Website Sicherheit ist der einzige Posten, den ein Kunde nie sieht, solange er funktioniert. Die Seite öffnet sich, das Formular wird gesendet, alles wirkt in Ordnung. Die Arbeit, die das möglich macht, läuft im Hintergrund – und landet auf der Rechnung als der Posten, den man am leichtesten streicht.
Dann zeigt die Website eines Morgens fremde Inhalte. Oder Google stellt eine Warnung davor. Oder Besucher melden Weiterleitungen auf unbekannte Adressen.
Warum Angriffe auch kleine Websites treffen
Weit verbreitet ist die Annahme, Angreifer suchten sich große Ziele. In der Praxis ist es umgekehrt.
Die meisten Angriffe laufen automatisiert. Programme durchsuchen ununterbrochen das Internet nach bekannten Lücken in veralteten Versionen von Systemen und Plugins. Womit Sie sich beschäftigen oder wie viele Besucher Sie haben, interessiert sie nicht. Sie interessiert ein Server, den sie ausnutzen können.
Die Website eines lokalen Handwerksbetriebs eignet sich zum Spamversand genauso gut wie die eines großen Unternehmens. Oft sogar besser, weil sie schlechter geschützt ist.
Was die Website Sicherheit gefährdet
Es gibt nur wenige Einfallstore, und alle sind vorhersehbar.
Veraltete Plugins sind mit Abstand die häufigste Ursache. Eine Lücke wird öffentlich bekannt, ein Patch erscheint, und Websites ohne Updates bleiben monatelang offen. Genau nach diesen Lücken suchen Angreifer zuerst.
Danach folgen schwache Passwörter und der Benutzername admin, den automatisierte Programme in wenigen Stunden erraten. Dann Raubkopien von Themes und Plugins aus inoffiziellen Quellen, in denen oft schon Schadcode steckt. Und schließlich eine veraltete PHP-Version und Shared Hosting ohne getrennte Konten, bei dem eine geknackte Nachbarseite Ihre gleich mitreißt.
Was nach einem Angriff wirklich passiert
Selten passiert das, was man erwartet. In der Regel verschwindet die Website nicht, denn das nützt dem Angreifer nichts.
Stattdessen wird Code eingeschleust, der still arbeitet. Der Server beginnt Spam zu versenden, die Domain landet auf Blacklists, und Ihre geschäftlichen E-Mails erreichen Kunden nicht mehr. Versteckte Links zu fremden Zielen werden eingebaut, Google erkennt das als Spam, und die Rankings fallen. Mobile Besucher werden auf fremde Werbung umgeleitet, während Sie am Computer eine ganz normale Website sehen.
Am schlimmsten wird es, wenn Google die Website als gefährlich markiert. Davor erscheint eine rote Warnung, der Traffic fällt auf null, und die Markierung zu entfernen dauert Tage – auch wenn das Problem längst behoben ist.
Wie die Website Sicherheit gewahrt bleibt
Schutz ist kein einzelner Eingriff, sondern eine Reihe von Maßnahmen, die zusammenwirken.
Regelmäßige Updates. Systemkern, Themes und Plugins müssen aktuell sein – mit einer Prüfung, ob ein Update die Darstellung beeinträchtigt hat.
Backups. Automatisch, außerhalb des Servers gespeichert, auf dem die Website läuft, mit einem getesteten Wiederherstellungsablauf. Ein Backup, das nie getestet wurde, ist kein Backup.
Login-Schutz. Begrenzte Anmeldeversuche, eine geänderte Login-Adresse, Zwei-Faktor-Authentifizierung und das Entfernen nicht mehr genutzter Benutzerkonten.
Firewall und Überwachung. Verdächtiger Traffic wird gefiltert, bevor er die Website erreicht, dazu regelmäßige Datei-Scans und Benachrichtigungen bei Änderungen.
SSL-Zertifikat und Sicherheits-Header. Eine verschlüsselte Verbindung ist heute das Minimum, schützt allein aber nicht vor Einbrüchen.
Korrekte Dateirechte. Einstellungen, die verhindern, dass Code dort ausgeführt wird, wo er nichts zu suchen hat – etwa im Upload-Ordner.
Warum sie in der Praxis zu kurz kommt
Der Grund ist einfach: Solange alles läuft, sieht man nichts.
Eine vor vier Jahren erstellte Website sieht genauso aus wie am ersten Tag, also nimmt man an, dass sie auch innen gleich geblieben ist. Inzwischen sind rund hundert Updates erschienen, mehrere Plugins wurden aufgegeben, und das Passwort ist immer noch dasselbe.
Hinzu kommt, dass Wartung oft separat abgerechnet wird und als Erstes aus dem Budget fällt. Die Kosten für das Bereinigen einer gehackten Website, verlorene Rankings und die Wiederherstellung des Rufs übersteigen regelmäßig die Jahre an Wartung, die man sich gespart hat.
So prüfen Sie den Zustand Ihrer Website
Ein paar Prüfungen kann jeder selbst machen.
Melden Sie sich im System an und sehen Sie nach, ob ein Hinweis auf verfügbare Updates erscheint. Prüfen Sie, wann die letzte Version jedes Plugins erschienen ist – liegt sie über ein Jahr zurück, ist das Plugin vermutlich aufgegeben. Öffnen Sie in der Search Console den Bericht zu Sicherheitsproblemen. Rufen Sie die Website auf dem Smartphone in einem privaten Fenster auf und prüfen Sie, ob sie irgendwohin weiterleitet.
Wirkt dabei irgendetwas fragwürdig, schieben Sie es nicht auf. Schäden zu beheben ist immer teurer, als sie zu verhindern.
Unser Ansatz
Bei den meisten unserer Web-Pakete ist die technische Wartung im ersten Jahr inklusive. Sie umfasst Updates, Backups, Verfügbarkeitsüberwachung und die Behebung technischer Störungen. Nach dem ersten Jahr wählen Sie selbst den Umfang oder beenden die Zusammenarbeit ohne Verpflichtung.
