Website-Sicherheit: SSL, Backups & Updates einfach erklärt

Website-Sicherheit klingt nach einem Thema für große Onlineshops mit tausenden Bestellungen pro Tag. Tatsächlich betrifft sie genauso die Ordinationsseite deiner Hausärztin, den Blog des Sportvereins oder die Homepage des Installateurbetriebs aus dem Nachbarort. Wer online ist, hat eine Angriffsfläche – unabhängig von Größe oder Bekanntheitsgrad. Der Unterschied liegt oft nur darin, wie schnell ein Problem auffällt und wie gut man darauf vorbereitet ist.

Warum Website-Sicherheit kein einmaliges Projekt ist

Viele denken bei Sicherheit an eine einmalige Einrichtung: SSL-Zertifikat aktivieren, Haken setzen, fertig. In Wirklichkeit ist Website-Sicherheit ein fortlaufender Prozess, bei dem mehrere Bausteine zusammenspielen müssen – Verschlüsselung, aktuelle Software, sichere Zugänge, funktionierende Backups und regelmäßige Kontrolle. Fällt einer dieser Bausteine weg, wird die ganze Kette schwächer. Ein veraltetes Plugin kann zum Einstiegstor werden, selbst wenn SSL korrekt eingerichtet ist. Ein starkes Passwort nützt wenig, wenn im Ernstfall kein brauchbares Backup existiert, um die Seite wiederherzustellen.

Typische Schwachstellen sehen in der Praxis oft ähnlich aus: ein Content-Management-System, das seit Monaten keine Aktualisierung mehr bekommen hat, ein Admin-Zugang mit einem Passwort, das auch für drei andere Accounts verwendet wird, und ein Kontaktformular, das ungeschützt Spam-Bots anlockt. Keine dieser Schwachstellen für sich ist spektakulär – in Kombination öffnen sie aber Tür und Tor.

SSL und HTTPS verständlich erklärt

SSL steht ursprünglich für „Secure Sockets Layer“ und beschreibt die Verschlüsselung der Verbindung zwischen deiner Website und den Besucherinnen und Besuchern. Technisch kommt heute meist der Nachfolger TLS zum Einsatz, umgangssprachlich hat sich der Begriff SSL aber gehalten – wenn also von einem „SSL-Zertifikat“ die Rede ist, ist damit in der Regel eine TLS-verschlüsselte Verbindung gemeint. Erkennbar ist eine solche gesicherte Verbindung am „https“ in der Adresszeile sowie am Schloss-Symbol im Browser.

Besonders wichtig ist eine verschlüsselte Verbindung überall dort, wo Daten übertragen werden: bei Kontaktformularen, Newsletter-Anmeldungen, Login-Bereichen, Terminbuchungen und natürlich im Onlineshop. Ohne SSL können Daten auf dem Weg zwischen Nutzer und Server theoretisch abgefangen oder verändert werden. Moderne Browser warnen inzwischen sehr deutlich vor unverschlüsselten Seiten – wer auf eine Website ohne https klickt und eine Warnmeldung sieht, verlässt die Seite in vielen Fällen sofort wieder. Das kostet nicht nur Vertrauen, sondern auch handfeste Anfragen und Umsatz.

Https gilt heute als technische Grundvoraussetzung für eine moderne Website und spielt auch für die Suchmaschinenoptimierung eine Rolle. Wichtig zu wissen: Ein SSL-Zertifikat ersetzt keine datenschutzrechtliche Einwilligung. Wenn auf einer Seite zusätzlich Tracking-Tools oder Marketing-Cookies eingesetzt werden, gilt in Österreich eine strenge Auslegung der DSGVO und des Telekommunikationsgesetzes: Die österreichische Datenschutzbehörde verlangt für nicht technisch notwendige Cookies grundsätzlich eine aktive Einwilligung der Nutzer, bevor diese gesetzt werden – ein bloßes „berechtigtes Interesse“ reicht hier in der Praxis nicht aus. Das ist ein eigenes Thema, das mit SSL selbst nichts zu tun hat, aber oft in einem Atemzug genannt wird.

Backups: die Lebensversicherung deiner Website

Ein Backup ist eine Sicherheitskopie deiner Website, mit der du sie nach einem Fehler, einem Angriff oder einem Datenverlust wiederherstellen kannst. Ein vollständiges Backup umfasst dabei nicht nur die sichtbaren Inhalte, sondern auch Dateien, Datenbanken, Bilder, Einstellungen und technische Konfigurationen. Fehlt einer dieser Bestandteile, lässt sich die Seite im Ernstfall oft nicht vollständig wiederherstellen.

