Ein Kunde klickt auf Ihre Website und sieht in der Adressleiste den Hinweis „Nicht sicher“. Die meisten Menschen schließen die Seite in diesem Moment. Sie kommen nicht wieder, um einen Termin zu buchen, ein Angebot anzufragen oder ihre Daten zu hinterlassen. Und Sie verstehen nicht, warum das Telefon nicht mehr klingelt.
Sicherheit wirkt auf Unternehmer oft „technisch und weit weg“. Im Kern geht es aber um Vertrauen: Ihr Kunde soll Ihnen vertrauen können, wenn er seine Daten auf Ihrer Seite hinterlässt. In diesem Beitrag erkläre ich Website-Sicherheit aus Sicht eines Unternehmers. Sie brauchen keine Kenntnisse über Code oder Werkzeuge. Sie müssen nur wissen, worauf Sie achten und was Sie von der Person verlangen, die Ihre Seite betreut.
Was bedeutet das Schloss in der Adressleiste?
Sehen Sie am Anfang Ihrer Website-Adresse ein kleines Schloss, ist die Verbindung zwischen Besucher und Website verschlüsselt. Dafür sorgt ein sogenanntes SSL-Zertifikat. Kurz gesagt stellt es sicher, dass das, was Ihr Kunde eingibt, unterwegs nicht von Dritten gelesen werden kann. Es ist, als würden Sie einen Brief im geschlossenen Umschlag statt auf einer offenen Postkarte verschicken.
Fehlt das Schloss, zeigt der Browser womöglich den Hinweis „Nicht sicher“ an. So schön Ihre Seite auch ist, dieser Hinweis verdirbt den ersten Eindruck. Auch Google legt Wert auf sichere Verbindungen, ein fehlendes Schloss kann deshalb Ihre Sichtbarkeit beeinträchtigen.
Die gute Nachricht: Das lässt sich meist mit einem kostenlosen oder günstigen Zertifikat lösen, und die meisten Hosting-Anbieter richten es ein. Wichtig ist, dass das Zertifikat nicht abläuft. Sonst kehrt der Hinweis zurück.
Was Sie selbst prüfen können
Das können Sie ohne technisches Wissen erledigen:
- Das Schloss: Rufen Sie Ihre Seite auf dem Handy und am Computer auf. Ist in der Adressleiste ein Schloss zu sehen, oder erscheint eine Warnung?
- Ihre Passwörter: Wird das Administratorpasswort Ihrer Seite noch anderswo verwendet? Ist es erratbar, etwa ein Geburtsdatum, eine Telefonnummer oder „123456“?
- Die Zugriffsliste: Wissen Sie, wer sich mit welchen Rechten in Ihre Seite einloggen kann?
- Das letzte Update: Fragen Sie, wann die Seite zuletzt aktualisiert wurde.
- Ein Formulartest: Füllen Sie Ihr Kontaktformular selbst aus und prüfen Sie, ob die Nachricht bei Ihnen ankommt.
Passwörter und Zugriff: die häufigste Schwachstelle
Das Sicherheitsproblem, das ich bei meinen Kunden am häufigsten sehe, ist kein raffinierter Angriff, sondern ein schwaches oder geteiltes Passwort. Ein Passwort sollte persönlich, lang und nirgends sonst verwendet sein. Weil man sich viele Passwörter schwer merken kann, ist ein vertrauenswürdiger Passwortmanager eine vernünftige Lösung.
Ebenso wichtig ist der Zugriff. Ein Webdesigner, ein früherer Mitarbeiter, ein Praktikant, eine Werbeagentur. Mit der Zeit wächst die Zahl der Personen, die auf Ihre Seite kommen, und die meisten behalten den Zugang, wenn die Arbeit erledigt ist. Jeder sollte nur die Rechte haben, die er braucht, und der Zugang sollte enden, wenn die Arbeit endet. Statt eines Kontos, das alle teilen, sollte jeder ein eigenes haben. So sehen Sie bei einem Problem, wer was getan hat.
Eine aktuell gehaltene Website
Websites laufen auf Software, die mit der Zeit veraltet. Entdecken die Hersteller eine Sicherheitslücke, veröffentlichen sie ein Update. Wenn Sie nicht aktualisieren, bleibt die Lücke als Tür bestehen, die jeder kennt.
Denken Sie an das Schloss Ihrer Haustür. Hat der Hersteller angekündigt, dass sich ein bestimmtes Modell leicht öffnen lässt, und Sie haben es nicht ausgetauscht, verlassen Sie sich nur noch auf Glück. Das Aktualisieren ist Routine für einen Fachmann. Ihre Aufgabe ist sicherzustellen, dass es regelmäßig geschieht.
