Direkt zur Hauptnavigation springen Direkt zum Inhalt springen

Kategorie: IT-Sicherheit & Datenschutz | Lesezeit: ca. 8 Minuten | Autor: Dietmar Engler

Cyberangriffe treffen längst nicht mehr nur Großkonzerne. Gerade kleine und mittlere Unternehmen geraten zunehmend ins Visier von Angreifern – oft weil sie als leichtere Ziele gelten. Dabei sind viele Sicherheitslücken mit überschaubarem Aufwand schließbar. Wir zeigen Ihnen die sieben wichtigsten Maßnahmen, die Ihre Website 2026 deutlich sicherer machen.

Inhaltsverzeichnis

  1. SSL-Zertifikat und HTTPS
  2. Regelmäßige Updates von CMS, Themes und Plugins
  3. Starke Passwörter und Zwei-Faktor-Authentifizierung
  4. Regelmäßige Backups
  5. Web Application Firewall (WAF)
  6. DSGVO-konforme Implementierung
  7. Barrierefreiheit
Cyber-Sicherheit Schloss

1. SSL-Zertifikat und HTTPS – Pflicht, kein Bonus

Noch immer betreiben manche Unternehmen Websites ohne gültiges SSL-Zertifikat. Google markiert solche Seiten als „nicht sicher", und Browser zeigen Warnungen an. Ein SSL-Zertifikat verschlüsselt die Kommunikation zwischen Browser und Server und ist heute Standard. Let's Encrypt bietet kostenfreie Zertifikate an.

Sofortmaßnahme: Prüfen Sie jetzt in der Adressleiste Ihres Browsers, ob Ihre Website mit „https://" beginnt. Fehlt das Schloss-Symbol, handeln Sie umgehend.

2. Regelmäßige Updates von CMS, Themes und Plugins

Der häufigste Einfallsweg für Angreifer: veraltete Software. Ob WordPress, TYPO3 oder Shopware – das CMS selbst, alle installierten Themes und Plugins müssen regelmäßig aktualisiert werden. Ungepflegte Erweiterungen sind für rund 97 % aller WordPress-Sicherheitslücken verantwortlich.

Empfehlung: Richten Sie automatische Updates für den Core ein. Für Plugins und Themes: mindestens monatliche manuelle Prüfung oder Managed-Hosting mit automatischen Updates.

3. Starke Passwörter und Zwei-Faktor-Authentifizierung (2FA)

Admin-Zugänge mit schwachen Passwörtern sind ein offenes Tor. Nutzen Sie ausschließlich komplexe, einzigartige Passwörter (mindestens 16 Zeichen, Kombination aus Buchstaben, Zahlen und Sonderzeichen). Noch besser: Aktivieren Sie die Zwei-Faktor-Authentifizierung für alle Admin-Konten.

Tool-Tipp: Passwort-Manager wie Bitwarden (kostenlos, open-source) erstellen und speichern sichere Passwörter, ohne dass Sie sich diese merken müssen.

4. Regelmäßige Backups – extern und automatisiert

Was passiert, wenn Ihre Website gehackt oder der Server beschädigt wird? Ohne aktuelles Backup kann das den Verlust aller Daten bedeuten. Backups sollten täglich automatisiert, extern gespeichert (nicht nur auf dem Webserver selbst) und regelmäßig auf Wiederherstellbarkeit getestet werden.

Goldene Regel: Ein Backup, das Sie nie getestet haben, ist kein Backup. Prüfen Sie mindestens quartalsweise, ob sich ein Backup erfolgreich wiederherstellen lässt.

5. Web Application Firewall (WAF)

Eine WAF analysiert eingehenden Traffic und blockiert bekannte Angriffsmuster – wie SQL-Injections, Cross-Site-Scripting oder Brute-Force-Angriffe – bevor sie die Anwendung erreichen. Viele Hosting-Anbieter bieten WAFs als optionale oder Standard-Komponente an.

6. DSGVO-konforme Implementierung

Datenschutz ist nicht nur eine rechtliche Pflicht, sondern auch ein Vertrauensfaktor für Ihre Nutzer. Checkliste:

  • Datenschutzerklärung aktuell und vollständig (inkl. aller eingesetzten Tools und Dienste)
  • Cookie-Banner rechtskonform umgesetzt (keine vorausgefüllten Zustimmungen)
  • Auftragsverarbeitungsverträge (AVV) mit allen Dienstleistern
  • Keine ungenehmigte Weitergabe von Nutzerdaten an Dritte

7. Barrierefreiheit – seit Juni 2025 gesetzlich vorgeschrieben

Seit Inkrafttreten des Barrierefreiheitsstärkungsgesetzes (BFSG) im Juni 2025 müssen Unternehmenswebsites die Anforderungen der WCAG 2.1 AA erfüllen. Betroffen sind alle privaten Anbieter mit Produkten oder Dienstleistungen für Verbraucher. Laut WebAIM erfüllen aktuell 96,3 % aller Websites diese Standards nicht.

Tipp: Lassen Sie Ihre Website mit einem professionellen Accessibility-Audit prüfen. Oft sind es kleine, schnell behebbare Anpassungen wie Alt-Texte für Bilder oder ausreichende Farbkontraste.

Möchten Sie wissen, wie sicher Ihre Website wirklich ist? Wir bieten einen professionellen Sicherheits-Check.

Sicherheits-Check buchen

Häufig gestellte Fragen

  • Wie häufig werden kleine Unternehmenswebsites angegriffen?

    Häufiger als viele denken. Automatisierte Bots scannen das Internet rund um die Uhr nach bekannten Schwachstellen – unabhängig davon, wie groß ein Unternehmen ist. Veraltete CMS-Versionen oder unsichere Plugins werden innerhalb von Stunden nach Bekanntwerden einer Lücke ausgenutzt.

  • Was tun, wenn meine Website gehackt wurde?

    Sofort handeln: Website offline nehmen oder in den Wartungsmodus versetzen, Hosting-Anbieter informieren, ein sauberes Backup einspielen und anschließend die Einfallsroute identifizieren und schließen. Im Anschluss sollten alle Passwörter geändert und 2FA aktiviert werden. Wir unterstützen Sie im Notfall schnell und pragmatisch.

  • Ist meine TYPO3-Website automatisch sicher?

    Nein. Auch TYPO3 erfordert regelmäßige Updates, sichere Konfiguration und professionelle Wartung. Ein gut gewartetes TYPO3 bietet durch seinen strukturierten Core und die geringere Verbreitung eine kleinere Angriffsfläche als WordPress – aber kein System ist ohne aktive Pflege dauerhaft sicher.