Webseiten-Sicherheitscheck: So prüfen Sie, ob Ihre Webseite sicher ist

Warum jede Firmen-Webseite einen Sicherheitscheck braucht

„Wer sollte ausgerechnet uns angreifen?“ — diesen Satz hören wir oft. Die ehrliche Antwort: niemand persönlich. Und genau das ist das Problem. Die große Mehrheit der Angriffe auf Webseiten wird von Programmen ausgeführt, die das Internet rund um die Uhr nach bekannten Schwachstellen absuchen. Ob dahinter ein Handwerksbetrieb aus Oldenburg oder ein Konzern steht, ist diesen Programmen gleichgültig.

Die Zahlen sprechen eine deutliche Sprache: Laut Bitkom entstand der deutschen Wirtschaft zuletzt ein Schaden von rund 267 Milliarden Euro pro Jahr durch Datendiebstahl, Sabotage und Spionage — und rund acht von zehn Unternehmen waren betroffen.¹ Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt zudem hunderttausende neue Schadprogramm-Varianten — pro Tag.²

Für kleine und mittlere Unternehmen ist eine gehackte Webseite dabei oft teurer als für Konzerne — nicht in absoluten Zahlen, aber relativ: Es fehlen die IT-Abteilung, der Notfallplan und das Budget für die schnelle Wiederherstellung. Umso wichtiger ist, dass es gar nicht erst so weit kommt.

Die gute Nachricht: Die häufigsten Einfallstore lassen sich ohne Fachwissen erkennen. Gehen Sie die folgenden sieben Schritte durch — Sie brauchen dafür nur Ihren Browser und etwa 30 Minuten Zeit.

Schritt 1: SSL-Verschlüsselung prüfen

Der schnellste Check zuerst: Rufen Sie Ihre Webseite auf und schauen Sie in die Adresszeile des Browsers. Beginnt die Adresse mit https:// und zeigt der Browser ein Schloss-Symbol? Dann werden Daten zwischen Ihren Besuchern und Ihrer Webseite verschlüsselt übertragen.

Prüfen Sie zusätzlich drei Dinge, die gern übersehen werden:

• Weiterleitung: Tippen Sie Ihre Adresse bewusst mit http:// (ohne s) ein. Landen Sie automatisch auf der verschlüsselten Version? Wenn nicht, existiert Ihre Webseite doppelt — einmal sicher, einmal nicht.
• Gültigkeit: Ein Klick auf das Schloss-Symbol zeigt, wie lange das Zertifikat noch gültig ist. Abgelaufene Zertifikate erzeugen abschreckende Warnmeldungen bei Ihren Besuchern.
• Mischinhalte: Warnt der Browser vor „nicht sicheren Inhalten“, laden einzelne Elemente (oft alte Bilder) noch unverschlüsselt.

Wie wichtig Verschlüsselung für Vertrauen und Sichtbarkeit bei Google ist, haben wir im Ratgeber 5 Gründe für SSL-Verschlüsselung ausführlich beschrieben.

Schritt 2: Software und Erweiterungen

Veraltete Software ist das mit Abstand häufigste Einfallstor bei Firmen-Webseiten. Das betrifft drei Ebenen: das Content-Management-System selbst (bei den meisten KMU ist das WordPress), die installierten Erweiterungen (Plugins) und das Design (Theme).

Jede veröffentlichte Sicherheitsaktualisierung ist zugleich eine öffentliche Bekanntmachung der geschlossenen Lücke. Angreifer wissen also genau, wonach sie bei Webseiten suchen müssen, die das Update noch nicht eingespielt haben. So prüfen Sie den Stand:

1. Melden Sie sich im Verwaltungsbereich Ihrer Webseite an.
2. Prüfen Sie die Update-Übersicht: Wie viele Aktualisierungen stehen aus — und seit wann?
3. Suchen Sie nach Erweiterungen, die Sie gar nicht mehr nutzen. Auch ein deaktiviertes Plugin kann eine Lücke enthalten. Was nicht gebraucht wird, gehört gelöscht.
4. Prüfen Sie bei jeder Erweiterung, wann sie zuletzt vom Hersteller aktualisiert wurde. Liegt das Jahre zurück, wird sie vermutlich nicht mehr gepflegt — Zeit für eine Alternative.

Warum regelmäßige Aktualisierungen so entscheidend sind, erläutern wir im Ratgeber Warum regelmäßige WordPress-Updates so wichtig sind.

