Leitfaden

Website-Sicherheit für kleine Unternehmen: selbst prüfen und absichern

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

Die Sicherheit Ihrer Website prüfen Sie als Inhaber eines kleinen Betriebs am besten mit einem kurzen Selbstcheck: Ist die Verbindung verschlüsselt und das Zertifikat gültig, ist die Software aktuell, wer hat Zugang, ist die Anmeldung mit einem zweiten Faktor geschützt, gibt es ein Backup, das sich zurückspielen lässt, und liegen Domain und Hosting in Ihrer Hand? Das dauert etwa 15 Minuten, braucht kein Fachwissen und funktioniert bei WordPress genauso wie bei Shopify, Wix, Jimdo oder einer Seite, die eine Agentur betreut. Dieser Leitfaden führt Sie Punkt für Punkt durch den Check und zeigt, wann sich ein Blick von außen lohnt.

Warum auch kleine Websites angegriffen werden

Viele Inhaber denken: „Meine Seite ist doch uninteressant, da gibt es nichts zu holen.“ Das stimmt aus Sicht eines Menschen, aber Angriffe auf Websites werden heute überwiegend von Programmen erledigt. Diese Programme rufen rund um die Uhr Millionen Adressen auf und probieren aus, ob eine bekannte Schwachstelle offen ist, ob ein Standard-Passwort funktioniert oder ob sich ein Formular missbrauchen lässt. Wer die Seite betreibt, interessiert sie nicht. Es ist kein persönlicher Angriff, sondern eher wie jemand, der in einer Straße an jeder Haustür die Klinke drückt.

Gelingt der Einbruch, ist auch eine kleine Seite wertvoll: als Versender von Spam, als Weiterleitung zu Betrugsseiten, als Ablage für Schadsoftware oder als Quelle für die Daten, die über Ihr Kontaktformular hereinkommen. Für Sie heißt das im schlimmsten Fall: Ihre Seite ist nicht erreichbar, Google und Browser zeigen Besuchern eine Warnung, Ihr Ruf leidet, und wenn Kundendaten betroffen sind, kommen Pflichten aus dem Datenschutzrecht hinzu.

Die gute Nachricht: Weil diese Angriffe automatisch nach offenen Türen suchen, halten Sie die meisten schon mit Grundlagen ab. Darum geht es im folgenden Selbstcheck.

Der 15-Minuten-Selbstcheck

Nehmen Sie sich eine Viertelstunde, öffnen Sie Ihre Website und das Konto bei Ihrem Hoster oder Baukasten-Anbieter. Zu jedem Punkt steht, was Sie prüfen, wie Sie es prüfen und woran Sie ein gutes Ergebnis erkennen. Was Sie nicht selbst beantworten können, notieren Sie als Frage an Ihren Dienstleister.

1. Verschlüsselung: HTTPS und ein gültiges Zertifikat

Rufen Sie Ihre Seite im Browser auf. In der Adresszeile sollte https:// stehen, und der Browser darf keine Warnung anzeigen. Das Zertifikat ist eine Art digitaler Ausweis Ihrer Seite, es sorgt dafür, dass Eingaben wie Name, E-Mail und Nachricht verschlüsselt übertragen werden.

• Prüfen: Tippen Sie Ihre Adresse einmal mit http:// (ohne s) ein. Gut ist, wenn Sie automatisch auf die https://-Fassung umgeleitet werden.
• Prüfen: Klicken Sie auf das Symbol links neben der Adresse und sehen Sie sich das Zertifikat an. Dort steht, bis wann es gültig ist.
• Frage an den Dienstleister: Wird das Zertifikat automatisch verlängert? Ein abgelaufenes Zertifikat führt zu einer ganzseitigen Warnung, die die meisten Besucher abschreckt.

2. Software und Erweiterungen aktuell

Die meisten erfolgreichen Einbrüche nutzen Lücken aus, für die es längst ein Update gibt. Wer hier zuständig ist, hängt davon ab, wie Ihre Seite betrieben wird.

• Baukasten (zum Beispiel Wix, Jimdo, Shopify): Server und Grundsoftware aktualisiert der Anbieter. Ihre Aufgabe sind installierte Apps und Erweiterungen von Drittanbietern: Entfernen Sie alles, was Sie nicht mehr nutzen.
• Selbst gehostet (zum Beispiel WordPress): Melden Sie sich im Verwaltungsbereich an und sehen Sie nach, ob Updates für das System, für Plugins oder für das Theme anstehen. Liegen dort Hinweise seit Wochen, fehlt ein Update-Rhythmus. Wie Sie WordPress im Detail absichern, steht in unserem WordPress-Leitfaden.
• Frage an den Dienstleister: Wer spielt Updates ein, wie oft, und wer prüft danach, ob die Seite noch funktioniert?

