Das erste Anzeichen, dass die Website-Sicherheit versagt hat, bemerkt der Website-Betreiber oft gar nicht. Besucher sehen Warnungen, werden auf unbekannte Seiten umgeleitet oder erleben, dass ihre Daten gefährdet sind, während die Website an der Oberfläche normal läuft. Website-Sicherheit sind die Massnahmen, die eine Website vor unbefugtem Zugriff, Datendiebstahl, Schadsoftware und Ausfällen schützen. Dieser Artikel zeigt, warum sie für jede Website wichtig ist, egal wie gross sie ist oder wofür sie dient, wie die häufigsten Bedrohungen aussehen und welchen Basisschutz jede Website haben sollte.
Automatisierte Angriffe prüfen eine Website nicht, bevor sie sie angreifen. Sie durchsuchen das Internet ständig nach bekannten Schwachstellen, die sie ausnutzen können, unabhängig von Grösse, Branche oder Traffic der Website. Der Unterschied zwischen Websites, die gehackt werden, und solchen, bei denen das nicht passiert, liegt selten daran, wie bekannt eine Website ist. Fast immer liegt er an den vorhandenen Sicherheitsmassnahmen.
Was kann einer unsicheren Website passieren?
Sicherheitsvorfälle bei Websites sind nicht immer dramatisch. Oft bemerkt der Betreiber sie nicht, während sie Besuchern, dem Ruf und der Leistung in der Suche erheblich schaden.
Datendiebstahl
- Sammelt deine Website irgendwelche Besucherdaten, etwa Kontaktformular-Eingaben, E-Mail-Adressen oder Zahlungsdaten, bringt eine unsichere Website diese Daten in Gefahr
- Ein Datenleck, das Besucherdaten offenlegt, schafft rechtliche Haftung, besonders in Regionen, in denen Datenschutzgesetze einen sicheren Umgang mit persönlichen Daten verlangen
- Besucher, die erfahren, dass ihre Daten über deine Website offengelegt wurden, kommen kaum zurück
Einschleusen von Schadsoftware
- Angreifer, die Zugriff auf eine Website bekommen, können schädlichen Code einschleusen, der still im Hintergrund läuft
- Dieser Code kann Besucher auf betrügerische Seiten umleiten, unerwünschte Werbung anzeigen, Zugangsdaten stehlen oder die Website nutzen, um andere anzugreifen
- Der Betreiber weiss oft nicht, dass das passiert, bis ein Besucher es meldet oder ein Sicherheitsscanner Alarm schlägt
Defacement
- Manche Angriffe ersetzen die Inhalte einer Website durch die eigene Botschaft, Bilder oder Links des Angreifers
- Ein Defacement ist sofort sichtbar und schadet Glaubwürdigkeit und Vertrauen
- Für jede Website, die auf ihre Web-Präsenz angewiesen ist, um Besucher zu gewinnen oder zu halten, kann es viel Zeit und Mühe kosten, sich von einem Defacement zu erholen
Ausfälle
- Angriffe, die einen Server mit Traffic überlasten sollen, können eine Website komplett offline nehmen
- Jede Stunde, in der eine Website ausfällt, bedeutet verlorene Sichtbarkeit, verlorene Anfragen und verlorenen Umsatz
- Die Wiederherstellung nach einem schweren Angriff kann Tage dauern, wenn keine Backups vorhanden sind
Wie beeinflusst Website-Sicherheit das Ranking in der Suche?
Suchmaschinen achten aktiv auf Sicherheitsprobleme und beziehen sie in Ranking und Sichtbarkeit in der Suche ein.
Warnungen vor Schadsoftware in den Suchergebnissen
- Erkennt eine Suchmaschine Schadsoftware auf einer Website, setzt sie eine Warnung an den Eintrag in den Suchergebnissen
- Besucher, die vor dem Klick eine Warnung sehen, machen selten weiter
- Die Klickrate fällt auf nahezu null, wenn Sicherheitswarnungen angezeigt werden, egal wie gut die Seite rankt
Sicherheitswarnungen im Browser
- Browser zeigen eine Vollbild-Warnung, wenn ein Besucher eine als gefährlich markierte Website oder eine Website ohne HTTPS aufrufen will
- Besucher müssen sich aktiv entscheiden, über diese Warnungen hinwegzugehen, und die Mehrheit tut das nicht
- Eine Website, die Browser-Warnungen auslöst, verliert den Traffic jedes Besuchers, der eine sieht
HTTPS als Rankingsignal
- HTTPS, die sichere Version des HTTP-Protokolls, ist ein bestätigtes Rankingsignal
- Websites, die Seiten über HTTP statt HTTPS ausliefern, haben gegenüber gleichwertigen, sicher ausgelieferten Seiten einen Rankingnachteil
- Browser markieren HTTP-Websites ausserdem in der Adressleiste als „Nicht sicher“, was das Vertrauen der Besucher schon vor jeder Interaktion senkt
Eine ausführliche Erklärung, wie HTTPS funktioniert und was es schützt, findest du im Artikel Was ist HTTPS und wie schützt es deine Website.