Die Frage dazu ist einfach: „Wann wurde die Software meiner Seite zuletzt aktualisiert, und wer behält das im Blick?“ Lautet die Antwort „Weiß ich nicht“ oder „nie“, ist das ein Warnsignal. Eine klare Wartungsvereinbarung mit dem Ersteller Ihrer Seite verhindert die meisten späteren Überraschungen. Schriftlich sollte darin stehen, wie oft aktualisiert wird, wen Sie bei Problemen erreichen und wie schnell Sie eine Antwort bekommen.
Kundendaten aus Ihrem Kontaktformular
Namen, Telefonnummern und Nachrichten, die über ein Kontakt- oder Buchungsformular eingehen, sind personenbezogene Daten. Für sie gelten die Regeln der DSGVO, und der Schutz dieser Daten ist eine rechtliche Pflicht.
Fragen Sie die Person, die die Arbeit macht:
- Wohin gehen die Formulardaten, und wer kann sie sehen?
- Werden sie auf der Seite oder im E-Mail-Postfach länger als nötig aufbewahrt?
- Enthält das Formular eine Einwilligung zur Datenerhebung und einen Datenschutzhinweis?
Für Rechtsberatung wenden Sie sich an einen Anwalt. Ich sage nur, dass die technische Seite Sie in die richtige Richtung unterstützen sollte.
Woran erkennen Sie, dass eine Seite angegriffen wurde?
Die Anzeichen sind meist diese:
| Anzeichen | Was es bedeuten kann |
|---|---|
| Eine Seite oder ein Beitrag auf Ihrer Website, den Sie nicht kennen | Jemand hat womöglich unbefugt Inhalte hinzugefügt |
| Der Titel Ihrer Seite sieht bei Google merkwürdig aus | Die Seite wurde möglicherweise in böser Absicht verändert |
| Besucher werden auf eine andere Seite geleitet | Die Seite wurde womöglich übernommen |
| Browser oder Google zeigen eine Warnung vor einer gefährlichen Seite | Schädliche Inhalte wurden möglicherweise erkannt |
| Änderungen im Verwaltungsbereich, die Sie nicht vorgenommen haben | Ihr Konto könnte in fremden Händen sein |
Erste Schritte
Bei einem solchen Verdacht bleiben Sie ruhig und gehen in dieser Reihenfolge vor. Rufen Sie zuerst sofort die Person an, die die Seite gebaut hat, oder Ihren Hosting-Anbieter. Ändern Sie dann Ihre Passwörter, wenn möglich von einem anderen Gerät aus. Fragen Sie danach, wann das letzte Backup erstellt wurde. Sind womöglich Kundendaten betroffen, halten Sie den Vorfall schriftlich fest. Versuchen Sie nicht, selbst Dateien zu löschen, denn Sie könnten Beweise und die für die Bereinigung nötigen Spuren vernichten.
Die Bereinigung übernimmt der Fachmann. Er findet und entfernt die schädlichen Inhalte, klärt, wo der Eindringling hereingekommen ist, stellt die Seite aus einem sauberen Backup wieder her und meldet Google bei Bedarf, dass sie bereinigt ist. Die Dauer reicht je nach Ausmaß von wenigen Stunden bis zu einigen Tagen. Bitten Sie am Ende um einen Bericht: Was ist passiert, wo lag der Einstieg, was wurde getan und welche Maßnahmen verhindern eine Wiederholung. Dieser Bericht ist wichtig für Ihre Ruhe und als Grundlage, falls Sie Kunden etwas erklären müssen.
Häufige Fragen
Ich führe ein kleines Unternehmen. Greift jemand meine Seite an?
Die meisten Angriffe zielen nicht auf eine bestimmte Person. Automatische Programme durchsuchen das Internet nach schwachen Seiten. Deshalb sind auch kleine Websites gefährdet.
Macht das Schloss meine Seite vollständig sicher?
Nein. Das Schloss verschlüsselt nur die Verbindung. Passwörter, Updates und Zugriffsverwaltung sind genauso wichtig.
Wird meine Seite bei einem Hack aus Google entfernt?
Werden schädliche Inhalte erkannt, kann Google neben Ihrer Seite eine Warnung anzeigen, und Ihre Platzierung kann sinken. Wird die Seite bereinigt und Google informiert, verschwindet die Warnung. Wie lange die Erholung dauert, lässt sich vorher nicht sagen.
Wie oft sollte die Sicherheit überprüft werden?
Updates und Kontrollen sollten regelmäßig erfolgen. Ein monatlicher Wartungsvertrag oder eine Prüfung einige Male im Jahr genügt für die meisten kleinen Unternehmen.
Der nächste Schritt
Sicherheit erledigt man nicht einmal und vergisst sie dann, sie ist eine Gewohnheit, die regelmäßige Pflege braucht. Prüfen Sie heute, ob Ihre Seite das Schloss hat, erstellen Sie Ihre Zugriffsliste und besprechen Sie Lücken mit der Person, die Ihre Seite betreut. Möchten Sie eine Seite, bei der Sicherheit von Anfang an mitgedacht wird, finden Sie Informationen auf meiner Seite Website erstellen.