Website absichern: Backups, Updates und Sicherheit fuer kleine Unternehmen
Eine gehackte oder offline Website faellt selten zur passenden Zeit aus. Meistens merkst du es erst, wenn ein Kunde anruft oder Google deine Seite als unsicher markiert. Die gute Nachricht: Du brauchst kein eigenes IT-Team, um eine kleine Firmen-Website solide abzusichern. Drei Bausteine decken den groessten Teil des Risikos ab - Backups, Updates und ein paar Sicherheits-Grundlagen. Wir betreiben selbst sieben eigene Marken in Produktion und wenden genau diese Routinen taeglich an. Hier zeigen wir dir, was wirklich zaehlt und was du dir sparen kannst.
Backups: Deine wichtigste Versicherung
Ein Backup ist eine vollstaendige Kopie deiner Website - Dateien und Datenbank. Wenn etwas schiefgeht, spielst du diese Kopie zurueck und bist innerhalb von Minuten wieder online. Ohne Backup baust du im Ernstfall alles neu auf, oft tagelang und teuer.
Worauf es bei Backups ankommt:
- Regelmaessig und automatisch. Ein manuelles Backup, an das man denken muss, vergisst man. Taeglich oder woechentlich automatisiert ist Pflicht - je nachdem, wie oft sich Inhalte aendern.
- Extern gespeichert. Ein Backup auf demselben Server hilft nicht, wenn der Server ausfaellt. Sinnvoll ist eine Kopie an einem zweiten Ort, etwa Cloud-Speicher oder ein anderer Server.
- Getestet. Ein Backup, das sich nicht zurueckspielen laesst, ist wertlos. Probiere die Wiederherstellung mindestens einmal aus, bevor du sie wirklich brauchst.
- Mehrere Versionen. Behalte nicht nur das letzte Backup. Wird ein Fehler erst nach Tagen bemerkt, willst du auf einen aelteren, sauberen Stand zurueck.
Bei den meisten Baukasten-Anbietern und Hostern sind automatische Backups enthalten - pruefe, ob deiner sie bietet und wie weit sie zurueckreichen. Bei selbst gehosteten Seiten lohnt sich ein Plugin oder ein einfaches Server-Skript, das die Sicherung erledigt.
Updates: Die haeufigste Eintrittstuer schliessen
Die meisten gehackten Websites werden nicht gezielt angegriffen, sondern automatisiert ueber bekannte Luecken in veralteter Software. Wer Updates einspielt, schliesst diese Tueren, bevor sie ausgenutzt werden.
Bei einer typischen WordPress- oder CMS-Seite betrifft das drei Ebenen:
- Das System selbst - also WordPress, TYPO3 oder vergleichbares.
- Plugins und Erweiterungen - oft die groesste Schwachstelle, weil viele installiert und selten gepflegt werden.
- Das Theme - auch dein Design-Paket bekommt Sicherheits-Updates.
Ein ehrlicher Rat: Installiere nur Plugins, die du wirklich brauchst. Jedes zusaetzliche Plugin ist Code, der gepflegt werden muss. Loesche, was du nicht nutzt. Und mach vor groesseren Updates ein Backup - so kannst du zurueck, falls ein Update mal etwas zerschiesst.
Sicherheits-Grundlagen, die jede Seite haben sollte
Ein paar Basics kosten wenig und bringen viel:
- HTTPS per SSL-Zertifikat. Verschluesselt die Verbindung und ist heute Standard. Browser warnen sonst vor deiner Seite, und Google bewertet sie schlechter. Bei fast allen Hostern ist ein kostenloses Zertifikat (Let's Encrypt) integriert.
- Starke, einzigartige Passwoerter. Besonders fuer den Admin-Zugang. Ein Passwort-Manager nimmt dir das Merken ab.
- Zwei-Faktor-Authentifizierung fuer das Admin-Login, wo immer moeglich. Selbst ein gestohlenes Passwort reicht dann nicht aus.
- Kein Standard-Benutzername. Heisst dein Admin-Konto noch admin, hat ein Angreifer schon die halbe Arbeit erledigt.
- Aktuelle PHP-Version. Veraltete Server-Software ist eine stille Luecke, die viele uebersehen.
Eine Firewall oder ein Sicherheits-Plugin kann sinnvoll sein, ist fuer eine kleine Visitenkarten-Seite aber kein Muss. Wichtiger ist, dass die Basics stimmen. Spar dir teure Sicherheits-Suiten, solange das Fundament wackelt.
