„Meine kleine Website interessiert doch keinen Hacker.” Diesen Satz höre ich oft – und er beruht auf einem Missverständnis. Die meisten Angriffe sind nicht persönlich, sondern automatisiert: Bots durchsuchen das halbe Internet nach veralteter Software und schwachen Passwörtern, völlig unabhängig davon, wie groß oder bekannt eine Seite ist. Die gute Nachricht: Mit ein paar grundlegenden Maßnahmen ist eine KMU-Website solide geschützt – ganz ohne Sicherheits-Spezialisten.
Kurz gesagt: Website-Sicherheit für kleine Unternehmen steht auf vier Säulen: HTTPS/TLS (verschlüsselte Übertragung – heute Pflicht, Zertifikat über Let’s Encrypt kostenlos), regelmäßige Updates (veraltete Software ist laut BSI eines der häufigsten Einfallstore), Backups (regelmäßig, getrennt gespeichert, Wiederherstellung getestet) und sichere Zugänge (starke, einzigartige Passwörter plus Zwei-Faktor-Authentifizierung). Ein oft übersehener fünfter Hebel ist die Angriffsfläche selbst: Eine statische Website ohne Datenbank, Login und Plugins bietet schlicht weniger Angriffspunkte als ein gepflegtes CMS. Sicherheit ist dabei kein einmaliges Projekt, sondern eine kleine, dauerhafte Routine – die meisten erfolgreichen Angriffe nutzen bekannte, längst behebbare Lücken aus.
Auf einen Blick
- HTTPS ist nicht verhandelbar: ohne Verschlüsselung „nicht sicher” im Browser, DSGVO-Verstoß bei Formularen und ein Ranking-Nachteil.
- Updates sind die wichtigste Routine: Die meisten Hacks nutzen veraltete, längst gepatchte Software – besonders Plugins.
- Backups sind Ihre Lebensversicherung: Nur ein sauberes, getrennt gespeichertes Backup rettet Sie nach einem Angriff.
- Weniger ist sicherer: Jedes Plugin, jeder Login und jede Datenbank ist eine zusätzliche Angriffsfläche.
1. HTTPS/TLS: die verschlüsselte Verbindung
HTTPS ist die verschlüsselte Variante des Web-Übertragungsprotokolls HTTP: Daten zwischen Browser und Server werden per TLS verschlüsselt, sodass Dritte sie unterwegs weder mitlesen noch unbemerkt verändern können. Erkennbar ist es am https:// und dem Schloss-Symbol in der Adresszeile.
Ein SSL-/TLS-Zertifikat ist eine digitale Bescheinigung, die die Identität einer Website bestätigt und die verschlüsselte HTTPS-Verbindung technisch ermöglicht. Der Begriff „SSL” ist historisch; der heute tatsächlich verwendete Standard heißt TLS (Transport Layer Security) – „SSL-Zertifikat” hat sich als Wort aber gehalten.
HTTPS ist 2026 aus drei Gründen Pflicht:
- Vertrauen: Browser markieren reine
http://-Seiten als „nicht sicher” – ein sichtbares Warnsignal, das Besucher abschreckt. - Recht: Sobald über ein Kontaktformular personenbezogene Daten übertragen werden, verlangt die DSGVO (Art. 32) eine Verschlüsselung nach dem Stand der Technik – also TLS.
- Sichtbarkeit: Google bestätigte bereits 2014, dass HTTPS als (leichtes) Ranking-Signal zählt.
Die Umsetzung ist heute einfach: Über das gemeinnützige Projekt Let’s Encrypt sind Zertifikate kostenlos, und seriöse Hoster richten sie automatisch ein und erneuern sie. Wer mag, ergänzt den HSTS-Header (Strict-Transport-Security), der den Browser anweist, die Seite künftig nur noch verschlüsselt aufzurufen.
2. Updates: die wichtigste und meistvernachlässigte Routine
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt veraltete Software regelmäßig als eines der häufigsten Einfallstore. Bei einem klassischen CMS betrifft das drei Ebenen, die alle aktuell gehalten werden müssen:
- Kern (z. B. WordPress selbst),
- Theme (das Design),
- Plugins (die Erweiterungen).