Schritt 3: Zugänge und Passwörter

Die beste Technik nützt nichts, wenn die Haustür offen steht. Stellen Sie sich ehrlich diese Fragen:

• Wer hat aktuell Zugang zum Verwaltungsbereich Ihrer Webseite — und braucht jede dieser Personen ihn noch? Ehemalige Mitarbeiter, frühere Dienstleister und Praktikanten von vor drei Jahren gehören nicht dazu.
• Heißt Ihr Administrator-Konto admin? Das ist der erste Benutzername, den automatisierte Angriffe durchprobieren.
• Ist das Passwort ein echtes Zufallspasswort — oder Firmenname plus Jahreszahl?
• Nutzen Sie eine Zwei-Faktor-Authentifizierung? Der zweite Faktor (etwa ein Code auf dem Smartphone) macht gestohlene Passwörter weitgehend wertlos.

Schritt 4: Backups — Ihre Lebensversicherung

Eine unbequeme Wahrheit: Hundertprozentige Sicherheit gibt es nicht. Deshalb entscheidet im Ernstfall nicht die Frage, ob Sie ein Backup haben, sondern ob es brauchbar ist. Prüfen Sie vier Punkte:

1. Existenz: Gibt es überhaupt automatische Sicherungen — und zwar von Datenbank und Dateien?
2. Häufigkeit: Wie alt dürfte die letzte Sicherung im schlimmsten Fall sein? Bei einer Webseite mit Kontaktformular und Blog sollte täglich gesichert werden.
3. Speicherort: Liegt das Backup auf demselben Server wie die Webseite, ist es bei einem erfolgreichen Angriff ebenfalls verloren. Mindestens eine Kopie gehört an einen anderen Ort.
4. Wiederherstellung: Haben Sie jemals getestet, ob sich die Webseite aus dem Backup wiederherstellen lässt? Ein ungetestetes Backup ist ein Versprechen, kein Schutz.

Schritt 5: Formulare und Datenschutz

Sicherheit hat auch eine rechtliche Seite. Sobald Ihre Webseite personenbezogene Daten verarbeitet — und das tut sie spätestens beim Kontaktformular — greifen die Vorgaben der DSGVO. Prüfen Sie:

• Werden Formulardaten ausschließlich verschlüsselt übertragen (siehe Schritt 1)?
• Fragt das Formular nur ab, was Sie wirklich brauchen? Jedes Pflichtfeld ist ein Datenschutzrisiko und eine Hürde für Interessenten zugleich.
• Ist Ihre Datenschutzerklärung aktuell und nennt sie alle tatsächlich eingesetzten Dienste — auch das Kartenmaterial, die eingebetteten Videos und das Statistik-Werkzeug?
• Lädt Ihre Webseite Schriften und Skripte von fremden Servern nach? Das kann nicht nur ein Datenschutzproblem sein, sondern öffnet auch eine Angriffsfläche, wenn der fremde Server kompromittiert wird.

Schritt 6: Malware- und Blacklist-Check

Eine kompromittierte Webseite sieht für den Betreiber oft völlig normal aus. Schadcode versteckt sich, verschickt im Hintergrund Spam oder leitet nur bestimmte Besucher auf Betrugsseiten um. Zum Glück gibt es kostenlose Prüfdienste, die Ihre Webseite von außen betrachten:

• Google Safe Browsing: Zeigt, ob Google Ihre Webseite als gefährlich einstuft — mit direkten Folgen für Ihre Sichtbarkeit in der Suche.
• Sucuri SiteCheck: Scannt öffentlich sichtbare Bereiche auf bekannte Schadsoftware und prüft gängige Sperrlisten.
• SSL Labs Server Test: Bewertet die Qualität Ihrer Verschlüsselung mit einer Schulnote von A+ bis F.

Wichtig zur Einordnung: Diese Werkzeuge prüfen von außen. Ein sauberes Ergebnis heißt nicht, dass im Inneren alles in Ordnung ist — ein schlechtes Ergebnis ist aber immer ein Alarmsignal, das sofortiges Handeln erfordert.

