Viele Website-Betreiber denken über Sicherheit erst nach, wenn es zu spät ist. Dabei ist Vorbeugen ungleich einfacher als Aufräumen. Eine gehackte Seite zu bereinigen kostet Tage, Nerven und manchmal Geld. Sie vorher abzusichern kostet einen Nachmittag.
Der wichtigste Denkfehler vorweg: Niemand muss Sie persönlich auf dem Kieker haben. Die allermeisten Angriffe laufen vollautomatisch. Bots klappern Millionen von Websites ab und suchen nach veralteter Software, schwachen Passwörtern und bekannten Lücken. Wenn Ihre Seite eine dieser Schwächen hat, wird sie über kurz oder lang gefunden, egal wie klein oder unbekannt sie ist.
Warum gerade kleine Seiten betroffen sind
Es klingt paradox, aber kleine Websites werden oft häufiger geknackt als große. Das liegt nicht daran, dass sie interessanter wären, sondern daran, dass sie schlechter gepflegt sind. Der Bäcker um die Ecke hat selten eine Sicherheitsabteilung. Seine Seite läuft vielleicht seit Jahren mit veralteten Plugins, weil nie jemand auf Aktualisierungen geachtet hat.
Für Angreifer ist eine gekaperte Seite wertvoll, auch ohne sensible Daten. Sie kann Spam verschicken, Schadcode an Besucher verteilen, Suchmaschinen-Spam einschleusen oder als Versteck für weitere Angriffe dienen. Ihre Seite wird also nicht trotz ihrer Größe interessant, sondern gerade weil sie als leichtes Ziel gilt.
Updates: die mit Abstand wichtigste Regel
Wenn Sie nur eine einzige Sache für Ihre Sicherheit tun, dann halten Sie alles aktuell. Die meisten erfolgreichen Angriffe nutzen Lücken aus, für die längst ein Update bereitsteht. Die Lücke ist öffentlich bekannt, der Hersteller hat sie geschlossen, aber der Betreiber hat das Update nicht eingespielt.
- Das Kernsystem aktuell halten: Ob WordPress, Typo3 oder ein anderes System: Spielen Sie Updates zeitnah ein. Kleinere Sicherheitsupdates installieren viele Systeme automatisch, größere Versionssprünge sollten Sie bewusst und mit Backup durchführen.
- Plugins und Erweiterungen aktualisieren: Hier lauert die häufigste Gefahr. Prüfen Sie mindestens wöchentlich, ob Updates vorliegen, und spielen Sie sie ein. Ein veraltetes Kontaktformular-Plugin reicht aus, um eine ganze Seite zu kompromittieren.
- Auch das Theme nicht vergessen: Das Design-Theme ist ebenfalls Software und kann Lücken haben. Halten Sie es aktuell und löschen Sie ungenutzte Themes ganz, statt sie nur zu deaktivieren.
- PHP aktuell halten: Die Programmiersprache im Hintergrund bekommt ebenfalls Sicherheitsupdates. Eine veraltete PHP-Version ist nicht nur unsicher, sondern auch langsam. Die Umstellung erfolgt meist im Hosting-Panel mit wenigen Klicks.
Updates sind unbeliebt, weil sie selten sofort einen sichtbaren Nutzen bringen. Genau das macht sie tückisch. Der Nutzen zeigt sich erst im Schadensfall, der dann eben nicht eintritt.
Starke Passwörter und Zwei-Faktor-Authentifizierung
Das Passwort admin123 ist keine Seltenheit, sondern alltäglich. Genau solche Kombinationen probieren Angriffsbots als Erstes aus. Ein starkes Passwort ist lang, einzigartig und besteht aus einer zufälligen Folge von Zeichen. Merken muss man sich das nicht: Ein Passwort-Manager erzeugt und verwaltet solche Passwörter für jeden Zugang einzeln.
Den größten Sprung an Sicherheit bringt aber die Zwei-Faktor-Authentifizierung, kurz 2FA. Dabei reicht das Passwort allein nicht aus, zusätzlich braucht es einen einmaligen Code, etwa aus einer App auf dem Smartphone. Selbst wenn jemand Ihr Passwort kennt, kommt er ohne dieses zweite Element nicht hinein. Für WordPress gibt es dafür einfache Plugins, die in wenigen Minuten eingerichtet sind.
