Website-Sicherheit für Kleinunternehmen, die Checkliste
Zehn Punkte, mit denen du deine Firmen-Website gegen die häufigsten Angriffe absicherst. Ohne IT-Abteilung und mit überschaubarem Aufwand.
Viele Inhaber kleiner Firmen denken: „Meine Website ist doch uninteressant für Hacker.“ Leider stimmt das nicht. Die meisten Angriffe laufen vollautomatisch. Programme durchsuchen das Internet rund um die Uhr nach Websites mit bekannten Schwachstellen, egal wem sie gehören. Eine gehackte Seite wird dann für Spam, Phishing oder das Verbreiten von Schadsoftware missbraucht.
Mit dieser Checkliste schließt du die häufigsten Einfallstore.
Software und Zugänge
1. Updates zeitnah einspielen. Veraltete Software ist die häufigste Ursache für gehackte Websites. Das gilt besonders für WordPress, seine Plugins und Themes. Aktiviere automatische Updates, wo es geht, und schau mindestens einmal im Monat nach.
2. Ungenutzte Plugins löschen. Jedes Plugin ist zusätzlicher Code, der Lücken haben kann. Deaktivierte Plugins liegen trotzdem auf dem Server. Was du nicht brauchst, löschst du.
3. Starke, einzigartige Passwörter. Für den Admin-Zugang der Website, den Hosting-Kundenbereich, den Domain-Anbieter und das FTP-Konto jeweils ein eigenes, langes Passwort. Prüfe mit dem Passwort-Check, ob ein bisheriges Passwort schon in einem Datenleck aufgetaucht ist.
4. Zwei-Faktor-Anmeldung aktivieren. Für den Website-Login und vor allem für den Hosting- und Domain-Zugang. Wer dort hineinkommt, kann deine ganze Website und deine E-Mails übernehmen.
5. Nur nötige Benutzer. Ehemalige Mitarbeiter, die alte Agentur, ein Praktikant von vor drei Jahren: Lösche Konten, die nicht mehr gebraucht werden, und gib jedem nur die Rechte, die er braucht.
Verbindung und Server
6. HTTPS überall. Die ganze Website sollte nur über HTTPS erreichbar sein, und http:// sollte automatisch weiterleiten. Mit dem SSL-Check siehst du, ob dein Zertifikat gültig ist und wann es abläuft.
7. Sicherheits-Header setzen. Wenige Zeilen in der Server-Konfiguration schützen Besucher vor Clickjacking, eingeschleustem Code und unverschlüsselten Verbindungen. Prüfe deinen Stand mit dem Sicherheits-Header-Check und folge der Anleitung in Security-Header einfach erklärt.
8. Keine Versionsnummern verraten. Viele Server zeigen im Header an, welche Software in welcher Version läuft. Das erleichtert Angreifern die Suche nach passenden Lücken. Der Header-Check weist dich darauf hin.
Für den Ernstfall
9. Regelmäßige Backups, extern gespeichert. Ein Backup, das nur auf demselben Server liegt, ist nach einem Angriff oder Server-Ausfall oft mit weg. Sichere Website und Datenbank automatisch und bewahre mindestens eine Kopie woanders auf. Teste einmal, ob du das Backup tatsächlich wiederherstellen kannst.
10. Überwachung einrichten. Wenn deine Seite gehackt wird oder ausfällt, willst du das als Erster wissen, nicht durch einen Kunden. Ein Monitoring-Dienst meldet sich, sobald die Seite nicht erreichbar ist oder das Zertifikat bald abläuft. Mehr dazu in Website überwachen lassen.
Woran du einen Hack erkennst
- Deine Website leitet Besucher auf fremde Seiten weiter, oft nur bei Aufrufen über Google oder am Handy.
- In den Google-Suchergebnissen erscheinen Seiten, die du nie angelegt hast, häufig mit Werbung für Medikamente oder Glücksspiel.
- Google oder dein Browser warnt vor deiner eigenen Website.
- Dein Hoster meldet ungewöhnlich viel Datenverkehr oder versendete E-Mails.
- Es gibt Admin-Konten, die du nicht kennst.
In diesem Fall: Passwörter aller Zugänge ändern, den Hoster informieren und die Website aus einem sauberen Backup wiederherstellen. Bei Unsicherheit hilft ein Fachmann. Ein überstürztes Löschen einzelner Dateien beseitigt oft nicht alle Hintertüren.
Mit dem Wichtigsten anfangen
Wenn du heute nur drei Dinge machst, dann diese: Updates einspielen, die Zwei-Faktor-Anmeldung für Hosting und Website aktivieren und ein automatisches Backup einrichten. Damit bist du gegen die meisten automatisierten Angriffe gut geschützt.