Website-Sicherheit: Grundlagen für KMU

Ein weit verbreiteter Irrtum lautet: Meine Website ist zu klein, um für Angreifer interessant zu sein. Dahinter steckt die Vorstellung, dass jemand gezielt entscheidet, eine bestimmte Seite anzugreifen. So funktioniert es aber meist nicht. Der Großteil der Angriffe ist automatisiert und ungezielt. Schadprogramme scannen breite Adressbereiche und prüfen, ob eine Seite eine bekannte Lücke hat, ein veraltetes System nutzt oder ein schwaches Passwort verwendet. Ob dahinter ein bekannter Name steckt, ist dabei zweitrangig. Für den Angreifer zählt nur, ob sich die Seite kapern lässt, um von dort aus Spam zu verschicken, weitere Rechner zu infizieren oder Besucher auf betrügerische Seiten umzuleiten.

Der Schaden trifft am Ende das Unternehmen. Eine gekaperte Website kann tagelang offline sein, Suchmaschinen können sie als unsicher markieren und aus den Ergebnissen verdrängen, Kundendaten können abfließen und der gute Ruf leidet. Für ein KMU, das über die Website Anfragen gewinnt oder verkauft, ist das kein Randproblem, sondern ein direkter Umsatzverlust. Hinzu kommt die Pflicht, mit personenbezogenen Daten sorgsam umzugehen. Wie das rechtlich sauber gelingt, vertieft unser Beitrag zur DSGVO-Website-Checkliste. Sicherheit und Datenschutz gehören dabei eng zusammen.

Updates sind der unterschätzteste und zugleich wirksamste Schutz. Software besteht aus vielen Bausteinen: dem Content-Management-System, dem Design-Theme, Erweiterungen und den Programmiersprachen im Hintergrund. In all diesen Teilen werden regelmäßig Sicherheitslücken entdeckt und von den Herstellern durch Aktualisierungen geschlossen. Das Problem ist, dass mit der Veröffentlichung eines Updates auch die Lücke öffentlich bekannt wird. Angreifer wissen dann genau, wo sie ansetzen müssen, und suchen gezielt nach Seiten, die das Update noch nicht eingespielt haben. Eine veraltete Erweiterung ist damit eine offene Tür mit Wegweiser.

In der Praxis scheitert es selten am Wissen, sondern am Alltag: Niemand fühlt sich zuständig, Aktualisierungen wirken lästig, und die Angst, dass ein Update etwas kaputt macht, führt zum Aufschieben. Genau hier hilft ein klarer Ablauf. Updates gehören eingeplant, idealerweise zuerst in einer Testumgebung geprüft und erst dann auf der Live-Seite eingespielt, immer mit einem frischen Backup davor. Wer diese laufende Pflege nicht selbst leisten kann oder will, gibt sie in gute Hände. Wie eine verlässliche Website-Betreuung aussieht, die genau diese Aufgaben übernimmt, beschreiben wir auf einer eigenen Seite.

Kein Schutz ist lückenlos, und genau deshalb sind Backups so wichtig. Ein Backup ist eine vollständige Sicherung Ihrer Website, mit der sich ein früherer Zustand wiederherstellen lässt. Es hilft nicht nur nach einem Angriff, sondern auch, wenn ein Update schiefgeht, eine Datei versehentlich gelöscht wird oder der Server ausfällt. Entscheidend sind dabei drei Eigenschaften, die oft vergessen werden. Ein Backup muss regelmäßig entstehen, es muss an einem anderen Ort als die Website selbst liegen, und es muss sich nachweislich wiederherstellen lassen. Ein Backup, das nur auf demselben Server liegt, ist bei einem ernsten Vorfall oft genauso betroffen wie die Seite.

Der häufigste Fehler ist, sich auf ein Backup zu verlassen, das noch nie getestet wurde. Erst im Ernstfall stellt sich dann heraus, dass die Sicherung unvollständig ist oder sich nicht einspielen lässt. Ein Backup ist nur so viel wert wie die Gewissheit, dass es funktioniert. Deshalb gehört ein gelegentlicher Testlauf fest dazu. Wer eine Seite überarbeiten oder umziehen lässt, sollte Backups ohnehin von Anfang an mitdenken, wie wir im Beitrag zum Website-Relaunch zeigen.

Eine Web Application Firewall, kurz WAF, ist eine Schutzschicht, die zwischen den Besuchern und Ihrer Website sitzt. Sie prüft eingehende Anfragen und filtert bekannte Angriffsmuster heraus, bevor sie die eigentliche Anwendung erreichen. Man kann sie sich wie einen Türsteher vorstellen, der offensichtlich schädliche Anfragen abweist, während normale Besucher ungehindert durchkommen. Eine WAF fängt viele automatisierte Angriffe ab, etwa Versuche, Schadcode einzuschleusen oder massenhaft Login-Kombinationen durchzuprobieren, und reduziert damit die Last, die überhaupt bis zur Website vordringt.

Wichtig ist die richtige Einordnung: Eine WAF ersetzt die anderen Pfeiler nicht, sondern ergänzt sie. Sie ist kein Grund, Updates zu vernachlässigen, denn sie kann nur Muster erkennen, die ihr bekannt sind. Als zusätzliche Schicht ist sie jedoch sehr wertvoll, gerade weil sie einen Großteil des automatisierten Grundrauschens abfängt, dem jede Website im Netz ausgesetzt ist. Ob eine WAF sinnvoll ist und in welcher Form, hängt vom Hosting und vom Schutzbedarf ab und lässt sich gut im Rahmen einer laufenden Betreuung einrichten und pflegen.

Aus den Grundlagen lässt sich eine überschaubare Liste ableiten, die ein KMU ohne eigene IT-Abteilung umsetzen oder in Auftrag geben kann. Der Kern ist nicht, alles auf einmal perfekt zu machen, sondern die wichtigsten Punkte verlässlich und wiederkehrend zu erledigen. Sicherheit ist kein einmaliges Projekt, das man abhakt, sondern eine Gewohnheit, die im Betrieb verankert sein muss. Die folgende Reihenfolge hat sich in der Praxis bewährt (Projekterfahrung).

Für viele KMU ist der realistischste Weg, diese Aufgaben in eine laufende Betreuung zu geben, statt sie zwischen Tür und Angel selbst zu erledigen. So bleibt die Verantwortung klar, Updates und Backups passieren zuverlässig, und im Ernstfall gibt es einen Ansprechpartner, der schnell reagiert. Welche weiteren Bausteine zu einer verlässlichen Website gehören, zeigen unsere Leistungen im Überblick. Sicherheit ist am Ende kein Produkt, das man kauft, sondern ein Prozess, den man pflegt, und genau darin liegt die eigentliche Arbeit.