Wie schütze ich meine Website vor Ausfällen und Angriffen?

1 Worum es geht und wen es betrifft

Die meisten Angriffe auf Websites kleiner Unternehmen sind nicht persönlich. Automatisierte Programme durchsuchen rund um die Uhr das Netz nach bekannten Schwachstellen und schwachen Passwörtern. Ob du eine Kanzlei, eine Praxis oder eine Schreinerei betreibst, spielt dafür keine Rolle.

Genauso häufig wie Angriffe sind ganz banale Ausfälle: Ein Update geht schief, jemand löscht versehentlich eine Seite, die Domain wird nicht verlängert, das Zertifikat läuft ab oder der Hoster hat eine Störung. Für dich ist das Ergebnis jeweils dasselbe: keine Website, keine Anfragen.

Besonders gefährdet sind Seiten mit Redaktionssystem und vielen Erweiterungen, allen voran WordPress mit vielen Plugins. Laut Patchstack wurden 2025 über 11.000 neue Schwachstellen im WordPress-Umfeld gemeldet, rund neun von zehn in Plugins. Statische Websites ohne Datenbank und Login bieten deutlich weniger Angriffsfläche, brauchen aber trotzdem Backups und sichere Zugänge.

2 Was deine Website typischerweise gefährdet

Risiko	Wie es passiert	Was schützt
veraltete Plugins oder Themes	bekannte Lücke wird automatisiert ausgenutzt	zeitnahe Updates, wenige Plugins
schwache oder geteilte Passwörter	Passwort wird erraten oder stammt aus einem Datenleck	Passwort-Manager, Zwei-Faktor-Anmeldung
alte Zugänge	Ex-Agentur oder Ex-Mitarbeiter hat noch Admin-Rechte	Zugänge regelmäßig aufräumen
fehlerhaftes Update	Seite zeigt nur noch eine Fehlermeldung	Backup vor jedem Update, Testumgebung
Störung beim Hoster	Server nicht erreichbar	Monitoring, Backup außerhalb des Hosters
abgelaufene Domain oder Zertifikat	Zahlung scheitert, Verlängerung hakt	automatische Verlängerung, Erinnerung
versehentliches Löschen	Seite oder Bild weg	Backup mit Verlauf über mehrere Wochen

3 Backups richtig aufsetzen

Ein Backup ist nur so gut wie die Wiederherstellung. Viele merken erst im Ernstfall, dass das Backup unvollständig oder zu alt ist. Bewährt hat sich die 3-2-1-Regel: drei Kopien deiner Daten, auf zwei verschiedenen Speichern, eine davon an einem anderen Ort.

Für eine Website heißt das konkret:

1. Was sichern: alle Dateien der Website und, falls vorhanden, die Datenbank. Postfächer sicherst du getrennt, sie gehören selten zum Website-Backup.
2. Wie oft: täglich, wenn sich Inhalte oder Formulardaten ändern. Bei einer statischen Seite reicht eine Sicherung nach jeder Änderung, die Quelldateien liegen zusätzlich in einer Versionsverwaltung.
3. Wie lange aufbewahren: mindestens 30 Tage. Ein Befall wird oft erst nach Wochen bemerkt.
4. Wo: eine Kopie beim Hoster, eine zweite außerhalb, zum Beispiel in einem eigenen Cloud-Speicher in der EU.
5. Testen: einmal im Quartal ein Backup in eine Testumgebung zurückspielen und prüfen, ob die Seite läuft.

Rechenbeispiel: Dein Hoster hält Backups 14 Tage vor. Eine Schadsoftware wird am 1. März eingeschleust, du bemerkst sie am 22. März. Alle 14 vorhandenen Sicherungen stammen aus der Zeit nach dem Befall und enthalten ihn bereits. Mit 30 Tagen Verlauf reicht die älteste Sicherung bis zum 21. Februar zurück, und du hättest noch eine Woche sauberer Stände aus der Zeit vor dem Befall.

4 Zugänge absichern

Die meisten Einbrüche laufen nicht über raffinierte Technik, sondern über ein schwaches oder wiederverwendetes Passwort. Sichere deshalb alle Zugänge, die mit deiner Website zu tun haben: Hosting, Domain, Redaktionsbereich, DNS, Postfach, Analytics.

