Kurz gesagt
- Angriffe auf kleine Websites sind fast nie persönlich gemeint. Programme suchen rund um die Uhr automatisch nach bekannten Lücken, und die Größe deines Betriebs spielt dabei keine Rolle.
- Der Schaden ist selten der Datenverlust. Er besteht darin, dass Google warnt, der Hoster abschaltet und dich wochenlang niemand findet.
- Jede Erweiterung, jede Anmeldemaske und jede Datenbank ist eine zusätzliche Tür, die gepflegt werden muss.
- Getestete Backups, ein fester Update-Termin und ein eigenes Passwort pro Zugang decken den größten Teil des Risikos ab.
- Am wenigsten Ärger macht das, was gar nicht erst da ist.
Wer soll ausgerechnet meine Seite angreifen?
Niemand. Genau das ist der Punkt. Es hat sich niemand deine Seite ausgesucht.
Die Suche läuft automatisch. Programme klappern Tag und Nacht Adressbereiche und Domains ab und prüfen bei jeder Seite, ob eine bekannte Schwachstelle vorhanden ist. Ob dahinter ein Dachdecker mit vier Mitarbeitern steckt oder ein Konzern mit vier Standorten, merkt so ein Programm gar nicht. Es fragt nur: Antwortet hier eine veraltete Version, die ich kenne?
Auch deine Kundendaten sind meistens nicht das Ziel. Interessanter ist der Platz selbst: Rechenleistung, ein Server, über den sich Werbemails verschicken lassen, versteckte Unterseiten, die auf fremde Angebote verlinken, oder eine unauffällige Adresse für eine Betrugsseite. Eine gepflegte Handwerker-Domain mit ein paar Jahren Geschichte ist dafür sogar attraktiver als eine frisch registrierte.
Was dabei wirklich kaputtgeht
Der Schaden liegt fast nie dort, wo man ihn vermutet:
- Google markiert die Seite als unsicher. Besucher sehen dann eine rote Warnseite statt deiner Startseite. Die meisten klicken sofort zurück.
- Der Hoster schaltet ab. Nachvollziehbar, aber deine Seite ist damit weg – je nach Vertrag zusammen mit den E-Mail-Postfächern.
- Die Sichtbarkeit bricht ein. Was über Jahre an Rankings entstanden ist, kommt nicht am nächsten Tag von allein zurück.
- Deine E-Mails landen im Spam. Wurde über deinen Server Werbung verschickt, steht deine Domain schnell auf Sperrlisten, die auch andere Anbieter auswerten.
Dazu kommt ein Punkt, den man kennen sollte: Wenn tatsächlich personenbezogene Daten abgeflossen sind, etwa Anfragen aus dem Kontaktformular, greift eine Meldepflicht gegenüber der Datenschutzaufsicht – nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden. Wir sind keine Rechtsanwälte, und dieser Text ist keine Rechtsberatung. Im Ernstfall gehört das in fachkundige Hände.
Am teuersten ist aber meistens die Zeit: Ursache suchen, säubern, neu aufsetzen, bei Google die erneute Prüfung beantragen. Das sind schnell mehrere Tage, in denen dein Betrieb im Netz nicht stattfindet.
Woher die Angriffsfläche kommt
Eine Website ist kein einzelnes Ding, sondern ein Stapel: Server, Programmiersprache in einer bestimmten Version, Redaktionssystem, Datenbank, Anmeldebereich und darüber eine Handvoll Erweiterungen von verschiedenen Anbietern. Jede Schicht kann eine Lücke haben, und jede Erweiterung ist eine Tür, die jemand anderes gebaut hat und die jemand anderes pflegen muss.
Daraus folgt eine unspektakuläre Faustregel: Je mehr Bestandteile, desto mehr Pflege. Ein Redaktionssystem mit ein paar Erweiterungen bringt alle ein bis zwei Wochen Aktualisierungen mit. Wer sie nicht einspielt, sammelt bekannte Lücken an. Und „bekannt“ heißt hier: Die Beschreibung, wie sich die Lücke ausnutzen lässt, steht öffentlich im Netz. Genau danach suchen die Programme.
Der Klick, der böse Überraschungen bringt
Der Grund für nicht eingespielte Updates ist selten Bequemlichkeit. Es ist die Erfahrung, dass so ein Update auch etwas kaputtmachen kann: Nach dem Klick bleibt die Seite weiß, das Layout verrutscht, das Kontaktformular verschickt nichts mehr. Wer das einmal an einem Freitagnachmittag erlebt hat, klickt beim nächsten Mal nicht mehr so schnell. Wir wissen, wovon wir sprechen.
