Website-Sicherheit: Checkliste für Betreiber

Die wichtigsten Schritte für eine sichere Website sind aktuelle Software, starke Anmeldungen mit Zwei-Faktor-Schutz, getrennt aufbewahrte Backups und möglichst wenige unnötige Erweiterungen. Absolute Sicherheit gibt es nicht, aber mit dieser Checkliste schließen Sie die häufigsten Einfallstore.

Warum auch kleine Websites angegriffen werden

Viele Angriffe zielen nicht auf ein bestimmtes Unternehmen. Automatisierte Programme durchsuchen das Internet nach bekannten Lücken und schwachen Passwörtern. Auch das BSI nennt Updates, Passwörter und Backups als Grundelemente der Absicherung für Unternehmen.

Die Checkliste

Software und Erweiterungen

CMS, Plugins, Themes und PHP-Version sind aktuell.
Ungenutzte Plugins und Themes sind gelöscht, nicht nur deaktiviert.
Es gibt keine Erweiterungen, die seit Langem nicht mehr gepflegt werden.
Software stammt nur aus vertrauenswürdigen Quellen.

Anmeldung und Zugänge

Für jedes Konto gibt es ein eigenes, langes Passwort im Passwortmanager.
Zwei-Faktor-Anmeldung ist für alle Administratoren aktiv.
Jede Person hat ein eigenes Konto mit nur den nötigen Rechten.
Zugänge ehemaliger Mitarbeiter und Dienstleister sind entfernt.
Auch Hosting, Domain und E-Mail sind geschützt.

Backups

Dateien und Datenbank werden automatisch gesichert.
Mindestens eine Kopie liegt getrennt vom Webserver.
Die Wiederherstellung wurde tatsächlich getestet.

Verbindung und Server

Die gesamte Website läuft über HTTPS, alte Adressen werden weitergeleitet.
Sicherheits-Header wie HSTS und Content-Security-Policy sind gesetzt.
Datei-Bearbeitung im CMS-Backend ist abgeschaltet.
Verzeichnisse und Sicherungsdateien sind nicht öffentlich abrufbar.
Die Datenbank ist nicht direkt aus dem Internet erreichbar.

Formulare und Daten

Formulare prüfen Eingaben auf dem Server und sind gegen Spam geschützt.
Datei-Uploads sind beschränkt oder abgeschaltet.
Es werden nur Daten gespeichert, die wirklich gebraucht werden.
Alte Anfragen werden nach einer festgelegten Frist gelöscht.

Überwachung

Sie werden bei Ausfällen und beim Ablauf des SSL-Zertifikats benachrichtigt.
Die Search Console ist eingerichtet, sie meldet auch manche Sicherheitsprobleme.
Es ist klar, wer sich im Notfall kümmert.

Woran Sie einen Angriff erkennen

Warnzeichen sind unbekannte Admin-Konten, fremde Seiten in den Google-Ergebnissen, Weiterleitungen auf fremde Websites, geänderte Dateien oder Warnungen von Browser oder Hoster.

Was im Ernstfall zu tun ist

Ruhe bewahren und Fakten sichern: Zeitpunkt, Auffälligkeiten und Protokolle festhalten.
Zugänge ändern: Passwörter für CMS, Hosting, Datenbank und E-Mail erneuern.
Website bereinigen: Sauberes Backup einspielen und die Lücke schließen, sonst passiert es wieder.
Pflichten prüfen: Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig sein. Lassen Sie das im Zweifel prüfen.

Häufige Fragen

Reicht ein Sicherheits-Plugin aus?

Es kann helfen, ersetzt aber weder Updates noch Backups oder gute Zugangsdaten.

Ist ein Baukasten automatisch sicher?

Die Plattform übernimmt einen Teil der Technik. Für Passwörter, Zugänge und Inhalte bleiben Sie selbst verantwortlich.

Wie oft sollte ich die Sicherheit prüfen?

Die Grundlagen laufend, die gesamte Liste mindestens ein- bis zweimal im Jahr. Für WordPress finden Sie den passenden Rhythmus im Beitrag WordPress-Wartung.

Sie möchten Ihre Website prüfen und absichern lassen? Sprechen Sie uns über das Anfrageformular an.