Sicherheit der Firmenwebsite, was Sie prüfen sollten und was im Ernstfall zu tun ist

Das Zertifikat: das Schloss im Browser

HTTPS verschlüsselt die Verbindung zwischen Browser und Website. Das Zertifikat bestätigt dabei, dass die Seite wirklich zu dieser Domain gehört. Fehlt es oder ist es abgelaufen, zeigt der Browser eine Warnung, und viele Besucher kehren um, bevor sie Ihre Seite gesehen haben.

Prüfen Sie drei Dinge:

• Die Adresse beginnt mit https:// und der Browser zeigt kein «Nicht sicher».
• Die Adresse mit http:// leitet automatisch auf https:// um.
• Es gibt keine «gemischten Inhalte»: Bilder und Skripte werden ebenfalls über https geladen.

Fragen Sie Ihren Hoster, ob sich das Zertifikat automatisch erneuert und wer sich meldet, falls es einmal nicht klappt. Wo die Erneuerung von Hand läuft, hilft ein Kalendereintrag zum Ablaufdatum. Das Zertifikat schützt nur die Verbindung. Ob die Seite selbst sauber ist, entscheiden die nächsten Punkte.

Updates: ein typischer Schwachpunkt

Jede Website besteht aus Bausteinen, und jeden Baustein muss jemand pflegen. Bei WordPress sind das das System, das Design und die Plugins, dazu kommt die PHP-Version beim Hoster. Veraltete Bausteine mit bekannten Lücken sind ein typisches Einfallstor. Bei einem Baukasten kümmert sich der Anbieter darum. Eine statische Website aus fertigen Dateien, ohne Datenbank und ohne Login, bietet wenig Angriffsfläche: Wo nichts veralten kann, gibt es wenig zu knacken.

Was Sie tun können:

• Installieren Sie nur Plugins, die Sie brauchen, und löschen Sie ungenutzte. Deaktivieren genügt nicht.
• Spielen Sie Sicherheitsupdates rasch ein, alle anderen regelmässig, etwa einmal im Monat.
• Halten Sie die Reihenfolge ein: erst Sicherung, dann Update, dann testen (Startseite, Formular, Bestellung).
• Klären Sie, wer das macht: Sie, Ihr Webdesigner oder ein Pflegevertrag. Mehr dazu im Beitrag Website-Pflege.

Formulare gegen Spam schützen

Offene Kontaktformulare ziehen automatische Nachrichten an. Wirksam und ohne Belastung für echte Besucher sind diese Mittel:

• Honeypot: ein verstecktes Feld, das nur Roboter ausfüllen. Ist es gefüllt, wird die Nachricht verworfen.
• Zeitprüfung: Wer ein Formular in zwei Sekunden abschickt, ist meist kein Mensch.
• Prüfung auf dem Server: Eingaben werden zusätzlich auf dem Server kontrolliert, denn die Prüfung im Browser lässt sich umgehen.
• Begrenzung: Pro Absender nur eine bestimmte Zahl Nachrichten in einer bestimmten Zeit.

Rätsel-Captchas («Wählen Sie alle Ampeln aus») sind für viele Menschen eine Hürde und aus Sicht der Barrierefreiheit problematisch. Wer einen Dienst wie Google reCAPTCHA einsetzt, übermittelt Daten an Google. Der Dienst gehört dann in die Datenschutzerklärung und hinter die Einwilligung. Testen Sie Ihr Formular nach jeder Änderung mit einer echten Anfrage und prüfen Sie, dass sie im Postfach ankommt und nicht im Spam-Ordner landet. Weitere Ideen im Beitrag Kontaktformular optimieren.

Sicherungen und Zugänge: Versicherung und Schlüssel

Eine Sicherung ist wie die Brandversicherung: Man hofft, sie nie zu brauchen, aber wenn, dann zählt jede Minute. Sie ist nur gut, wenn man sie zurückspielen kann. Fünf Regeln:

1. Vollständig. Dateien und Datenbank.
2. Automatisch. Täglich oder wöchentlich, je nachdem, wie oft sich die Seite ändert.
3. Woanders. Mindestens eine Kopie liegt nicht auf demselben Server wie die Seite.
4. Mehrere Stände. Ältere Versionen bleiben erhalten, denn manchmal merkt man erst nach Tagen, dass etwas schiefging.
5. Zurückspielen testen. Probieren Sie einmal aus, wie lange es dauert und wer es kann.

Fragen Sie Ihren Hoster, wie oft er sichert, wie lange er die Stände aufbewahrt und wie eine Wiederherstellung abläuft. Wie sich ein Hoster auswählen lässt, steht im Beitrag Hosting in der Schweiz.