• Jedes Konto hat ein eigenes, langes Passwort aus einem Passwort-Manager.
• Zwei-Faktor-Anmeldung ist überall aktiv, wo der Anbieter sie anbietet.
• Jede Person hat einen eigenen Zugang mit nur den Rechten, die sie braucht.
• Zugänge von ehemaligen Mitarbeitenden, Freelancern und Agenturen sind gelöscht.
• Der Admin-Benutzer heißt nicht „admin“, und die Anmeldeseite begrenzt Fehlversuche.
• Die Wiederherstellungs-E-Mail jedes Kontos ist eine Adresse, die dir gehört.

Wie du Zugänge an Dienstleister weitergibst, ohne Passwörter per Mail zu verschicken, steht unter Zugänge sicher übergeben.

5 Updates und Software im Griff behalten

Bei WordPress und ähnlichen Systemen ist der wichtigste Schutz, Updates zeitnah einzuspielen. Sicherheitslücken werden nach Bekanntwerden oft innerhalb von Stunden massenhaft ausgenutzt. Ein fester Termin pro Woche ist ein gutes Minimum, Sicherheitsupdates spielst du sofort ein.

So gehst du vor:

1. Backup erstellen, bevor du etwas aktualisierst.
2. Updates einspielen, bei größeren Versionssprüngen zuerst in einer Testumgebung (Staging, also eine Kopie der Seite).
3. Seite prüfen: Startseite, Formular, eine Unterseite.
4. Ungenutzte Plugins und Themes löschen, nicht nur deaktivieren. Auch deaktivierter Code kann angreifbar sein.
5. Plugins ohne Updates seit über einem Jahr ersetzen. Sie werden oft nicht mehr gepflegt.

Bei einem Baukasten übernimmt der Anbieter diese Arbeit. Bei einer statischen Website gibt es auf dem Server nichts zu aktualisieren, nur die Werkzeuge, mit denen sie gebaut wird. Einen Vergleich der Systeme findest du unter Baukasten, WordPress oder individuell.

6 Ausfälle früh bemerken

Ein Uptime-Monitoring ruft deine Website alle paar Minuten auf und schickt dir eine Nachricht, sobald sie nicht antwortet. Kostenlose Dienste reichen dafür aus. So erfährst du von einem Ausfall, bevor ein Kunde dich darauf anspricht.

Ergänze das Monitoring um drei Erinnerungen: Ablaufdatum des SSL-Zertifikats, Verlängerung der Domain und Zahlungsart beim Hoster. In der Google Search Console zeigt außerdem der Bericht „Sicherheitsprobleme“, ob Google Schadsoftware oder gehackte Inhalte auf deiner Seite gefunden hat.

7 Der Notfallplan, wenn doch etwas passiert

Schreib diese Schritte einmal auf und leg sie zu deinen Zugangsdaten:

1. Ruhe bewahren und dokumentieren: Was ist zu sehen, seit wann, Screenshots machen.
2. Hoster informieren: Viele Anbieter helfen bei Befall und können die Seite vorübergehend sperren.
3. Alle Passwörter ändern: Hosting, Redaktionsbereich, Datenbank, FTP, Postfach. Zuerst die, mit denen andere zurückgesetzt werden können.
4. Sauberes Backup zurückspielen: aus der Zeit vor dem Vorfall, danach sofort alle Updates einspielen.
5. Ursache finden und schließen: Welches Plugin, welcher Zugang war die Lücke?
6. Datenschutz prüfen: Konnten Unbefugte personenbezogene Daten sehen, etwa Formularanfragen, kann eine Meldung an die Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden nötig sein (Art. 33 DSGVO). Das ist allgemeine Information, Stand Oktober 2026. Für deinen Fall hilft eine Anwältin oder ein Anwalt für Datenschutzrecht.
7. Google informieren: Nach der Bereinigung in der Search Console eine Überprüfung beantragen, falls eine Warnung angezeigt wurde.