Was sind die häufigsten Bedrohungen für die Website-Sicherheit?
Brute-Force-Angriffe
- Automatische Tools probieren tausende Kombinationen aus Benutzername und Passwort aus, um Zugriff auf Admin-Bereiche von Websites zu bekommen
- Schwache Passwörter und unbegrenzte Login-Versuche machen Brute-Force-Angriffe leicht durchführbar
- Zwei-Faktor-Authentifizierung und Begrenzung der Login-Versuche senken dieses Risiko deutlich
SQL-Injection
- Angreifer fügen schädlichen Code in Formularfelder oder URL-Parameter ein, um Datenbankabfragen zu manipulieren
- Eine erfolgreiche SQL-Injection kann Datenbankinhalte, auch Kundendaten, offenlegen oder löschen
- Diese Bedrohung ist besonders relevant für Websites mit Suchfeldern, Login-Formularen oder Kontaktformularen, die mit einer Datenbank arbeiten
Cross-Site-Scripting
- Schädliche Skripte werden in eine Seite eingeschleust, die andere Besucher dann in ihren Browsern laden
- Diese Skripte können Sitzungs-Cookies stehlen, Besucher umleiten oder Formulareingaben abgreifen
- Cross-Site-Scripting gehört zu den häufigsten Schwachstellen in Web-Anwendungen
Schadsoftware und Ransomware
- Hat ein Angreifer Zugriff auf eine Website, kann er Schadsoftware installieren, die im Hintergrund läuft, Daten sammelt oder Dateien verschlüsselt
- Ransomware sperrt Website-Betreiber aus ihren eigenen Websites aus und verlangt Geld für die Wiederherstellung des Zugriffs
- Regelmässige Backups sind die wichtigste Abwehr gegen Ransomware, denn mit einem sauberen Backup verliert der Angreifer seinen Hebel
Veraltete Software
- Bekannte Schwachstellen in Website-Software, Plugins und Designs werden öffentlich bekannt, sobald Korrekturen veröffentlicht sind
- Websites mit veralteten Versionen sind anfällig für Angriffe, die diese veröffentlichten Schwachstellen ausnutzen
- Software aktuell zu halten ist eine der einfachsten Sicherheitsmassnahmen
Welchen Basisschutz sollte jede Website haben?
HTTPS und ein SSL-Zertifikat
- Jede Website sollte Seiten über HTTPS ausliefern, das Daten auf dem Weg zwischen Browser des Besuchers und Server verschlüsselt
- Ein SSL-Zertifikat macht HTTPS möglich. Ohne eines werden Daten im Klartext übertragen und können abgefangen werden
- Browser markieren Websites ohne HTTPS als „Nicht sicher“. Besucher schicken auf einer Website mit diesem Hinweis kaum Formulare ab oder kaufen etwas
Eine ausführliche Erklärung, wie SSL-Zertifikate funktionieren und wie du eines bekommst, findest du im Artikel Was ist ein SSL-Zertifikat und wie funktioniert es.
Starke Authentifizierung
- Admin-Konten sollten starke, einmalige Passwörter und Zwei-Faktor-Authentifizierung nutzen
- Begrenze Login-Versuche, um automatische Brute-Force-Tools zu stoppen
- Entferne nicht genutzte Admin-Konten. Jedes aktive Konto mit schwachen Zugangsdaten ist ein möglicher Einstiegspunkt
Regelmässige Backups
- Mit Backups lässt sich eine Website nach einem Angriff in einen sauberen Zustand zurückversetzen, ohne Lösegeld zu zahlen oder von vorn zu beginnen
- Backups sollten getrennt von der Website gespeichert werden. Ein Backup auf demselben Server geht verloren, wenn der Server gehackt wird
- Teste Wiederherstellungen regelmässig, um zu prüfen, dass die Backups wie erwartet funktionieren
Software-Updates
- Spiele Updates für die Website-Plattform, Plugins, Designs und alle Integrationen von Drittanbietern ein, sobald sie verfügbar sind
- Updates enthalten häufig Sicherheitskorrekturen, die Schwachstellen schliessen, die seit der vorigen Version entdeckt wurden
Eine Web Application Firewall
- Eine Web Application Firewall sitzt zwischen eingehendem Traffic und der Website und filtert bekannte schädliche Anfragen heraus, bevor sie den Server erreichen
- Firewalls können SQL-Injection-Versuche, Cross-Site-Scripting, Bot-Traffic und andere gängige Angriffsmuster automatisch blockieren
Einen ausführlichen Ratgeber, wie du deine Website vor unbefugtem Zugriff und Angriffen schützt, findest du im Artikel So schützt du deine Website vor Hackern. Wie du regelmässige Backups einrichtest, erfährst du im Artikel So sicherst du deine Website.
