Website-Sicherheit einfach erklärt – was kleine Betriebe tun können
„Wer sollte schon unsere kleine Website angreifen?“ – diesen Satz hören wir oft. Die ehrliche Antwort: niemand Bestimmtes, aber Programme, die das Netz ständig nach bekannten Lücken absuchen. Hier lesen Sie ohne Fachchinesisch, worauf es bei der Sicherheit Ihrer Website ankommt, was das Gesetz verlangt und welche Fragen Sie Ihrem Dienstleister stellen sollten.
Kurz gesagt
- Die meisten Angriffe laufen automatisch und treffen jede Website mit einer bekannten Lücke – unabhängig davon, wie klein der Betrieb ist.
- Fünf Grundlagen decken das Wichtigste ab: Verschlüsselung (HTTPS), Updates, sichere Zugänge, regelmäßige Sicherungen und so wenig fremde Technik wie möglich.
- Nimmt Ihre Website Eingaben entgegen, etwa über ein Formular, muss die Übertragung verschlüsselt sein; die DSGVO verlangt angemessene Schutzmaßnahmen.
- Klären Sie schriftlich, wer für Updates, Sicherungen und den Notfall zuständig ist – Sie oder Ihr Dienstleister.
Warum auch kleine Websites betroffen sind
Hinter den meisten Angriffen auf Websites sitzt niemand, der gezielt Ihren Betrieb ausgesucht hat. Programme durchsuchen das Netz rund um die Uhr nach Seiten mit veralteter Software, bekannten Lücken in Erweiterungen oder schwachen Passwörtern. Finden sie eine, wird sie ausgenutzt – egal, ob dahinter ein Konzern oder ein Malerbetrieb steht.
Die Folgen sind für kleine Betriebe oft unangenehmer als gedacht: Auf der Website erscheinen plötzlich Werbeseiten in fremder Sprache, Besucher werden auf betrügerische Seiten umgeleitet, Browser oder Suchmaschinen warnen vor dem Besuch, oder Angaben aus dem Kontaktformular landen in falschen Händen. Bis alles bereinigt ist, fehlen Anfragen – und das Vertrauen leidet.
Die fünf Grundlagen
Sicherheit klingt nach Spezialwissen. Für eine typische Betriebs-Website lässt sich das Wichtigste aber auf fünf Punkte bringen:
-
1. Verschlüsselung: HTTPS
Eine Adresse mit „https://“ und dem Schloss-Symbol bedeutet, dass die Verbindung zwischen Browser und Server verschlüsselt ist. Niemand kann unterwegs mitlesen, was jemand in Ihr Kontaktformular tippt. Heute ist das Standard; Browser warnen bei Seiten ohne Verschlüsselung. Wichtig: Das Zertifikat muss rechtzeitig erneuert werden – bei guten Anbietern geschieht das automatisch. Das Schloss sagt übrigens nur etwas über die Verbindung aus, nicht darüber, ob eine Website seriös ist.
-
2. Updates
Jede Software hat Fehler, und manche davon sind Sicherheitslücken. Hersteller schließen sie mit Updates – aber nur, wenn jemand die Updates auch einspielt. Das betrifft das Betriebssystem des Servers, ein Redaktionssystem wie WordPress und vor allem dessen Erweiterungen (Plugins). Erweiterungen, die Sie nicht mehr nutzen, sollten nicht nur abgeschaltet, sondern gelöscht werden.
-
3. Sichere Zugänge
Für jeden Zugang ein eigenes, starkes Passwort – ein Passwort-Manager hilft beim Überblick. Wo möglich, schalten Sie die Zwei-Faktor-Anmeldung ein oder nutzen Passkeys. Die Zwei-Faktor-Anmeldung empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) ausdrücklich, Passkeys nennt es als sichere Alternative zum Passwort. Jede Person bekommt einen eigenen Zugang statt eines gemeinsamen. Und wenn jemand den Betrieb verlässt oder Sie die Agentur wechseln, wird der Zugang entfernt.
-
4. Sicherungen
Eine Sicherung ist Ihr Rettungsanker, wenn doch etwas passiert: Website und Daten werden auf einen sauberen Stand zurückgesetzt. Entscheidend sind drei Dinge: Die Sicherung läuft regelmäßig und automatisch, sie liegt getrennt von der Website, und es wurde mindestens einmal ausprobiert, ob sich daraus wirklich alles wiederherstellen lässt. Eine Sicherung, die nie zurückgespielt wurde, ist nur ein Versprechen.
