir an, welche externen Skripte, Schriften, Bilder und andere Ressourcen geladen werden. Tools wie Google Chrome’s DevTools können dabei sehr hilfreich sein. - Erste CSP-Richtlinie:
Beginne mit einer sehr einfachen CSP, die nur Inhalte von deiner eigenen Domain zulässt, indem du die default-src ’self‘ Direktive verwendest. Damit hast du einen Ausgangspunkt, von dem aus du spezifischere Richtlinien hinzufügen kannst. - Schrittweise Erweiterung:
Da du nun eine Basisrichtlinie hast, kannst du anfangen, Ausnahmen hinzuzufügen. Wenn du zum Beispiel Google Fonts auf deiner Website verwendest, kannst du die Direktive font-src erweitern, um fonts.googleapis.com und fonts.gstatic.com zuzulassen. - Umgang mit ‚unsafe-inline‘ und ‚unsafe-eval‘:
Wie bereits erwähnt, verwenden viele WordPress Themes und Plugins Inline-Skripte und -Styles. Diese werden standardmäßig von einer starken CSP blockiert. Die Direktiven ‚unsafe-inline‘ und ‚unsafe-eval‘ können verwendet werden, um solche Skripte und Styles zuzulassen, bergen aber Sicherheitsrisiken. Es wird empfohlen, sie nur als letzten Ausweg zu verwenden und stattdessen nach Alternativen zu suchen, wie z.B. Inline-Skripte in externe Dateien auszulagern. - Testen, testen, testen:
Bevor du deine CSP live schaltest, solltest du sie ausgiebig testen. Stelle sicher, dass alle Funktionen deiner Website wie erwartet funktionieren und keine Ressourcen blockiert werden, die für das reibungslose Funktionieren deiner Website notwendig sind. - Implementierung in WordPress:
Sobald du mit deiner CSP zufrieden bist, kannst du sie in WordPress implementieren. Dies kann über Plugins wie „WP Content Security Policy“ geschehen, indem du den HTTP-Header direkt in die .htaccess-Datei, oder NGINX Konfiguration deines Servers einfügst. - Überwachung und Anpassung:
Nachdem du deine CSP implementiert hast, ist es wichtig, regelmäßig nach Verstößen zu suchen und die Richtlinie gegebenenfalls anzupassen. Die Webtechnologie und die Anforderungen deiner Website können sich ändern, daher sollte deine CSP nicht in Stein gemeißelt sein, sondern flexibel und anpassbar bleiben.
Mit diesen Schritten und etwas Geduld kannst du eine effektive Content Security Policy (CSP) für deine WordPress-Website erstellen, die sowohl die Sicherheit erhöht als auch sicherstellt, dass alle benötigten Ressourcen ordnungsgemäß geladen werden.
Warum ‚unsafe-inline‘ und ‚unsafe-eval‘ problematisch, aber manchmal notwendig sind?
Die Richtlinien ‚unsafe-inline‘ und ‚unsafe-eval‘ sind in der Webentwicklung umstritten. Sie bieten Flexibilität, können aber auch erhebliche Sicherheitsrisiken bergen. Aber warum sind sie in WordPress so oft unverzichtbar?
Die Rolle von ‚unsafe-inline‘
Inline-Skripte und -Styles sind Codeblöcke, die direkt im HTML-Dokument eingebettet sind und nicht in externen Dateien. Die ‚unsafe-inline‘ Direktive erlaubt solchen Code. WordPress Themes und Plugins verwenden häufig Inline-Skripte und Styles, um Dynamik und Anpassbarkeit zu ermöglichen. Das Einbetten des Codes direkt in das HTML-Dokument kann für Entwickler einfacher und direkter sein.
Das Dilemma von ‚unsafe-eval‘
Die Direktive ‚unsafe-eval‘ erlaubt die Verwendung von JavaScript-Funktionen wie eval(), mit denen Strings als Code ausgeführt werden können. Dies kann nützlich sein, öffnet aber auch die Tür für Cross-Site Scripting (XSS)-Angriffe. In WordPress können einige Plugins diese Funktionen nutzen, um dynamischen Code auszuführen, insbesondere solche, die mit Datenvisualisierung oder erweiterten Benutzeroberflächen arbeiten.
