Website absichern: Welche Grundlagen sind wichtig?

Welche Grundlagen sind wichtig, um eine Website abzusichern?

Wer eine Website absichern möchte, sollte mehrere Schutzebenen miteinander verbinden. Keine einzelne Maßnahme verhindert jeden Angriff. Updates können bekannte Sicherheitslücken schließen, helfen aber nicht gegen gestohlene Zugangsdaten. Ein SSL-Zertifikat schützt die Datenübertragung, entfernt jedoch keinen Schadcode. Backups ermöglichen eine Wiederherstellung, verhindern aber nicht die Kompromittierung selbst.

Zu einem angemessenen Grundschutz gehören insbesondere:

• Das CMS, Erweiterungen, Templates und die Serverumgebung werden auf unterstützten Versionen gehalten.
• Administrative Zugänge erhalten einzigartige Passwörter und möglichst eine Mehrfaktor-Authentisierung.
• Benutzer bekommen nur die Rechte, die sie für ihre jeweiligen Aufgaben benötigen.
• Die gesamte Website wird verschlüsselt über HTTPS ausgeliefert.
• Dateien und Datenbank werden regelmäßig und getrennt vom Webspace gesichert.
• Formulare und andere öffentlich erreichbare Funktionen werden gegen automatisierten Missbrauch geschützt.
• Erreichbarkeit, Änderungen, Warnmeldungen und sicherheitsrelevante Ereignisse werden kontrolliert.

Auch die Basistipps des Bundesamts für Sicherheit in der Informationstechnik nennen Sicherheitsupdates, sichere Passwörter, Mehrfaktor-Authentisierung und weitere aufeinander abgestimmte Maßnahmen als wesentliche Grundlagen. Wie umfangreich die Absicherung sein sollte, hängt von den Funktionen, verarbeiteten Daten und möglichen Folgen eines Ausfalls ab.

Warum sind Updates und eine kleine Angriffsfläche so wichtig?

Websites bestehen meist nicht nur aus einem CMS. Plugins, Komponenten, Themes, Templates, Skripte, Programmiersprachen und Serverdienste können ebenfalls Sicherheitslücken enthalten. Deshalb müssen alle eingesetzten Bestandteile erfasst und auf unterstützten Versionen gehalten werden. Verfügbare Sicherheitsupdates sollten abhängig von Schweregrad und Erreichbarkeit zeitnah geprüft und kontrolliert installiert werden.

Vor einem Update ist eine vollständige Sicherung sinnvoll. Anschließend sollten Anmeldung, Navigation, Formulare, E-Mail-Versand und andere wichtige Funktionen praktisch getestet werden. Automatische Updates können bei geeigneten Komponenten helfen, ersetzen aber nicht die Kontrolle des Ergebnisses und einen geregelten Umgang mit fehlgeschlagenen Aktualisierungen.

Nicht mehr benötigte Erweiterungen, Benutzerkonten, Testinstallationen und alte Dateikopien sollten vollständig entfernt werden. Eine deaktivierte Erweiterung kann weiterhin angreifbare Dateien enthalten. Je weniger öffentlich erreichbare und zu pflegende Bestandteile vorhanden sind, desto übersichtlicher bleibt die Angriffsfläche.

Wie schützen sichere Zugänge das CMS und den Webspace?

Jeder administrative Zugang sollte ein eigenes, langes und einzigartiges Passwort erhalten. Das betrifft nicht nur das CMS, sondern auch Hostingkonto, Domainverwaltung, SFTP oder SSH, Datenbank, Backup-Speicher und die für Passwortwiederherstellungen verwendeten E-Mail-Konten. Werden Passwörter mehrfach verwendet, kann ein Vorfall bei einem anderen Dienst auch die Website gefährden.

