Ratgeber
Website-Sicherheit für kleine Unternehmen – die wichtigsten Punkte
Für die Website-Sicherheit kleiner Unternehmen zählen vor allem fünf Punkte: verschlüsselte Verbindung (HTTPS), aktuelle Software, sichere Zugänge mit Zwei-Faktor-Anmeldung, regelmäßige und getestete Backups sowie möglichst wenig unnötige Erweiterungen. Wer diese Grundlagen konsequent umsetzt, schließt die meisten Lücken, die Angreifer automatisiert ausnutzen.
Viele kleine Betriebe glauben, ihre Website sei für Angreifer uninteressant. Doch die meisten Angriffe laufen automatisiert und suchen nach bekannten Schwachstellen, egal wem die Seite gehört. Hier stehen die wichtigsten Maßnahmen, verständlich erklärt. Das ist eine allgemeine Einordnung, keine Rechts- oder Sicherheitsberatung im Einzelfall.
Von Fabian Baloi · Zuletzt aktualisiert:
01
Welche Sicherheitsmaßnahmen sind für kleine Unternehmen wichtig?
| Maßnahme | Was sie schützt | Aufwand |
|---|---|---|
| HTTPS mit gültigem Zertifikat | Daten auf dem Weg zwischen Besucher und Server, etwa aus dem Kontaktformular | gering, oft beim Hosting enthalten |
| Updates | Schließt bekannte Lücken in System, Erweiterungen und Server | regelmäßig, laufend |
| Sichere Zugänge | Verhindert, dass Fremde sich mit erratenen oder gestohlenen Passwörtern anmelden | einmalig einrichten |
| Zwei-Faktor-Anmeldung | Schützt Zugänge auch dann, wenn ein Passwort bekannt wird | einmalig einrichten |
| Backups | Ermöglicht die Wiederherstellung nach Angriff oder Fehler | automatisieren, gelegentlich testen |
| Wenige Erweiterungen | Weniger Code bedeutet weniger mögliche Lücken | einmal aufräumen |
| Formularschutz | Hält Spam und automatisierte Angriffe über Formulare ab | einmalig einrichten |
| Sicherheits-Header | Erschwert bestimmte Angriffe über den Browser | einmalig einrichten |
02
Wie sicherst du die Zugänge zu deiner Website?
Lange, einzigartige Passwörter
Für jeden Zugang ein eigenes Passwort, am besten aus einem Passwort-Manager. Nie dasselbe wie für E-Mail oder Bank.
Zwei-Faktor-Anmeldung
Wo möglich einschalten: bei Hosting, Domain, Website-Verwaltung, E-Mail und Google-Konto.
Jedem nur, was er braucht
Wer nur Texte ändert, braucht keine Administratorrechte. Ehemalige Mitarbeiter und Dienstleister sofort entfernen.
Zugänge dokumentieren
Wer hat Zugriff auf Domain, Hosting und Website? Diese Liste ist Gold wert, wenn es brennt oder ein Dienstleister wechselt.
Domain auf deinen Namen
Die Domain sollte dir gehören, nicht einem Dienstleister. Sonst hängt deine Website im Ernstfall an fremden Entscheidungen.
03
Warum sind Updates und Erweiterungen so wichtig?
Sicherheitslücken in verbreiteter Software werden öffentlich bekannt, sobald es ein Update gibt. Ab diesem Moment suchen automatisierte Programme gezielt nach Websites, die das Update noch nicht installiert haben. Wer Updates monatelang liegen lässt, steht auf deren Liste.
Jede Erweiterung ist zusätzlicher Code von einem weiteren Anbieter. Erweiterungen, die nicht mehr gepflegt werden, sind besonders riskant. Räum regelmäßig auf: Was nicht gebraucht wird, fliegt raus. Websites, die vorgerendert ausgeliefert werden, haben hier einen Vorteil, weil auf dem Server weniger bewegliche Teile laufen. Wie regelmäßige Pflege aussieht, steht unter Website-Wartung.
04
Was verlangt der Datenschutz bei der Website-Sicherheit?
Sobald deine Website personenbezogene Daten verarbeitet, verlangt Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik. HTTPS, aktuelle Software und sichere Zugänge gehören dazu.
