Website-Sicherheit für kleine Betriebe: Die Grundlagen

Viele Inhaber denken: Wer soll schon meine kleine Seite angreifen? Die Antwort sind automatisierte Programme. Sie suchen rund um die Uhr nach bekannten Schwachstellen, ganz egal, wie groß ein Betrieb ist. Die gute Nachricht: Mit ein paar Grundlagen bist du gegen die meisten dieser Angriffe gut geschützt.

Updates zeitnah einspielen

Veraltete Systeme, Themes und Plugins mit bekannten Lücken sind eine der häufigsten Ursachen für gehackte Websites. Bei WordPress betreffen die meisten neu gemeldeten Sicherheitslücken nicht WordPress selbst, sondern Plugins (Quelle: patchstack.com, Jahresbericht „State of WordPress Security“). Das heißt für dich: Updates zeitnah installieren und Plugins, die du nicht brauchst, löschen statt nur deaktivieren. Jede installierte Erweiterung ist eine mögliche Schwachstelle.

Starke Passwörter und Zwei-Faktor-Anmeldung

• Für jeden Zugang ein eigenes, langes Passwort. Ein Passwortmanager hilft dabei.
• Zwei-Faktor-Anmeldung überall aktivieren, wo es geht: beim Hoster, beim Domainanbieter, im Website-Admin und im Google-Konto.
• Keine gemeinsamen Zugänge für mehrere Personen. Jeder bekommt ein eigenes Konto, das sich später sperren lässt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt dazu verständliche Empfehlungen (Quelle: bsi.bund.de, Themen „Sichere Passwörter erstellen“ und „Zwei-Faktor-Authentisierung“).

Backups, die sich auch zurückspielen lassen

Ein Backup ist nur so gut wie die Wiederherstellung. Achte auf drei Dinge:

• Die Sicherung läuft automatisch, mindestens täglich oder nach jeder Änderung.
• Eine Kopie liegt an einem anderen Ort als der Server selbst.
• Du hast mindestens einmal getestet, ob sich ein Backup wirklich zurückspielen lässt.

Formulare absichern

Kontaktformulare sind ein beliebtes Ziel für Spam und Missbrauch. Schutz bieten:

• Eine Begrenzung, wie oft von einer Adresse in kurzer Zeit gesendet werden kann.
• Ein unsichtbares Feld, das nur Bots ausfüllen, statt eines nervigen Bilderrätsels.
• Eine Prüfung aller Eingaben auf dem Server, nicht nur im Browser.

HTTPS und Sicherheits-Header

HTTPS ist Pflicht. Dazu kommen sogenannte Sicherheits-Header, die der Server mitschickt. Sie sagen dem Browser zum Beispiel, dass die Seite nicht in fremde Seiten eingebettet werden darf oder nur Skripte aus bestimmten Quellen laden soll. Ob deine Seite solche Header setzt, kannst du kostenlos auf securityheaders.com prüfen.

Weniger ist sicherer

Jede Funktion, jedes Plugin und jedes eingebundene Fremdskript vergrößert die Angriffsfläche. Eine schlanke Seite mit wenigen, bewusst gewählten Bausteinen ist schneller und leichter sicher zu halten.

Wenn doch etwas passiert

• Ruhe bewahren, alle Passwörter ändern, den Hoster informieren.
• Das letzte saubere Backup einspielen und die Lücke schließen, sonst passiert es schnell wieder.
• Könnten personenbezogene Daten betroffen sein, etwa Anfragen aus dem Kontaktformular, prüfe die Meldepflicht an die Datenschutzbehörde. Sie gilt grundsätzlich innerhalb von 72 Stunden (Art. 33 DSGVO). Das ist keine Rechtsberatung.