Ratschläge, wie du deine Website vor Hackern schützt, werden oft als lange Checkliste präsentiert. Das Problem: Nicht alle Punkte auf dieser Liste haben dasselbe Gewicht. Eine kleine Zahl von Maßnahmen deckt die meisten Angriffswege ab, die zu echten Einbrüchen führen. Wer weiß, welche Vorrang haben, unterscheidet wirksame Sicherheit von bloßem Anschein.
Angriffe auf Websites sind fast vollständig automatisiert. Scanner durchsuchen Millionen von Websites gleichzeitig nach bekannten Lücken in Softwareversionen, gängigen Passwörtern und frei zugänglichen Konfigurationsdateien. Eine Website muss weder viel Traffic haben noch bekannt sein, um angegriffen zu werden. Es reicht, dass sie online ist und etwas mit einer bekannten Schwachstelle nutzt. Was auf dem Spiel steht, wenn diese Maßnahmen fehlen, erfährst du im Artikel Warum Website-Sicherheit wichtig ist.
So schützt du deine Website vor Hackern durch starke Authentifizierung
Angriffe auf Zugangsdaten gehören zu den häufigsten Wegen, auf denen Angreifer Zugang zu Websites bekommen. Ein starkes Passwort allein reicht nicht. Automatische Brute-Force-Tools stoppst du, indem du ein starkes Passwort mit einer Begrenzung der Anmeldeversuche und einem zweiten Authentifizierungsfaktor kombinierst.
Starke und einmalige Passwörter
- Passwörter für Admin-Konten sollten lang, zufällig und nur für diese Website gültig sein. Nicht bei einem anderen Dienst wiederverwendet
- Kurze Passwörter und solche, die auf gängigen Wörtern oder Mustern beruhen, probieren automatische Brute-Force-Tools zuerst aus. Sie können Tausende Kombinationen pro Minute testen
- Ein Passwortmanager erzeugt und speichert starke Zugangsdaten, ohne dass du sie dir merken musst
Zwei-Faktor-Authentifizierung
- Die Zwei-Faktor-Authentifizierung verlangt beim Anmelden im Admin-Bereich einen zweiten Bestätigungsschritt zusätzlich zum Passwort
- Selbst wenn ein Passwort durch ein Datenleck oder einen Phishing-Angriff gestohlen wird, kann der Angreifer es nicht nutzen, solange er nicht auch den zweiten Faktor kontrolliert
- Sie für jedes Admin-Konto zu aktivieren, gehört zu den wirkungsvollsten Einzelmaßnahmen für die Website-Sicherheit
Begrenzung der Anmeldeversuche
- Brute-Force-Tools probieren in schneller Folge Tausende Passwörter aus. Eine Grenze für fehlgeschlagene Anmeldeversuche, nach der eine IP-Adresse gesperrt wird, stoppt dieses Vorgehen
- Viele Website-Plattformen enthalten die Begrenzung von Anmeldeversuchen als eingebaute Einstellung oder über eine Sicherheitserweiterung
Nicht genutzte Konten entfernen
- Jedes aktive Admin-Konto mit einem schwachen oder mehrfach verwendeten Passwort ist ein möglicher Einstiegspunkt
- Konten, die für ehemalige Mitarbeiter, Auftragnehmer oder Entwickler angelegt wurden, solltest du entfernen, sobald sie nicht mehr gebraucht werden
So schützt du deine Website vor Hackern durch gepflegte Software
Veraltete Software ist die am häufigsten ausgenutzte Schwachstellenkategorie bei Websites. Wenn eine Sicherheitslücke gefunden und geschlossen wird, werden die Details in der Regel zusammen mit dem Patch veröffentlicht. Websites, die noch die alte Version nutzen, sind dann ein dokumentiertes, bekanntes Ziel.
Spiele Updates ein, sobald sie verfügbar sind
- Updates für die Website-Plattform, Plugins, Themes und Integrationen solltest du zügig einspielen. Oft enthalten sie Sicherheitspatches, und Verzögerung lässt bekannte Lücken offen
- Wenn du Updates, wo möglich, automatisch einspielen lässt, entfällt das Risiko, einen wichtigen Patch zu verpassen
Entferne nicht genutzte Plugins und Themes
- Inaktive Plugins und Themes, die nicht aktuell gehalten werden, bleiben angreifbar, auch wenn sie auf der Website nicht aktiv sind
- Sie zu entfernen, verkleinert die Angriffsfläche, ohne etwas an der Live-Website zu beeinträchtigen
Nutze nur Software aus vertrauenswürdigen Quellen
- Plugins, Themes und Erweiterungen aus inoffiziellen Quellen sind ein häufiger Verbreitungsweg für Malware
- Wenn du nur Software aus dem offiziellen Marktplatz der Plattform oder von seriösen, etablierten Entwicklern nutzt, sinkt das Risiko, bereits infizierten Code zu installieren
Wie schützt HTTPS deine Website?