Mit den Zugängen verhält es sich wie mit Schlüsseln: Wer sie hat, kommt hinein, also gehen Sie sorgfältig damit um.

• Ein langes, einzigartiges Passwort pro Zugang, verwaltet in einem Passwortmanager.
• Zwei-Faktor-Anmeldung für Website-Verwaltung, Hoster, Domain und das E-Mail-Konto, über das Passwörter zurückgesetzt werden. Wer das E-Mail-Konto hat, hat oft alles.
• Ein eigenes Konto pro Person statt eines gemeinsamen Zugangs «admin».
• Zugänge ehemaliger Mitarbeitender und früherer Dienstleister werden entfernt.
• Die Domain ist auf Ihre Firma registriert und liegt in Ihrem Konto, nicht allein bei einer Agentur.
• Führen Sie eine Liste der Zugänge: Hoster, Domain, Website-Verwaltung, E-Mail, Google-Konten, je mit Verantwortlichem.

Im Ernstfall: der Ablauf

Legen Sie ein Notfallblatt an, bevor etwas passiert: Telefonnummer des Hosters, wer die Zugänge verwaltet, wo die Sicherungen liegen und wer entscheidet. Im Ernstfall gehen Sie dann so vor:

1. Beweise sichern. Bildschirmfotos der Seite und von Fehlermeldungen, Zeitpunkt notieren. Nicht sofort alles löschen.
2. Zugänge sichern. Ändern Sie von einem sauberen Gerät aus die Passwörter von Hoster, Website-Verwaltung, E-Mail und Domain.
3. Hoster informieren. Rufen Sie ihn an. Er kann Protokolle sichern und die Seite vorübergehend vom Netz nehmen oder durch eine Wartungsseite ersetzen.
4. Sauberen Stand herstellen. Spielen Sie eine Sicherung von vor dem Vorfall ein, statt auf der betroffenen Installation weiterzuarbeiten. Danach schliessen Sie die Lücke und spielen alle Updates ein, sonst passiert es wieder.
5. Personendaten prüfen. Waren Anfragen, Kundendaten oder Konten betroffen? Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen, verlangt das nDSG eine Meldung an den EDÖB so rasch wie möglich. Besprechen Sie das mit einer Fachperson.
6. Anzeige erstatten. Bei Erpressung, Datendiebstahl oder Betrug gehört der Fall zur Polizei. Bezahlen Sie keine Forderungen ohne vorherige Beratung.
7. Google-Warnung beheben. Zeigt Google eine Sicherheitswarnung für Ihre Seite, beantragen Sie nach der Bereinigung in der Search Console eine erneute Prüfung.
8. Aufarbeiten. Wie kam der Angreifer hinein? Passen Sie Notfallblatt und Gewohnheiten an.

Dieser Beitrag ist keine Rechtsberatung. Bei Unsicherheit, besonders zur Meldepflicht, ziehen Sie eine Fachperson bei. Weitere Beiträge finden Sie in der Ratgeber-Übersicht.

Wenn Sie eine neue, saubere Grundlage wollen

Edelweiss vermittelt Ihr Vorhaben an eine Agentur, die dazu passt. Für Sie ist das kostenlos, bezahlt werden wir von den Agenturen. Sie können Ihr Vorhaben in sechs Fragen beschreiben. Wenn Sie zuerst sehen möchten, wo Ihre Seite heute steht, nutzen Sie den kostenlosen Website-Check.

Häufige Fragen

Ist meine Website sicher, wenn sie HTTPS hat?

Nein. HTTPS schützt nur die Verbindung zwischen Besucher und Server. Veraltete Software, schwache Passwörter und offene Formulare bleiben davon unberührt.

Reicht die Sicherung meines Hosters?

Das hängt von drei Dingen ab: wie oft er sichert, wie lange er die Stände aufbewahrt und ob eine Wiederherstellung wirklich funktioniert. Fragen Sie nach und bewahren Sie zusätzlich eine eigene Kopie an einem anderen Ort auf.

Woran merke ich, dass meine Website gehackt wurde?

Hinweise sind unbekannte Weiterleitungen auf fremde Seiten, fremde Texte oder Links auf Ihrer Seite, eine Warnung von Google oder vom Browser, eine Mitteilung des Hosters und Benutzerkonten, die Sie nicht angelegt haben. Wenn Sie so etwas sehen, gehen Sie die Notfall-Schritte durch.

Braucht auch eine kleine Seite Schutz?

Ja. Viele Angriffe laufen automatisiert und prüfen jede erreichbare Website, unabhängig von der Grösse der Firma dahinter. Schon die Grundlagen aus diesem Beitrag schliessen die häufigsten Lücken.