Eine Website ist öffentlich erreichbar und damit dauerhaft automatisierten Anfragen, Fehlversuchen und bekannten Angriffsmustern ausgesetzt. Auch kleine Unternehmensseiten sind betroffen – nicht unbedingt, weil jemand das Unternehmen gezielt auswählt, sondern weil automatisierte Systeme nach verwundbarer Software und schwachen Zugängen suchen.
Website-Sicherheit ist deshalb kein einzelnes Plugin. Sie entsteht aus aktueller Software, begrenzten Rechten, sicherer Konfiguration, Backups, Überwachung und einem vorbereiteten Reaktionsweg.
Risiko passend zur Website bewerten
Eine statische Informationsseite ohne Anmeldung hat ein anderes Risikoprofil als ein Onlineshop oder Kundenportal. Erfassen Sie:
- welche Daten verarbeitet werden,
- welche Personen sich anmelden können,
- welche externen Dienste verbunden sind,
- welche Funktionen öffentlich Eingaben annehmen,
- welche Folgen ein Ausfall hätte,
- wer auf Domain, Hosting und CMS zugreifen kann.
Schutzmaßnahmen sollten sich an Daten, Funktionen und geschäftlicher Bedeutung orientieren. Gleichzeitig gelten einige Grundlagen für nahezu jede Website.
Software und Lieferkette aktuell halten
CMS, Plugins, Themes, Bibliotheken, Server und Build-Werkzeuge können Sicherheitslücken enthalten. Updates müssen beobachtet und kontrolliert eingespielt werden.
Die OWASP Top 10:2025 führt neben fehlerhafter Zugriffskontrolle und Fehlkonfiguration ausdrücklich Risiken der Software-Lieferkette auf. Unternehmen sollten daher nicht nur das Hauptsystem, sondern auch Erweiterungen und Abhängigkeiten kennen.
Praktische Regeln:
- nur notwendige Erweiterungen installieren,
- nicht gepflegte Komponenten ersetzen,
- Sicherheitsmeldungen abonnieren,
- kritische Updates priorisieren,
- Änderungen vorab sichern und testen,
- Abhängigkeiten dokumentieren.
Weniger Komponenten bedeuten nicht automatisch Sicherheit, reduzieren aber die zu überwachende Fläche.
Sichere Konten und Anmeldungen
Jede Person erhält ein eigenes Konto. Gemeinsame Administratorzugänge erschweren Nachvollziehbarkeit und werden nach Personalwechseln häufig nicht angepasst.
Wichtige Maßnahmen:
- lange, einzigartige Passwörter aus einem Passwortmanager
- Mehrfaktor-Authentifizierung
- Rechte nach tatsächlicher Aufgabe
- keine tägliche Arbeit mit Administratorrechten
- zeitnahe Deaktivierung ehemaliger Konten
- geschützte Wiederherstellungsadressen
- keine Zugangsdaten in unverschlüsselten Nachrichten
Auch Registrar, Hosting, E-Mail, Analyse und externe Dienste gehören in die Zugriffskontrolle. Ein gut geschütztes CMS hilft wenig, wenn das Domainkonto übernommen werden kann.
Rechte konsequent begrenzen
Ein Redakteur benötigt keine Serververwaltung. Ein externer Texter braucht keinen Zugriff auf Abrechnung und Domain. Das Prinzip der geringsten Rechte begrenzt Schäden bei Fehlern oder kompromittierten Konten.
Prüfen Sie regelmäßig:
- Benutzer und Rollen
- API-Schlüssel
- Deploy-Schlüssel
- Datenbankzugänge
- Datei- und Serverrechte
- verbundene Apps
- alte Vorschauumgebungen
Temporäre Zugänge sollten ein Ablaufdatum oder einen klaren Entfernungsprozess haben.
Sichere Konfiguration
Viele Vorfälle entstehen nicht durch exotische Angriffe, sondern durch offen erreichbare Verwaltungsbereiche, Standardzugänge, unnötige Debug-Ausgaben oder falsch gesetzte Berechtigungen.
Zur Grundkonfiguration gehören:
- HTTPS für die gesamte Website
- sichere Weiterleitung von HTTP
- keine geheimen Schlüssel im öffentlich ausgelieferten Code
- eingeschränkte Verwaltungszugänge
- deaktivierte ungenutzte Funktionen
- passende Sicherheitsheader
- geschützte Backups und Protokolle
- getrennte Entwicklungs- und Live-Systeme
- keine echten sensiblen Daten in Testumgebungen
Konfigurationen sollten versioniert oder nachvollziehbar dokumentiert sein, damit Änderungen nicht nur im Gedächtnis einzelner Personen existieren.
Formulare und Eingaben absichern
Öffentliche Formulare müssen Eingaben serverseitig prüfen. Eine Prüfung im Browser verbessert Bedienung, verhindert aber keine manipulierten Anfragen.
Wichtige Punkte:
- nur notwendige Daten abfragen,
- Eingaben validieren und sicher verarbeiten,
- Uploads nach Typ, Größe und Inhalt begrenzen,
- Missbrauch und automatisierte Überlastung begrenzen,
- Fehlermeldungen ohne interne Details ausgeben,
- Zustellung und Speicherung absichern,
- Daten nicht länger als nötig vorhalten.
Spam-Schutz darf Barrierefreiheit und Datenschutz nicht unnötig verschlechtern. Eine unsichtbare technische Prüfung ist häufig besser als schwer lösbare Bilderrätsel.
Backups und Wiederherstellung
Backups schützen nicht nur vor Angriffen, sondern auch vor fehlerhaften Updates und Bedienfehlern. Sie sollten:
- automatisch erstellt werden,
- mehrere Zeitstände enthalten,
- getrennt vom Live-System liegen,
- verschlüsselt und zugriffsgeschützt sein,
- regelmäßig auf Wiederherstellbarkeit getestet werden.
