Ratgeber // Sicherheit
Wie sicher ist meine Website wirklich?
Bei Website-Sicherheit denken die meisten zuerst an Hacker. Die größte Gefahr für eine Firmenwebsite ist aber selten ein spektakulärer Angriff, sondern ein stiller Ausfall: eine Funktion, die aufhört zu arbeiten, ohne dass es jemand merkt. Was das im Alltag bedeutet, warum es oft wochenlang unentdeckt bleibt und was tatsächlich davor schützt.
Website-Sicherheit ist mehr als Schutz vor Hackern
Fragt man eine Inhaberin oder einen Inhaber nach der Website-Sicherheit, denkt fast jeder zuerst an Hacker: fremde Zugriffe, gestohlene Daten, eine gekaperte Startseite. Das kommt vor, ist aber nicht das, was den meisten Unternehmen tatsächlich schadet.
Viel häufiger ist ein anderes Problem: Eine Website läuft technisch weiter, sieht auf den ersten Blick unverändert aus, aber eine einzelne Funktion tut nicht mehr, was sie soll. Kein Warnhinweis, keine Fehlermeldung, nichts, was auffällt. Sie merken es nicht, weil auf Ihrem Bildschirm alles normal aussieht. Ihr Besucher merkt es, weil bei ihm nichts passiert, wenn er auf einen Knopf klickt, und geht.
Ein Beispiel aus der Praxis
Genau das ist mir selbst passiert, auf meiner eigenen Website. Deshalb weiß ich, wie leicht es geht. Ein reguläres, ganz normales Update eines Formular-Bausteins hat im Hintergrund etwas an der Struktur meines mehrstufigen Anfrageformulars verändert. Von außen sah nichts kaputt aus: Die Seite lud, die Felder waren da, die Schrift stand an ihrem Platz. Nur der „Weiter“-Knopf tat ab dem ersten Schritt schlicht nichts mehr. Kein Fehlertext, kein Hinweis: Man klickte, und es passierte nichts.
Unabhängig davon fiel bei derselben Gelegenheit ein zweiter, ganz anderer Fehler auf: Ein automatisch vorgeschlagener Baustein für die Cookie-Einwilligung hatte irgendwann genau dieses Kontaktformular hinter eine Zustimmungsabfrage gelegt, so als wäre es ein eingebettetes Video von einem fremden Anbieter. Ein Besucher, der die Seite zum ersten Mal aufrief, sah also gar nicht das Formular, sondern erst einen Hinweis, dem er zustimmen musste, bevor überhaupt etwas erschien.
Zwei verschiedene Ursachen, ein gemeinsames Ergebnis: Wer neu auf die Seite kam, konnte keine Anfrage stellen. Und niemand hätte es gemerkt, wenn nicht gezielt nachgeprüft worden wäre.
Warum so etwas oft wochenlang unbemerkt bleibt
Der Grund ist einfach und trifft auf fast jedes Unternehmen zu: Als Inhaberin oder Inhaber sind Sie auf Ihrer eigenen Website in aller Regel angemeldet. Viele technische Bausteine, auch die Cookie-Einwilligung, behandeln angemeldete Nutzer anders als fremde Besucher. Sie sehen also genau die Fassung Ihrer Seite, die funktioniert. Ein Interessent, der zum ersten Mal über eine Suchmaschine kommt, sieht eine andere.
Niemand ruft die eigene Website regelmäßig abgemeldet auf, um sie mit fremden Augen zu prüfen. Warum sollte man auch, sie hat doch gerade noch funktioniert. Genau diese Lücke zwischen dem, was der Betreiber sieht, und dem, was ein echter Besucher sieht, ist der Grund, warum solche Fehler nicht Tage, sondern oft Wochen bestehen bleiben.
Was ein stiller Ausfall kostet
Ein Hackerangriff ist unangenehm, aber meistens sichtbar: Die Seite ist offensichtlich anders, und man weiß, dass etwas zu tun ist. Ein stiller Ausfall ist gefährlicher, weil er unsichtbar bleibt. Es gibt keinen Alarm, keinen roten Hinweis im Postfach. Es gibt nur, über Wochen verteilt, weniger Anfragen als sonst, und die lassen sich leicht auf eine ruhige Jahreszeit, den Sommer oder Zufall schieben, statt auf die eigentliche Ursache.
Wer gerade in dieser Zeit nach einem Unternehmen wie Ihrem sucht, findet Ihre Seite über die Suchmaschine, kommt bis zum Formular und bricht ab, ohne dass Sie je erfahren, dass er da war. Kein Anruf, keine Beschwerde, einfach nichts. Genau diese Anfragen sind aber die, um die es eigentlich geht: Kunden, die sich vorab informieren und dann über die Website den ersten Kontakt suchen.
So prüfen Sie es selbst, in fünf Minuten
Sie müssen dafür nicht warten, bis jemand anderes es für Sie tut:
- Melden Sie sich ab oder öffnen Sie ein privates Browserfenster. Nur so sehen Sie die Seite, die Ihre Besucher sehen, nicht die für Sie angepasste Ansicht.
- Rufen Sie Ihr Anfrageformular auf und füllen Sie es testweise vollständig aus, bis zum Absenden. Nicht nur den ersten Schritt anklicken, sondern bis zum Ende durchgehen.
- Achten Sie auf die Bestätigung. Erscheint keine, oder passiert beim Klick auf „Weiter“ nichts, wissen Sie es sofort, nicht erst, wenn Anfragen ausbleiben.
- Wiederholen Sie das nach jeder größeren Änderung an der Seite: nach Aktualisierungen, nach dem Einbau neuer Bausteine, nach dem Wechsel des Designs.