Ein SSL-Zertifikat und HTTPS sind Grundvoraussetzungen. Sie schützen Daten bei der Übertragung und zeigen Suchmaschinen, dass die Website die Mindeststandards für Sicherheit erfüllt. Wie du eines einrichtest, erfährst du im Artikel Was ist ein SSL-Zertifikat und wie funktioniert es?
Was HTTPS leistet
- HTTPS verschlüsselt Daten, die Besucher über Formulare, Login-Seiten und Checkout-Abläufe senden, sodass sie nicht gelesen werden können, wenn sie unterwegs abgefangen werden
- Das SSL-Zertifikat bestätigt außerdem die Identität der Website und schützt so vor manchen Formen von Datenabfangen und Identitätsfälschung
Was HTTPS nicht leistet
- HTTPS verhindert keine Angriffe auf die Website selbst. SQL-Injection, Cross-Site-Scripting, Brute-Force-Anmeldeversuche und das Einschleusen von Malware stoppt HTTPS nicht
- Es ist eine Schutzschicht und kein Ersatz für die anderen
Wie hilft eine Web Application Firewall?
Was sie tut
- Eine Web Application Firewall sitzt zwischen dem eingehenden Datenverkehr und der Website und prüft Anfragen, bevor sie den Server erreichen
- Sie filtert Anfragen heraus, die bekannten Angriffsmustern entsprechen, darunter SQL-Injection-Versuche, Cross-Site-Scripting-Schadcode und Datenverkehr aus bekannten schädlichen Quellen
- Angriffe, die den Server nie erreichen, können keine Lücken im Code der Website ausnutzen
Firewalls auf Netzwerkebene und auf Anwendungsebene
- Firewalls auf Netzwerkebene filtern den Datenverkehr auf Infrastrukturebene, bevor er den Server erreicht. Sie kommen in der Regel von Hosting-Unternehmen und CDN-Anbietern
- Firewalls auf Anwendungsebene arbeiten auf Ebene der Website und können genauer festlegen, welche Anfragen zugelassen werden, je nach Inhalt und Verhalten der Website
- Beide Arten haben unterschiedliche Zwecke und lassen sich zusammen einsetzen
Warum Backups zum Schutz deiner Website vor Hackern gehören
Keine Sicherheitsmaßnahme beseitigt jedes Risiko. Wenn doch etwas durchkommt, entscheidet ein sauberes Backup darüber, wie schnell du dich erholst und wie viel du verlierst.
Was Backups leisten, das Vorbeugung nicht kann
- Ransomware-Angriffe, die die Dateien der Website verschlüsseln, richten viel weniger Schaden an, wenn ein aktuelles sauberes Backup existiert. Mit der Wiederherstellung aus dem Backup verliert der Angreifer sein Druckmittel ganz
- Ein sauberes Backup liefert außerdem einen geprüften Bezugspunkt, mit dem du vergleichen kannst, was ein Angreifer verändert hat
Was ein Backup nützlich macht
- Backups müssen getrennt vom Server der Website gespeichert werden. Ein Backup auf demselben Server wird bei einem Angriff zusammen mit allem anderen kompromittiert oder verschlüsselt
- Die Häufigkeit der Backups sollte dazu passen, wie oft sich die Website ändert. Eine Website, die täglich aktualisiert wird, braucht tägliche Backups
- Zu testen, dass sich ein Backup tatsächlich wiederherstellen lässt, ist genauso wichtig, wie das Backup zu haben. Ein Backup, das sich nicht einspielen lässt, ist kein Backup
Eine vollständige Anleitung, wie du Website-Backups einrichtest und verwaltest, findest du im Artikel So sicherst du deine Website per Backup. Was du tun kannst, wenn Malware bereits auf deiner Website ist, erklärt der Artikel Was ist Website-Malware und wie entfernst du sie?
