Die meisten Ratgeber zu Website-Sicherheit klingen, als bräuchtest du einen IT-Abschluss, um deine eigene Seite sicher zu betreiben. Brauchst du nicht. Fast jeder erfolgreiche Angriff auf eine kleine Unternehmenswebsite läuft nicht über raffinierte Hacker-Tricks, sondern über ein paar wenige, ganz normale Nachlässigkeiten — und genau die kannst du selbst in den Griff bekommen.
Ein Missverständnis vorweg: „Meine Seite ist doch viel zu klein, um für Hacker interessant zu sein" stimmt in der Praxis fast nie. Die meisten Angriffe auf kleine Websites laufen automatisiert ab — ein Programm durchsucht systematisch tausende Domains nach bekannten Schwachstellen, ohne dass sich vorher jemand gezielt für dein Café oder deine Praxis interessiert hätte. Für so ein Programm zählt nicht, wie bekannt du bist, sondern nur, ob eine Lücke offensteht. Das ist beruhigend und beunruhigend zugleich: beruhigend, weil es nicht persönlich ist, beunruhigend, weil Größe dich nicht schützt.
HTTPS und das Schloss-Symbol: was es bedeutet — und was nicht
Das kleine Schloss-Symbol links neben der Adresse im Browser zeigt an, dass die Verbindung zwischen dem Browser deines Besuchers und deinem Server verschlüsselt ist (HTTPS statt HTTP). Niemand, der zufällig im selben WLAN-Netz sitzt, kann mitlesen, was jemand auf deiner Seite eingibt. Moderne Browser wie Chrome markieren Seiten ohne dieses Zertifikat inzwischen aktiv als „Nicht sicher" — besonders deutlich, sobald ein Formular mit Eingabefeldern im Spiel ist.
Wichtig ist aber, was das Schloss nicht bedeutet: Es ist kein Gütesiegel für Seriosität. Auch Betrugsseiten und Phishing-Seiten können ein gültiges HTTPS-Zertifikat haben — das Schloss bestätigt nur, dass die Übertragung verschlüsselt ist, nicht, dass der Betreiber vertrauenswürdig ist. Für dich als Betreiber heißt das trotzdem: HTTPS ist heute die absolute Grundausstattung, keine Kür. Ein Zertifikat lässt sich bei so gut wie jedem Hosting-Anbieter mit wenigen Klicks aktivieren, oft sogar kostenlos.
Ein häufiges, meist harmloses Problem nach der Umstellung auf HTTPS sind sogenannte „gemischte Inhalte": Die Seite selbst läuft über HTTPS, lädt aber noch einzelne Bilder oder Skripte über die alte, unverschlüsselte HTTP-Adresse. Der Browser zeigt dann trotz Zertifikat eine Warnung an. Die Lösung ist meist unspektakulär: alle internen Links und eingebundenen Dateien konsequent auf HTTPS umstellen, was die meisten modernen CMS-Systeme inzwischen automatisch übernehmen.
Dein CMS aktuell halten
Egal ob WordPress, Shopify-App, ein Baukasten oder ein anderes System: Die überwiegende Mehrheit gehackter Websites wird nicht durch neuartige, raffinierte Angriffe kompromittiert, sondern durch veraltete Software mit längst bekannten und bereits gepatchten Sicherheitslücken. Automatisierte Programme durchsuchen das Netz systematisch nach genau solchen veralteten Versionen. Die Konsequenz ist simpel: Updates für dein CMS, für Plugins, Themes und Erweiterungen sollten zeitnah eingespielt werden, nicht erst, wenn „mal wieder Zeit ist". Wenn dein System automatische Updates für Sicherheits-Patches anbietet, aktiviere sie.
Ein zweiter, oft übersehener Punkt: Jedes zusätzliche Plugin oder jede zusätzliche Erweiterung ist eine weitere potenzielle Schwachstelle, die gepflegt werden muss. Ein CMS mit fünfzehn Plugins, von denen fünf seit Jahren nicht mehr aktualisiert wurden, ist keine Ausnahme, sondern der Normalfall bei gewachsenen kleinen Websites. Ein regelmäßiger Blick in die Plugin-Liste — und das konsequente Löschen von allem, was nicht mehr aktiv genutzt wird — reduziert die Angriffsfläche spürbar, ganz ohne technisches Spezialwissen.
Phishing: die Lücke, die keine Software schließt
Nicht jeder Angriff zielt auf die Website selbst — sehr viele zielen auf die Person, die sie verwaltet. Eine E-Mail, die angeblich vom Hosting-Anbieter kommt und zur „dringenden Bestätigung deiner Zugangsdaten" auffordert, eine gefälschte Rechnung mit Anhang, eine Nachricht, die vorgibt, dein SSL-Zertifikat sei abgelaufen und verlangt einen sofortigen Klick — das sind klassische Phishing-Versuche, die auf Zeitdruck und Routine setzen. Die einfachste Verteidigung ist eine einzige Gewohnheit: Bei jeder E-Mail, die zur Eingabe von Zugangsdaten auffordert, die Absenderadresse genau prüfen und im Zweifel die eigentliche Anbieter-Website direkt im Browser aufrufen, statt auf einen Link in der Mail zu klicken.