Der vierte Punkt ist der, an dem es in der Praxis meistens hakt. Eine einmalige Prüfung beim Start der Website beruhigt für den Moment, sagt aber nichts darüber, ob es in drei Monaten noch genauso funktioniert.
Was wirklich schützt: laufende Kontrolle statt einmaliger Prüfung
Eine Website einmal gründlich zu prüfen und dann für sicher zu erklären, reicht nicht. Software verändert sich: durch Aktualisierungen, durch neue Bausteine, durch automatische Vorschläge, die niemand bewusst eingeschaltet hat. Was heute funktioniert, kann nach dem nächsten Update anders aussehen, ohne dass jemand etwas verändert hat.
Deshalb reicht eine gute Website nicht aus. Es braucht eine laufende Beobachtung danach. Zwei Dinge gehören dazu:
- Ein täglicher Funktionstest, der prüft, was ein Besucher tatsächlich sieht, nicht nur, ob die Seite lädt, sondern ob die einzelnen Bausteine, allen voran das Anfrageformular, wirklich noch so funktionieren, wie sie sollen.
- Eine laufende Beobachtung der eingesetzten Software, damit sicherheitsrelevante Aktualisierungen nicht dem Zufall überlassen bleiben, sondern kontrolliert eingespielt und danach geprüft werden.
Wie viel davon für Ihre Website sinnvoll ist, kläre ich mit Ihnen individuell, zum Beispiel im Rahmen der Betreuung.
Nichts davon verhindert jede denkbare Störung. Aber es verkürzt die Zeit zwischen „etwas ist kaputtgegangen“ und „der Fehler ist bekannt“ von Wochen auf einen Tag. Genau diese Zeitspanne entscheidet darüber, wie viele Anfragen unterwegs verloren gehen.
Häufige Fragen zu Website-Sicherheit
Ist WordPress sicher genug für mein Unternehmen?
Ja, WordPress selbst ist ausreichend sicher, vorausgesetzt, es wird gepflegt. Das eigentliche Risiko liegt fast nie im Kernsystem, sondern in den zusätzlichen Bausteinen (Erweiterungen), die Formulare, Design oder Zustimmungsabfragen liefern. Genau die verändern sich am häufigsten durch Aktualisierungen.
Wie sicher ist meine Website vor Hackern?
Mit üblichen Schutzmaßnahmen wie verschlüsselter Verbindung, begrenzten Anmeldeversuchen, aktueller Software und gesperrten Systemdateien ist das Risiko eines gezielten Angriffs für ein kleines Unternehmen überschaubar. Häufiger als ein gezielter Angriff ist, wie oben beschrieben, ein unbeabsichtigter Ausfall durch ein reguläres Update.
Warum sind Erweiterungen ein Sicherheitsrisiko?
Weil jede zusätzliche Erweiterung eigenen Programmcode mitbringt, der sich unabhängig vom restlichen System verändert. Ein Update kann gut gemeint sein und trotzdem etwas verschieben, das vorher zusammenpasste. Genau das ist bei meinem eigenen Formular passiert.
Wie merke ich, wenn meine Website nicht mehr richtig funktioniert?
Am zuverlässigsten mit einem automatischen, täglichen Test, der die Seite so aufruft, wie es ein fremder Besucher tut, also nicht angemeldet. Nur so zeigt sich, ob ein Baustein wirklich funktioniert oder nur für Sie als Inhaberin oder Inhaber so aussieht.
Kann ein Cookie-Baustein meine eigene Website beeinträchtigen?
Ja, und das wird leicht übersehen. Zustimmungsabfragen werden oft automatisch vorgeschlagen, sobald ein System einen bestimmten Baustein erkennt, auch für Dinge, die gar keine Zustimmung brauchen, wie das eigene Kontaktformular. Wird das nicht regelmäßig kontrolliert, kann ein Formular monatelang unnötig hinter einer Zustimmungsabfrage stehen.
Wie oft sollte eine Website aktualisiert werden?
Sicherheitsrelevante Aktualisierungen zeitnah, andere kontrolliert statt automatisch im Hintergrund, gerade bei den Bausteinen, die tragende Funktionen wie das Anfrageformular betreffen. Automatische Aktualisierungen sind praktisch, sollten bei diesen zentralen Bausteinen aber mit einer Prüfung danach verbunden sein.
Wer kümmert sich um die Sicherheit meiner Website?
Bei einer selbst verwalteten Seite in der Regel Sie selbst oder Ihre Agentur, meist ohne feste Vereinbarung, wie oft geprüft wird. Sinnvoll ist eine laufende Betreuung, die Aktualisierungen kontrolliert einspielt und die zentralen Funktionen der Seite regelmäßig gegenprüft, statt nur auf Zuruf tätig zu werden.
Reicht eine einmalige Sicherheitsprüfung beim Start der Website?
Nein. Sie zeigt nur den Zustand an diesem einen Tag. Software verändert sich durch Aktualisierungen weiter, auch ohne dass jemand aktiv etwas umbaut. Deshalb sagt eine Prüfung von vor drei Monaten nichts über den heutigen Zustand aus.
Hängt Sicherheit auch vom Hosting-Anbieter ab?
Ja, wenn auch an anderer Stelle: Der Anbieter entscheidet über Serverschutz, Sicherungen und darüber, wo die Daten Ihrer Besucher liegen. Was DSGVO-konformes Hosting ausmacht und wie Sie das bei Ihrer eigenen Seite in zehn Minuten selbst nachprüfen, steht in einem eigenen Beitrag dazu.