Warum sind sie in WordPress so verbreitet?
Die Flexibilität und Einfachheit von Inline-Skripten und dem eval()-Befehl sind für Entwickler attraktiv, insbesondere in einer Umgebung wie WordPress, die auf Benutzerfreundlichkeit und Anpassbarkeit ausgerichtet ist. Oft wird der Code von nicht spezialisierten Entwicklern oder Teams mit begrenzten Ressourcen geschrieben, diese schnellen Lösungen können dann in solchen Szenarien willkommen sein.
Das Sicherheitsrisiko
Das Hauptproblem mit ‚unsafe-inline‘ und ‚unsafe-eval‘ ist, dass sie potenziellen Angriffen Tür und Tor öffnen. Angreifer könnten bösartigen Code in deine Website einschleusen. Dieser Code könnte dann direkt im Kontext deiner Website ausgeführt werden, wenn ‚unsafe-inline‘ oder ‚unsafe-eval‘ erlaubt sind.
Kompromisse und Best Practices
Auch wenn es ideal wäre, komplett auf ‚unsafe-inline‘ und ‚unsafe-eval‘ zu verzichten, ist das in der WordPress-Welt manchmal nicht praktikabel.
Eine CSP, auch mit ‚unsafe-inline‘ oder ‚unsafe-eval‘, ist immer noch besser als gar keine. Sie kann immer noch viele andere potentielle Angriffsvektoren blockieren.
Plugin-Überprüfung
Schau dir deine Plugins an, die du verwendest. Wenn sie ‚unsafe-eval‘ oder viele Inline-Skripte verwenden, dann schau, ob es eine sicherere Alternativen hierfür gibt.
Werkzeuge und Ressourcen zur Erstellung und Überprüfung von CSPs
Du weißt jetzt, wie wichtig CSPs sind und warum einige Richtlinien zwar unsicher, aber manchmal notwendig sind. Aber wie erstellt und überprüft man effektiv eine CSP? Glücklicherweise gibt es eine Reihe nützlicher Tools und Ressourcen, die dir dabei helfen können:
Google’s CSP Evaluator
Dieses praktische Online-Tool von Google überprüft deine CSP auf mögliche Schwachstellen. Du gibst einfach die URL deiner Website ein und das Tool gibt dir Feedback zu deiner aktuellen CSP. Es gibt auch Verbesserungsvorschläge und zeigt potenzielle Schwachstellen auf.
Mozilla’s Observatory
Ist ein weiteres großartiges Online-Tool, das nicht nur deine CSP, sondern auch andere Sicherheitsheader analysiert. Es gibt dir eine Bewertung basierend auf der aktuellen Sicherheitskonfiguration deiner Website und Empfehlungen für Verbesserungen aus.
WordPress-Plugins
Es gibt einige Plugins, die speziell entwickelt wurden, um die Implementierung von einer Content Security Policy in WordPress zu erleichtern. Ein beliebtes Beispiel ist „WP Content Security Policy“, mit dem du eine CSP direkt vom WordPress-Dashboard aus erstellen und verwalten kannst. Dieses Plugin bietet auch nützliche Vorlagen und Beispiele, um dir den Einstieg zu erleichtern.
Entwicklertools in Browsern
Moderne Webbrowser bieten Entwicklertools, mit denen du deine CSP in Echtzeit überprüfen und testen kannst. Du kannst zum Beispiel die Konsole verwenden, um zu sehen, welche Ressourcen blockiert werden und welche CSP-Direktiven dazu führen.
Automatisierte Tests
Für größere Websites oder solche, die regelmäßig aktualisiert werden, kann es sinnvoll sein, automatisierte Tests für CSPs einzurichten. Tools wie „csp-tester“ können in CI/CD-Pipelines integriert werden, um sicherzustellen, dass jede neue Version der Website eine sichere und effektive CSP beibehält.
