Wie Sie mit Ihrem Entwickler über die Sicherheit Ihrer Website sprechen

Vor Ihnen liegt ein Sicherheitsbericht, eine E-Mail Ihres Hosters oder die Nachricht eines Kunden, dass etwas seltsam aussieht. Sie wissen nicht genau, wie ernst es ist. Sie wollen nicht ahnungslos klingen und nicht für Arbeit bezahlen, die nie nötig war.

Für ein gutes Gespräch mit Ihrem Entwickler brauchen Sie kein technisches Wissen. Sie brauchen Struktur: eine klare Bitte, einen festen Termin und einen Weg, zu prüfen, dass die Arbeit erledigt ist. So setzen Sie das zusammen.

Was in die erste Nachricht gehört

Ein Entwickler arbeitet am schnellsten, wenn er drei Dinge gleich am Anfang bekommt.

Den Befund im Wortlaut der Quelle. Kopieren Sie den Namen des Problems genau so, wie der Bericht oder der Hoster ihn geschrieben hat. Formulieren Sie nicht um. „Sicherungsdatei öffentlich zugänglich“ sagt einem Entwickler weit mehr als „mit den Sicherungen stimmt etwas nicht“.

Die genaue Adresse. Nicht „auf der Website“, sondern die vollständige Adresse der Seite oder Datei, zum Beispiel https://ihredomain.de/backup.zip.

Die Belege. Ein Screenshot mit sichtbarem Datum, der vollständige Bericht im Anhang, die weitergeleitete E-Mail Ihres Hosters. So muss niemand raten, was Sie gesehen haben.

Die ganze Nachricht kann so kurz sein:

Betreff: ihredomain.de, Sicherungsdatei öffentlich zugänglich

Hallo Herr Wagner, eine Sicherheitsprüfung am 2. September hat ergeben, dass sich eine Sicherung der Website unter https://ihredomain.de/backup.zip herunterladen lässt. Screenshot und vollständiger Bericht hängen an. Können Sie bestätigen, ob das stimmt, und mir ein Angebot und einen Termin für die Behebung schicken? Wenn Sie es für einen Fehlalarm halten, schreiben Sie mir bitte in zwei, drei Sätzen, warum.

Was Sie nicht schicken: Passwörter im Text einer E-Mail. Braucht Ihr Entwickler Zugang zum Backend, legen Sie ihm ein eigenes Konto an, das sich später leicht entfernen lässt.

Fragen Sie nach Angebot und Termin, nicht nach „mal kurz drüberschauen“

„Schauen Sie mal kurz drüber, wenn Sie Zeit haben“ ist eine Bitte, die monatelang warten kann. Fragen Sie stattdessen nach vier konkreten Dingen: was genau gemacht wird, was es kostet oder wie viele Stunden es dauert, bis wann, und ob dabei etwas aufhören könnte zu funktionieren.

Die letzte Frage ist wichtiger, als sie scheint. Ein altes Plugin zu aktualisieren kann einfach sein oder Änderungen am Theme nach sich ziehen. Besser, Sie wissen das vorher, als an einem Freitagabend festzustellen, dass das Bestellformular nicht mehr geht.

Zahlen Sie Ihrem Entwickler eine monatliche Pauschale, fragen Sie, ob die Behebung darin enthalten ist oder als gesonderte Arbeit zählt. Bei allem Ernsten bitten Sie ihn, zwei Dinge zu trennen: das Symptom beseitigen und die Ursache schließen. Eine schädliche Datei zu löschen, ohne herauszufinden, wie sie auf den Server kam, ist eine Behebung, die etwa eine Woche hält.

Vereinbaren Sie, was diese Woche, diesen Monat und später passiert

Nicht alles ist dringend, und wer alles auf einmal beheben will, erledigt meist nichts richtig. Drei Zeiträume haben sich bewährt.

Diese Woche gehört alles, was jemand sofort ausnutzen könnte oder was Daten offenlegt: eine Sicherungs- oder Konfigurationsdatei, die jeder herunterladen kann, ein Plugin mit einer bekannten Lücke, die aktiv ausgenutzt wird, eine Warnung von Google, ein abgelaufenes Zertifikat, ein Administratorkonto, das niemand kennt, ein Formular, das Daten unverschlüsselt sendet.

Diesen Monat gehören überfällige Updates ohne bekannten aktiven Angriff, ein fehlender DMARC-Eintrag oder einer mit p=none, fehlende Sicherheitsheader und alte Konten ehemaliger Mitarbeiter oder Dienstleister.