Was du wirklich brauchst - und was nicht
Sei ehrlich zu dir selbst, was dein Website-Typ ist. Eine reine Informationsseite ohne Login-Bereich und ohne Kundendaten hat ein deutlich geringeres Risiko als ein Shop oder ein Tool mit Nutzerkonten. Du musst nicht alles tun, was technisch moeglich ist.
Fuer eine kleine Firmen-Website reicht in der Regel:
- Automatische, extern gespeicherte Backups
- Regelmaessige Updates von System, Plugins und Theme
- HTTPS, starke Passwoerter und Zwei-Faktor-Login
Wenn du Inhalte sammelst, Zahlungen abwickelst oder Nutzerdaten speicherst, steigen die Anforderungen - dann kommen Themen wie Datenschutz, Logging und gehaertete Server dazu. Das ist machbar, aber kein Bastelprojekt nebenbei.
Selbst kuemmern oder warten lassen?
Backups, Updates und Sicherheit sind kein einmaliges Projekt, sondern eine Routine. Genau hier scheitern viele kleine Unternehmen: nicht am Wissen, sondern an der Kontinuitaet im Tagesgeschaeft. Wenn du die Aufgaben selbst uebernehmen willst, schreib dir feste Intervalle in den Kalender und halte dich daran. Wenn dir die Zeit fehlt oder die Seite geschaeftskritisch ist, ist eine betreute Wartung die ruhigere Loesung - dann laeuft das im Hintergrund, und du bekommst im Ernstfall jemanden ans Telefon, der weiss, wo das letzte saubere Backup liegt.
Brauchst du selbst eine Website, ein Tool oder eine SaaS?Wir bauen sie zum Festpreis - vom Team, das sieben eigene Marken live betreibt. Klarer Scope, klarer Preis, klarer Zeitrahmen.
Projekt startenLeistungen & Preise Zugänge und Passwörter richtig verwalten
Ein großer Teil aller gehackten Websites fällt nicht wegen einer besonders raffinierten Lücke, sondern wegen eines schwachen oder mehrfach verwendeten Passworts. Wer für das Admin-Konto der eigenen Website dasselbe Passwort nutzt wie für ein E-Mail-Postfach oder einen Onlineshop, gibt Angreifern nach einem Datenleck bei einem ganz anderen Anbieter automatisch Zugriff auf die eigene Seite. Ein Passwort-Manager verlangt am Anfang etwas Umgewöhnung, macht danach aber lange und für jeden Dienst einzigartige Passwörter zur Gewohnheit, ohne dass du dir Dutzende Kombinationen merken musst.
Genauso wichtig ist die Frage, wer überhaupt Zugriff auf den Admin-Bereich deiner Website hat. Jeder zusätzliche Nutzer-Account ist ein zusätzlicher möglicher Angriffspunkt, besonders wenn ehemalige Mitarbeiter oder externe Dienstleister ihren Zugang nach Projektende behalten. Räume regelmäßig auf: Lösche Konten, die niemand mehr braucht, vergib nur so viele Admin-Rechte wie nötig, und aktiviere, wo immer möglich, eine Zwei-Faktor-Authentifizierung. Diese Maßnahme allein blockiert einen großen Teil automatisierter Angriffsversuche, weil ein gestohlenes Passwort dann allein nicht mehr ausreicht.
Was zu tun ist, wenn deine Seite gehackt wurde
Ist der Ernstfall trotz aller Vorsicht eingetreten, zählt zuerst Ruhe statt Panik. Nimm die Seite offline oder setze sie in einen Wartungsmodus, damit Besucher nicht auf schadhafte oder veränderte Inhalte treffen. Ändere danach sofort alle Passwörter, die mit der Seite zu tun haben - Hosting, Admin-Bereich, Datenbank und alle verknüpften Konten, denn ein Angreifer, der einmal drin war, hat oft mehr als einen Zugang hinterlassen. Erst danach beginnt die eigentliche Aufräumarbeit.
Der sicherste Weg zurück ist ein sauberes Backup von vor dem Angriff, nicht das mühsame Durchsuchen aller Dateien nach schadhaftem Code, denn versteckte Hintertüren werden dabei leicht übersehen. Kannst du den Angriffszeitpunkt nicht sicher eingrenzen, hilft ein Vergleich mehrerer Backup-Versionen. Informiere anschließend deinen Hoster, denn viele erkennen betroffene Konten früh und unterstützen bei der Bereinigung. Wurden Kundendaten berührt, gehört eine ehrliche Einschätzung der Lage und gegebenenfalls eine Meldung dazu - das ist unangenehm, aber besser als Verschweigen.
