Website-Sicherheit erhöhen: Risiken wirksam senken
Ein kompromittiertes Kontaktformular, ein veraltetes CMS oder ein unbemerkt übernommenes Redaktionskonto reichen aus, um aus einer Unternehmenswebsite ein Risiko zu machen. Wer die Website-Sicherheit erhöhen möchte, braucht deshalb mehr als ein einzelnes Sicherheits-Plugin. Entscheidend ist ein Zusammenspiel aus gepflegter Software, klaren Zuständigkeiten, sicherer Infrastruktur und festen Abläufen für den Ernstfall.
Gerade bei Websites mit vielen Redakteurinnen und Redakteuren, Schnittstellen zu Drittsystemen oder individuell entwickelten Funktionen entstehen Angriffsflächen oft schleichend. Sicherheit ist keine einmalige Projektphase. Sie gehört zum laufenden Betrieb einer digitalen Plattform.
Website-Sicherheit erhöhen beginnt mit einem realistischen Blick
Nicht jede Website ist gleichermaßen gefährdet, aber jede öffentlich erreichbare Website wird automatisiert geprüft. Bots suchen nach bekannten Sicherheitslücken, schwachen Passwörtern, frei zugänglichen Administrationsbereichen und fehlerhaften Formularen. Dabei geht es nicht immer um einen gezielten Angriff auf ein bestimmtes Unternehmen. Häufig wird schlicht ausgenutzt, was technisch offenliegt.
Der erste Schritt ist daher eine Bestandsaufnahme. Welches CMS und welche Version laufen im Einsatz? Welche Erweiterungen, Themes, Bibliotheken und Serverdienste sind beteiligt? Wer besitzt Zugänge zu Hosting, CMS, Domain, E-Mail und externen Diensten? Und welche Daten verarbeitet die Website tatsächlich?
Diese Fragen wirken organisatorisch, sind aber zentral. Eine Sicherheitslücke lässt sich nur schließen, wenn klar ist, wer für Komponente, Update und Freigabe verantwortlich ist. Besonders bei lang gewachsenen Webprojekten fehlen diese Informationen oft oder liegen bei ehemaligen Dienstleistern und Mitarbeitenden.
Updates sind Wartung, keine optionale Verbesserung
Veraltete Software gehört zu den häufigsten Ursachen für erfolgreiche Angriffe. Sicherheitslücken in CMS-Kernen, Extensions, Plugins oder Serverkomponenten werden nach ihrer Veröffentlichung oft sehr schnell automatisiert ausgenutzt. Das gilt für TYPO3 ebenso wie für WordPress, Node.js-Anwendungen und die eingesetzten Bibliotheken im Frontend.
Ein zuverlässiger Update-Prozess unterscheidet zwischen regulärer Pflege und dringenden Sicherheitsupdates. Bei planbaren Aktualisierungen werden Änderungen zuerst in einer Staging-Umgebung geprüft. Dort lässt sich kontrollieren, ob individuelle Funktionen, Formulare, Schnittstellen und redaktionelle Prozesse weiterhin funktionieren. Bei kritischen Lücken kann dagegen schnelles Handeln erforderlich sein - dann sollten Verantwortlichkeiten und Entscheidungswege vorher feststehen.
Bei TYPO3-Projekten lohnt sich ein Blick auf die eingesetzte LTS-Version und den Support-Zeitraum. Nicht jede Extension ist dauerhaft kompatibel oder wird aktiv gepflegt. Eine Erweiterung nur deshalb beizubehalten, weil sie einmal installiert wurde, ist selten eine gute Strategie. Bei WordPress gilt dasselbe für Plugins und Themes: Weniger, gut gewartete Bausteine sind meist sicherer als eine Sammlung kurzfristiger Einzellösungen.
Auch individuelle Entwicklung braucht Pflege. Abhängigkeiten in Node.js-Projekten, PHP-Pakete oder JavaScript-Bibliotheken sollten regelmäßig bewertet und aktualisiert werden. Das betrifft nicht nur sichtbare Funktionen, sondern auch Build-Prozesse, APIs und interne Werkzeuge.
Zugänge konsequent absichern
Ein sicherer Server hilft wenig, wenn ein Angreifer ein gültiges Administrationskonto verwenden kann. Zugangsschutz beginnt mit individuellen Benutzerkonten. Gemeinsame Logins erschweren nicht nur die Nachvollziehbarkeit, sondern bleiben häufig bestehen, obwohl einzelne Personen längst nicht mehr im Projekt arbeiten.