3. Wer hat Admin-Zugänge?

Ein Admin-Zugang ist ein Konto mit vollen Rechten: Wer ihn hat, kann alles ändern. Mit den Jahren sammeln sich solche Zugänge an, von früheren Mitarbeitenden, einer ehemaligen Agentur oder dem Neffen, der die Seite einmal eingerichtet hat.

• Prüfen: Öffnen Sie die Benutzerverwaltung Ihrer Website und Ihres Hosting- oder Baukasten-Kontos. Kennen Sie jede Person auf der Liste, und braucht jede davon heute noch Zugang?
• Gut ist: Jede Person hat ein eigenes Konto, niemand teilt sich ein Passwort, und nur wer wirklich alles ändern muss, hat Administratorrechte. Wer nur Texte pflegt, bekommt eine Rolle mit weniger Rechten.
• Handeln: Unbekannte oder nicht mehr benötigte Konten entfernen. Ein unbekanntes Administratorkonto kann auch ein Zeichen für einen Einbruch sein, dann lesen Sie zuerst unseren Beitrag Website gehackt: was tun?

4. Zwei-Faktor-Anmeldung

Bei der Zwei-Faktor-Anmeldung reicht das Passwort allein nicht. Zusätzlich wird ein Code abgefragt, den zum Beispiel eine App auf Ihrem Handy erzeugt. Selbst wenn jemand Ihr Passwort kennt, kommt er so nicht in Ihr Konto. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt dieses Verfahren für Online-Dienste.

• Prüfen: Sehen Sie in den Kontoeinstellungen unter „Sicherheit“ nach, ob die Zwei-Faktor-Anmeldung (oft auch „Bestätigung in zwei Schritten“) eingeschaltet ist. Viele Anbieter bieten sie an, Wix zum Beispiel per App, SMS oder E-Mail.
• Wo überall: Beim Website-Login, beim Hosting- oder Baukasten-Konto, beim Domain-Anbieter und bei dem E-Mail-Postfach, über das Passwörter zurückgesetzt werden. Wer Ihr Postfach übernimmt, kann sonst alle anderen Passwörter zurücksetzen.
• Wichtig: Bewahren Sie die Wiederherstellungscodes, die beim Einrichten angezeigt werden, getrennt vom Handy auf.

5. Backups, und ob die Wiederherstellung je getestet wurde

Ein Backup ist eine Sicherungskopie Ihrer Seite. Fast jeder Anbieter sagt, dass es Backups gibt. Die entscheidende Frage ist eine andere: Wurde eine Sicherung schon einmal tatsächlich zurückgespielt?

• Prüfen: Wo liegen die Sicherungen, wie oft entstehen sie, und wie weit reichen sie zurück? Ein Einbruch fällt manchmal erst nach Wochen auf. Wer nur die letzten Tage aufbewahrt, hat dann nur noch beschädigte Stände.
• Gut ist: Mindestens eine Kopie liegt getrennt von der Website, also nicht nur auf demselben Server. Und die Wiederherstellung wurde schon einmal geprobt, idealerweise auf einer Testkopie.
• Beim Baukasten: Viele Baukästen bieten eine Versionsgeschichte für Seiten an. Prüfen Sie, ob auch Produkte, Bestellungen oder Formulareingänge gesichert sind, und ob Sie Ihre Inhalte exportieren können.

6. Kontaktformular und Spam

Das Kontaktformular ist die Stelle, an der Fremde Daten auf Ihre Seite schicken. Häufig ist das nur lästiger Spam, es ist aber auch ein typischer Ansatzpunkt für Missbrauch.

• Prüfen: Füllen Sie Ihr Formular einmal selbst aus. Kommt die Nachricht an, und wohin? Liegen Anfragen zusätzlich irgendwo in der Website gespeichert, und wer kann sie dort lesen?
• Gut ist: Das Formular fragt nur ab, was Sie wirklich brauchen, nimmt keine beliebigen Datei-Uploads an und hat einen Spam-Schutz, den Ihr Anbieter oder Ihr Dienstleister eingerichtet hat.
• Warnzeichen: Plötzlich sehr viele Spam-Nachrichten oder Beschwerden, dass Mails in Ihrem Namen verschickt wurden.

