Was ist Webseiten-Sicherheit?
Zur Sicherheit einer Website gehören alle Maßnahmen, die verhindern, dass Fremde Daten abgreifen, Inhalte verändern oder die Seite für eigene Zwecke missbrauchen. Kleine Websites werden selten gezielt ausgesucht. Angreifer schicken automatisierte Programme durch das Netz, die bekannte Lücken suchen und sofort ausnutzen. Danach verteilt eine gekaperte Seite vielleicht Malware, leitet Besucher auf Phishing-Seiten weiter oder verschickt Spam.
Für Betreiber hat das handfeste Folgen. Browser und Google warnen vor der Seite, Kunden verlieren Vertrauen. Fließen persönliche Daten ab, kommen rechtliche Pflichten dazu.
Eine verbreitete Orientierung bietet die Liste OWASP Top 10 des Open Worldwide Application Security Project. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) verweist darauf. In der Ausgabe 2025 steht Security Misconfiguration, also falsche oder fehlende Einstellungen, auf Platz 2. In der Ausgabe 2021 lag diese Kategorie noch auf Platz 5. Weitere Kategorien sind unter anderem Broken Access Control, Software Supply Chain Failures, Injection und Authentication Failures.
Wie funktioniert ein Sicherheitscheck?
Ein Check von außen braucht keinen Zugang zu Ihrem Server. Er ruft die Website auf, liest die Antworten des Webservers aus und testet bekannte Adressen. So sieht er die Seite ungefähr so, wie ein Angreifer sie sieht. Geprüft werden Verschlüsselung, HTTP-Header, frei abrufbare Dateien, Versionsangaben von Software, Formulare und die E-Mail-Einträge der Domain.
Ein solcher Scan hat Grenzen. Er kennt weder Ihre Passwörter noch die Server-Einstellungen und versteht keine Geschäftslogik. Ob ein Kunde über eine geänderte Bestellnummer fremde Rechnungen abrufen kann, merkt er meist nicht. Für Online-Shops, Portale mit Benutzerkonten oder Anwendungen mit Kundendaten lohnt sich deshalb zusätzlich ein Penetrationstest. Dabei greifen Fachleute die Anwendung mit Ihrer Erlaubnis gezielt von Hand an.
Prüfen Sie nur Websites, die Ihnen gehören oder für die Sie eine schriftliche Erlaubnis haben. Ein Scan fremder Seiten kann als Angriffsversuch gelten. Liegt Ihre Website bei einem Hoster oder einer Agentur, klären Sie vorher, ob Scans erlaubt sind. Bei rechtlichen Fragen hilft eine Fachanwältin oder ein Fachanwalt.
Die wichtigsten Bausteine
Verschlüsselung mit HTTPS
Die Verbindung zwischen Browser und Server sollte immer verschlüsselt sein; das BSI empfiehlt Transportverschlüsselung für Webanwendungen grundsätzlich. Achten Sie auf ein gültiges Zertifikat, auf eine saubere Weiterleitung von http:// auf https:// und darauf, dass keine Datei mehr über HTTP lädt. Zeigt der Browser „Nicht sicher“ an, fehlt meist einer dieser Punkte.
Aktuelle Software
Viele Lücken betreffen CMS, Themes und Plugins, die lange kein Update bekommen haben. Halten Sie Kern, Erweiterungen und die PHP-Version aktuell. Löschen Sie Erweiterungen, die Sie nicht mehr nutzen, denn auch ein deaktiviertes Plugin liegt weiter auf dem Server.
Sichere Zugänge
Der Login ist ein beliebtes Ziel für automatisiertes Passwort-Raten. Nutzen Sie starke Passwörter und eine Zwei-Faktor-Anmeldung für Administratoren. Entfernen Sie alte Benutzerkonten und schützen Sie den Login gegen viele Fehlversuche.
Keine offenen Dateien und Geheimnisse
Dateien wie .env, ein .git-Ordner oder Backups gehören nicht in den öffentlichen Ordner. Eine .env-Datei enthält oft Datenbank-Passwörter und API-Schlüssel. Auch im JavaScript dürfen keine geheimen Schlüssel stehen, weil jeder Besucher den Code lesen kann.
Header und E-Mail-Einträge
Security-Header geben dem Browser Regeln vor, etwa nur HTTPS zu nutzen oder nur freigegebene Skripte zu laden. Die Einträge SPF, DKIM und DMARC erschweren es Betrügern, E-Mails mit Ihrer Absenderadresse zu fälschen. Beide Bereiche haben eigene Themenseiten.
Typische Fehler
- Eine .env-Datei, ein Backup oder ein .git-Ordner ist über den Browser abrufbar.
- Ungenutzte Plugins bleiben installiert und bekommen keine Updates.
- Der Server verrät Versionen, etwa über den Header X-Powered-By.
- Fehlermeldungen von Formularen zeigen technische Details.
- Nach einem Fund wird die Datei gelöscht, die enthaltenen Passwörter bleiben aber gleich.
- Ein sauberer Scan-Report gilt als Beweis für eine sichere Website.
Wie Sie prüfen
Für einen ersten Überblick reichen ein aktueller Browser und etwas Zeit. Öffnen Sie Ihre Website, drücken Sie F12 und wechseln Sie zum Reiter „Netzwerk“. Laden Sie die Seite neu und klicken Sie auf das erste Dokument. Unter „Antwort-Header“ sehen Sie, was der Server mitschickt. Im Reiter „Konsole“ zeigen Warnungen zu gemischten Inhalten Dateien, die noch über HTTP laden. Im Terminal liefert der Befehl curl -I https://example.com dieselben Header.
Rufen Sie danach für Ihre Domain Adressen wie /.env, /.git/config oder /backup.zip auf. Eine Fehlerseite mit 404 oder 403 ist gut, jeder sichtbare Inhalt und jeder Download ist eine ernste Lücke. Kontrollieren Sie im Backend den Update-Stand und fragen Sie beim Hosting nach der PHP-Version. In der Google Search Console meldet der Bericht „Sicherheitsprobleme“, ob Google Malware, gehackte Inhalte oder Phishing gefunden hat.
Beheben Sie Funde nach Risiko: zuerst offene Geheimnisse löschen und alle betroffenen Passwörter ändern, dann Software aktualisieren, Zugänge absichern, HTTPS vervollständigen und Header ergänzen. Legen Sie vor jeder Änderung ein Backup an und testen Sie danach Formulare, Shop und Login. Wiederholen Sie den Check nach größeren Updates und sonst regelmäßig, zum Beispiel einmal im Monat.
Häufige Fragen
Werden kleine Websites überhaupt angegriffen?
Ja. Die meisten Angriffe laufen automatisiert und prüfen massenhaft Websites auf bekannte Lücken, unabhängig von ihrer Größe.
Ist ein Sicherheitscheck dasselbe wie ein Penetrationstest?
Nein. Ein Check prüft bekannte Punkte automatisiert von außen. Bei einem Penetrationstest greifen Fachleute die Anwendung gezielt und von Hand an.
Was tun, wenn Google meine Website als gefährlich meldet?
Prüfen Sie den Bericht „Sicherheitsprobleme“ in der Search Console, entfernen Sie Schadcode, aktualisieren Sie alle Software und ändern Sie die Passwörter. Danach können Sie dort eine Überprüfung anfordern.
Wie oft sollte ich meine Website prüfen?
Nach jedem größeren Update und sonst regelmäßig, zum Beispiel einmal im Monat.