Schritt 7: Das Hosting-Fundament

Ein Teil der Sicherheit liegt gar nicht in Ihrer Hand, sondern beim Anbieter, auf dessen Servern Ihre Webseite läuft. Ein Blick in Ihren Hosting-Vertrag (oder eine kurze Anfrage beim Anbieter) beantwortet die entscheidenden Fragen:

• Läuft der Server mit aktuellen Versionen der Server-Software, oder werden längst abgekündigte Versionen weiterbetrieben?
• Sind serverseitige Sicherungen im Vertrag enthalten — und wie lange werden sie aufbewahrt?
• Gibt es eine Firewall für Web-Anwendungen und einen Schutz gegen Überlastungsangriffe?
• Steht das Rechenzentrum in Deutschland oder der EU? Für die DSGVO-Konformität ist das der einfachste Weg.

Billig-Hosting für wenige Euro im Monat spart an genau diesen Punkten. Der Preisunterschied zu einem soliden Anbieter ist kleiner als eine einzige Stunde Krisenbewältigung.

Warnzeichen: Wurde Ihre Webseite bereits gehackt?

Manchmal ist der Ernstfall schon eingetreten, ohne dass es jemand bemerkt hat. Diese Signale sollten Sie hellhörig machen:

• Ihre Webseite wird plötzlich deutlich langsamer, ohne dass Sie etwas geändert haben.
• In den Suchergebnissen erscheinen zu Ihrer Webseite fremde Inhalte — etwa Werbung für Medikamente oder Glücksspiel.
• Browser oder Virenscanner warnen Besucher vor Ihrer Webseite.
• Im Verwaltungsbereich tauchen Benutzerkonten auf, die niemand angelegt hat.
• Kunden berichten von merkwürdigen E-Mails, die scheinbar von Ihnen stammen.
• Die Google Search Console meldet Sicherheitsprobleme oder manuelle Maßnahmen.

Was tun im Ernstfall?

Wenn sich der Verdacht bestätigt, zählt Reihenfolge mehr als Tempo:

1. Ruhe bewahren und dokumentieren: Machen Sie Bildschirmfotos von allem Auffälligen. Das hilft bei der Bereinigung und ist wichtig, falls Meldepflichten bestehen.
2. Passwörter ändern: Alle Zugänge — Verwaltungsbereich, Hosting, Datenbank, FTP — von einem garantiert sauberen Gerät aus.
3. Webseite offline nehmen: Eine Wartungsseite ist unangenehm. Besucher auf einer verseuchten Webseite sind schlimmer.
4. Hosting-Anbieter informieren: Gute Anbieter unterstützen bei der Analyse und stellen saubere Backups bereit.
5. Sauberes Backup einspielen und Lücke schließen: Die Wiederherstellung allein genügt nicht — ohne Schließen des Einfallstors ist der nächste Angriff eine Frage von Tagen.
6. Meldepflichten prüfen: Wurden personenbezogene Daten kompromittiert, kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden Pflicht sein. Im Zweifel rechtlichen Rat einholen.

Fazit: Einmal prüfen reicht nicht

Ein Sicherheitscheck ist kein Projekt, das man abschließt, sondern eine Routine. Neue Schwachstellen entstehen täglich; was heute sicher ist, kann in drei Monaten offen sein. Unsere Empfehlung: Gehen Sie die sieben Schritte zweimal im Jahr durch — und nach jeder größeren Änderung an der Webseite.

Und ein ehrliches Wort zum Schluss: Wir sind keine Cyber-Boutique und kein Ersatz für forensische Spezialisten bei großen Sicherheitsvorfällen. Was wir können: dafür sorgen, dass es bei den Webseiten unserer Auftraggeber gar nicht erst so weit kommt — mit gepflegter Technik, aktuellen Systemen, geprüften Backups und einem Hosting-Fundament, das seinen Namen verdient. Genau das leisten unsere Wartung und Pflege und unser Leistungsbereich Digitale Sicherheit. Wenn Sie bei einem der sieben Schritte ins Stocken geraten sind: Sprechen Sie uns an — die Erstprüfung Ihrer Webseite übernehmen wir kostenfrei.

Quellen

1. Bitkom e. V.: Studie Wirtschaftsschutz 2024, August 2024. bitkom.org
2. Bundesamt für Sicherheit in der Informationstechnik: Die Lage der IT-Sicherheit in Deutschland 2024. bsi.bund.de
3. Allianz Commercial: Allianz Risk Barometer 2025 — Cybervorfälle als weltweit größtes Geschäftsrisiko, Januar 2025. commercial.allianz.com