Eine gehackte Website zu verhindern, hängt an einigen konsequenten Gewohnheiten: aktualisieren, was aktualisiert werden muss, starke Passwörter verwenden und so wenig Software wie möglich laufen lassen, die Sie nicht brauchen.
Verstehen Sie zuerst, wie es schiefgeht
Die meisten Websites werden nicht gezielt angegriffen. Automatisierte Scanner besuchen Tag und Nacht beliebige Adressen im Internet, auf der Suche nach bekannten Schwachstellen.
Wird irgendwo eine Lücke bekannt, suchen diese Bots nach Websites, die das zugehörige Update noch nicht installiert haben. Sie müssen also kein interessantes Ziel sein, um Opfer zu werden. Es genügt, im Rückstand zu sein.
Die praktische Checkliste
- Halten Sie Updates aktuellDer Kern Ihres CMS, die Themes und Erweiterungen: Installieren Sie Sicherheitsupdates schnell. Das ist mit Abstand die wichtigste Maßnahme.
- Verwenden Sie starke, einmalige PasswörterLang und nirgendwo sonst verwendet, gespeichert in einem Passwortmanager. Ein geleaktes Passwort darf nie mehrere Systeme öffnen.
- Aktivieren Sie die Zwei-Faktor-AuthentifizierungFür Ihr CMS und Ihr Hosting-Panel. Selbst mit dem richtigen Passwort kommt ein Angreifer dann nicht hinein.
- Begrenzen Sie die Anzahl der ErweiterungenJedes Plug-in ist zusätzlicher Code, der eine Lücke enthalten kann. Entfernen Sie, was Sie nicht nutzen: Deaktiviert ist nicht dasselbe wie entfernt.
- Wählen Sie sorgfältig, was Sie installierenVerwenden Sie nur Erweiterungen, die aktiv gepflegt werden, und niemals illegale Versionen kostenpflichtiger Themes.
- Räumen Sie Konten aufGeben Sie jedem nur die Rechte, die nötig sind, und löschen Sie Konten von Personen, die nicht mehr da sind.
- Sorgen Sie für funktionierende BackupsSie verhindern keinen Hack, bestimmen aber, wie schnell Sie sich davon erholen. Siehe Backups erklärt.
- Verwenden Sie httpsEin gültiges Zertifikat schützt den Datenverkehr von und zu Ihren Besuchern. Siehe SSL-Zertifikat und https.
- Wählen Sie solides HostingAktuelle Serversoftware, Firewalls und Monitoring auf Seiten Ihres Hosters fangen vieles ab.
- Behalten Sie alles im AugeBemerken Sie es selbst, wenn die Website nicht erreichbar ist oder sich verändert, statt dass ein Kunde Sie anruft.
Weniger Bestandteile, weniger Risiko
Die grundlegendste Maßnahme ist die Verkleinerung Ihrer Angriffsfläche: Alles, was nicht da ist, kann auch nicht gehackt werden.
So hat eine Website ohne CMS keine Login-Seite, keine Datenbank und keine Erweiterungen, die veralten. Damit entfällt genau der Teil, in dem die meisten Einbrüche stattfinden. Für Präsentationswebsites ist das oft die ruhigste Wahl; die Hintergründe lesen Sie unter Website, die nicht zu hacken ist.
Auch PHP selbst kann wegfallen. Was das bei einer Lücke wie der vom Oktober 2026 bringt, steht unter Website ohne PHP.
Hat ein CMS dann keinen Sinn?
Durchaus: Ein CMS ist hervorragend, wenn Sie häufig selbst veröffentlichen. Voraussetzung ist, dass die Wartung ernst genommen wird.
Gut abzusichern
- Eine gut gepflegte WordPress- oder Joomla-Website lässt sich gut absichern.
Nicht gut abzusichern
- Eine vernachlässigte Website dagegen nicht, ganz gleich, welche Software dahintersteckt.
Möchten Sie diese Wartung abgeben? Dann schauen Sie bei Website-Wartung. Was Wartung genau umfasst, lesen Sie in Website-Wartung erklärt.
Doch etwas schiefgegangen?
Keine einzige Maßnahme bietet hundertprozentige Sicherheit. Sehen Sie Anzeichen einer Infektion? Dann folgen Sie dem Ablaufplan in Website gehackt: was nun.
AchtungJe schneller Sie handeln, desto geringer der Schaden.