Datenverlust hat viele Ursachen: ein fehlgeschlagenes Update, ein fehlerhaftes Plugin, ein Serverproblem, ein Schadsoftware-Befall oder schlicht ein menschlicher Fehler – etwa wenn versehentlich eine Seite gelöscht oder ein Formular falsch angepasst wird. Ein Beispiel aus der Praxis: Ein kleiner Handwerksbetrieb passt selbst kurz vor dem Wochenende noch die Preisliste auf der Website an, verändert dabei aber unbeabsichtigt ein zentrales Template. Am Montag ist die Startseite verschwunden. Mit einem aktuellen Backup ist das ein Vorfall von zehn Minuten – ohne Backup ein tagelanges Rekonstruktionsprojekt.

Backup-Arten im Überblick

Wie oft sollte gesichert werden?

Wie häufig ein Backup nötig ist, hängt davon ab, wie oft sich auf der Website etwas ändert. Eine kleine Unternehmenswebseite mit wenigen Anpassungen im Jahr kommt oft mit wöchentlichen Backups aus. Ein Blog mit regelmäßigen neuen Beiträgen sollte häufiger gesichert werden, damit im Fehlerfall nicht mehrere Wochen an Inhalten verloren gehen. Onlineshops, Buchungssysteme und Mitgliederbereiche mit laufenden Bestellungen und Kundendaten brauchen dagegen besonders regelmäßige, im Idealfall tägliche Sicherungen. Zusätzlich empfiehlt sich vor jedem größeren Eingriff – etwa einem Update von CMS, Theme oder Plugins, einer Designanpassung oder einer technischen Erweiterung – ein zusätzliches manuelles Backup.

Genauso wichtig wie die Häufigkeit ist der Speicherort: Ein Backup, das nur auf demselben Server liegt wie die Website selbst, ist bei einem Serverausfall oder einem erfolgreichen Angriff genauso gefährdet wie die Website selbst. Backups sollten deshalb zusätzlich extern gespeichert werden, etwa über den Hosting-Anbieter oder eine separate Backup-Lösung.

Updates und laufende Pflege: der unterschätzte Faktor

Viele Websites basieren auf einem Content-Management-System wie WordPress, ergänzt durch Themes und Plugins. Diese Bausteine sollten regelmäßig aktualisiert werden, denn Updates schließen bekannt gewordene Sicherheitslücken, beheben Fehler und verbessern die Stabilität. Besonders kritisch sind Plugins und Themes, die nicht mehr aktiv gepflegt werden und deshalb keine Sicherheitsupdates mehr erhalten – sie sollten regelmäßig überprüft und im Zweifel ersetzt werden.

Vor jedem größeren Update lohnt sich ein aktuelles Backup, damit du im Fall eines Problems sofort zurück zum vorherigen Stand kannst. Nach dem Update solltest du kontrollieren, ob Kontaktformulare, Bestellprozesse, Navigation, mobile Darstellung, Ladezeiten und die zentralen Inhalte noch wie gewohnt funktionieren. Bei stark individualisierten oder technisch komplexen Websites empfiehlt sich, Updates zunächst in einer Testumgebung zu prüfen, bevor sie live geschaltet werden – gerade nach einer größeren Weiterentwicklung oder im Rahmen einer Relaunch-Betreuung ist dieser Schritt Gold wert.

Sichere Zugänge: der einfachste Hebel mit großer Wirkung

Ein erstaunlich großer Teil erfolgreicher Angriffe beginnt nicht mit hochkomplexer Technik, sondern mit einem erratenen oder mehrfach verwendeten Passwort. Ein paar konkrete Gewohnheiten machen hier einen großen Unterschied:

• Für jeden Zugang ein langes, einzigartiges Passwort verwenden – nicht dasselbe Passwort für CMS, Hosting und E-Mail-Postfach
• Zwei-Faktor-Authentifizierung aktivieren, etwa über einen Code aus einer Authenticator-App
• Benutzerrechte regelmäßig prüfen und auf das Notwendige beschränken
• Nicht mehr benötigte Benutzerkonten konsequent löschen
• Individuelle Admin-Accounts statt eines gemeinsam genutzten Zugangs – so lässt sich im Nachhinein nachvollziehen, wer welche Änderung vorgenommen hat