Wie oft du wirklich prüfen solltest
Sicherheit ist kein Zustand, den du einmal herstellst und dann abhakst, sondern eine wiederkehrende Aufgabe. Ein realistischer Rhythmus für die meisten kleinen Websites: einmal wöchentlich einen Blick auf verfügbare Updates werfen, einmal im Monat prüfen, ob die automatischen Backups tatsächlich laufen und wiederherstellbar sind, und nach jeder größeren Änderung an der Seite testen, ob noch alles wie erwartet funktioniert. Wer das nicht selbst tracken will, trägt sich feste Termine im Kalender ein - sonst verschiebt sich die Prüfung im Tagesgeschäft immer wieder nach hinten.
Ein oft übersehener Punkt ist das Testen der Backups selbst. Ein Backup, das seit Monaten nie zurückgespielt wurde, ist kein verlässlicher Schutz, sondern eine Annahme. Spiele mindestens einmal probeweise eine Sicherung auf einer Testumgebung oder einer Kopie zurück, um sicherzugehen, dass die Datei tatsächlich vollständig und funktionsfähig ist. Erst dieser Test macht aus einer Datei auf einem Server eine echte Versicherung für den Ernstfall - alles andere ist Hoffnung, keine Absicherung.
Häufig gestellte Fragen
Wie oft sollte ich ein Backup meiner Website machen?
Das hängt davon ab, wie oft sich Inhalte ändern. Bei einem Shop mit täglichen Bestellungen sind tägliche Backups sinnvoll, bei einer selten aktualisierten Firmenseite reicht oft ein wöchentlicher Rhythmus. Wichtiger als die genaue Frequenz ist, dass die Backups zuverlässig laufen und regelmäßig getestet werden.
Reicht das automatische Backup meines Hosters aus?
Für viele kleine Websites ja, solange du geprüft hast, wie weit die Backups zurückreichen und ob du sie selbst zurückspielen kannst. Bei geschäftskritischen Seiten oder Shops lohnt sich zusätzlich eine unabhängige Sicherung, damit du nicht ausschließlich vom System eines einzigen Anbieters abhängst.
Woran erkenne ich, dass meine Website gehackt wurde?
Typische Anzeichen sind unerwartete Weiterleitungen, fremde Inhalte auf der Seite, eine Warnung von Google im Browser oder plötzlich stark veränderter Traffic. Auch eine Meldung deines Hosters über auffälligen Datenverkehr ist ein ernstzunehmendes Signal, dem du sofort nachgehen solltest.
Muss ich jedes Update sofort nach Erscheinen einspielen?
Bei sicherheitsrelevanten Updates ja, denn Angreifer nutzen bekannte Lücken oft innerhalb weniger Tage nach deren Veröffentlichung automatisiert aus. Bei reinen Funktions-Updates kannst du dir etwas mehr Zeit lassen und vorher ein Backup anlegen, falls etwas nicht wie erwartet funktioniert.
Brauche ich für eine kleine Website ein SSL-Zertifikat?
Ja, ein SSL-Zertifikat gehört heute zur Grundausstattung jeder Website, unabhängig von der Größe. Ohne verschlüsselte Verbindung warnen Browser Besucher direkt vor der Seite, und Formulareingaben würden unverschlüsselt übertragen. Die meisten Hoster stellen es inzwischen kostenlos und automatisch bereit.
Was ist der Unterschied zwischen einem Backup und einer Versionierung?
Ein Backup ist eine vollständige Kopie der gesamten Website zu einem bestimmten Zeitpunkt, die im Ernstfall alles zurücksetzt. Eine Versionierung verfolgt dagegen einzelne Änderungen an Dateien oder Code über die Zeit und eignet sich eher für die Entwicklung als für die Notfall-Wiederherstellung.
Sollte ich mich selbst um die Sicherheit kümmern oder das abgeben?
Das hängt von deiner verfügbaren Zeit und dem Risiko deiner Seite ab. Wer die nötigen Routinen zuverlässig einhält, kann das selbst übernehmen. Fehlt die Zeit oder verarbeitet die Seite sensible Daten, ist eine betreute Wartung meist die entspanntere und sicherere Lösung.