Wie Sie Ihre Webseite vor Angriffen und Ausfällen schützen

Eine professionelle Webseite schützt sich durch drei einfache Grundregeln: die Software auf dem neuesten Stand halten, den Zugriff auf das strikt Notwendige beschränken und über eine aktuelle, getestete Sicherung verfügen. Diese drei Punkte decken die überwiegende Mehrheit der bei Kleinunternehmen festgestellten Hackerangriffe und Ausfälle ab. Der Rest liegt in der Wahl eines seriösen Hosting-Anbieters und einer minimalen Überwachung.

Warum eine Unternehmenswebseite auch ohne massiven Traffic ein Ziel bleibt

Ein Anwalt, ein Handwerker oder eine Steuerberatungskanzlei hält sich selten für ein Ziel von Hackern. Das ist ein Denkfehler. Die Mehrheit der Angriffe auf kleine Webseiten zielt nicht auf ein bestimmtes Unternehmen ab: Bots durchsuchen kontinuierlich Millionen von Adressen nach bekannten Schwachstellen in WordPress, Joomla, PrestaShop oder deren Erweiterungen. Eine Webseite mit einem seit zwei Jahren nicht aktualisierten Plugin wird innerhalb weniger Stunden entdeckt, nicht erst nach Monaten.

Die Folgen gehen weit über einen angekratzten Ruf hinaus. Eine kompromittierte Webseite kann zum Versenden von Spam, zum Hosten von Phishing-Seiten oder zur unbemerkten Umleitung eines Teils des Traffics auf eine andere Webseite genutzt werden, ohne dass der Inhaber es über Wochen bemerkt. Google setzt die Adresse schließlich auf die schwarze Liste, was das Ranking von einem Tag auf den anderen einbrechen lässt und mehrere Wochen zur Behebung dauern kann.

Software vorrangig aktuell halten

Die häufigste Ursache für Hackerangriffe auf eigenständig verwaltete Webseiten (insbesondere WordPress) ist ein veraltetes CMS, Theme oder Plugin. Sicherheitslücken, die in einem Update behoben werden, werden mit dessen Veröffentlichung öffentlich: Das ist eine wertvolle Information für einen Angreifer, der dann genau weiß, wonach er auf Webseiten suchen muss, die den Patch noch nicht eingespielt haben.

Drei einfache Regeln:

1. Den CMS-Kern sofort aktualisieren, sobald eine Sicherheitsversion erscheint, ohne zu warten.
2. Nicht genutzte Plugins und Themes deinstallieren, statt sie inaktiv zu lassen — ein deaktiviertes, aber vorhandenes Plugin bleibt eine Eintrittspforte.
3. Die Anzahl der Erweiterungen auf das strikt Notwendige beschränken: jedes zusätzliche Plugin ist eine weitere Angriffsfläche.

Bei einer maßgeschneiderten Webseite ohne verbreitetes CMS ist dieses Risiko geringer, aber nicht null: Auch Software-Abhängigkeiten (Bibliotheken, Frameworks) müssen verfolgt und regelmäßig aktualisiert werden.

Zugriffe und Passwörter kontrollieren

Ein schwaches oder wiederverwendetes Passwort für den Administrationsbereich bleibt eine weit offene Tür. Brute-Force-Angriffe testen automatisch tausende Kombinationen, oft mit Zugangsdaten, die bei einem anderen, mit Ihrer Webseite unzusammenhängenden Hackerangriff geleakt wurden.

Bewährte Praktiken, die ausnahmslos angewendet werden sollten:

• Ein einzigartiges, langes Passwort (mindestens 16 Zeichen) für jeden Zugang: Hosting-Anbieter, FTP, Datenbank, CMS.
• Zwei-Faktor-Authentifizierung für den Administrationsbereich, sobald verfügbar.
• Ein persönliches Administratorkonto pro Person, niemals ein generisches, zwischen mehreren Mitarbeitern geteiltes Konto.
• Die sofortige Löschung der Zugänge eines ehemaligen Dienstleisters oder Mitarbeiters, der nicht mehr an der Webseite arbeitet.

Verbindung und Server absichern

Das SSL-Zertifikat (das Schloss-Symbol in der Adressleiste, die URL in https) verschlüsselt den Datenaustausch zwischen Besucher und Server. Es ist heute eine Voraussetzung, keine Option: Ohne es zeigen Browser eine Warnung "nicht sicher" an, die einen Besucher innerhalb einer Sekunde vertreibt, und Google bestraft das Ranking von Webseiten ohne SSL leicht. Nahezu alle seriösen Hosting-Anbieter bieten es mittlerweile kostenlos an (Let's Encrypt).