Durch die Verwendung dieser Tools und Ressourcen kannst du sicherstellen, dass deine Content Security Policy nicht nur effektiv, sondern auch so sicher wie möglich ist. Sie bieten dir die Möglichkeit, regelmäßiges Feedback zu erhalten und deine Sicherheitsrichtlinien kontinuierlich zu verbessern.
Häufige Fehler bei der Erstellung von CSPs und wie du sie vermeidest
Eine Content Security Policy kann zu unerwarteten Problemen führen, wenn sie nicht korrekt implementiert wird. Daher ist es wichtig, die häufigsten Fallstricke zu kennen und zu wissen, wie man sie vermeidet. Hier sind einige der häufigsten Fehler und wie man sie vermeidet.
Zu restriktive Richtlinien
Das Ziel eines Content Security Policy ist es, deine Website sicherer zu machen, aber eine zu restriktive Richtlinie kann dazu führen, dass Teile deiner Website nicht richtig funktionieren. Wenn du beispielsweise das Laden von Skripten von Drittanbietern vollständig blockierst, kann dies die Funktionalität deiner Plugins oder Widgets beeinträchtigen.
Beginne deshalb mit einer lockeren Richtlinie und verschärfe sie schrittweise, während du die Funktionalität deiner Website überwachst. Dieser Ansatz wird als „Content Security Policy im Berichtsmodus“ bezeichnet.
Fehlende oder inkonsistente Richtlinien
Das Auslassen von Richtlinien oder das unregelmäßige Aktualisieren deiner CSP kann zu Sicherheitslücken führen.
Erstelle zu Beginn eine umfassende Liste aller Ressourcen und Drittanbieter, die auf deiner Website verwendet werden, und stelle sicher, dass sie in deiner CSP berücksichtigt werden. Regelmäßige Überprüfungen und Aktualisierungen sind ebenfalls unerlässlich.
Verwendung von ‚unsafe-inline‘ und ‚unsafe-eval‘
Wie bereits erwähnt, können diese Direktiven das Risiko von Cross-Site-Scripting (XSS) erhöhen. Bei WordPress ist es jedoch oft schwierig, sie vollständig zu vermeiden.
Verwende, wenn möglich, Nonces oder Hashes, um bestimmte Skripte oder Styles zuzulassen. Dadurch wird das Risiko minimiert, während die notwendige Flexibilität erhalten bleibt.
Teste nicht nach jeder Änderung
Deine Website entwickelt sich ständig weiter und jede Änderung – sei es ein neues Plugin oder ein Update – kann Auswirkungen auf deine CSP haben.
Teste deine Website nach jeder Änderung gründlich und überprüfe, ob alles wie erwartet funktioniert. Tools wie der Google CSP Evaluator können dabei sehr hilfreich sein.
Verstöße nicht überwachen
Auch die beste Content Security Policy ist nutzlos, wenn du nicht über mögliche Verstöße informiert wirst.
Nutze den Meldemechanismus der CSP, um Berichte über Verstöße zu erhalten. Dadurch erhältst du einen Einblick in mögliche Angriffe oder Probleme mit deiner Richtlinie.
Wenn du diese Fehler vermeidest, kannst du sicherstellen, dass deine CSP nicht nur sicher, sondern auch effektiv ist. Denke daran, dass Sicherheit ein kontinuierlicher Prozess ist – regelmäßige Überprüfungen und Anpassungen sind der Schlüssel zu einer sicheren Website.
Vorteile einer gut implementierten CSP für das SEO-Ranking
SEO oder Suchmaschinenoptimierung ist der Prozess der Verbesserung der Sichtbarkeit einer Website in Suchmaschinen. Während sich viele Webmaster und SEO-Experten auf Keywords, Backlinks und qualitativ hochwertige Inhalte konzentrieren, wird oft übersehen, dass auch technische Sicherheitsmaßnahmen wie eine Content Security Policy einen Einfluss auf das SEO-Ranking haben können. Hier sind einige Vorteile, die eine gut implementierte Content Security Policy für das SEO-Ranking deiner Website haben kann.
Erhöhte Sicherheit der Website
Suchmaschinen bevorzugen sichere Websites. Eine CSP verhindert Cross-Site-Scripting-Angriffe und andere Sicherheitsbedrohungen, die den Besuchern deiner Website schaden könnten. Eine sichere Website bedeutet ein besseres Nutzererlebnis, was oft mit einem besseren Ranking belohnt wird.
