Webseite absichern: Schutz vor Hackern, Backups und Updates

Werden kleine Webseiten überhaupt angegriffen?

Ein verbreiteter Irrtum lautet: "Meine Seite ist zu klein, die interessiert doch keinen Hacker." Das stimmt nur halb. Es stimmt, dass kaum jemand gezielt die Webseite eines Landgasthofs oder einer Malerwerkstatt ins Visier nimmt. Aber die allermeisten Angriffe sind gar nicht gezielt, sondern automatisiert.

Programme, sogenannte Bots, klappern rund um die Uhr Millionen Webseiten ab und suchen nach bekannten Sicherheitslücken in veralteter Software. Ob dahinter ein Weltkonzern oder ein Familienbetrieb steckt, ist diesen Bots völlig egal. Sie nutzen einfach jede offene Tür, die sie finden. Eine kleine, ungepflegte Seite ist für sie oft ein leichteres Ziel als eine große, gut gewartete.

Und der Schaden ist real: Eine gekaperte Seite wird gern missbraucht, um Spam zu verschicken, Schadsoftware an Besucher zu verteilen oder auf dubiose Seiten umzuleiten. Google erkennt das und markiert die Seite dann als gefährlich, was Vertrauen und Sichtbarkeit kostet. Für einen lokalen Betrieb ist das ärgerlich, aber gut vermeidbar.

Die drei echten Risiken

Man kann sich in Sicherheitsthemen verlieren. Für eine typische Betriebs-Webseite lassen sich aber praktisch alle Vorfälle auf drei Ursachen zurückführen.

1. Veraltete Software (das mit Abstand größte Risiko)

Die meisten gehackten Betriebs-Webseiten laufen auf einem Redaktionssystem wie WordPress, oft mit einer Handvoll Zusatz-Module (Plugins) für Formulare, Galerien oder Buchungen. Jedes dieser Teile bekommt regelmäßig Sicherheits-Updates. Wird die Seite nach dem Aufbau aber sich selbst überlassen und monatelang nicht aktualisiert, sammeln sich bekannte Sicherheitslücken an. Genau danach suchen die Bots.

2. Schwache Passwörter

Ein Zugang mit "sommer2024" oder dem Betriebsnamen als Passwort ist in Minuten geknackt. Kombiniert mit einem fehlenden zweiten Schutzfaktor (Zwei-Faktor-Authentifizierung) ist das eine der einfachsten Eintrittskarten überhaupt.

3. Kein Backup

Das dritte Risiko schlägt erst zu, wenn etwas passiert ist. Ohne eine aktuelle Sicherungskopie steht man nach einem Vorfall (oder auch nach einem simplen technischen Fehler) vor dem Nichts und muss die Seite von Grund auf neu aufbauen. Ein Backup verwandelt einen Notfall in eine halbe Stunde Arbeit.

Die wichtigsten Schutzmaßnahmen

Sicherheit für eine Betriebs-Webseite ist keine Raketenwissenschaft. Es sind ein paar klare Punkte, die zusammen den Großteil der Arbeit erledigen.

Verschlüsselte Verbindung (HTTPS)

Die Grundlage. Ein SSL-Zertifikat sorgt dafür, dass die Verbindung zwischen Besucher und Seite verschlüsselt ist, erkennbar am Schloss-Symbol und an der Adresse mit https://. Ohne HTTPS markieren Browser die Seite als "nicht sicher". Mehr dazu in unserem Beitrag "Nicht sicher": Was das SSL-Zertifikat für Ihre Seite bedeutet.

Software aktuell halten

Der wichtigste Hebel überhaupt. Redaktionssystem, Theme und alle Module sollten immer auf dem neuesten Stand sein. Jedes Update schließt in der Regel auch Sicherheitslücken. Der Haken: Das muss jemand regelmäßig tun, und genau daran scheitert es bei vielen selbst betreuten Seiten im Alltagsstress.

Starke Passwörter und Zwei-Faktor-Schutz

Ein langes, einzigartiges Passwort pro Zugang, am besten aus einem Passwort-Manager, und wo möglich ein zweiter Faktor (etwa ein Code aufs Handy). Das macht geratene oder gestohlene Passwörter praktisch wertlos.