Passwörter müssen lang, einzigartig und in einem Passwortmanager verwaltet werden. Für CMS-Administrationen, Hosting-Panels, Versionsverwaltung und E-Mail-Konten sollte Mehrfaktor-Authentifizierung Standard sein. Ein zweiter Faktor verhindert viele Kontoübernahmen, selbst wenn ein Passwort durch Phishing oder ein Datenleck bekannt geworden ist.
Ebenso wichtig ist das Prinzip der minimalen Rechte. Redakteurinnen und Redakteure benötigen in der Regel keinen Zugriff auf Systemkonfigurationen, Installationswerkzeuge oder Benutzerverwaltung. Entwicklerinnen und Entwickler brauchen nicht automatisch Zugang zu Produktivdaten. Rollen und Berechtigungen sollten zur tatsächlichen Aufgabe passen und regelmäßig überprüft werden.
Beim Austritt von Mitarbeitenden oder beim Wechsel von Dienstleistern gehört die Sperrung aller Zugänge auf eine verbindliche Checkliste. Dazu zählen auch API-Schlüssel, Zugänge zu Analyse-Tools, CDN, Domainverwaltung und externe Formulardienste. Solche Zugangsdaten werden leicht übersehen, wenn sie nicht zentral dokumentiert sind.
Sichere Infrastruktur reduziert die Angriffsfläche
Die technische Basis einer Website entscheidet mit darüber, wie gut sich Risiken begrenzen lassen. Dazu gehören ein professionell konfiguriertes Hosting, aktuelle Betriebssystem- und Serverkomponenten, verschlüsselte Verbindungen per HTTPS sowie eine sauber eingerichtete Domain- und E-Mail-Infrastruktur.
HTTPS ist längst keine Zusatzfunktion mehr. Es schützt die Übertragung von Formular- und Login-Daten vor Manipulation und Mitlesen. Zertifikate müssen automatisiert verlängert und Weiterleitungen konsistent eingerichtet werden. Unsichere Inhalte, die noch per HTTP geladen werden, sollten konsequent entfernt werden.
Sicherheitsheader können den Schutz zusätzlich verbessern, etwa gegen Clickjacking, unerwünschte Einbettungen oder bestimmte Cross-Site-Scripting-Szenarien. Ihre Konfiguration muss jedoch zur Website passen. Eine zu strikt gesetzte Content Security Policy kann externe Karten, Videos, Tracking-Lösungen oder eigene JavaScript-Funktionen beeinträchtigen. Deshalb gehört sie getestet und schrittweise eingeführt, nicht blind kopiert.
Je nach Projektgröße sind weitere Maßnahmen sinnvoll: eine Web Application Firewall, Begrenzungen für Login-Versuche, geschützte Administrationsbereiche oder eine getrennte Staging-Umgebung. Für eine kleine Unternehmenswebsite genügt oft ein schlankes, gut gepflegtes Setup. Bei Portalen mit sensiblen Daten, vielen Nutzerkonten oder hohem Traffic sind zusätzliche Schutzschichten angemessen.
Backups müssen sich wiederherstellen lassen
Ein Backup ist erst dann eine Absicherung, wenn die Wiederherstellung funktioniert. Dateien allein reichen nicht aus. Zu einer vollständigen Sicherung gehören Datenbank, Uploads, Konfiguration, individuelle Anpassungen und - je nach System - verschlüsselt abgelegte Zugangsinformationen oder Umgebungsvariablen.
Backups sollten automatisiert, verschlüsselt und räumlich oder technisch getrennt vom Produktivsystem gespeichert werden. Wird das Backup im selben kompromittierten Serverkonto abgelegt, kann es im Ernstfall ebenfalls gelöscht oder verschlüsselt werden. Sinnvoll sind mehrere Wiederherstellungspunkte, damit auch unbemerkte Manipulationen nicht alle Sicherungen betreffen.
Mindestens ebenso wichtig sind Wiederherstellungstests. Dabei zeigt sich, ob Sicherungen vollständig sind, wie lange der Vorgang dauert und welche Abhängigkeiten fehlen. Für geschäftskritische Websites ist diese Zeit keine technische Nebensache: Sie beeinflusst direkt, wie lange ein Service, ein Shop oder ein Informationsportal ausfällt.
