Website-Sicherheit für KMU: 10 Maßnahmen, die wirklich schützen

Website-Sicherheit für kleine und mittlere Unternehmen braucht keine teure Spezialtechnik, sondern Disziplin bei zehn Punkten: Updates, Backups, Zugänge, Erweiterungen, Hosting, Firewall, Verschlüsselung, Überwachung, Zuständigkeiten und ein Notfallplan. Die meisten erfolgreichen Angriffe auf KMU-Websites nutzen bekannte Lücken in veralteter Software, nicht raffinierte Spezialangriffe.

Die kritische PHP-Lücke PHP2Shell hat gezeigt, wie schnell es gehen muss: Das BSI hielt eine breite Ausnutzung wenige Stunden nach den Patches für wahrscheinlich. Wer seine Website nach diesen zehn Punkten pflegt, ist in so einer Lage schnell auf der sicheren Seite.

Die 10 Maßnahmen

1. Updates zeitnah einspielen

CMS, Plugins, Themes und PHP. Sicherheitsupdates innerhalb von Tagen, kritische wie PHP2Shell sofort. Automatische Updates für kleinere Versionen sind meist sinnvoll.

2. Backups getrennt und getestet

Tägliche Sicherung von Dateien und Datenbank, mehrere Tage zurück, an einem getrennten Ort. Und mindestens einmal im Jahr testen, ob die Wiederherstellung wirklich klappt.

3. Wenige Administratoren, starke Anmeldung

Nur so viele Admin-Konten wie nötig, persönliche statt geteilte Zugänge, lange Passwörter aus einem Passwortmanager und Zwei-Faktor-Anmeldung für alle Administratoren.

4. Erweiterungen ausmisten

Jedes Plugin ist zusätzlicher Code, der Lücken haben kann. Was nicht gebraucht wird, löschen – nicht nur deaktivieren. Nur Erweiterungen nutzen, die aktiv gepflegt werden.

5. Hosting mit Sicherheitsupdates

Ein Hoster, der PHP und Server zeitnah aktualisiert und bei Warnungen wie PHP2Shell informiert. Fragen Sie nach, wie schnell kritische Updates eingespielt werden.

6. Admin-Oberflächen nicht offen ins Internet

Anmeldeseiten und Weboberflächen von Firewalls, NAS oder Routern sollten nur aus dem Firmennetz oder per VPN erreichbar sein. Das verkleinert die Angriffsfläche erheblich.

7. Web Application Firewall als Ergänzung

Eine WAF filtert bekannte Angriffsmuster, etwa über Dienste wie Cloudflare. Sie ersetzt keine Updates, kann aber die Zeit bis zum Patch überbrücken.

8. HTTPS und Sicherheits-Header

Verschlüsselte Verbindungen sind Standard. Zusätzliche Sicherheits-Header im Webserver erschweren bestimmte Angriffe im Browser.

9. Überwachen

Benachrichtigungen bei Änderungen an Dateien, bei neuen Administratoren oder wenn die Website nicht erreichbar ist. Die Google Search Console meldet zudem Sicherheitsprobleme, die Google feststellt.

10. Zuständigkeit und Notfallplan

Wer spielt Updates ein? Wer entscheidet im Notfall, die Website vom Netz zu nehmen? Wer meldet eine Datenschutzverletzung? Eine Seite Papier mit Namen und Telefonnummern spart im Ernstfall Stunden. Was dann zu tun ist, steht in Website gehackt?.

Schnell-Check: Wo stehen Sie?

Jedes „Nein“ ist ein Ansatzpunkt. Ergänzend prüft der kostenlose SEO- und GEO-Check Technik und Sichtbarkeit Ihrer Website.

Unsicher, ob Ihre Website, Ihr Online-Shop oder Ihre Geräte betroffen sind? Melden Sie sich bei uns. Wir prüfen Ihre Systeme, spielen Updates ein und sagen Ihnen ehrlich, was zu tun ist – auch wenn sich herausstellt, dass alles in Ordnung ist. Für den Anfang genügt ein kurzes Gespräch.

Häufig gestellte Fragen

Wie oft sollte ich meine Website aktualisieren?

Sicherheitsupdates innerhalb weniger Tage, kritische Lücken sofort. Eine feste wöchentliche oder zweiwöchentliche Wartung hat sich bewährt.

Brauche ich eine Web Application Firewall?

Sie ist eine sinnvolle Ergänzung, vor allem für Shops und Websites mit Formularen. Sie ersetzt aber keine Updates und keinen sicheren Betrieb.

Was kostet Website-Sicherheit?

Die wichtigsten Maßnahmen kosten vor allem Zeit und Disziplin. Wer das nicht selbst übernehmen möchte, kann Wartung und Updates an einen Dienstleister geben.

Stand: Oktober 2026.