Nur führt genau dieses Zögern zu der veralteten Version, die die Suchprogramme finden. Deshalb gehört zu jedem Update ein Backup, das vorher gemacht wurde – und von dem du weißt, dass du es zurückspielen kannst.
Acht Punkte, die den Großteil abdecken
Wenn du ein Redaktionssystem betreibst oder betreiben lässt, sind das die Dinge, die im Verhältnis zum Aufwand am meisten bringen:
- Backups automatisch und woanders. Täglich oder wöchentlich, aber nicht auf demselben Server. Und einmal ausprobieren, ob das Zurückspielen wirklich funktioniert. Ein nie getestetes Backup ist eine Hoffnung, kein Backup.
- Ein fester Termin für Aktualisierungen. Einmal im Monat im Kalender, vorher Backup. Das schlägt jeden guten Vorsatz.
- Ungenutzte Erweiterungen löschen, nicht nur abschalten. Abgeschalteter Code liegt weiter auf dem Server und bleibt angreifbar.
- Pro Zugang ein eigenes, langes Passwort. Keins doppelt – auch nicht „dasselbe mit einer 1 hinten dran“.
- Zwei-Faktor-Anmeldung überall aktivieren, wo es sie gibt: Hosting, Domainverwaltung, E-Mail, Redaktionssystem.
- Alte Zugänge aufräumen. Der frühere Dienstleister, der ausgeschiedene Mitarbeiter, der Praktikant von vor fünf Jahren. Und Benutzernamen wie „admin“ ändern.
- HTTPS aktiv, unverschlüsselte Aufrufe automatisch weiterleiten. Das Zertifikat ist bei fast jedem Hoster kostenlos dabei.
- Kontaktformular absichern. Spam-Schutz aktiv, Datei-Uploads auf Bilder und PDF begrenzen, dazu ein Größenlimit.
Die unbequemere, aber wirksamere Antwort
Alles bisher Genannte ist Pflege. Es gibt noch einen zweiten Weg, und der heißt Verzicht: Was nicht da ist, kann auch nicht angegriffen werden.
Eine Website, die aus einfachen HTML-Seiten besteht, hat keine Datenbank, keinen Anmeldebereich und keine Erweiterungen von Drittanbietern. Es gibt nichts, was alle zwei Wochen aktualisiert werden muss. Und die automatischen Suchprogramme finden schlicht nichts, wo sie ansetzen könnten – sie ziehen weiter zur nächsten Adresse.
Ehrlich dazugesagt: Vollständige Sicherheit gibt es nicht. Dein Hosting-Konto, dein Domain-Zugang und dein E-Mail-Postfach bleiben Ziele. Die häufigste Masche dort ist gar keine technische Lücke, sondern eine gut gemachte E-Mail, die aussieht, als käme sie von deinem Anbieter, und nach deinem Passwort fragt. Dagegen hilft keine Technik, sondern nur ein kurzer Moment Misstrauen.
Und der Preis für eine statische Seite ist, dass du sie nicht selbst umbaust. Wer seine Seite regelmäßig selbst ändern will, braucht ein System dafür – und muss es dann auch pflegen.
Woran du merkst, dass etwas nicht stimmt
- Kunden melden, dass die Seite auf etwas Fremdes weiterleitet – oft nur vom Handy aus.
- In Google tauchen Unterseiten auf, die du nie angelegt hast. Prüfen kannst du das mit einer Suche nach site:deine-domain.de.
- Die Google Search Console meldet Sicherheitsprobleme, oder dein Hoster schreibt dich an.
- Die Besucherzahlen brechen von einem Tag auf den anderen ein.
- Im Anmeldebereich stehen Benutzer, die du nicht kennst.
Wenn es passiert ist: Seite offline nehmen, Hoster informieren und von einem anderen, sauberen Gerät aus alle Passwörter ändern. Danach ein Backup aus der Zeit vor dem Vorfall einspielen, statt nur die auffälligen Dateien zu löschen – was sonst noch hinterlassen wurde, findet man von Hand selten vollständig. Zum Schluss die eigentliche Lücke schließen, sonst steht in zwei Wochen dasselbe wieder da, und bei Google die erneute Überprüfung beantragen, damit die Warnung verschwindet.
Und bei Werando?
Wir bauen bewusst statische HTML-Seiten: kein Redaktionssystem, keine Datenbank, kein Anmeldebereich auf der Website selbst. Verschlüsselung, Server und Aktualisierungen sind im Monatspreis enthalten, und Änderungen meldest du uns einfach – du musst dich weder um Updates noch um Backups kümmern. Was sonst noch dazugehört, steht bei den Leistungen. Wie wir zu dieser Entscheidung gekommen sind, steht im Ratgeber zu den Kosten einer Handwerker-Website.