Ist meine Website sicher? Ein 15-Minuten-Check für Unternehmer

Ihre Website haben Sie wahrscheinlich nicht selbst gebaut. Jemand hat sie vor ein paar Jahren eingerichtet, seitdem läuft sie, und solange das Kontaktformular E-Mails verschickt und der Shop Bestellungen annimmt, haben Sie keinen Grund, unter die Motorhaube zu schauen.

Die meisten Inhaber denken erst an Sicherheit, wenn etwas schiefgeht: Ein Kunde erwähnt eine seltsame Weiterleitung, Google zeigt eine Warnung oder der Hoster sperrt das Konto. Dann kostet die Reparatur mehr, und der Schaden ist schon da.

Viele Probleme können Sie früher erkennen, ganz ohne technisches Wissen. Unten stehen sechs Prüfungen, die zusammen etwa eine Viertelstunde dauern. Keine davon berührt Ihren Code, und keine kann etwas kaputt machen.

1. Sehen Sie Ihre Website so, wie Google sie sieht

Öffnen Sie Google und geben Sie site:ihredomain.de ein, mit Ihrer eigenen Adresse. Sie erhalten eine Liste aller Seiten Ihrer Website, die Google kennt.

Scrollen Sie durch. Sie suchen nach Seiten, die Sie nicht kennen: Produktnamen, die Sie nie verkauft haben, Text auf Japanisch oder Chinesisch, Links zu Arzneimitteln, Casinos oder Krediten. Gehackten Websites werden oft unbemerkt Tausende solcher Spam-Seiten hinzugefügt, weil der Angreifer sich den Ruf Ihrer Website in den Suchergebnissen leihen will. Google hat sogar eine Anleitung zu einer verbreiteten Variante davon, dem sogenannten Japanese Keyword Hack.

Wenn Sie Zugang zur Google Search Console haben, öffnen Sie links den Bericht Sicherheitsprobleme. Google führt dort alles auf, was es auf Ihrer Website markiert hat. Ein leerer Bericht ist eine gute Nachricht.

2. Prüfen Sie, ob das Schloss echt ist

Klicken Sie im Browser auf das Schloss neben Ihrer Adresse und öffnen Sie die Zertifikatsdetails. Achten Sie auf das Ablaufdatum. Bei den meisten Hosting-Tarifen verlängern sich Zertifikate automatisch, aber auf das Wort „meisten“ kommt es in diesem Satz an. Ein abgelaufenes Zertifikat zeigt Ihren Besuchern eine Warnung über die ganze Seite.

Geben Sie Ihre Adresse dann von Hand mit http:// statt https:// ein, und noch einmal mit und ohne www. Alle vier Varianten sollten auf derselben sicheren Adresse landen. Bleibt eine davon auf einfachem http, senden die Formulare in dieser Variante Daten unverschlüsselt.

3. Finden Sie heraus, wann zuletzt aktualisiert wurde

Wenn Ihre Website mit WordPress läuft und Sie sich anmelden können, öffnen Sie Dashboard > Aktualisierungen. Notieren Sie drei Dinge: die WordPress-Version, wie viele Plugins auf ein Update warten und ob für das Theme eines ansteht.

Ein Plugin, das seit einem Jahr nicht aktualisiert wurde, ist der häufigste Weg in eine WordPress-Website. Patchstack, ein Unternehmen, das Sicherheitslücken in WordPress verfolgt, berichtet Jahr für Jahr, dass die große Mehrheit der neuen Lücken in Plugins steckt und nicht in WordPress selbst.

Öffnen Sie bei der Gelegenheit die Seite Plugins. Alles, was als inaktiv markiert ist, liegt trotzdem auf Ihrem Server. Seine Dateien sind oft direkt erreichbar, egal ob es eingeschaltet ist oder nicht. Wenn Sie ein Plugin nicht nutzen, lassen Sie es löschen und nicht nur deaktivieren.

4. Zählen Sie die Personen, die sich anmelden können

Öffnen Sie im Adminbereich Benutzer und filtern Sie nach Administrator. Fragen Sie sich bei jedem Namen, ob diese Person noch mit Ihnen arbeitet.

