Website-Sicherheit: Checkliste für kleine Unternehmen

Die meisten Angriffe auf Websites kleiner Unternehmen sind nicht persönlich gemeint. Automatisierte Werkzeuge durchsuchen das Internet nach veralteter Software, schwachen Passwörtern und vergessenen Admin-Seiten und probieren jede Website aus, die sie finden. Das ist eine gute Nachricht, denn es bedeutet, dass eine kurze Liste grundlegender Gewohnheiten die meisten davon abwehrt. Diese Checkliste zeigt, was zu tun ist, nach Wirkung geordnet, und wie oft.

1. Software aktuell halten

Veraltete Software ist der häufigste Einstiegspunkt. Bekannte Schwachstellen in alten Plugins, Themes und Content-Management-Systemen werden veröffentlicht, und automatisierte Werkzeuge suchen innerhalb weniger Tage danach.

• Aktivieren Sie automatische Updates für den Core Ihres CMS und, wo Sie ihnen vertrauen, für Plugins und Themes.
• Entfernen Sie Plugins und Themes, die Sie nicht nutzen. Deaktivierte Plugins können weiterhin ausgenutzt werden, solange ihre Dateien vorhanden sind.
• Ersetzen Sie Plugins, die ihr Entwickler lange nicht mehr aktualisiert hat.
• Verwenden Sie eine unterstützte PHP-Version.

Wie oft: wöchentlich prüfen oder automatische Updates täglich laufen lassen und wöchentlich kontrollieren.

2. Backups haben, die Sie wirklich getestet haben

Backups machen aus einer Katastrophe eine Unannehmlichkeit. Eine gute Backup-Routine besteht aus drei Teilen:

• Automatische tägliche Backups von Dateien und Datenbanken.
• Eine Kopie an einem anderen Ort, etwa ein regelmäßiger Download auf Ihren Computer oder in einen Cloud-Speicher, damit ein Problem mit Ihrem Hosting-Konto nicht Ihre Backups mitreißt.
• Gelegentlich eine Test-Wiederherstellung, damit Sie wissen, dass die Backups funktionieren und wie lange eine Wiederherstellung dauert.

Erstellen Sie vor jeder größeren Änderung ein manuelles Backup, etwa vor einem Theme-Wechsel, einem großen Plugin-Update oder einem Umzug.

3. Logins absichern

Gestohlene oder erratene Passwörter sind der zweithäufigste Einstiegspunkt.

• Nutzen Sie einen Passwortmanager und ein einmaliges, langes Passwort für jedes Konto: Hosting, Kontrollpanel, CMS, E-Mail und Domain-Registrar.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), wo immer sie angeboten wird, angefangen bei Ihrem Hosting-Konto, Kontrollpanel und CMS-Admin. Siehe 2FA aktivieren.
• Geben Sie jeder Person einen eigenen Login mit nur dem nötigen Zugriff. Teilen Sie niemals ein einziges Admin-Konto.
• Entfernen Sie Konten von Personen, die gegangen sind, und von Agenturen, mit denen Sie nicht mehr arbeiten.
• Verwenden Sie „admin“ nicht als Benutzernamen.

4. Domain und E-Mail schützen

Wer Ihre Domain kontrolliert, kontrolliert Ihre Website und Ihre E-Mail.

• Aktivieren Sie 2FA bei Ihrem Domain-Registrar und schalten Sie die Registrar-Sperre ein.
• Hinterlegen Sie beim Registrar eine E-Mail-Adresse, die Sie regelmäßig prüfen, damit Benachrichtigungen zu Verlängerung und Transfer Sie erreichen.
• Richten Sie SPF, DKIM und DMARC ein, damit andere nicht ohne Weiteres E-Mails in Ihrem Namen versenden können.

5. Überall HTTPS verwenden

Jede Seite sollte per HTTPS laden, wobei HTTP darauf umgeleitet wird. Wenn Sie Cloudflare nutzen, verwenden Sie den Modus Full (strict), damit auch die Verbindung zu Ihrem Server verschlüsselt und überprüft ist. Kostenlose Zertifikate machen das zu einem Schritt ohne Kosten.