Formulare, Schnittstellen und individuelle Funktionen prüfen
Standardfunktionen eines CMS werden bei regelmäßigen Updates oft gut abgedeckt. Besondere Aufmerksamkeit verdienen dagegen individuelle Erweiterungen, alte Schnittstellen und Formulare. Hier entstehen Fehler häufig durch fehlende Eingabeprüfung, unzureichende Rechteprüfungen oder durch Daten, die ungefiltert ausgegeben werden.
Formulare sollten Eingaben serverseitig validieren, gegen Spam abgesichert sein und nur die Daten erheben, die tatsächlich benötigt werden. Ein Captcha kann automatisierten Missbrauch reduzieren, ist aber nicht die einzige Option und muss mit Anforderungen an Barrierefreiheit und Datenschutz abgewogen werden. Rate Limits, Plausibilitätsprüfungen und saubere Fehlerbehandlung sind oft mindestens genauso wirksam.
APIs benötigen eine eindeutige Authentifizierung, minimale Berechtigungen und ein nachvollziehbares Berechtigungskonzept. Geheimnisse wie Tokens oder API-Keys gehören nicht in öffentlich zugängliche Quelltexte, CMS-Inhalte oder Frontend-Bundles. Bei Integrationen mit CRM, Newsletter-Systemen oder Bewerbungsportalen sollte zudem klar sein, welche Daten in welche Richtung fließen und wie Fehler protokolliert werden.
In der Entwicklung helfen verbindliche Code-Reviews, automatisierte Tests und ein klarer Deployment-Prozess. Änderungen direkt auf dem Live-System vorzunehmen, spart kurzfristig Zeit, macht Fehler aber schwerer nachvollziehbar und zurückrollbar.
Monitoring schafft Handlungsfähigkeit
Viele Sicherheitsvorfälle werden nicht beim Angriff, sondern erst Tage oder Wochen später bemerkt. Unerklärliche Weiterleitungen, neue Benutzerkonten, ungewöhnliche Serverlast oder veränderte Dateien sind Warnsignale. Monitoring und aussagekräftige Logs schaffen die Grundlage, solche Auffälligkeiten rechtzeitig zu erkennen.
Protokolliert werden sollten unter anderem fehlgeschlagene Login-Versuche, Änderungen an Benutzerrechten, Systemfehler, Zugriffe auf sensible Bereiche und wichtige Deployments. Logs müssen so aufbewahrt werden, dass sie im Vorfall noch verfügbar sind. Wer sie täglich nur überschreibt, verliert im entscheidenden Moment die Spurenanalyse.
Ein Notfallplan muss nicht kompliziert sein, aber er sollte existieren. Er benennt Ansprechpartner, enthält Zugänge zu Hosting und Domainverwaltung, definiert die Kommunikationswege und beschreibt die ersten Schritte: Zugang sperren, System isolieren, Beweise sichern, Ursache prüfen, bereinigen und kontrolliert wieder in Betrieb nehmen. Bei personenbezogenen Daten können zusätzlich datenschutzrechtliche Melde- und Informationspflichten entstehen.
Sicherheit als Teil der langfristigen Website-Betreuung
Die Website-Sicherheit zu erhöhen bedeutet nicht, jedes denkbare Risiko mit maximalem Aufwand abzusichern. Es bedeutet, Schutzmaßnahmen am tatsächlichen Risiko, an den Daten und an der Bedeutung der Website für das Unternehmen auszurichten. Ein Redaktionssystem mit mehreren Standorten, Schnittstellen und Nutzerrollen braucht andere Prozesse als eine schlanke Kampagnenseite.
Entscheidend ist die Regelmäßigkeit: Updates prüfen, Rechte bereinigen, Backups testen, Auffälligkeiten beobachten und technische Schulden nicht jahrelang verschieben. So wird Sicherheit von einer reaktiven Reparaturaufgabe zu einem planbaren Teil der Webentwicklung und Betreuung.
Eine gute Sicherheitsstrategie bleibt dabei verständlich und überprüfbar. Wenn Zuständigkeiten, technische Maßnahmen und Notfallwege dokumentiert sind, kann ein Unternehmen auch unter Zeitdruck besonnen handeln - und seine Website langfristig als verlässliche digitale Grundlage nutzen.