-
5. Weniger ist sicherer
Jede Erweiterung, jedes eingebundene Fremd-Skript und jedes ungenutzte Konto ist eine mögliche Schwachstelle. Eine schlanke Website mit wenigen, gepflegten Bestandteilen ist leichter sicher zu halten. Das gilt auch für Daten: Was Sie gar nicht erst abfragen oder speichern, kann auch nicht abhandenkommen.
Was das Gesetz verlangt
Website-Sicherheit ist nicht nur eine Frage der Vernunft. Sobald Ihre Website personenbezogene Daten verarbeitet – und das tut praktisch jede, schon über Server-Protokolle oder ein Kontaktformular –, gelten diese Regeln:
- Angemessene Schutzmaßnahmen: Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten – unter Berücksichtigung des Stands der Technik und der Kosten. Was „angemessen“ ist, hängt von Art und Umfang der Daten ab; eine Praxis mit Gesundheitsdaten braucht mehr als ein Malerbetrieb mit Kontaktformular.
- Schutz der Technik und Verschlüsselung: Nach § 19 Abs. 4 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) müssen Anbieter geschäftsmäßiger digitaler Dienste, soweit technisch möglich und wirtschaftlich zumutbar, ihre Technik gegen unerlaubte Zugriffe und Angriffe sichern; als Beispiel nennt das Gesetz ein anerkanntes Verschlüsselungsverfahren. Der Landesbeauftragte für den Datenschutz Niedersachsen leitet daraus ab, dass Eingaben in Formularen nur per HTTPS übertragen werden dürfen.
- Vertrag mit dem Dienstleister: Betreut ein Dienstleister Ihre Website samt Daten, ist dafür in der Regel ein Vertrag zur Auftragsverarbeitung nötig (Art. 28 DSGVO). Darin steht auch, welche Schutzmaßnahmen er trifft.
- Meldepflicht bei Datenpannen: Kommt es zu einer Datenpanne – gelangen etwa personenbezogene Daten in falsche Hände oder gehen verloren –, müssen Sie das unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben, der zuständigen Datenschutz-Aufsichtsbehörde melden – es sei denn, es besteht voraussichtlich kein Risiko für die Betroffenen (Art. 33 DSGVO). Bei hohem Risiko sind auch die Betroffenen selbst zu benachrichtigen (Art. 34 DSGVO). Die EU berät derzeit über eine Änderung (sogenannter Digital-Omnibus): Danach wären nur noch Datenpannen mit hohem Risiko zu melden, und zwar innerhalb von 96 Stunden. Beschlossen ist das noch nicht (Stand Oktober 2026) – bis dahin gilt die 72-Stunden-Regel.
Wer ist zuständig?
Die häufigste Sicherheitslücke ist keine technische, sondern eine organisatorische: Niemand fühlt sich zuständig. Der Betrieb denkt, die Agentur kümmert sich; die Agentur hat die Website vor Jahren übergeben und seitdem nichts mehr gehört. Bei einer gemieteten Website übernimmt meist der Anbieter Updates und Sicherungen, bei einer gekauften liegt das oft bei Ihnen – es sei denn, Sie haben einen Wartungsvertrag. Mehr dazu im Ratgeber „Website mieten oder kaufen?“.
Fragen an Ihren Dienstleister
Gehen Sie diese Fragen einmal mit Ihrem Dienstleister durch und lassen Sie sich die Antworten schriftlich geben:
- Wer spielt Updates für Server, Software und Erweiterungen ein – und wie schnell bei kritischen Lücken?
- Wird das HTTPS-Zertifikat automatisch erneuert?
- Wie oft wird gesichert, wo liegen die Sicherungen und wie lange werden sie aufbewahrt?
- Wann wurde zuletzt ausprobiert, ob sich eine Sicherung wiederherstellen lässt?
- Wer hat Zugang zur Website und zum Server – und ist die Zwei-Faktor-Anmeldung eingeschaltet?
- Wer bemerkt einen Ausfall oder Angriff, und wie schnell werde ich informiert?
- Gibt es einen Vertrag zur Auftragsverarbeitung?