7. Domain und Hosting in eigener Hand

Ihre Domain, also die Adresse Ihrer Website, ist ein Wert Ihres Unternehmens. In der Praxis ist sie aber oft auf die Agentur, den früheren Webdesigner oder eine Privatperson eingetragen. Solange alles läuft, fällt das nicht auf. Wenn die Zusammenarbeit endet oder jemand nicht mehr erreichbar ist, kommen Sie im schlimmsten Fall nicht mehr an Ihre eigene Adresse.

• Prüfen: Wer ist beim Domain-Anbieter als Inhaber der Domain eingetragen? Das sollte Ihr Unternehmen sein. Fragen Sie im Zweifel Ihren Anbieter.
• Prüfen: Haben Sie selbst Zugang zum Konto bei Domain-Anbieter und Hoster, oder nur Ihr Dienstleister?
• Gut ist: Die Verträge laufen auf Ihr Unternehmen, Sie haben eigene Zugangsdaten, und Rechnungen gehen an eine Adresse, die Sie lesen. Eine abgelaufene Domain, weil die Rechnung im Postfach eines Ex-Mitarbeiters lag, lässt sich leicht vermeiden.

8. Wer pflegt die Seite, vertraglich geregelt?

„Die Agentur kümmert sich“ ist oft eine Annahme und keine Vereinbarung. Viele Verträge decken den Bau der Website ab, aber nicht die laufende Pflege.

• Prüfen: Steht im Vertrag mit Ihrem Dienstleister, wer Updates einspielt, wer Backups prüft und wer im Notfall reagiert, und wie schnell?
• Gut ist: Die Zuständigkeiten sind schriftlich festgehalten, und Sie wissen, wen Sie anrufen, wenn die Seite nicht mehr erreichbar ist.
• Wenn es keinen Vertrag gibt: Dann pflegt im Zweifel niemand die Seite. Das ist der häufigste Grund, warum Websites über Jahre ohne Updates laufen.

9. Google Search Console: „Sicherheitsprobleme“

Die Google Search Console ist ein kostenloses Werkzeug von Google für Website-Inhaber. Sie enthält einen Bericht mit dem Namen „Sicherheitsprobleme“. Dort meldet Google, wenn es auf Ihrer Seite gehackte Inhalte, Schadsoftware oder irreführende Seiten findet, die Besucher zum Beispiel zur Eingabe von Passwörtern verleiten.

• Prüfen: Gibt es für Ihre Website schon einen Search-Console-Zugang, und haben Sie selbst Zugriff? Oft hat ihn nur die Agentur.
• Gut ist: Der Bericht „Sicherheitsprobleme“ zeigt keine Einträge, und Hinweise von Google gehen an ein Postfach, das jemand liest.
• Wenn dort etwas steht: Erst die Ursache beheben, dann über den Bericht eine Überprüfung anfordern. Google nennt dafür eine Bearbeitungszeit von mehreren Tagen bis Wochen.

Baukasten oder selbst gehostet: wer ist wofür zuständig?

Ob Ihre Seite auf einem Baukasten wie Wix, Jimdo oder Shopify läuft oder als selbst gehostete Website, etwa mit WordPress bei einem Hoster, verändert nicht, ob Sie sich um Sicherheit kümmern müssen, sondern nur, um welchen Teil. Man spricht von geteilter Verantwortung: Ein Teil liegt beim Anbieter, ein Teil immer bei Ihnen.

Der Baukasten nimmt Ihnen also die technisch schwierigsten Teile ab. Er schützt Sie aber nicht vor einem schwachen Passwort, vor einem vergessenen Zugang der früheren Agentur oder vor einer Domain, die auf jemand anderen läuft. Bei einer selbst gehosteten Seite kommen die Updates hinzu, und genau dort liegen die meisten Probleme.

Kostenlose Prüfwerkzeuge: was sie zeigen und was nicht

Zwei seriöse, kostenlose Werkzeuge helfen, einen Teil des Selbstchecks von außen zu bestätigen. Sie greifen Ihre Seite nicht an, sondern lesen nur, was sie ohnehin öffentlich ausliefert.

• SSL Server Test von Qualys SSL Labs (ssllabs.com/ssltest): prüft, wie die verschlüsselte Verbindung Ihres Servers eingerichtet ist, und vergibt eine Note. Setzen Sie vor dem Start das Häkchen „Do not show the results on the boards“, wenn Ihr Ergebnis nicht in den öffentlichen Listen erscheinen soll.
• HTTP Observatory von Mozilla (developer.mozilla.org/observatory): prüft sogenannte Sicherheits-Header. Das sind Anweisungen, die Ihre Seite dem Browser mitgibt, etwa dass nur verschlüsselte Verbindungen erlaubt sind. Das Werkzeug lief früher unter einer eigenen Adresse und ist seit 2024 Teil des Mozilla-Entwicklerportals MDN.

