Website-Sicherheit für KMU: Was wirklich zählt

Viele Inhaber kleiner Firmen gehen davon aus, dass ihre Website zu unbedeutend ist, um angegriffen zu werden. Das stimmt so nicht. Die meisten Angriffe laufen automatisiert ab: Programme durchsuchen das Internet nach Websites mit bekannten Lücken und nutzen diese aus. Ob dahinter eine Schreinerei aus dem Emmental oder ein Konzern steht, spielt für den Angreifer keine Rolle.

Was bei einem Angriff tatsächlich passiert

Selten geht es darum, Ihre Firma gezielt zu schädigen. Häufiger wird Ihre Website missbraucht: Es werden Spam-Seiten eingeschleust, Besucher auf fragwürdige Angebote weitergeleitet oder der Server für den Versand von Massenmails verwendet.

Die Folgen merken Sie oft erst spät. Google markiert die Seite als unsicher, Browser zeigen eine Warnung an, und E-Mails von Ihrer Domain landen im Spam-Ordner. Bis das wieder bereinigt ist, vergehen Tage.

Updates sind die wichtigste Massnahme

Wenn Ihre Website auf WordPress, TYPO3 oder einem ähnlichen System läuft, besteht sie aus vielen Einzelteilen: dem Kernsystem, dem Design-Template und diversen Erweiterungen. Für jedes dieser Teile erscheinen regelmässig Updates, und ein grosser Teil davon schliesst Sicherheitslücken.

Problematisch wird es, wenn eine Seite einmal aufgesetzt und dann jahrelang nicht angefasst wurde. Genau solche Websites finden die automatisierten Scanner. Klären Sie darum konkret ab, wer bei Ihnen für Updates zuständig ist – und ob das auch tatsächlich jemand macht.

Passwörter und Zugänge

Ein erheblicher Teil der Einbrüche passiert nicht über eine technische Lücke, sondern über ein schwaches Passwort. Drei Punkte, die ohne Aufwand umsetzbar sind:

• Für jeden Dienst ein eigenes, langes Passwort – verwaltet in einem Passwortmanager, nicht in einer Excel-Datei.
• Zwei-Faktor-Authentifizierung aktivieren, wo es möglich ist. Das gilt besonders für den Website-Login und das Hosting-Konto.
• Zugänge von ehemaligen Mitarbeitenden oder früheren Dienstleistern löschen. Diese bleiben oft jahrelang aktiv.

Backups: der Unterschied zwischen Ärger und Katastrophe

Kein Schutz ist vollständig. Entscheidend ist deshalb, wie schnell Sie wieder online sind. Ein brauchbares Backup erfüllt drei Bedingungen: Es läuft automatisch, es liegt nicht auf demselben Server wie die Website, und es wurde mindestens einmal testweise zurückgespielt.

Der dritte Punkt wird am häufigsten übersprungen. Ein Backup, das noch nie wiederhergestellt wurde, ist ein Versprechen – keine Sicherheit.

HTTPS und Hosting

Ein SSL-Zertifikat (erkennbar am «https» in der Adresszeile) sollte heute selbstverständlich sein. Es verschlüsselt die Verbindung zwischen Besucher und Server und ist bei seriösen Hostern kostenlos enthalten. Es schützt allerdings nur die Übertragung – nicht die Website selbst vor Einbrüchen.

Beim Hosting lohnt sich ein Blick darauf, ob aktuelle PHP-Versionen angeboten werden und wie der Anbieter mit Sicherheitsvorfällen umgeht. Sehr günstige Angebote sparen oft genau hier.

Ein realistischer Mindeststandard

Für eine typische KMU-Website reicht es, wenn vier Dinge geregelt sind: regelmässige Updates, saubere Zugänge mit Zwei-Faktor-Schutz, getestete Backups ausserhalb des Servers und ein Hoster, der seinen Teil erledigt. Das ist kein grosses Projekt, sondern eine Frage der Zuständigkeit.

Wenn Sie nicht wissen, wann Ihre Website zuletzt aktualisiert wurde, ist das der Punkt, an dem Sie anfangen sollten.