Wenn es doch passiert
Ihre Website zeigt fremde Inhalte, ein Kunde meldet eine Warnung im Browser oder Ihr Dienstleister meldet einen Einbruch? Dann hilft ein ruhiger, geordneter Ablauf:
-
Dienstleister informieren und Website notfalls vom Netz nehmen
Je schneller jemand mit Zugriff auf den Server reagiert, desto kleiner der Schaden. Eine Wartungsseite ist besser als eine Seite, die Besucher auf Betrugsseiten schickt.
-
Zugänge ändern – von einem sauberen Gerät
Passwörter für Website, Hosting, Domain und E-Mail neu setzen, Zwei-Faktor-Anmeldung einschalten, unbekannte Konten entfernen.
-
Ursache finden, dann zurückspielen
Eine Sicherung zurückzuspielen, ohne die Lücke zu schließen, lädt zum nächsten Einbruch ein. Erst die Ursache beheben, dann den sauberen Stand wiederherstellen.
-
Prüfen, ob Daten betroffen sind
Konnten Angreifer Formulardaten, Kundenkonten oder E-Mails einsehen, läuft die Frist für die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). Dokumentieren Sie, was passiert ist und was Sie getan haben – das verlangt die DSGVO auch dann, wenn keine Meldung nötig ist (Art. 33 Abs. 5 DSGVO).
-
Anzeige erstatten
Wer in fremde Systeme eindringt oder Daten verändert, macht sich in aller Regel strafbar (etwa nach §§ 202a, 303a StGB). Die Polizei nimmt Anzeigen auch online entgegen; die Unterlagen helfen zudem gegenüber Versicherung und Kunden.
Sicherheit bei RexCom
Wir programmieren unsere Websites von Hand – ohne Baukasten und ohne Plugins, die zur Sicherheitslücke werden können. Bei der Website zur Miete gehört der Betrieb zu unseren Aufgaben:
- Hosting auf unserem eigenen Server in Deutschland, SSL-Verschlüsselung und automatische Sicherheitsupdates des Servers.
- Tägliche Sicherung, 14 Tage aufbewahrt.
- Die Erreichbarkeit wird alle 5 Minuten automatisch geprüft.
Was in jedem Mietpaket steckt, lesen Sie unter Leistungen.
Häufige Fragen
Reicht das Schloss im Browser für eine sichere Website?
Nein. Das Schloss zeigt nur, dass die Verbindung verschlüsselt ist. Ob die Software aktuell ist, die Zugänge sicher sind und es Sicherungen gibt, sieht man daran nicht. HTTPS ist die Pflicht, nicht die Kür.
Muss ich mein Passwort regelmäßig ändern?
Nicht routinemäßig. Ein regelmäßiger Wechsel erhöht die Sicherheit nach Auskunft des BSI nicht automatisch: Wichtiger ist ein starkes, einzigartiges Passwort und eine Zwei-Faktor-Anmeldung. Sofort ändern sollten Sie ein Passwort aber, wenn Sie vermuten, dass es bekannt geworden ist.
Ist ein Website-Baukasten sicherer als eine eigene Website?
Beim Baukasten kümmert sich der Anbieter um Server und Software-Updates; das nimmt Ihnen Arbeit ab. Für Ihre Zugänge, die Zwei-Faktor-Anmeldung und eingebundene Fremddienste bleiben Sie aber selbst verantwortlich. Entscheidend ist bei jeder Lösung, dass klar geregelt ist, wer sich kümmert.
Wie oft sollte meine Website gesichert werden?
So oft, wie sich etwas Wichtiges ändert. Eine Website mit Formularen, Buchungen oder einem Kundenbereich sollte täglich automatisch gesichert werden, eine reine Visitenkarten-Seite seltener. Wichtiger als die Häufigkeit ist, dass die Rücksicherung einmal erprobt wurde.
Brauche ich ein Sicherheitszertifikat oder ein Siegel auf der Website?
Ein Siegel macht eine Website nicht sicherer. Das technische Zertifikat für HTTPS brauchen Sie dagegen auf jeden Fall – bei vielen Anbietern ist es heute Standard und wird automatisch erneuert.
Fragen dazu?
Unsicher, wie es um Ihre Website steht?
Im kostenlosen Erstgespräch gehen wir die Fragen von oben gemeinsam durch und sagen Ihnen ehrlich, wo Ihre Website gut aufgestellt ist und wo Sie nachfassen sollten.