Den Login-Bereich schützen
Der Anmeldebereich ist die meistangegriffene Stelle jeder Website. Ein paar Handgriffe machen ihn deutlich widerstandsfähiger:
- Login-Versuche begrenzen. Ein Plugin, das nach mehreren Fehlversuchen die IP-Adresse sperrt, stoppt automatisierte Rateversuche zuverlässig.
- Den Standard-Benutzernamen ändern. Wer noch admin als Benutzernamen nutzt, schenkt Angreifern die halbe Miete. Legen Sie einen neuen Administrator mit anderem Namen an und löschen Sie den alten.
- Die Login-Adresse verlegen. Wenn der Anmeldebereich nicht unter der allseits bekannten Standardadresse erreichbar ist, laufen viele Bots ins Leere. Das ersetzt keine echte Sicherheit, reduziert aber den Lärm.
Plugin- und Theme-Hygiene
Jedes Plugin ist eine potenzielle Eintrittstür. Das heißt nicht, dass Plugins schlecht sind, aber jedes einzelne sollte einen guten Grund haben, da zu sein. Installieren Sie nur Erweiterungen aus vertrauenswürdigen Quellen, achten Sie auf aktuelle Bewertungen und darauf, ob das Plugin überhaupt noch weiterentwickelt wird. Ein Plugin, das seit zwei Jahren kein Update bekommen hat, ist ein Risiko, egal wie gut es einmal war.
Finger weg von Raubkopien: Sogenannte Nulled-Plugins oder geknackte Premium-Themes aus dubiosen Quellen enthalten überdurchschnittlich oft versteckten Schadcode. Was Sie hier sparen, zahlen Sie später beim Aufräumen mehrfach drauf.
SSL und sichere Verbindungen
Ein SSL-Zertifikat sorgt dafür, dass die Verbindung zwischen Besucher und Server verschlüsselt ist, erkennbar am Schloss-Symbol und an der Adresse mit https. Das ist heute Pflicht, nicht Kür: Browser warnen sonst aktiv vor Ihrer Seite, und Google bevorzugt verschlüsselte Seiten. Über Anbieter wie Let's Encrypt sind solche Zertifikate kostenlos, und die meisten Hoster richten sie auf Knopfdruck ein.
Backups als Sicherheitsnetz
Kein Schutz ist hundertprozentig. Genau deshalb ist das Backup die wichtigste Versicherung. Wenn doch etwas passiert, ist ein aktuelles, funktionierendes Backup der Unterschied zwischen einem ärgerlichen Nachmittag und einem ruinierten Projekt. Wichtig ist, dass das Backup an einem getrennten Ort liegt und dass Sie die Wiederherstellung wenigstens einmal getestet haben. Ein Backup, das im Ernstfall nicht funktioniert, ist kein Backup, sondern eine Illusion.
Zugänge und Rollen sparsam vergeben
Ein unterschätztes Sicherheitsrisiko sind die eigenen Zugänge. Je mehr Menschen vollen Administratorzugriff haben, desto größer die Angriffsfläche. Jeder dieser Zugänge ist ein möglicher Einstiegspunkt, sei es durch ein schwaches Passwort, einen unachtsamen Klick auf eine Phishing-Mail oder einen Rechner, der selbst mit Schadsoftware befallen ist.
Vergeben Sie deshalb Rollen nach dem Prinzip so viel wie nötig, so wenig wie möglich. Wer nur Beiträge schreibt, braucht keine Administratorrechte, sondern die Rolle als Redakteur oder Autor genügt. Externe Dienstleister, die einmalig etwas einrichten, sollten nach getaner Arbeit wieder entfernt werden, statt dauerhaft Vollzugriff zu behalten. Gehen Sie Ihre Benutzerliste von Zeit zu Zeit durch und löschen Sie Konten, die niemand mehr nutzt. Ein vergessenes Administratorkonto eines längst ausgeschiedenen Mitarbeiters ist genau die Art von offener Tür, nach der automatisierte Angriffe suchen.
Dazu gehört auch ein ehrlicher Blick auf die Geräte, von denen aus Sie sich anmelden. Das sicherste Passwort nützt wenig, wenn der Rechner, auf dem es gespeichert ist, mit Schadsoftware verseucht ist. Halten Sie also nicht nur die Website aktuell, sondern auch Ihr eigenes Betriebssystem und Ihren Browser. Sicherheit endet nicht am Server, sie beginnt am eigenen Schreibtisch.