Später gehört, was die Hürde erhöht, aber niemandem schadet, wenn es ein paar Wochen wartet: Versionsnummern verbergen, eine Content Security Policy feinjustieren, zu besserem Hosting wechseln.

Ihr Entwickler sieht die Reihenfolge vielleicht anders, und es lohnt sich zu hören, warum. Die letzte Entscheidung liegt aber bei Ihnen, denn Sie tragen das Risiko und bezahlen die Folgen.

So prüfen Sie, ob die Behebung erledigt ist

„Erledigt“ in einer E-Mail reicht nicht. Bitten Sie um eine kurze Notiz: was geändert wurde, wo und wann. Zwei Sätze genügen, solange sie schriftlich sind.

Manches können Sie selbst prüfen. War das Problem eine Sicherungsdatei, sollte ihre Adresse jetzt einen Fehler zeigen statt einen Download zu starten. War es das Zertifikat, zeigt das Schloss in Ihrem Browser ein neues Ablaufdatum. Waren es Updates, sollte auf der Seite Plugins in WordPress nichts mehr in der Warteschlange stehen.

Die einfachste Prüfung ist, denselben Test zu wiederholen, der das Problem gefunden hat, und die Ergebnisse zu vergleichen. Ist der Befund aus dem Bericht verschwunden, haben Sie Ihre Bestätigung. Wenn nicht, haben Sie einen konkreten Grund, das Gespräch wieder aufzunehmen.

Bewahren Sie die gesamte Korrespondenz in einem Ordner auf. Das hilft bei der nächsten Behebung, und falls jemals Daten abfließen, zeigt es, dass Sie sich um die Sicherheit gekümmert haben. Genau das müssen Sie nach der DSGVO nachweisen können.

Was ein vernünftiger Wartungsplan umfasst

Einmalige Behebungen löschen Brände. Damit sie gar nicht erst entstehen, braucht eine Website regelmäßige Pflege. Ein vernünftiger monatlicher Umfang für die Website eines kleinen Unternehmens sieht so aus:

• Updates von CMS, Theme und Plugins mindestens einmal im Monat, dringende Sicherheitspatches früher, und nach jedem Update eine Prüfung der Website,
• Sicherungen außerhalb des Servers, mit einer gelegentlichen Testwiederherstellung,
• Überwachung, dass die Website erreichbar ist und das Zertifikat nicht kurz vor dem Ablauf steht,
• eine Durchsicht der Konten, die sich im Backend anmelden können,
• eine regelmäßige Sicherheitsprüfung von außen,
• eine kurze monatliche Zusammenfassung: was erledigt wurde und was Ihre Entscheidung braucht,
• eine vereinbarte Reaktionszeit und ein Kontaktweg für den Fall eines Einbruchs.

Die Preise unterscheiden sich stark, vergleichen Sie also den Leistungsumfang und nicht nur den Monatsbetrag. Und stellen Sie eines sicher, egal was im Vertrag steht: Domain und Hosting sollten auf Ihr Unternehmen registriert sein, und Sie sollten ein eigenes Administratorkonto haben. Endet die Zusammenarbeit, dürfen Sie nicht aus Ihrer eigenen Website ausgesperrt sein.

Warnsignale in den Antworten

Sie müssen die Website nicht technisch beurteilen können, um Antworten zu erkennen, die Sie stutzig machen sollten:

• „WordPress ist sicher, da ist nichts zu tun.“
• „Wir aktualisieren nicht, weil sonst etwas kaputtgehen könnte.“ Manchmal stimmt das, dann ist die Antwort aber eine Staging-Kopie der Website, auf der Updates zuerst getestet werden, und nicht der Verzicht auf Updates.
• „Die Sicherungen liegen auf dem Server.“ Ist damit derselbe Server gemeint, auf dem die Website läuft, nimmt ein Einbruch oder Ausfall sie zusammen mit der Website mit.
• „Schicken Sie mir einfach Ihr Passwort.“ Jeder sollte ein eigenes Konto haben.
• „Das ist ein Fehlalarm“, ohne Erklärung.
• „Ich kümmere mich darum“, ohne Termin.
• Zögern, Ihnen Zugang zu Ihrem eigenen Hosting, Ihrer Domain oder Ihrem Backend zu geben.

Ein guter Entwickler nimmt Fragen nicht persönlich, denn klare Fragen machen es leichter, den Umfang zu vereinbaren und dafür bezahlt zu werden. Kommen die Antworten vage oder abwehrend zurück, sagt Ihnen auch das etwas, und das sollten Sie vor dem nächsten Vertrag im Kopf haben.