SSL schützt die Übertragung der Daten, nicht die Webseite selbst. Eine Web Application Firewall (WAF) filtert bösartige Anfragen vorab, bevor sie den Server erreichen: SQL-Injection-Versuche, automatisierte Skripte, Schwachstellen-Scans. Bei einem verbreiteten Shared Hosting ist dieses Schutzniveau selten standardmäßig enthalten; es lohnt sich zu prüfen, was der Hosting-Anbieter über das bloße SSL-Zertifikat hinaus tatsächlich bietet.

Ausfälle vorausschauend behandeln: Verfügbarkeit und Sicherung

Sicherheit beschränkt sich nicht auf Hackerangriffe. Ein Serverausfall, ein Bedienfehler oder ein fehlgeschlagenes Update können eine Webseite unzugänglich machen, ohne dass ein Eindringen stattgefunden hat. Zwei Elemente begrenzen die Auswirkungen:

Ein oft vernachlässigter Punkt: Eine Sicherung, die nie in einer Wiederherstellung getestet wurde, ist keine Garantie, sondern eine Annahme. Einmal pro Quartal zu prüfen, dass sich eine Sicherung korrekt wiederherstellen lässt, spart wertvolle Zeit an dem Tag, an dem der Vorfall wirklich eintritt.

Überwachen, ohne seine Tage damit zu verbringen

Die Überwachung muss nicht permanent sein, um nützlich zu sein. Ein kostenloses oder kostengünstiges Monitoring-Tool, das alle fünf Minuten prüft, ob die Webseite antwortet, gekoppelt mit einer Benachrichtigung per E-Mail oder SMS, reicht aus, um einen Ausfall innerhalb weniger Minuten zu erkennen, statt von einem Kunden zu erfahren, dass er die Webseite nicht mehr aufrufen kann. Manche Hosting-Anbieter und Dienstleister bieten diese Überwachung im Angebot; ansonsten gibt es unabhängige, kostengünstige Dienste.

Was Sie sich merken sollten

• Die häufigste Ursache für Hackerangriffe auf eine Unternehmenswebseite ist veraltete Software, kein gezielter Angriff.
• Ein einzigartiges, langes Passwort pro Zugang mit Zwei-Faktor-Authentifizierung blockiert die Mehrheit der automatisierten Versuche.
• SSL schützt die Datenübertragung, nicht die Webseite selbst: Es ist nur ein Baustein unter mehreren.
• Eine Sicherung, die nie in einer Wiederherstellung getestet wurde, bietet keine echte Garantie.
• Ein einfaches Monitoring, auch kostenlos, ermöglicht es, einen Ausfall innerhalb weniger Minuten zu erkennen, statt ihn durch einen unzufriedenen Kunden zu entdecken.
• Ein Hosting in Frankreich mit Update-Nachverfolgung bleibt der rentabelste Schutz für eine Unternehmenswebseite.

Häufig gestellte Fragen

Kann eine einfache Unternehmenswebseite gehackt werden?

Ja. Die Bots, die das Web durchsuchen, zielen nicht auf Ihre Bekanntheit, sondern auf bekannte Schwachstellen in veralteten CMS oder Plugins. Eine schlecht gepflegte Unternehmenswebseite ist ein ebenso leichtes Ziel wie eine große Webseite, oft sogar leichter, weil sie weniger überwacht wird.

Reicht das SSL-Zertifikat aus, um eine Webseite abzusichern?

Nein. SSL verschlüsselt den Datenaustausch zwischen Besucher und Server und verhindert das Abfangen von Daten. Es schützt weder vor dem Hacken der Webseite selbst, noch vor einem Serverausfall, noch vor einer Schwachstelle im Code oder in einem Plugin.

Wie viel kostet die Absicherung einer professionellen Webseite?

Ein solides Shared Hosting mit Firewall und SSL inklusive kostet 3 bis 15 Euro/Monat. Ein VPS mit aktiver Überwachung liegt bei 20-100 Euro/Monat. Bei VeryAppi sind Sicherheit und Updates im Abonnement zu 99 Euro/Monat inbegriffen.

Was tun sofort, wenn meine Webseite gehackt wurde?

Sperren Sie wenn möglich den öffentlichen Zugriff, ändern Sie alle Passwörter (Hosting-Anbieter, CMS, FTP, Datenbank), stellen Sie eine saubere Sicherung von vor der Infektion wieder her und identifizieren Sie dann die Schwachstelle, bevor Sie die Webseite wieder online stellen.

Wenn die Verwaltung von Updates und Sicherheit Ihnen Zeit raubt, die Sie nicht haben, vermeidet eine verwaltete Webseite mit inbegriffener Wartung und Sicherheit, dass Sie jeden technischen Baustein selbst überwachen müssen.