Wenn es doch passiert: Vorgehen bei einem Hackerangriff

Schadsoftware auf einer Website fällt oft erst spät auf – manchmal erst durch eine Browserwarnung, einen Hinweis des Hosting-Anbieters oder auffällige Veränderungen in den Suchergebnissen. Ist der Verdacht erst einmal da, hilft strukturiertes statt hektisches Vorgehen:

1. Zugangsdaten ändern: Alle relevanten Zugänge – CMS, FTP/SFTP, Datenbank, Hosting – neu setzen und prüfen, welche Dateien verändert wurden und über welche Schwachstelle der Angriff erfolgt sein könnte.
2. Saubere Wiederherstellung: Ein garantiert nicht infiziertes Backup identifizieren und einspielen. Ein Backup, das zum Zeitpunkt der Sicherung bereits infiziert war, würde die Schadsoftware sonst einfach erneut zurückholen.
3. Ursache beheben: Die eigentliche Sicherheitslücke analysieren, veraltete Komponenten aktualisieren und nicht mehr benötigte Zugänge entfernen – sonst droht ein erneuter Einbruch über dieselbe Schwachstelle.

Hosting-Anbieter oder die technische Betreuung sollten in so einem Fall so früh wie möglich eingebunden werden, statt zu versuchen, das Problem im Alleingang zu lösen.

Website-Sicherheit als Vertrauensfaktor

Sicherheit ist längst nicht nur ein technisches Thema, sie beeinflusst direkt, wie seriös ein Unternehmen wirkt. Eine sichere https-Verbindung, kurze Ladezeiten, eine stabile Darstellung und funktionierende Formulare fördern Vertrauen. Browserwarnungen, fehlerhafte Bereiche oder technische Aussetzer wirken dagegen sofort abschreckend – vor allem, wenn gerade sensible Daten übermittelt werden sollen, etwa bei einer Beratungsanfrage, einer Terminbuchung oder einer Bestellung. Genau in diesem Moment entscheidet sich oft, ob eine Anfrage abgeschickt wird oder die Seite verlassen wird.

Zusätzlich vertrauensfördernd wirken eine leicht auffindbare Datenschutzerklärung und eine vollständige Offenlegung der Website-Betreiber. In Österreich ist diese Offenlegungspflicht unter anderem im Mediengesetz und im E-Commerce-Gesetz geregelt – ein rechtssicheres Impressum gehört damit genauso zur Vertrauensbasis wie ein gültiges SSL-Zertifikat.

Praxis-Checklisten zum Nachschauen

SSL-Check

• Ist die Website über https erreichbar?
• Wird das SSL-Zertifikat im Browser korrekt angezeigt, ohne Warnung?
• Leitet http automatisch auf https weiter?
• Laufen Formulare und Login-Bereiche ausschließlich über die gesicherte Verbindung?

Backup-Check

• Gibt es automatische, regelmäßige Backups?
• Werden vor größeren Änderungen zusätzliche manuelle Backups erstellt?
• Liegt eine Kopie extern, getrennt vom eigenen Server?
• Wurde eine Wiederherstellung schon einmal getestet?
• Ist klar, wer im Notfall Zugriff auf die Backups hat?

Allgemeiner Sicherheits-Check

• Sind CMS, Theme und Plugins aktuell?
• Wurden nicht benötigte Plugins entfernt?
• Sind starke, individuelle Passwörter und Zwei-Faktor-Authentifizierung im Einsatz?
• Sind Nutzerrechte auf das Notwendige beschränkt und alte Konten gelöscht?
• Gibt es Schutz vor Spam und automatisierten Login-Versuchen?
• Wird regelmäßig auf Schadsoftware geprüft?

Fazit: Sicherheit ist Wartung, nicht Einrichtung

SSL, Backups und Updates bilden gemeinsam die Grundlage jeder professionellen Website. Entscheidend ist dabei weniger die einmalige Einrichtung als die regelmäßige Kontrolle: Ist SSL aktiv? Gibt es aktuelle, extern gespeicherte Backups? Sind alle Systeme auf dem neuesten Stand? Wer diese drei Fragen alle paar Wochen ehrlich beantworten kann, hat den größten Teil der Risiken bereits im Griff – und schützt damit nicht nur Daten, sondern auch das Vertrauen der Menschen, die auf der Website landen.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine verbindliche Einschätzung deiner konkreten Situation wende dich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.