Schnellere Ladezeiten
Durch das Blockieren unnötiger oder schädlicher Ressourcen mit einer CSP kann deine Website schneller geladen werden. Ladezeiten sind ein bekannter Rankingfaktor für Google, und eine schnell ladende Website kann in den Suchergebnissen höher eingestuft werden.
Vertrauen und Ruf
Wenn Besucher Deiner Website feststellen, dass deine Website sicher ist (oft durch das grüne Schloss-Symbol in der Adressleiste angezeigt), erhöht dies das Vertrauen. Vertrauen ist ein entscheidender Faktor bei der Umwandlung von Besuchern in Kunden und kann auch positive Signale an Suchmaschinen senden.
Geringere Absprungraten
Eine Website, die ständig mit Sicherheitsproblemen zu kämpfen hat oder als unsicher gekennzeichnet ist, kann hohe Absprungraten (Bounce Rates) haben. Hohe Absprungraten können ein Zeichen für eine schlechte Nutzererfahrung sein und sich negativ auf das SEO-Ranking auswirken. Mit einer gut implementierten Content Security Policy reduzierst du das Risiko von Sicherheitsproblemen und verbesserst somit auch deine Bounce Rate.
Vorteil gegenüber der Konkurrenz
Während viele Websites immer noch keine CSP implementieren, kannst du dir einen Vorteil gegenüber deiner Konkurrenz verschaffen, indem du eine CSP einführst und sicherstellst, dass sie korrekt implementiert ist.
Obwohl der Hauptzweck einer CSP die Sicherheit ist, gehen die Vorteile weit über den Schutz hinaus. Eine gut implementierte CSP kann die allgemeine Benutzererfahrung verbessern, das Vertrauen erhöhen und letztendlich dazu beitragen, dass deine Website in Suchmaschinen besser gefunden wird.
Häufig gestellte Fragen zur Content Security Policie
Da die CSP für viele Webentwickler und Eigentümer noch ein relativ neues Thema sind, gibt es eine Reihe häufig gestellter Fragen, die immer wieder auftauchen. Hier sind einige der am häufigsten gestellten Fragen und ihre Antworten:
Was ist der Hauptzweck einer Content Security Policy?
Eine CSP ermöglicht es Websites zu kontrollieren, welche Ressourcen geladen und ausgeführt werden dürfen. Ihr Hauptziel ist es, Cross-Site Scripting (XSS) und ähnliche Angriffe zu verhindern.
Ist es wirklich notwendig, einen CSP zu implementieren?
Es ist zwar nicht gesetzlich vorgeschrieben, einen CSP zu haben, aber es wird dringend empfohlen, da es eine zusätzliche Sicherheitsebene für deine WordPress-Website darstellt. Sie schützt deine Besucher vor potenziell schädlichen Inhalten und stärkt das Vertrauen in deine Website.
Was passiert, wenn ich ‚unsafe-inline‘ oder ‚unsafe-eval‘ in meinem CSP verwende?
Diese Direktiven erlauben die Verwendung von unsicheren Inline-JavaScript oder dynamischen Skriptausführungen. Diese sind zwar manchmal für die Funktionalität bestimmter Websites oder Plugins erforderlich (z. B. WordPress), erhöhen jedoch das Risiko von XSS-Angriffen.
Kann ich meine bestehende CSP nachträglich ändern?
Ja, du kannst und solltest deinen CSP regelmäßig überprüfen und gegebenenfalls ändern. Es können neue Bedrohungen auftreten und du möchtest sicherstellen, dass deine Richtlinie immer auf dem neuesten Stand ist.
Wie gehe ich mit CSP-Verletzungsberichten um?
Verletzungsberichte helfen dir bei der Identifizierung von Ressourcen, die von deiner CSP blockiert werden. Diese Berichte sollten regelmäßig überprüft werden, um festzustellen, ob Anpassungen an der CSP oder den Inhalten der Website erforderlich sind.
Warum wird meine CSP von verschiedenen Online-Testern unterschiedlich bewertet?