Dokumentieren Sie, welche Systeme enthalten sind und wie ein sauberer Zustand bestimmt wird. Ein kompromittiertes System darf nicht ungeprüft aus einem möglicherweise ebenfalls betroffenen Backup wieder online gehen.
Überwachung und Protokolle
Sicherheit benötigt Sichtbarkeit. Abhängig vom System sind relevant:
- ungewöhnliche Anmeldeversuche
- neue Administratoren
- unerwartete Dateiänderungen
- ungewöhnlicher Datenverkehr
- fehlgeschlagene Backups
- Serverfehler
- Änderungen an Domain und DNS
- Ausfall wichtiger Funktionen
Protokolle müssen geschützt, zeitlich begrenzt und datenschutzgerecht behandelt werden. Warnungen brauchen Prioritäten und eine verantwortliche Person. Ein Postfach voller ungelesener Meldungen ist keine Überwachung.
Externe Dienste und Datenschutz
Jede Einbettung und Schnittstelle erweitert Abhängigkeiten. Prüfen Sie Chat, Karten, Videos, Analyse, Terminbuchung und Newsletter auf:
- tatsächlichen Nutzen,
- benötigte Daten,
- Zugriffsrechte,
- Sicherheits- und Datenschutzbedingungen,
- Ausfallverhalten,
- Kündigungs- und Exportmöglichkeit.
Schlüssel und Tokens werden nicht im Browser oder öffentlichen Repository abgelegt. Nicht mehr genutzte Integrationen werden vollständig entfernt.
Auf einen Vorfall vorbereitet sein
Ein einfacher Reaktionsplan spart im Ernstfall Zeit. Er benennt:
- verantwortliche Kontaktperson
- Hosting- und Technikpartner
- Weg zum Sperren betroffener Zugänge
- Sicherung von Beweisen und Protokollen
- Prüfung des Umfangs
- saubere Wiederherstellung
- notwendige interne, rechtliche und externe Kommunikation
- Nachbereitung und Schutzverbesserung
Bei einem möglichen Datenschutzvorfall sind Fristen und Meldepflichten fachlich zu prüfen. Die Website sollte nicht vorschnell bereinigt werden, bevor wichtige Informationen gesichert sind.
Sicherheitsversprechen realistisch formulieren
Keine Website ist „hundertprozentig sicher“. Seriöse Kommunikation beschreibt Maßnahmen, Zuständigkeiten und Reaktionsfähigkeit. Logos von Sicherheitstools oder ein Zertifikat ersetzen keine laufende Praxis.
Auch externe Scans zeigen nur einen Ausschnitt. Sie können bekannte Fehlkonfigurationen finden, aber nicht jede Geschäftslogik oder Berechtigung prüfen.
Häufige Fehler
- ein gemeinsames Administratorpasswort
- fehlende Mehrfaktor-Authentifizierung
- veraltete Plugins und Abhängigkeiten
- unnötig viele Administratoren
- ungeschützte Domain- und Hostingkonten
- Backups nur auf dem Live-Server
- Wiederherstellung nie getestet
- Geheimnisse im öffentlichen Code
- Warnungen ohne zuständige Person
- kein Plan für einen Sicherheitsvorfall
Checkliste für Website-Sicherheit
- Sind Daten, Funktionen und Risiken dokumentiert?
- Werden alle Komponenten aktuell gehalten?
- Sind unnötige Erweiterungen entfernt?
- Nutzen alle wichtigen Konten Mehrfaktor-Authentifizierung?
- Sind Rechte auf Aufgaben begrenzt?
- Ist die Produktionsumgebung sicher konfiguriert?
- Werden Formulare serverseitig geschützt?
- Existieren getrennte, getestete Backups?
- Erreichen Warnungen eine verantwortliche Person?
- Gibt es einen dokumentierten Reaktionsplan?
Häufige Fragen
Reicht ein Sicherheits-Plugin?
Nein. Es kann einzelne Funktionen ergänzen, ersetzt aber keine Updates, Zugriffskontrolle, sichere Konfiguration, Backups und Überwachung.
Werden kleine Websites überhaupt angegriffen?
Ja. Automatisierte Systeme suchen unabhängig von der Unternehmensgröße nach bekannten Schwachstellen und schwachen Zugängen.
Wie oft müssen Updates installiert werden?
Das hängt von Kritikalität und System ab. Sicherheitsrelevante Aktualisierungen sollten zeitnah geprüft und eingespielt werden; größere Änderungen benötigen Tests.
Hilft HTTPS gegen alle Angriffe?
Nein. HTTPS schützt die Übertragung zwischen Browser und Server. Fehlerhafte Rechte, unsichere Software oder gestohlene Konten werden dadurch nicht behoben.
Was ist nach einem Verdacht auf einen Angriff zu tun?
Zugriffe begrenzen, Verantwortliche und Hostingpartner informieren, Protokolle sichern und das Ausmaß fachlich prüfen. Nicht nur sichtbare Dateien austauschen und zum Alltag zurückkehren.
Fazit: Sicherheit ist ein organisierter Prozess
Website-Sicherheit entsteht aus mehreren Schichten: aktuelle Komponenten, geschützte Konten, begrenzte Rechte, sichere Konfiguration, geprüfte Backups und aufmerksame Überwachung. Klare Zuständigkeiten machen diese Maßnahmen im Alltag wirksam.
Möchten Sie die Sicherheitsgrundlagen Ihrer Website prüfen lassen?
MBCreate analysiert Technik, Zugänge, Abhängigkeiten, Backups und Wartungsprozesse und setzt priorisierte Schutzmaßnahmen für Unternehmenswebsites um.
