Website-Sicherheit: Warum auch kleine Firmen im Visier sind

43 %

aller Cyberangriffe weltweit treffen kleine Unternehmen

90 %

der Angriffe nutzen bekannte, gepatchte Lücken aus

72 h

durchschnittliche Zeit bis ein Einbruch bemerkt wird

„Wer sollte uns schon angreifen – wir sind doch ein kleines Unternehmen.”

Dieser Gedanke ist verständlich. Er ist trotzdem falsch.

Die meisten Angriffe auf Websites sind nicht gezielt. Sie sind automatisiert. Bots durchsuchen permanent das Netz nach bekannten Sicherheitslücken in verbreiteten Softwaresystemen. Ob dahinter ein Konzern oder ein Handwerksbetrieb steht, ist irrelevant – entscheidend ist, ob das System angreifbar ist.

Was passiert, wenn eine Website kompromittiert wird

Ein Einbruch bedeutet nicht zwingend, dass Kundendaten gestohlen werden – obwohl das vorkommt. Häufiger passiert Folgendes:

Spam-Versand

Der kompromittierte Server verschickt Tausende Phishing-Mails. Die eigene Domain landet auf Blacklists.

Schadcode

Besucher werden beim Aufruf der Website angegriffen. Man selbst merkt davon oft nichts – die Besucher schon.

SEO-Spam

Versteckte Spam-Links zerstören den Domain-Ruf bei Suchmaschinen langsam aber sicher.

Ergebnis in allen Fällen: Google zeigt Warnmeldungen, der Hosting-Anbieter sperrt den Account, die Wiederherstellung dauert Stunden bis Tage.

Die häufigsten Einfallstore

Veraltete Software Risiko #1

WordPress, Joomla, Typo3 – alle veröffentlichen regelmäßig Sicherheitsupdates für bekannte Lücken. Wer Monate ohne Update betreibt, lädt Angreifer ein. Das gilt für Core, Plugins und Themes gleichermaßen.

Ungepflegte Plugins Bei WordPress kritisch

Zehntausende verfügbare Plugins, viele davon schlecht gewartet oder ganz aufgegeben. Ein einziges kompromittiertes Plugin gefährdet die gesamte WordPress-Installation – unabhängig davon, wie gut der Rest konfiguriert ist.

Schwache Passwörter Erschreckend verbreitet

Admin-Zugänge mit dem Firmennamen oder „123456” als Passwort sind keine Ausnahme. Automatisierte Programme probieren rund um die Uhr systematisch Kombinationen durch – gängige Passwörter werden innerhalb von Sekunden getestet.

Kein HTTPS Heute kein Grund mehr

Kontaktformulare ohne HTTPS übertragen Namen, E-Mail-Adresse und Nachrichteninhalt im Klartext. Let’s Encrypt ist kostenlos und von fast jedem Hoster unterstützt. Kein Grund, das nicht zu haben.

Fehlende Backups Größtes Problem nach Angriff

Ohne aktuelles Backup ist eine kompromittierte Website oft nicht wiederherstellbar. Ein Backup auf demselben Server zählt nicht – es verschwindet mit der Website.

Was man konkret tun kann

Software aktuell halten

WordPress, alle Plugins, alle Themes – mindestens einmal pro Monat. Plugins die nicht mehr gepflegt werden, deinstallieren.

Sichere Passwörter

Für Admin-Zugang, Hosting und Datenbank je ein eigenes, starkes Passwort. Ein Passwortmanager macht das handhabbar.

Zwei-Faktor-Authentifizierung

Für Admin-Zugänge überall wo möglich. Kostet eine Sekunde beim Login und blockiert den Großteil der Einbruchsversuche.

Automatische Backups

Täglich, außerhalb des Servers gespeichert. Kein Backup auf demselben Webspace.

Sicherheitseinstellungen im Hintergrund

Bestimmte technische Einstellungen sind für Besucher völlig unsichtbar – erschweren Angreifern aber konkrete Methoden, mit denen sie versuchen, Websites zu missbrauchen. Ein Punkt, der bei der Einrichtung oft vergessen wird.

Schnell-Checkliste

Diese 5 Punkte schützen 90 % der kleinen Websites

CMS + alle Plugins monatlich aktualisieren
Starke, einmalige Passwörter für Admin, Hosting und Datenbank
Zwei-Faktor-Authentifizierung für Admin-Zugang aktivieren
Tägliches Backup außerhalb des Webservers einrichten
HTTPS aktiv und Sicherheitseinstellungen im Hintergrund korrekt gesetzt

Wann professionelle Unterstützung sinnvoll ist

Faustregel

Für eine einfache Website ohne Kundendaten reicht eine solide Basis mit regelmäßigen Updates. Sobald sensible Daten verarbeitet werden oder die Website geschäftskritisch ist, lohnt sich eine technische Überprüfung. Ein Sicherheits-Audit deckt auf, wo die größten Lücken sind – besser vorher wissen als nachher feststellen.