So geht WEMASY mit Website-Sicherheit um
Der Website-Builder von WEMASY enthält SSL-Zertifikate in jedem Tarif, sodass alle Websites standardmässig über HTTPS ausgeliefert werden. Du musst nichts separat einrichten oder kaufen. Die Hosting-Infrastruktur enthält Firewall-Schutz und DDoS-Abwehr auf Netzwerkebene. Das senkt die Gefährdung durch gängige automatisierte Angriffe, ohne dass der Website-Betreiber etwas einstellen muss.
Die Software auf der WEMASY-Plattform wird vom Plattform-Team gewartet und aktualisiert. Website-Betreiber müssen also keine Sicherheitskorrekturen am zugrunde liegenden System einspielen. Backups sind enthalten und werden automatisch verwaltet, mit Wiederherstellungsoptionen im Dashboard.
Was enthalten ist, siehst du beim WEMASY Website-Builder, und die Tarifoptionen findest du auf der Preisseite.
Häufig gestellte Fragen
Warum ist Website-Sicherheit wichtig?
Website-Sicherheit schützt Besucher, Website-Daten und Sichtbarkeit in der Suche zugleich. Eine unsichere Website kann genutzt werden, um Besucherdaten zu stehlen, Schadsoftware an ihre Besucher zu verbreiten oder komplett offline genommen zu werden. Suchmaschinen kennzeichnen unsichere Websites in den Ergebnissen, und Browser warnen Besucher vor dem Aufruf. Beides senkt den Traffic drastisch. Ein Sicherheitsvorfall kann das Vertrauen und die Sichtbarkeit, die sich eine Website aufgebaut hat, dauerhaft beschädigen. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Brauchen alle Websites Sicherheit?
Ja. Automatisierte Angriffe durchsuchen das Internet ständig nach Schwachstellen und wählen Websites nicht nach Grösse oder Traffic aus. Jede öffentlich erreichbare Website ist ein mögliches Ziel. Die Folgen eines Angriffs, darunter verlorene Daten, Schadsoftware-Warnungen in den Suchergebnissen, Ausfälle und rechtliche Haftung, sind unabhängig von Grösse oder Zweck der Website dieselben.
Beeinflusst Website-Sicherheit SEO?
Ja, direkt. HTTPS ist ein bestätigtes Rankingsignal, sicher ausgelieferte Websites haben also einen Rankingvorteil gegenüber HTTP-Websites. Darüber hinaus erhalten Websites, die Suchmaschinen wegen Schadsoftware markieren, Warnhinweise in den Suchergebnissen, die die Klickrate auf nahezu null senken. Sicherheitswarnungen im Browser halten Besucher ab, bevor sie die Seite erreichen. Ein Sicherheitsvorfall kann eine Website komplett aus den Suchergebnissen entfernen, bis das Problem behoben und geprüft ist.
Was ist die wichtigste Sicherheitsmassnahme für eine Website?
HTTPS über ein SSL-Zertifikat ist die Mindestgrundlage. Ohne sie werden über Formulare gesendete Daten im Klartext übertragen, und Browser markieren die Website als nicht sicher. Darüber hinaus verhindern eine starke Authentifizierung für Admin-Konten und aktuelle Software die Mehrheit der gängigen Angriffe. Regelmässige Backups sind die Rückfalllösung, die den Schaden begrenzt, wenn andere Massnahmen versagen.
Woran erkenne ich, ob meine Website gehackt wurde?
Häufige Anzeichen sind: Besucher melden unerwartete Weiterleitungen auf andere Websites, Suchergebnisse zeigen unbekannte Seiten oder Warnungen, die Website lädt deutlich langsamer als sonst, es erscheinen Inhalte, die der Betreiber nicht hinzugefügt hat, oder du kommst nicht mehr in den Admin-Bereich. Viele Angriffe sind so gebaut, dass der Betreiber sie nicht sieht, während sie Besucher betreffen. Deshalb ist es wichtig, regelmässig Berichte von Sicherheitsscans zu prüfen und die Leistung in der Suche auf ungewöhnliche Einbrüche zu beobachten.
Was ist der Unterschied zwischen Website-Sicherheit und Webhosting-Sicherheit?
Webhosting-Sicherheit meint Schutzmassnahmen auf Infrastrukturebene, darunter Server, Netzwerk und Rechenzentrum. Website-Sicherheit meint Schutzmassnahmen auf Website-Ebene, darunter Anwendungscode, Authentifizierungssysteme und Konfiguration. Beides zählt. Eine sichere Hosting-Umgebung schützt keine Website mit schwachen Passwörtern oder veralteter Software, und starke Sicherheit auf Website-Ebene kann einen Hosting-Anbieter mit schlechter Infrastruktur nicht ausgleichen.