6. Eine Firewall vor die Website setzen

Eine Web Application Firewall (WAF) filtert Anfragen, bevor sie Ihre Website erreichen. Sie blockiert bekannte Angriffsmuster, aggressive Bots und Verkehrsfluten. Wenn Sie Ihre Website hinter einem Dienst wie Cloudflare betreiben, erhalten Sie eine Schicht dieses Schutzes, und die Adresse Ihres Servers bleibt weniger offen sichtbar.

Darüber hinaus bieten viele CMS Sicherheits-Plugins, die Anmeldeversuche begrenzen und verdächtige Anfragen blockieren. Nutzen Sie eines, verlassen Sie sich aber nicht allein darauf.

7. Nach Malware suchen

Infektionen sind nicht immer sichtbar. Versteckte Spam-Links, Weiterleitungen, die nur für Besucher aus Suchmaschinen erscheinen, und eingeschleuste Skripte können monatelang unbemerkt laufen. Regelmäßige Malware-Scans entdecken sie früh. Anzeichen für eine mögliche Infektion sind unerwartete neue Admin-Benutzer, unbekannte Dateien, Warnungen in den Suchergebnissen oder Kunden, die von seltsamen Weiterleitungen berichten.

8. Weniger Angriffsfläche bieten

• Löschen Sie alte Kopien der Website, Testinstallationen und Backup-Dateien aus öffentlichen Ordnern.
• Deaktivieren Sie die Verzeichnisauflistung.
• Nutzen Sie SFTP statt einfachem FTP und entfernen Sie FTP-Konten, die Sie nicht brauchen.
• Speichern Sie keine sensiblen Dokumente in den Ordnern Ihrer Website.

9. Vorsicht vor Phishing

Angreifer nehmen oft Menschen ins Visier statt Server. E-Mails, die behaupten, Ihre Domain laufe bald ab, Ihr Hosting-Konto sei gesperrt oder eine Zahlung sei fehlgeschlagen, sind gängige Tricks, damit Sie Ihr Passwort auf einer gefälschten Seite eingeben.

• Melden Sie sich nicht über Links in unerwarteten E-Mails an. Geben Sie die Adresse Ihres Hosters oder Registrars selbst ein oder nutzen Sie ein Lesezeichen.
• Prüfen Sie Absenderadresse und das echte Ziel des Links, bevor Sie klicken.
• Im Zweifel eröffnen Sie ein Ticket bei Ihrem Hoster und fragen Sie, ob die Nachricht echt ist.
• Stellen Sie sicher, dass alle mit Zugriff auf die Website diese Regeln kennen, nicht nur Sie.

10. Wissen, was Sie im Ernstfall tun

Schreiben Sie einen kurzen Plan auf, und sei es nur eine Seite:

1. Wen Sie anrufen: den Support Ihres Hosters, Ihren Entwickler und wer im Unternehmen entscheidet.
2. Ändern Sie die Passwörter für Hosting, CMS, E-Mail und FTP.
3. Stellen Sie das letzte saubere Backup wieder her.
4. Aktualisieren Sie alles und finden Sie heraus, wie der Angreifer hineingekommen ist.
5. Informieren Sie betroffene Kunden, wenn personenbezogene Daten betroffen waren, soweit das Gesetz es verlangt.

Ein einfacher Zeitplan

• Täglich: automatische Backups und Updates.
• Wöchentlich: Updates und Sicherheitswarnungen prüfen.
• Monatlich: Benutzerkonten prüfen, eine Backup-Kopie herunterladen.
• Alle paar Monate: eine Wiederherstellung testen und diese Checkliste überprüfen.

Sicherheit, die in Zebra Hosting eingebaut ist

Jeder Zebra-Hosting-Tarif enthält Cloudflare vor Ihrer Website, kostenloses SSL und das Kontrollpanel Plesk. Unser WordPress Hosting bietet in jedem Tarif automatische Updates, und WP Business (ab €7.99 im Monat) ergänzt tägliche Backups, Malware-Scan und eine Staging-Website zum sicheren Testen von Updates. Auch Shared Business und höher enthalten tägliche Backups. Wählen Sie einen Tarif, und Sie sind von dem Moment an geschützt, in dem er live geht, etwa zwei Minuten nach der Zahlung.