Dateirechte und ein wachsames Auge
Ein Punkt, den viele übersehen, sind die Dateirechte auf dem Server. Sie legen fest, wer eine Datei lesen, ändern oder ausführen darf. Sind die Rechte zu locker gesetzt, kann ein Angreifer, der einmal einen Fuß in der Tür hat, deutlich mehr anrichten. Als grobe Faustregel gelten für Ordner und Dateien jeweils zurückhaltende Standardwerte, die Ihr Hoster in der Dokumentation nennt. Besonders die zentrale Konfigurationsdatei sollte so streng wie möglich geschützt sein, weil sie die Zugangsdaten zur Datenbank enthält.
Genauso wichtig wie das Absichern ist das Bemerken. Viele gehackte Seiten laufen wochenlang unauffällig weiter, während im Hintergrund Spam verschickt oder Schadcode verteilt wird. Ein Überwachungs-Werkzeug, das Sie bei verdächtigen Änderungen an Dateien benachrichtigt, verkürzt diese blinde Phase erheblich. Werfen Sie zusätzlich regelmäßig einen Blick in die Google Search Console: Wenn dort plötzlich seltsame Seiten oder Warnungen auftauchen, ist das oft das erste sichtbare Zeichen eines Einbruchs. Je früher Sie es merken, desto kleiner der Schaden.
Drei hartnäckige Sicherheits-Mythen
Rund um Website-Sicherheit halten sich ein paar Irrtümer, die in falscher Sicherheit wiegen. Der erste lautet: Meine Seite ist zu klein, um interessant zu sein. Wie eingangs erklärt, spielt die Größe keine Rolle, weil Angriffe automatisiert laufen. Der zweite Mythos: Ich habe ein Sicherheits-Plugin, also bin ich geschützt. Ein Plugin hilft, aber es kann veraltete Software und schwache Passwörter nicht ausgleichen. Es ist ein Baustein, kein Bollwerk.
Der dritte und gefährlichste Mythos: Bei mir gibt es ja nichts zu holen. Doch, gibt es immer. Selbst ohne Kundendaten ist Ihre Seite für Angreifer als Werkzeug wertvoll, etwa zum Versand von Spam oder zur Verteilung von Schadsoftware an Ihre Besucher. Und der Reputationsschaden, wenn Google Ihre Seite als gefährlich markiert, trifft jeden, egal wie klein das Projekt ist. Sicherheit ist deshalb keine Frage der Unternehmensgröße, sondern der Sorgfalt.
Die Absicherungs-Checkliste
- Kernsystem, Plugins, Theme und PHP sind aktuell
- Jeder Zugang hat ein langes, einzigartiges Passwort
- Zwei-Faktor-Authentifizierung ist aktiviert
- Login-Versuche sind begrenzt, der Benutzername ist nicht admin
- Nur benötigte Plugins aus vertrauenswürdigen Quellen sind installiert
- SSL ist eingerichtet, die Seite läuft über https
- Automatische Backups laufen und wurden einmal getestet
Wer diese sieben Punkte einmal sauber umsetzt, hat das Risiko bereits drastisch gesenkt. Sicherheit ist kein einmaliges Projekt, sondern eine kleine Routine. Aber der erste, größte Schritt ist genau diese Liste.
Passend dazu könnten Sie diese Ratgeber interessieren: Google-Warnungen, SSL & HTTPS und Updates sicher machen.
Häufige Fragen
Ein gutes Sicherheits-Plugin bündelt viele der genannten Maßnahmen an einer Stelle: Login-Schutz, Überwachung von Dateiänderungen, Sperrlisten. Es ersetzt aber nicht das Aktuellhalten und die starken Passwörter. Sehen Sie es als Ergänzung, nicht als Allheilmittel.
Sicherheitsupdates sofort, alles andere mindestens wöchentlich. Wenn Sie unsicher sind, ob ein Update etwas kaputt macht, spielen Sie es zuerst mit einem Backup im Rücken ein und prüfen danach die wichtigsten Funktionen.
Es ist die halbe Miete, aber kein vollständiger Schutz. Passwörter können durch Datenlecks bei anderen Diensten in falsche Hände geraten. Die Zwei-Faktor-Authentifizierung schließt genau diese Lücke, weil das Passwort allein dann nicht mehr genügt.
Dann gilt eine andere Reihenfolge: erst bereinigen, dann absichern. Eine bereits kompromittierte Seite einfach nur abzusichern, schließt den Angreifer womöglich mit ein. Hier sollten Sie die Seite gründlich säubern lassen, bevor Sie diese Checkliste anwenden.