Für privilegierte Konten sollte möglichst eine Mehrfaktor-Authentisierung aktiviert werden. Ein zusätzlich abgefragter Faktor erschwert den Zugriff, wenn ein Passwort ausgespäht wurde. Gemeinsame Administratorkonten sollten vermieden werden, damit Änderungen einer Person zugeordnet und Berechtigungen gezielt entzogen werden können.

Benutzer benötigen nur die Rechte, die für ihre Aufgaben erforderlich sind. Ein Redakteur muss normalerweise keine Erweiterungen installieren oder Servereinstellungen verändern können. Ausscheidende Mitarbeiter und nicht mehr benötigte Dienstleisterkonten sollten zeitnah gesperrt werden. Auch Anwendungspasswörter, API-Schlüssel und dauerhaft angemeldete Sitzungen gehören in die regelmäßige Zugangskontrolle.

Welche Rolle spielen HTTPS, Hosting und Serverkonfiguration?

HTTPS schützt die Übertragung zwischen Website und Besuchern davor, unterwegs unbemerkt mitgelesen oder verändert zu werden. Die Website sollte vollständig über HTTPS erreichbar sein, unverschlüsselte Aufrufe weiterleiten und keine Bilder, Skripte oder anderen Inhalte nachträglich über HTTP laden. Zertifikate müssen rechtzeitig und möglichst automatisiert erneuert werden.

HTTPS allein macht eine Website jedoch nicht frei von Sicherheitslücken. Die Informationen von Let’s Encrypt zur Bedeutung von HTTPS erläutern den Schutz von Vertraulichkeit und Integrität während der Übertragung. Manipulierte Erweiterungen, unsichere Passwörter oder Schadcode auf dem Server werden dadurch nicht beseitigt.

Zur technischen Grundlage gehören außerdem eine unterstützte Serverumgebung, sinnvoll begrenzte Datei- und Verzeichnisrechte sowie verschlüsselte Verwaltungszugänge wie SFTP oder SSH. Mehrere Websites in einem Hostingkonto sollten möglichst sauber voneinander getrennt sein. Eine Firewall oder Web Application Firewall kann bestimmte Angriffe abfangen, ersetzt aber weder Updates noch sichere Zugänge und Kontrollen.

Wie sollten Backups für den Sicherheitsfall aufgebaut sein?

Eine brauchbare Sicherung enthält mindestens die benötigten Dateien und die zugehörige Datenbank. Abhängig vom System müssen außerdem Konfigurationen, individuelle Anpassungen und weitere für den Betrieb erforderliche Daten berücksichtigt werden. Werden nur Dateien oder nur die Datenbank gesichert, lässt sich die Website möglicherweise nicht vollständig wiederherstellen.

Backups sollten nicht ausschließlich im selben Webspace liegen. Wird das Hostingkonto kompromittiert oder technisch beschädigt, könnten dort gespeicherte Sicherungen ebenfalls gelöscht oder manipuliert werden. Das BSI empfiehlt bei der Datensicherung eine getrennte Aufbewahrung. Zusätzlich sollten Backup-Zugänge geschützt und mehrere Sicherungsstände vorgehalten werden.

Ob die Sicherungen tatsächlich funktionieren, zeigt erst eine kontrollierte Wiederherstellung. Dabei muss geprüft werden, ob Dateien und Datenbank zusammenpassen und die Website anschließend vollständig nutzbar ist. Weitere Hintergründe erläutert der Ratgeber Warum sind Backups vor Updates so wichtig?.

Wie lassen sich Formulare und öffentliche Funktionen schützen?

Kontakt-, Anmelde- und Kommentarfunktionen werden häufig automatisiert aufgerufen. Mögliche Folgen sind Spam, massenhafter E-Mail-Versand, unnötige Serverlast oder Versuche, schädliche Eingaben zu übermitteln. Eingaben müssen deshalb serverseitig geprüft werden. Eine Prüfung ausschließlich im Browser lässt sich leicht umgehen.