Kommt es trotzdem zu einer Datenpanne, etwa weil Formulardaten abgeflossen sind, muss sie nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden. Im Zweifel hilft eine Rechtsberatung oder ein Datenschutzbeauftragter.
Allgemeine, gut verständliche Hinweise zur IT-Sicherheit für kleine Unternehmen veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI).
05
Was tust du, wenn deine Website gehackt wurde?
Ruhe bewahren und dokumentieren
Screenshots machen, Zeitpunkt notieren, nichts überstürzt löschen.
Dienstleister oder Hosting informieren
Wer die Seite betreut, kann sie vom Netz nehmen und die Ursache suchen.
Passwörter ändern
Für Hosting, Website, Domain und E-Mail – von einem sauberen Gerät aus.
Aus sauberem Backup wiederherstellen
Nur aus einem Stand vor dem Angriff. Danach die Lücke schließen, durch die der Angriff kam.
Meldepflichten prüfen
Wenn personenbezogene Daten betroffen sein könnten, gilt in der Regel die 72-Stunden-Frist der DSGVO.
06
Woran erkennst du, dass mit deiner Website etwas nicht stimmt?
Angriffe sind oft nicht auf den ersten Blick sichtbar. Diese Anzeichen solltest du ernst nehmen.
Fremde Inhalte oder Weiterleitungen
Besucher landen auf fremden Seiten, oder es tauchen Links und Texte auf, die du nicht kennst – manchmal nur auf dem Handy oder nur für Besucher von Google.
Warnungen von Google oder Browser
Ein Hinweis auf eine unsichere Seite in den Suchergebnissen oder in der Search Console ist ein ernstes Zeichen.
Unbekannte Konten
Neue Benutzer in der Website-Verwaltung, die niemand angelegt hat.
Spam aus deinem Namen
Kunden melden seltsame E-Mails von deiner Adresse, oder dein Postfach landet plötzlich im Spam anderer.
Auffällig langsam
Die Seite wird ohne erkennbaren Grund deutlich langsamer oder ist zeitweise nicht erreichbar.
07
So hilft UpToVision
Unsere Websites werden vorgerendert und mit HTTPS und Sicherheits-Headern ausgeliefert. Mit dem Website-Abo kümmern wir uns laufend um Hosting, Wartung und Sicherheit, mit 24/7-Support und monatlich kündbar. Welche Kosten bei der Betreuung entstehen und welches Modell passt, vergleicht der Artikel Website-Abo oder Einmalkauf?.
Schreib uns an kontakt@up2vision.com oder über die Kontaktseite, wenn du deine Website absichern willst.
08
Häufige Fragen
Ist meine kleine Website überhaupt ein Ziel für Hacker?
Ja. Die meisten Angriffe laufen automatisiert und suchen nach bekannten Lücken, unabhängig von der Größe des Betriebs. Gehackte Seiten werden etwa für Spam oder Schadsoftware missbraucht.
Reicht ein SSL-Zertifikat für die Sicherheit?
Nein. HTTPS verschlüsselt die Verbindung, schützt aber nicht vor veralteter Software oder schwachen Passwörtern. Es ist eine von mehreren Grundlagen.
Wie oft sollte ich Backups machen?
So oft, dass ein Datenverlust verkraftbar ist – automatisch und regelmäßig. Entscheidend ist, die Wiederherstellung gelegentlich zu testen und Backups getrennt von der Website aufzubewahren.
Was ist Zwei-Faktor-Anmeldung?
Zusätzlich zum Passwort braucht man einen zweiten Nachweis, meist einen Code aus einer App auf dem Handy. Ein gestohlenes Passwort allein reicht dann nicht mehr zum Anmelden.
Muss ich einen Hackerangriff melden?
Wenn personenbezogene Daten betroffen sein könnten, in der Regel ja: innerhalb von 72 Stunden an die zuständige Datenschutzbehörde. Im Zweifel hilft eine Rechtsberatung.
Sind Baukasten-Websites sicherer?
Der Anbieter kümmert sich um viele technische Updates, das ist ein Vorteil. Für sichere Passwörter, Zwei-Faktor-Anmeldung und die Inhalte bist du trotzdem selbst verantwortlich.