Gerade Plugins sind das Hauptrisiko: Jede Erweiterung ist fremder Code, der mitgepflegt werden muss. Ein einziges verlassenes, seit Monaten nicht aktualisiertes Plugin kann die ganze Seite öffnen. Das hängt eng mit Performance zusammen – viele Plugins machen eine Seite langsam und unsicher, wie ich im Beitrag WordPress-Website langsam? 7 Ursachen zeige.
Praktische Regel: Aktivieren Sie automatische Sicherheitsupdates, wo möglich, und reduzieren Sie die Zahl der Plugins auf das Nötigste. Was nicht installiert ist, kann auch nicht angegriffen werden.
3. Backups: Ihre Lebensversicherung
Kein Schutz ist perfekt – deshalb ist ein funktionierendes Backup die wichtigste Rückversicherung. Bewährt hat sich die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine an einem getrennten Ort (z. B. extern/Cloud). Entscheidend sind drei Punkte:
- Regelmäßig: automatisiert, nicht „wenn ich dran denke”.
- Getrennt gespeichert: Ein Backup, das auf demselben gehackten Server liegt, hilft nicht.
- Wiederherstellung getestet: Ein Backup, das sich nicht zurückspielen lässt, ist kein Backup.
4. Sichere Zugänge
Viele erfolgreiche Angriffe sind schlicht erratene oder wiederverwendete Passwörter. Die Basis:
- Starke, einzigartige Passwörter pro Dienst – verwaltet mit einem Passwort-Manager.
- Zwei-Faktor-Authentifizierung (2FA) für Hosting und CMS-Login, wo verfügbar.
- Keine Sammel-Logins: eigene Konten pro Person, damit Zugänge nachvollziehbar bleiben.
- Login-Schutz: Begrenzung der Fehlversuche gegen automatisiertes Durchprobieren (Brute-Force).
5. Die Angriffsfläche: weniger ist sicherer
Der wirksamste, aber am seltensten genannte Hebel ist die Architektur selbst. Je weniger bewegliche Teile eine Website hat, desto weniger kann angegriffen werden:
| Merkmal | Dynamisches CMS (z. B. WordPress) | Statische Website (z. B. Astro) |
|---|---|---|
| Datenbank | ja (Angriffsziel) | nein |
| Login-Bereich online | ja (Brute-Force-Ziel) | nein |
| Plugins als Fremdcode | viele | keine zur Laufzeit |
| Serverseitiger Code zur Laufzeit | ja | nein |
| Pflegeaufwand für Sicherheit | hoch (laufende Updates) | gering |
Das heißt nicht, dass WordPress „unsicher” ist – Millionen Seiten laufen sicher, wenn sie konsequent gepflegt werden. Aber eine statische Seite entzieht den häufigsten Angriffen schlicht die Grundlage. Mehr zum Architektur-Unterschied im Vergleich Astro vs. WordPress.
Wie diese Website es handhabt
Aus meiner eigenen Umsetzung als Beispiel: fabian-reiter.com läuft als statische Astro-Seite. Es gibt keine Datenbank, keinen Online-Login und keinen serverseitigen Code, der zur Laufzeit ausgeführt wird – die Seite besteht aus fertig ausgelieferten Dateien. Damit fallen die drei häufigsten Einfallstore (veraltete Plugins, kompromittierte Logins, Datenbank-Angriffe) von vornherein weg, und die ganze Seite läuft selbstverständlich über HTTPS. Das ist kein Verdienst besonderer Wachsamkeit, sondern eine Folge der Architektur: Die sicherste Komponente ist die, die es gar nicht erst gibt.