Sichere Administratorzugänge
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für Passwörter eine Mindestlänge von acht Zeichen mit einer Mischung aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen — regelmäßiges Zwangswechseln ist dagegen nicht mehr nötig, solange das Passwort stark und einzigartig ist. Für dein CMS-Login und dein Hosting-Konto gilt zusätzlich:
- Zwei-Faktor-Authentisierung (2FA) überall aktivieren, wo sie angeboten wird — sie ist laut BSI eine der wirksamsten einzelnen Maßnahmen gegen gestohlene Zugangsdaten.
- Ein Passwort-Manager für jedes System ein eigenes, langes, zufälliges Passwort statt einer Variante deines Geburtsdatums.
- Der Standard-Benutzername „admin" sollte, wenn technisch möglich, umbenannt werden — er ist das Erste, was automatisierte Angriffe ausprobieren.
- Zugänge ehemaliger Mitarbeiter oder Dienstleister zeitnah entfernen, statt sie „für alle Fälle" aktiv zu lassen.
Backups, die sich wirklich zurückspielen lassen
Ein Backup, das nie getestet wurde, ist im Ernstfall nur eine Vermutung, kein Sicherheitsnetz. Eine bewährte Faustregel aus der IT-Praxis ist die 3-2-1-Regel: mindestens drei Kopien deiner Daten, auf zwei unterschiedlichen Speicherorten, davon eine räumlich getrennt vom Original — zum Beispiel nicht nur auf demselben Server, auf dem auch die Website läuft. Mindestens genauso wichtig: Spiele das Backup testweise probehalber auf einer separaten Testumgebung zurück, statt dich erst am Tag der Katastrophe zu fragen, ob die Sicherung überhaupt funktioniert oder ob die Backup-Datei beschädigt ist.
Wie oft ein Backup nötig ist, hängt davon ab, wie viel zwischen zwei Sicherungen verloren gehen dürfte, ohne dass es wehtut. Eine reine Informationsseite, die sich selten ändert, kommt oft mit einem wöchentlichen Backup aus. Ein Shop mit täglichen Bestellungen oder ein Blog mit häufigen neuen Beiträgen braucht dagegen tägliche, im Idealfall sogar laufende Sicherungen — sonst ist im Ernstfall nicht nur die Website weg, sondern auch echte, unwiederbringliche Kundendaten.
Was am Tag eines Hacks zu tun ist
Wenn der Ernstfall eintritt, hilft Panik niemandem. Diese Reihenfolge schon:
- 1. Ruhig bleiben und dokumentieren. Screenshots von allem Auffälligen machen, bevor du etwas veränderst — das hilft später bei der Fehlersuche und, falls nötig, bei einer Anzeige.
- 2. Alle Passwörter sofort ändern — Hosting, CMS, E-Mail, FTP —, und zwar von einem Gerät aus, von dem du sicher weißt, dass es sauber ist.
- 3. Die Seite offline nehmen oder in den Wartungsmodus setzen, damit Besucher nicht weiter gefährdet werden, während du das Problem eingrenzt.
- 4. Deinen Hosting-Anbieter kontaktieren. Viele Anbieter haben Erfahrung mit genau solchen Fällen und können beim Säubern helfen oder zumindest die Logs zur Verfügung stellen.
- 5. Ein sauberes, getestetes Backup von vor dem Angriff zurückspielen — nicht einfach die aktuellen, möglicherweise infizierten Dateien reparieren.
- 6. Auf versteckte Hintertüren prüfen (unbekannte Admin-Konten, fremde Dateien) — im Zweifel mit einem Fachmann, bevor die Seite wieder live geht.
- 7. Prüfen, ob personenbezogene Daten betroffen sein könnten (Kundendaten, E-Mail-Adressen, Bestellungen). Falls ja, greift die DSGVO-Meldepflicht nach Artikel 33: Ein solcher Vorfall muss in aller Regel binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden. Im Zweifel lieber frühzeitig einen Datenschutzbeauftragten oder spezialisierten Anwalt hinzuziehen — dieser Artikel ersetzt keine Rechtsberatung.
Das klingt nach viel, ist aber in den meisten Fällen an einem einzigen Tag erledigt, wenn die Backups vorher sauber eingerichtet waren. Genau deshalb lohnt sich die Vorbereitung mehr als jede Reaktion im Nachhinein: HTTPS, aktuelle Software, ein Passwort-Manager mit 2FA und ein getestetes Backup verhindern die allermeisten Vorfälle, bevor sie überhaupt entstehen.
Keiner dieser Punkte kostet viel Geld oder viel Zeit im Vergleich zu dem, was ein tatsächlicher Vorfall an Aufwand, Vertrauen und im schlimmsten Fall an Umsatz kosten kann. Wer diese Grundlagen einmal sauber einrichtet, muss sich danach nur noch um wenig kümmern: Updates zeitnah einspielen, Backups gelegentlich testweise zurückspielen, und bei verdächtigen E-Mails einmal kurz innehalten, bevor geklickt wird.