Eine gehackte Website verhindern

Verstehen Sie zuerst, wie es schiefgeht

Die meisten Websites werden nicht gezielt angegriffen. Automatisierte Scanner besuchen Tag und Nacht beliebige Adressen im Internet und suchen nach bekannten Schwachstellen. Sobald irgendwo eine Lücke bekannt gemacht wird, suchen diese Bots nach Websites, die das zugehörige Update noch nicht installiert haben. Sie müssen also kein interessantes Ziel sein, um Opfer zu werden — Sie müssen nur hinterherhinken.

Die praktische Checkliste

• Halten Sie Updates aktuell. Der Kern Ihres CMS, die Themes und Erweiterungen: Installieren Sie Sicherheitsupdates schnell. Das ist mit Abstand die wichtigste Maßnahme.
• Verwenden Sie starke, einmalige Passwörter. Lang und nirgendwo sonst verwendet, gespeichert in einem Passwortmanager. Ein geleaktes Passwort darf nie mehrere Systeme öffnen.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung in Ihrem CMS und Ihrem Hostingpanel. Selbst mit dem richtigen Passwort kommt ein Angreifer dann nicht hinein.
• Begrenzen Sie die Anzahl der Erweiterungen. Jedes Plug-in ist zusätzlicher Code, der eine Lücke enthalten kann. Entfernen Sie, was Sie nicht nutzen — deaktiviert ist nicht dasselbe wie weg.
• Wählen Sie sorgfältig, was Sie installieren. Verwenden Sie nur Erweiterungen, die aktiv gepflegt werden, und niemals illegale Versionen kostenpflichtiger Themes.
• Räumen Sie Konten auf. Geben Sie jedem nur die Rechte, die nötig sind, und löschen Sie Konten von Personen, die gegangen sind.
• Sorgen Sie für funktionierende Backups. Sie verhindern keinen Hack, bestimmen aber, wie schnell Sie sich davon erholen; siehe Backups erklärt.
• Verwenden Sie https. Ein gültiges Zertifikat schützt den Verkehr von und zu Ihren Besuchern; siehe SSL-Zertifikat und https.
• Wählen Sie solides Hosting. Aktuelle Serversoftware, Firewalls und Monitoring auf Seiten Ihres Hosters fangen vieles ab.
• Behalten Sie alles im Auge. Bemerken Sie selbst, dass die Website nicht erreichbar ist oder sich verändert, statt dass ein Kunde Sie anruft.

Weniger Bestandteile, weniger Risiko

Die grundlegendste Maßnahme ist die Verkleinerung Ihrer Angriffsfläche: Alles, was nicht da ist, kann auch nicht gehackt werden. Eine Website ohne CMS hat keine Anmeldeseite, keine Datenbank und keine Erweiterungen, die veralten. Damit entfällt genau der Teil, in dem die meisten Einbrüche stattfinden. Für Präsentationswebsites ist das oft die ruhigste Wahl; den Hintergrund lesen Sie auf Website, die nicht zu hacken ist.

Hat ein CMS dann keinen Sinn?

Doch — ein CMS ist ausgezeichnet, wenn Sie häufig selbst veröffentlichen. Die Voraussetzung ist, dass die Wartung ernst genommen wird. Eine gut gepflegte WordPress- oder Joomla-Website lässt sich gut absichern; eine vernachlässigte Website nicht, unabhängig davon, welche Software darunter liegt. Möchten Sie das abgeben, schauen Sie bei Website-Wartung oder lesen Sie, was Wartung genau bedeutet.

Doch etwas schiefgegangen?

Keine einzige Maßnahme gibt hundertprozentige Garantie. Sehen Sie Anzeichen einer Infektion, folgen Sie dem Ablaufplan in Website gehackt: was nun. Je schneller Sie handeln, desto begrenzter der Schaden.