Sicherheits-Checkliste für KMU
| Maßnahme | Was sie verhindert | Erledigt? |
|---|---|---|
| HTTPS/TLS aktiv (Schloss-Symbol) | Mitlesen/Manipulation, „nicht sicher”-Warnung | ☐ |
| Automatische Sicherheitsupdates | Angriffe über bekannte Lücken | ☐ |
| Plugins auf das Nötigste reduziert | unnötige Angriffsfläche | ☐ |
| Regelmäßige, getrennte Backups | Totalverlust nach Angriff | ☐ |
| Starke Passwörter + 2FA | erratene/geknackte Logins | ☐ |
| Brute-Force-Schutz am Login | automatisiertes Durchprobieren | ☐ |
| Backup-Wiederherstellung getestet | unbrauchbares Backup im Ernstfall | ☐ |
Wenn es doch passiert: Erste Schritte nach einem Hack
- Seite bei Bedarf offline nehmen, um Besucher zu schützen.
- Alle Passwörter ändern (Hosting, CMS, FTP, Datenbank).
- Aus sauberem Backup wiederherstellen – nachweislich von vor dem Angriff.
- Ursache schließen (veraltetes Plugin, schwaches Passwort).
- Meldepflicht prüfen: Bei Diebstahl personenbezogener Daten kann eine Meldung an die Aufsichtsbehörde nach DSGVO (Art. 33) nötig sein – im Zweifel rechtlich beraten lassen.
Ehrliche Grenze: Grundlagen, keine Hochsicherheit
Dieser Beitrag deckt die Sicherheits-Grundlagen einer typischen KMU-Website ab – nicht die Anforderungen an Shops mit Zahlungsabwicklung, Portale mit sensiblen Daten oder regulierte Branchen. Wer Kreditkarten- oder Gesundheitsdaten verarbeitet, größere Nutzerkonten betreibt oder besonderen Compliance-Pflichten unterliegt, braucht zusätzliche Maßnahmen (z. B. Penetrationstests, spezielle Header, professionelles Monitoring), die hier nicht behandelt werden. Sicherheit ist außerdem nie „fertig” – sie ist eine Routine, kein Zustand. Dieser Text ersetzt keine individuelle Sicherheits- oder Rechtsberatung.
Fazit
Website-Sicherheit für kleine Unternehmen ist unspektakulär und gut machbar: HTTPS aktivieren, Software aktuell halten, regelmäßig und getrennt sichern, Zugänge mit starken Passwörtern und 2FA schützen – und die Angriffsfläche von vornherein klein halten. Die meisten Hacks treffen nicht die raffiniert Angegriffenen, sondern die Nachlässigen: veraltete Plugins, schwache Passwörter, fehlende Backups. Wer diese Basis beherrscht, ist gegen den allergrößten Teil der automatisierten Angriffe geschützt – ganz ohne Sicherheits-Budget einer Großfirma.
Nächster Schritt: Ihre Seite läuft noch ohne HTTPS, hängt voller veralteter Plugins oder Sie wissen nicht, ob es ein funktionierendes Backup gibt? Bei einem Mini-Website-Refresh ab 490 € bringe ich Verschlüsselung, Aktualität und einen sauberen, sicheren Stand in Ordnung – ehrlich und ohne Angst-Verkauf. Schreiben Sie mir kurz Ihre Domain, dann schaue ich mir den Stand an.
Quellen
- BSI – Basistipps zur IT-Sicherheit (Bundesamt für Sicherheit in der Informationstechnik) – Updates, sichere Passwörter, Backups als Grundlagen
- OWASP Top 10 (OWASP Foundation) – die häufigsten Web-Sicherheitsrisiken
- MDN Web Docs – HTTPS (Mozilla) – Funktionsweise der verschlüsselten Übertragung
- Let’s Encrypt (Internet Security Research Group) – kostenlose TLS-Zertifikate
- Google Search Central – HTTPS als Ranking-Signal (2014) (Google) – HTTPS als leichtes Ranking-Signal
- DSGVO – Art. 32 (Sicherheit der Verarbeitung) (EUR-Lex) – Stand der Technik, Verschlüsselung
- DSGVO – Art. 33 (Meldung von Datenschutzverletzungen) (EUR-Lex) – Meldepflicht nach einem Datenleck
- First-Party-Angabe: statische Astro-Architektur von fabian-reiter.com (keine Datenbank, kein Online-Login, durchgängig HTTPS), Stand Juni 2026