Beide Werkzeuge sind nützlich, aber sie sind kein Sicherheitstest. Mozilla schreibt selbst, dass auch die Bestnote nicht bedeutet, dass eine Seite sicher ist: Veraltete Software, verwundbare Plugins, Schwachstellen in Formularen und Datenbanken oder der Umgang mit Passwörtern werden nicht geprüft. Eine gute Note ist ein gutes Zeichen für die Grundeinstellungen, mehr nicht. Bei Baukästen haben Sie auf viele dieser Einstellungen außerdem keinen Einfluss, eine mittlere Note ist dort kein Grund zur Sorge.

Was Sie selbst schaffen und wann sich ein externer Check lohnt

Für eine einfache Visitenkarten-Seite mit Leistungen, Öffnungszeiten und Kontaktformular reicht in vielen Fällen der Selbstcheck oben, regelmäßig wiederholt, etwa einmal im Quartal. Alles, was Sie dabei finden, können Sie selbst oder mit Ihrem Dienstleister abarbeiten.

Anders sieht es aus, sobald Ihre Website mehr tut als informieren. Dann entstehen Risiken, die man von außen nicht sieht und die kein kostenloses Werkzeug findet:

• Online-Shop oder Bezahlfunktion: Bestellungen, Adressen und Zahlungswege sind ein lohnendes Ziel. Vor allem eigene Anpassungen und Zusatz-Apps verdienen einen genauen Blick.
• Kundendaten: Terminbuchungen, Anfragen mit Gesundheits- oder Finanzangaben, Bewerbungen. Je sensibler die Daten, desto größer der Schaden bei einem Abfluss.
• Login-Bereiche: Kundenportale, Mitgliederbereiche, Download-Bereiche. Hier stellt sich die Frage, ob ein Kunde wirklich nur seine eigenen Daten sieht.
• Individuelle Funktionen: Rechner, Konfiguratoren, Schnittstellen zu Warenwirtschaft oder Kalender, alles, was eigens für Sie programmiert wurde. Für eigenen Code gibt es kein Update vom Hersteller, Fehler darin findet nur, wer gezielt sucht.

Für solche Seiten ist ein Penetrationstest sinnvoll: eine autorisierte Sicherheitsprüfung im schriftlich vereinbarten Umfang, bei der Fachleute Ihre Website so prüfen, wie es ein Angreifer tun würde, und jeden Befund mit einem Nachweis belegen. Was dabei passiert und wie lange es dauert, erklärt unser Beitrag Penetrationstest: Ablauf, Dauer und Kosten. Wenn Sie erst wissen möchten, ob es überhaupt Schwachstellen gibt, ist eine Schwachstellenanalyse der kleinere erste Schritt.

Kurz zum Rechtlichen

Sobald Ihre Website personenbezogene Daten verarbeitet, und das tut schon ein einfaches Kontaktformular, verlangt die Datenschutz-Grundverordnung angemessene technische und organisatorische Maßnahmen zu ihrem Schutz (Art. 32 DSGVO, „Sicherheit der Verarbeitung“). Dazu zählen ausdrücklich die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und die regelmäßige Überprüfung, ob die Maßnahmen wirken. Der Selbstcheck oben ist ein einfacher Weg, beides im Blick zu behalten.

Kommt es zu einem Einbruch, bei dem Unbefugte an personenbezogene Daten gelangen konnten, muss der Verantwortliche das nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzaufsicht melden, es sei denn, es besteht voraussichtlich kein Risiko für die Betroffenen (Stand Oktober 2026). Ob das in Ihrem Fall nötig ist, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Rechtsberatung. Dieser Abschnitt ist eine allgemeine Orientierung und keine Rechtsberatung.

Die Checkliste

Häufige Fragen

Weiterlesen

• Website-Sicherheit prüfen
• Content Security Policy und Security-Header
• Shopify-Shop absichern: was Sie als Händler selbst tun müssen
• Website gehackt: was tun? Die ersten Schritte
• WordPress absichern: der praktische Leitfaden für Unternehmen
• Schwachstellenanalyse: was sie ist und wann Sie eine brauchen
• Leistung: Penetrationstest mit verifizierten Befunden

Quellen

• EUR-Lex: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 32 bis 34
• BSI: Whitepaper Biometrie in der Zwei-Faktor-Authentisierung (2024)
• Google Search Console-Hilfe: Bericht „Sicherheitsprobleme“
• MDN HTTP Observatory: Frequently asked questions
• Qualys SSL Labs: SSL Server Test
• Wix Help Center: Using 2-Step Verification for Your Wix Account