Verschiedene Tools können unterschiedliche Kriterien und Standards zur Bewertung von CSPs verwenden. Es ist wichtig, mehrere Ressourcen zu nutzen um sicherzustellen, dass man Best Practices befolgt, anstatt sich auf eine einzige Bewertung zu verlassen.
Wie kann ich sicherstellen, dass meine CSP die Funktionalität meiner Website nicht beeinträchtigt?
Beginne mit einer „lockeren“ CSP und verschärfe sie nach und nach. Überwache Verletzungsmeldungen und teste deine Website regelmäßig, um sicherzustellen, dass alles wie erwartet funktioniert.
Wie wirkt sich eine CSP auf die Suchmaschinenoptimierung (SEO) meiner Website aus?
Eine gut implementierte CSP sollte keinen direkten Einfluss auf die SEO haben. Allerdings kann eine sichere Website das Vertrauen der Nutzer und damit möglicherweise auch das Ranking in Suchmaschinen erhöhen.
Diese Fragen decken nur einen kleinen Teil der Diskussion über CSPs ab. Für weitere Informationen gibt es zahlreiche Online-Ressourcen und Expertenforen.
Abschließende Gedanken und Empfehlungen zu Content Security Policies
Wir haben in diesem Beitrag viel über die Content Security Policie gesprochen und ich hoffe, dass du nun ein besseres Verständnis für ihre Bedeutung und Implementierung hast. Die Weblandschaft verändert sich ständig und damit auch die Arten von Bedrohungen, denen Websites ausgesetzt sind. Hier sind einige abschließende Gedanken und Empfehlungen:
Sicherheit hat Vorrang
Unabhängig davon, ob es sich um eine persönliche Website, einen Blog oder einen Online-Shop handelt, sollte die Sicherheit immer an erster Stelle stehen. Eine CSP ist nur ein Werkzeug in deinem Sicherheitsarsenal, aber ein wichtiges.
Sei proaktiv
Warte nicht, bis etwas schief geht. Implementiere eine CSP, bevor du sie brauchst. Wie das Sprichwort sagt: „Vorbeugen ist besser als heilen“.
Flexibilität ist der Schlüssel
Die ideale CSP für einen Standort ist möglicherweise nicht ideal für einen anderen. Deine CSP sollte flexibel genug sein, um die Funktionalität deiner Website nicht zu beeinträchtigen und gleichzeitig maximalen Schutz zu bieten.
Schulung ist entscheidend
Technologie und Bedrohungen entwickeln sich ständig weiter. Halte dich über die neuesten Best Practices im Bereich Websicherheit auf dem Laufenden und passe deine Strategien entsprechend an.
Suche Unterstützung
Wenn du unsicher bist oder Hilfe bei der Implementierung einer CSP benötigst, zögere nicht, Experten um Unterstützung zu bitten. Die Sicherheit deiner Website und deiner Besucher ist es wert.
Denke immer daran: Eine sichere Website ist nicht nur gut für dich, sondern auch für deine Besucher. Sie schützt sie, stärkt ihr Vertrauen in dich und sorgt dafür, dass sie wiederkommen.
Fazit
Die Implementierung einer Content Security Policy (CSP) in WordPress mag auf den ersten Blick komplex erscheinen, ist aber mit dem richtigen Wissen und den richtigen Tools durchaus machbar. Die Sicherheit deiner Website sollte immer an erster Stelle stehen und eine CSP ist ein unverzichtbares Werkzeug in deinem Sicherheitsarsenal. Vergiss nicht, regelmäßig die besten Praktiken zu überprüfen und deine CSP entsprechend anzupassen.
Wir von Websolution-One unterstützen dich gerne bei der Implementierung einer Content Security Policy. Im Rahmen unseres Hostings integrieren wir diese serverseitig und lassen uns Verstossmeldungen per Mail zustellen.
Auf unserer Homepage kannst du mit einem einfachen Tool testen, welche Sicherheitsheader deine Website bereitstellt.
Für weitere Fragen kannst du uns gerne direkt kontaktieren oder einen Termin mit uns vereinbaren.