Je nach Funktion können zeitliche Begrenzungen, Honeypot-Felder, Spam-Filter oder eine gezielt eingesetzte Abfrage gegen automatisierte Zugriffe helfen. Solche Maßnahmen sollten echte Besucher nicht unnötig behindern. Insbesondere bildbasierte Captchas können Bedienbarkeit und Barrierefreiheit beeinträchtigen und sollten nicht automatisch die erste Lösung sein.

Datei-Uploads benötigen besondere Aufmerksamkeit. Zulässige Dateitypen und Größen sollten begrenzt, Dateinamen kontrolliert und hochgeladene Inhalte so gespeichert werden, dass sie nicht unkontrolliert als Programm ausgeführt werden können. Nicht benötigte Formulare, Schnittstellen und Registrierungsfunktionen sollten deaktiviert oder entfernt werden.

Was gehört zu Monitoring und regelmäßigen Sicherheitskontrollen?

Monitoring soll Auffälligkeiten früh sichtbar machen. Dazu können die Erreichbarkeit der Website, der Ablauf des TLS-Zertifikats, verfügbare Updates, fehlgeschlagene Anmeldungen, veränderte Dateien, neue Benutzerkonten, ungewöhnlicher E-Mail-Versand und Meldungen des Hosters gehören. Welche Ereignisse relevant sind, richtet sich nach der jeweiligen Website und ihren Funktionen.

Automatische Warnungen sind nur hilfreich, wenn sie geprüft und bearbeitet werden. Zu viele unklare Meldungen führen leicht dazu, dass wichtige Hinweise übersehen werden. Protokolle sollten ausreichend Informationen für eine Einordnung liefern, vor unbefugtem Zugriff geschützt sein und nicht unnötig öffentlich oder unbegrenzt gespeichert werden.

Ein Malware-Scanner kann die Kontrolle unterstützen, garantiert aber keine vollständig saubere Website. Externe Scanner sehen normalerweise nur öffentlich ausgelieferte Inhalte, während interne Prüfungen andere Bereiche erfassen. Ergänzend sind regelmäßige manuelle Funktionskontrollen und eine klare Zuständigkeit für Meldungen erforderlich. Eine planbare Website-Wartung kann Updates, Backups und technische Prüfungen dauerhaft zusammenführen.

Wann kann man die Website selbst absichern und wann ist Unterstützung sinnvoll?

Viele Grundlagen können Betreiber selbst umsetzen, wenn sie das eingesetzte System kennen, Updates kontrolliert durchführen, vollständige Backups verwalten und Warnmeldungen fachlich einordnen können. Wichtig ist ein dokumentierter Ablauf mit klarer Zuständigkeit. Einzelne Sicherheitsmaßnahmen einzurichten und anschließend über längere Zeit nicht mehr zu prüfen, reicht nicht aus.

Professionelle Unterstützung ist besonders sinnvoll bei Onlineshops, Mitgliederbereichen, individuellen Schnittstellen, mehreren Installationen oder sensiblen Geschäftsprozessen. Das gilt auch, wenn niemand verlässlich für Updates, Wiederherstellung und Sicherheitsmeldungen zuständig ist oder wenn unklar bleibt, welche Zugänge und Erweiterungen noch benötigt werden.

Zeigt die Website bereits unbekannte Inhalte, Weiterleitungen, neue Benutzer oder andere verdächtige Veränderungen, genügt eine vorsorgliche Absicherung nicht mehr. Die Leistung Hilfe bei einer gehackten Website umfasst die Prüfung, Bereinigung, Wiederherstellung und anschließende Absicherung. Über die Anfrage für eine gehackte Website können Sie die beobachteten Auffälligkeiten und bisherigen Maßnahmen mitteilen.

Weitere Ratgeber

Passende Beiträge zum Thema

Weitere Ratgeber, die zu diesem Thema passen und bei Wartung, Sicherheit, Updates oder Backups weiterhelfen.