Regelmäßige, automatische Backups

Eine Sicherungskopie, die automatisch entsteht und an einem getrennten Ort liegt, ist Ihr Sicherheitsnetz. Damit lässt sich die Seite nach jedem Vorfall in kurzer Zeit wiederherstellen.

Weniger Technik, weniger Angriffsfläche

Der oft unterschätzte Punkt: Jedes zusätzliche Modul und jede selten genutzte Funktion ist eine weitere Stelle, die veralten und angreifbar werden kann. Eine schlanke Seite, die nur das enthält, was der Betrieb wirklich braucht, ist von Natur aus sicherer als eine mit zwanzig Plugins vollgepackte. Das deckt sich mit dem, was eine gute Betriebs-Webseite ohnehin ausmacht: klar, schnell, auf das Wesentliche fokussiert.

Backups: was, wie oft, wohin

Weil das Backup so oft fehlt, hier konkret, worauf es ankommt:

• Was: gesichert werden sollten sowohl die Dateien der Seite als auch, falls vorhanden, die Datenbank mit den Inhalten.
• Wie oft: für eine Seite, die sich selten ändert, reicht wöchentlich. Wer laufend Inhalte pflegt (Blog, Angebote, Speisekarte), sollte täglich sichern.
• Wohin: an einen vom Server getrennten Ort. Ein Backup, das auf demselben gehackten Server liegt, hilft im Ernstfall nicht.
• Testen: einmal ausprobieren, ob sich das Backup auch wirklich zurückspielen lässt. Ein nie getestetes Backup ist nur ein halbes Backup.

Was tun, wenn es doch passiert ist?

Sollte die Seite trotz allem gekapert werden, hilft ein ruhiges Vorgehen der Reihe nach:

• Seite offline nehmen oder in den Wartungsmodus schalten, damit Besucher keinen Schaden nehmen.
• Alle Passwörter ändern: Hosting, Redaktionssystem, E-Mail-Zugänge.
• Sauberes Backup einspielen von einem Zeitpunkt vor dem Vorfall.
• Software aktualisieren, damit die genutzte Lücke geschlossen ist, sonst ist die frisch wiederhergestellte Seite gleich wieder angreifbar.

Der einfachste Schutz: eine Seite, um die sich jemand kümmert

Fast alle Sicherheitsprobleme haben eine gemeinsame Wurzel: eine Seite, die nach dem Aufbau niemand mehr pflegt. Die drei Risiken (veraltete Software, schwache Passwörter, kein Backup) entstehen nicht durch Böswilligkeit, sondern durch Zeitmangel. Kaum ein Handwerker oder Gastronom hat abends noch Lust, WordPress-Updates einzuspielen und Backups zu prüfen. Verständlich. Aber genau das ist die Lücke, durch die die Bots hereinkommen. Wer sich fragt, wer sich eigentlich um all das kümmern soll, findet die Antwort in unserem Beitrag Webseite-Pflege: Wer kümmert sich nach dem Launch?.

Wie wir bei Webfrisch mit Sicherheit umgehen

Wir bauen bewusst schlanke Seiten und hosten sie selbst auf moderner Infrastruktur. HTTPS ist von Haus aus aktiv, die Technik wird zentral aktuell gehalten, und es gibt keine Sammlung selbst installierter Plugins, die im Hintergrund veralten könnte. Damit ist die Angriffsfläche von vornherein klein.

Weil Hosting, Updates und kleine Änderungen bei uns im monatlichen Preis enthalten sind, gibt es keine "vergessene" Seite, die jahrelang ungepflegt online steht. Das ist der Kern des Modells Webseite als Service: Sie bekommen nicht nur eine Seite, sondern jemanden, der sich fortlaufend darum kümmert. Wer wissen möchte, wie das für den eigenen Betrieb aussehen würde, kann über das kostenlose Vorschau-Formular eine unverbindliche Vorschau anfordern.

Schnelle Antworten auf häufige Fragen

Weiterlesen