Website-Sicherheit: Checkliste für kleine und mittlere Unternehmen
Kleine Unternehmen halten sich oft für zu unwichtig für Angriffe. Doch die meisten Angriffe auf Websites sind automatisiert und suchen einfach nach veralteter Software und schwachen Passwörtern, egal wem die Website gehört. Eine gehackte Website verteilt Schadsoftware, verschickt Spam oder verliert Kundendaten. Diese Checkliste zeigt die Maßnahmen, die das Risiko am stärksten senken.
Die zehn wichtigsten Maßnahmen
Diese Punkte decken die häufigsten Angriffswege ab:
- 1. CMS, Plugins, Themes und Server-Software aktuell halten, Updates vorher auf einer Testkopie prüfen.
- 2. Nicht genutzte Plugins und alte Admin-Konten entfernen.
- 3. Zwei-Faktor-Anmeldung für alle Admin-Zugänge, Hosting und Domainverwaltung.
- 4. Starke, einzigartige Passwörter aus einem Passwortmanager.
- 5. Tägliche Backups an einem zweiten Ort und regelmäßig getestete Wiederherstellung.
- 6. HTTPS mit automatisch verlängertem Zertifikat und Weiterleitung von HTTP.
- 7. Sicherheits-Header wie HSTS und Content-Security-Policy setzen.
- 8. Formulare gegen Spam und automatisierte Angriffe schützen, Uploads einschränken.
- 9. Login-Seiten gegen automatisiertes Durchprobieren von Passwörtern absichern.
- 10. Überwachung: Erreichbarkeit, Zertifikatsablauf, unerwartete Dateiänderungen.
Die Pflicht dahinter
Art. 32 DSGVO verpflichtet Unternehmen zu angemessenen technischen und organisatorischen Maßnahmen für die Sicherheit personenbezogener Daten, gemessen am Stand der Technik. Eine Website mit Kontaktformular, Kundenkonto oder Shop fällt darunter. Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, muss sie nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.
Wenn es passiert ist
Bei einem Vorfall zählt die Reihenfolge:
- Website offline nehmen oder in den Wartungsmodus versetzen.
- Alle Passwörter ändern: CMS, Hosting, Datenbank, FTP, E-Mail.
- Prüfen, ob personenbezogene Daten betroffen sind, und die 72-Stunden-Frist für die Meldung im Blick behalten.
- Aus einem sauberen Backup vor dem Vorfall wiederherstellen und die Lücke schließen.
- Bei Google Search Console prüfen, ob die Seite als gefährlich markiert wurde, und eine Überprüfung beantragen.
Wartung statt Hoffnung
Sicherheit ist kein einmaliges Projekt. Mit einem Wartungsvertrag laufen Updates, Backups und Überwachung regelmäßig, und im Ernstfall gibt es einen festen Ansprechpartner. Unsere Wartungspakete beginnen bei 49 € im Monat für Überwachung und bis zu einer Stunde Fehlerbehebung.
Häufige Fragen
- Ist eine statische Website sicherer als WordPress?
- In der Regel ja, weil es keine Login-Seite und keine Plugins auf dem öffentlichen Server gibt. Abhängigkeiten, Hosting und Formular-Dienste müssen trotzdem aktuell gehalten werden.
- Woran erkenne ich, dass meine Website gehackt wurde?
- Typische Zeichen: unbekannte Seiten oder Links in Google, Weiterleitungen auf fremde Seiten, Warnungen im Browser, Spam aus Ihrem Formular oder Ihrer Domain, unbekannte Admin-Konten.
- Was kostet eine Sicherheitsprüfung?
- Eine Grundprüfung von Versionen, Zugängen, Backups und Headern ist schnell gemacht. Wir nennen den Aufwand nach einem Blick auf Ihre Website.
Quellen
Senden Sie uns die Adresse Ihrer Website. Wir prüfen Versionen, Zugänge, Backups und Sicherheits-Header und nennen, was zu tun ist.
Sicherheit prüfen lassen