Website-Sicherheit: Die wichtigsten Schutzmassnahmen 2026
Die meisten gehackten Firmenseiten fallen nicht durch raffinierte Angriffe, sondern durch veraltete Plugins und geteilte Passwörter. Was wirklich schützt — und was nur Aufwand ist.
Der wirksamste Schutz einer Firmenwebsite ist unspektakulär: aktuelle Software, zügig eingespielte Updates, Mehrfaktor-Anmeldung und ein getestetes Backup. Die meisten erfolgreichen Angriffe nutzen bekannte Lücken in veralteten Komponenten und wiederverwendete Passwörter — nicht raffinierte Einzelangriffe.
Wer eine Firmenwebsite betreibt, wird angegriffen — nicht persönlich, sondern automatisiert. Skripte durchsuchen das Netz nach bekannten Lücken und probieren sie im Sekundentakt aus. Der typische Schaden ist deshalb selten Datendiebstahl, sondern eine Seite, die plötzlich Werbung für fremde Produkte ausliefert, Spam verschickt und daraufhin bei Google als unsicher markiert wird.
Über welche drei Einfallstore läuft fast alles?
Erstens veraltete Software: WordPress-Kerne, Plugins und Themes, die seit Monaten kein Update bekommen haben. Zweitens schwache oder mehrfach verwendete Zugangsdaten, besonders bei Administratorkonten und FTP. Drittens ungeprüfte Eingaben — Formulare und Uploads, die Dateien oder Datenbankbefehle durchlassen. Alles andere, von ausgefeilten Zero-Day-Lücken bis Social Engineering, kommt in der Praxis kleiner und mittlerer Betriebe deutlich seltener vor.
- ›Updates innerhalb weniger Tage einspielen, nicht quartalsweise — Sicherheitslücken sind ab Veröffentlichung öffentlich bekannt.
- ›Zwei-Faktor-Authentisierung für jeden Administratorzugang, ausnahmslos.
- ›Ein Konto je Person statt eines geteilten Sammelkontos; ausgeschiedene Mitarbeitende sofort entfernen.
- ›Datei-Uploads auf Typ und Größe prüfen und außerhalb des ausführbaren Verzeichnisses ablegen.
Was richten Sie einmal ein und vergessen es dann?
Einige Maßnahmen kosten wenig und wirken dauerhaft: HTTPS mit automatischer Zertifikatserneuerung, eine strenge Content-Security-Policy, die fremde Skripte gar nicht erst ausführen lässt, HSTS-Header, und die Abschaltung nicht benötigter Schnittstellen wie XML-RPC. Dazu gehört ein Zugriffsschutz für Anmeldeseiten, der wiederholte Fehlversuche ausbremst — das entwertet Passwort-Rateangriffe vollständig.
Ebenso wichtig ist Reduktion: Jedes Plugin, das niemand nutzt, jedes Theme, das nur zum Ausprobieren installiert wurde, und jede alte Testinstallation unter einer Unterdomain ist eine Angriffsfläche, die niemand pflegt. Die sicherste Komponente ist die, die nicht installiert ist.
Warum sind Sicherungen der eigentliche Schutz?
Kein Schutz ist vollständig. Was am Ende über den Schaden entscheidet, ist die Frage, wie schnell ein sauberer Stand wiederhergestellt ist. Dafür braucht es tägliche, automatische Sicherungen von Dateien und Datenbank, aufbewahrt an einem Ort, der nicht mit denselben Zugangsdaten erreichbar ist wie der Server — sonst verschlüsselt ein Angreifer die Sicherung gleich mit.
Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Testen Sie einmal im Halbjahr auf einer Kopie, ob die Wiederherstellung tatsächlich funktioniert und wie lange sie dauert — diese Zahl ist Ihre echte Ausfallzeit.
Was tun, wenn es passiert ist?
Bei einem Verdacht gilt die Reihenfolge: Seite offline nehmen oder in den Wartungsmodus setzen, alle Passwörter und Schlüssel erneuern, den Zeitpunkt des Einbruchs aus den Server-Protokollen bestimmen, erst dann eine Sicherung von davor einspielen. Wer zuerst zurückspielt und danach die Passwörter ändert, holt den Angreifer meist mit zurück.
Rechtlich kommt hinzu: Sind personenbezogene Daten betroffen, greift Artikel 33 DSGVO — Meldung an die Aufsichtsbehörde binnen 72 Stunden, und bei hohem Risiko zusätzlich eine Information der Betroffenen. Diese Frist läuft ab Kenntnis, nicht ab Behebung. Halten Sie deshalb vorab fest, wer meldet und welche Angaben dafür nötig sind.
Was ist ein realistisches Mindestmaß?
Für einen typischen Betrieb reicht: automatische Updates für Sicherheitsfreigaben, Zwei-Faktor für alle Administratoren, tägliche externe Sicherung mit halbjährlichem Rückspieltest, ein Monitoring, das Ausfälle und Inhaltsänderungen meldet, und eine halbe Stunde im Quartal, in der ungenutzte Erweiterungen entfernt werden. Das ist weniger Aufwand als eine einzige Wiederherstellung nach einem Einbruch — und es ist der Teil, den Angreifer am häufigsten vorfinden, wenn er fehlt.
Wir bauen das für Sie
Vom Artikel zur Implementierung — sprechen Sie mit uns.