8 Kosten und Zeitaufwand

Maßnahme	Aufwand oder Größenordnung	Wovon es abhängt
Backups beim Hoster	oft im Paket enthalten	Aufbewahrungsdauer, Wiederherstellung per Klick
zweites Backup außerhalb	wenige Euro im Monat für Speicher	Datenmenge, Werkzeug
Updates bei WordPress	1 bis 2 Stunden im Monat	Zahl der Plugins
Zugänge aufräumen und 2FA	einmalig 1 bis 2 Stunden	Zahl der Konten
Uptime-Monitoring	kostenlos bis wenige Euro im Monat	Prüfintervall, Benachrichtigung
Bereinigung nach einem Hack	oft mehrere Stunden bis Tage	Backup vorhanden oder nicht

Der größte Kostenblock ist fast immer der Notfall ohne Backup. Eine regelmäßige Stunde Pflege im Monat ist dagegen gut planbar.

9 Häufige Fehler und wie du sie vermeidest

• Backup nur beim Hoster: Fällt der Hoster aus oder wird das Konto gesperrt, ist auch das Backup weg.
• Nie getestet: Ein Backup, das sich nicht zurückspielen lässt, ist keins.
• Updates aus Angst aufgeschoben: Das Risiko eines alten Plugins ist größer als das eines Updates mit vorherigem Backup.
• Ein Admin-Konto für alle: Niemand weiß, wer was geändert hat, und beim Abschied eines Mitarbeiters bleibt der Zugang offen.
• Sicherheits-Plugin als Ersatz für Pflege: Es hilft, ersetzt aber keine Updates und keine Backups.
• Keine Zuständigkeit: „Macht die Agentur“ ist kein Plan, wenn es keinen Vertrag dafür gibt.

10 Woran du erkennst, dass du gut geschützt bist

• Du weißt, wo das letzte Backup liegt und von wann es ist.
• Eine Wiederherstellung wurde in den letzten drei Monaten getestet.
• Alle Zugänge haben Zwei-Faktor-Anmeldung, alte Konten sind gelöscht.
• Updates sind nicht älter als eine Woche.
• Das Monitoring hat dich schon einmal per Testalarm erreicht.
• Der Notfallplan liegt schriftlich vor, und jemand außer dir kennt ihn.

Häufige Folgefragen

Ist eine statische Website wirklich sicherer?

Sie hat weniger Angriffsfläche, weil es keine Datenbank, kein Login und keine Plugins auf dem Server gibt. Sicher sein müssen trotzdem Hosting-Zugang, Domain und Formularverarbeitung.

Reicht das Backup meines Hosters?

Als erste Kopie ja, als einzige nein. Prüfe, wie lange die Sicherungen aufbewahrt werden und ob du sie selbst zurückspielen kannst. Leg zusätzlich regelmäßig eine Kopie außerhalb ab.

Woran erkenne ich, dass meine Website gehackt wurde?

Typische Zeichen sind fremde Links oder Seiten in der Google-Suche, Weiterleitungen auf andere Websites, unbekannte Admin-Konten, eine Warnung im Browser oder eine Meldung in der Search Console. Auch eine plötzlich sehr langsame Seite kann ein Hinweis sein.

Brauche ich ein Sicherheits-Plugin für WordPress?

Es ist eine sinnvolle Ergänzung, etwa für die Begrenzung von Anmeldeversuchen und eine Firewall. Wichtiger sind aber Updates, wenige Plugins und starke Zugänge.

Muss ich Formularanfragen auf der Website speichern?

Nein. Am sichersten ist es, wenn Anfragen direkt per Mail oder ins CRM gehen und nicht zusätzlich in der Website-Datenbank liegen. Was du beim Datenschutz beachten musst, steht unter Kontaktformular und Datenschutz.

Wie quik dabei hilft

Mit quik Care Basis übernehmen wir Sicherheits- und Plattform-Updates, ein tägliches Backup mit 30-Tage-Verlauf und das Uptime-Monitoring. Jeden Monat bekommst du einen kurzen Statusbericht zu Erreichbarkeit, Backups, Updates und Zertifikat. Das Paket ist optional und monatlich kündbar.