So geht WEMASY mit dem Schutz von Websites um
Die Hosting-Infrastruktur von WEMASY enthält Firewall-Schutz und DDoS-Abwehr auf Netzwerkebene. SSL-Zertifikate sind in jedem Tarif enthalten und werden automatisch eingerichtet, sodass alle Websites standardmäßig über HTTPS ausgeliefert werden. Software-Updates werden auf Plattformebene verwaltet, das Einspielen von Patches liegt also nicht mehr bei dir als Website-Inhaber.
Backups sind in allen Tarifen enthalten und werden automatisch verwaltet. Wiederherstellungsoptionen findest du im Dashboard. Für den Zugang zum WEMASY-Konto steht die Zwei-Faktor-Authentifizierung zur Verfügung, und Anmeldeaktivitäten werden auf Plattformebene überwacht.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Wie kommen Hacker in Websites hinein?
Die meisten Einbrüche in Websites passieren über drei Wege: das Ausnutzen bekannter Lücken in veralteter Software, der Zugang über schwache oder gestohlene Admin-Passwörter und das Einschleusen von Schadcode über anfällige Plugins oder Skripte von Drittanbietern. Automatische Tools durchsuchen ununterbrochen große Zahlen von Websites nach diesen Lücken und nutzen sie aus, ohne dass jemand gezielt diese Website anvisiert. Wenn du Software aktuell hältst und Admin-Zugangsdaten stark und einmalig sind, deckst du die häufigsten Einstiegspunkte ab. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Was ist der wichtigste Schritt, um eine Website vor Hackern zu schützen?
Alle Software aktuell zu halten und für Admin-Konten starke, einmalige Passwörter mit Zwei-Faktor-Authentifizierung zu nutzen, deckt zusammen die meisten erfolgreichen Angriffe ab. Software-Updates schließen bekannte Lücken, bevor Angreifer sie ausnutzen können. Starke Authentifizierung verhindert den Zugang über Angriffe auf Zugangsdaten, selbst wenn ein Passwort anderswo kompromittiert wurde. Backups verhindern keine Angriffe, begrenzen aber den Schaden, wenn einer gelingt. Deshalb gehören sie in jede vollständige Schutzstrategie.
Beeinflusst die Größe einer Website das Risiko, gehackt zu werden?
Nein. Angriffe auf Websites sind fast vollständig automatisiert. Scanner durchsuchen Millionen von Websites nach bekannten Lücken und schwachen Zugangsdaten, unabhängig von Größe, Traffic oder Branche. Eine kleine Portfolio-Website mit veralteter Software ist genauso gefährdet wie eine große Plattform mit derselben Lücke. Die Maßnahmen, die eine Website schützen, sind unabhängig von ihrer Größe dieselben.
Was ist eine Web Application Firewall und brauche ich eine?
Eine Web Application Firewall filtert den eingehenden Datenverkehr zur Website und blockiert Anfragen, die bekannten Angriffsmustern entsprechen, bevor sie den Server erreichen. Sie kann SQL-Injection-Versuche, Cross-Site-Scripting-Schadcode und Datenverkehr aus bekannten schädlichen Quellen automatisch blockieren. Ob du eine eigenständige Web Application Firewall brauchst, hängt von deinem Hosting ab. Viele Hosting-Anbieter enthalten Firewall-Schutz auf Netzwerkebene, der einen erheblichen Teil automatisierter Angriffe ohne jede Einrichtung durch den Website-Inhaber abfängt.
Wie oft sollte ich meine Website per Backup sichern?
Die richtige Häufigkeit hängt davon ab, wie oft sich die Inhalte der Website ändern. Eine Website, die täglich neue Inhalte, Bestellungen oder Einsendungen bekommt, braucht tägliche Backups. Eine Website, die sich selten ändert, kann seltener gesichert werden, sollte aber vor jedem größeren Update oder Plattformwechsel trotzdem gesichert werden. Backups sollten getrennt vom Server der Website gespeichert und regelmäßig getestet werden, um zu bestätigen, dass sie sich tatsächlich wiederherstellen lassen.
Kann ich meine Website ohne technisches Wissen vor Hackern schützen?
Ja. Die wirkungsvollsten Schutzmaßnahmen brauchen kein technisches Wissen. Ein starkes, einmaliges Passwort für Admin-Konten, aktivierte Zwei-Faktor-Authentifizierung und Software-Updates über die eingebauten Werkzeuge der Plattform decken die meisten gängigen Angriffswege ab. Wenn du einen Hosting-Anbieter oder eine Website-Plattform wählst, die Firewall-Schutz, SSL und automatische Backups auf Plattformebene enthält, ist die Sicherheit auf Infrastrukturebene ohne jede Einrichtung durch dich erledigt.