Ehemalige Mitarbeiter, eine Agentur, von der Sie sich vor zwei Jahren getrennt haben, ein Freelancer, der einen einzigen Fehler behoben hat: Solche Konten leben gern ewig. Jedes davon ist ein Passwort, das Sie nicht kontrollieren und das anderswo geleakt sein kann. Entfernen Sie die, die Sie nicht brauchen, und sorgen Sie dafür, dass die verbleibenden die Zwei-Faktor-Anmeldung nutzen.

5. Prüfen Sie, wer in Ihrem Namen E-Mails senden kann

Öffnen Sie einen kostenlosen Checker wie MXToolbox, wählen Sie die DMARC-Abfrage und geben Sie Ihre Domain ein. Machen Sie dasselbe für SPF.

Fehlt DMARC, kann jeder eine E-Mail senden, die aussieht, als käme sie von Ihrer Adresse. Ihre Kunden sehen den Unterschied nicht, und eine gefälschte Rechnung mit Ihrem Logo, auf der Ihre Bankverbindung gegen eine fremde ausgetauscht wurde, ist eine der häufigsten Betrugsmaschen gegen kleine Unternehmen. Seit 2024 erwarten Gmail und Yahoo außerdem DMARC von allen, die E-Mails in großen Mengen versenden, ein fehlender Eintrag schadet also auch Ihren echten Newslettern.

Ein Eintrag mit p=none existiert zwar, beobachtet aber nur. Erst p=quarantine oder p=reject schützt Sie wirklich. Die Umstellung ist Aufgabe dessen, der Ihre Domain verwaltet, und dauert Minuten, sobald SPF und DKIM eingerichtet sind.

6. Fragen Sie, wo die Backups liegen

Das ist eine Frage, kein Klick. Fragen Sie den, der Ihre Website betreut, wo die Backups gespeichert sind.

Lautet die Antwort „in einem Ordner auf demselben Server“, lohnt sich ein zweites Gespräch. Eine Backup-Datei im Website-Ordner mit einem Namen wie backup.zip oder site-old.tar.gz kann jeder herunterladen, der die Adresse errät. Sie enthält Ihre ganze Website, oft samt Kundendatenbank und dem Passwort dazu. Bots probieren diese Dateinamen auf jeder Website aus, die sie besuchen.

Gute Backups liegen woanders, laufen nach Plan, und jemand hat mindestens einmal versucht, eines wiederherzustellen.

Was diese Prüfungen nicht zeigen

Die sechs Prüfungen oben decken ab, was Sie von Ihrem Schreibtisch aus sehen. Was ein Werkzeug braucht, entgeht ihnen: ob Ihre Formulare Eingaben annehmen, die sie ablehnen sollten, alte JavaScript-Bibliotheken mit bekannten Lücken, vergessene Test-Subdomains, offene Server-Ports oder Konfigurationsdateien, die jeder lesen kann.

Für diese Lücke habe ich ShieldWave gebaut. Sie geben Ihre Adresse ein, und in etwa 90 Sekunden führt es mehr als 20 solcher Prüfungen von außen durch, so wie ein Angreifer es täte. Der Bericht erklärt jeden Befund in einfachen Worten, sortiert sie danach, was diese Woche, diesen Monat und später zu beheben ist, und liefert eine fertige Aufgabenbeschreibung, die Sie an Ihren Entwickler weiterleiten. Die erste Prüfung ist kostenlos und braucht kein Konto.

Fünf Fragen an den, der Ihre Website betreut

Sie müssen die Antworten nicht im Detail verstehen. Sie müssen hören, dass sich jemand darüber Gedanken gemacht hat.

1. Wann wurden WordPress, das Theme und die Plugins zuletzt aktualisiert, und wer macht das?
2. Wo liegen die Backups, wie oft laufen sie, und haben Sie schon einmal eines wiederhergestellt?
3. Wer hat gerade Administratorzugang?
4. Sind SPF, DKIM und DMARC für unsere Domain eingerichtet, und steht DMARC auf quarantine oder reject?
5. Wenn die Website morgen gehackt würde, was würden Sie als Erstes tun, und wie würde ich davon erfahren?

Kommen die Antworten vage zurück, sagt Ihnen auch das etwas. Sicherheit auf der Website eines kleinen Unternehmens ist regelmäßige Wartung, ähnlich wie die Inspektion beim Auto. Sie braucht selten ein großes Budget. Sie braucht jemanden, der nach Plan hinschaut, und Sie wissen jetzt, worauf Sie ihn schauen lassen.