Angreifer brauchen Sekunden – Ihre Website braucht einen Plan

Kategorien: IT-Sicherheit und Allgemein

Automatisierte Scans, bekannte Sicherheitslücken, fahrlässige Konfigurationen: Websites werden täglich angegriffen – unabhängig von ihrer Größe oder Bekanntheit. Wer glaubt, zu klein für Cyberangriffe zu sein, unterschätzt die Realität. Dieser Artikel erklärt, wo die häufigsten Schwachstellen liegen, welche rechtlichen Pflichten bestehen – und was Sie konkret tun können.

Kein Ziel zu klein

Viele Website-Betreiber gehen davon aus, dass Angriffe gezielt auf bekannte Marken oder staatliche Einrichtungen abzielen oder dass Hosting-Anbieter alles im Griff hätten. Das stimmt so nicht. Der Großteil der Angriffe läuft vollautomatisch ab: Bots scannen kontinuierlich ganze IP-Bereiche, erkennen eingesetzte Software und gleichen diese mit bekannten Sicherheitslücken ab – ohne menschliches Zutun.

Ein kleines Unternehmenswebsite mit veralteten Plugins ist genauso interessant wie ein großes Portal, wenn sie leicht angreifbar ist. Cyberkriminelle optimieren ihren Aufwand. Sie suchen nicht das prominenteste Ziel, sondern das schwächste.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentiert die Bedrohungslage jährlich im BSI-Lagebericht zur IT-Sicherheit in Deutschland. Die Tendenz ist eindeutig: Die Angriffsfläche wächst, die Angriffe werden effizienter.

Was auf dem Spiel steht

Wer denkt, der schlimmste Fall wäre eine kurze Downtime, unterschätzt die möglichen Folgen einer kompromittierten Website erheblich:

Datenverlust und Diebstahl: Kundendaten, Anfragen, Zugangsdaten – all das kann abgegriffen und weiterverkauft werden.

Reputationsschaden: Wenn Ihre Website Schadsoftware an Besucher ausliefert, ist das Vertrauen nachhaltig beschädigt – selbst wenn Sie davon zunächst nichts wissen.

Abstrafung durch Suchmaschinen: Google und andere Dienste setzen kompromittierte Websites auf Blacklists. Der Rückgang beim organischen Traffic kann massiv sein und dauerhaft anhalten.

Erpressung: Ransomware-Angriffe auf Websites nehmen zu. Angreifer verschlüsseln Inhalte oder drohen mit der Veröffentlichung gestohlener Daten.

Behördliche Konsequenzen: Bei Datenpannen greift die DSGVO – mit empfindlichen Bußgeldern und Meldepflichten.

Rechtliche Pflicht: Was Artikel 32 DSGVO verlangt

Website-Sicherheit ist keine Kür. Artikel 32 der Datenschutz-Grundverordnung verpflichtet alle Verantwortlichen, „geeignete technische und organisatorische Maßnahmen“ zu treffen, um personenbezogene Daten angemessen zu schützen.

Das betrifft jeden, der auf seiner Website Nutzerdaten verarbeitet – über ein Kontaktformular, einen Newsletter oder einen Online-Shop. Eine Website mit bekannten, nicht gefixten Sicherheitslücken kann bereits als Verstoß gewertet werden, auch wenn bisher kein Angriff stattgefunden hat.

Ein weiterer Aspekt, der in der Praxis häufig vernachlässigt wird: Drittanbieter-Skripte. Eingebundene Analyse- oder Werbetools, die im Hintergrund Trackingdienste nachladen, müssen in der Datenschutzerklärung vollständig und korrekt dokumentiert sein. Was tatsächlich auf Ihrer Website geladen wird, stimmt nicht immer mit dem überein, was die Erklärung beschreibt. Ein regelmäßiger Abgleich ist rechtlich geboten.

Bekannte Sicherheitslücken: CVEs verstehen und nutzen

CVE steht für „Common Vulnerabilities and Exposures“ – ein öffentlich zugängliches Verzeichnis dokumentierter Sicherheitslücken in Software. Jede Schwachstelle erhält eine eindeutige Kennung (z. B. CVE-2024-12345) und eine Risikobewertung nach dem CVSS-Score (Skala 0–10).

Werte ab 7,0 gelten als hoch, ab 9,0 als kritisch. Entscheidend ist jedoch nicht nur der Score, sondern der Kontext: Ist die Lücke des Web Hostings aus dem Internet erreichbar? Wird Authentifizierung vorausgesetzt?

Hilfreiche Quellen für die Recherche:

nvd.nist.gov – die National Vulnerability Database des NIST
cvedetails.com – gut durchsuchbar nach Produkt und Version
Patchstack Vulnerability Database – spezialisiert auf WordPress, Plugins und Themes

Der praktische Umgang mit CVEs folgt immer demselben Schema: Eingesetzte Software und Versionen identifizieren, mit bekannten CVEs abgleichen, Risiko bewerten, Maßnahmen ergreifen (in der Regel ein Update), und alles für eventuelle DSGVO-Prüfungen dokumentieren.

Wo Angreifer zuerst schauen

Veraltete Software – das häufigste Einfallstor

Insbesondere bei WordPress-Installationen ist veraltete Software das meistgenutzte Angriffsziel. Jedes Plugin, das nicht gepflegt wird, ist eine potenzielle Schwachstelle. Besonders riskant: Plugins, die deaktiviert, aber nicht gelöscht wurden. Sie befinden sich weiterhin auf dem Server und sind weiterhin angreifbar.

Empfehlenswert ist es, automatische Updates für den WordPress-Core und vertrauenswürdige Plugins zu aktivieren, nicht benötigte Erweiterungen vollständig zu entfernen und bei der Auswahl neuer Plugins auf aktive Wartung und Bewertungen zu achten.

HTTP-Header: Unterschätzte Sicherheitslinie

Web-Server kommunizieren bei jeder Anfrage über sogenannte HTTP-Header – und viele tun dabei mehr, als sie sollten. Einerseits verraten sie Softwareversionen und Serverdetails, die Angreifer gezielt ausnutzen können. Andererseits fehlen häufig Header, die Angriffe wie Clickjacking oder das Einschleusen von Fremdcode aktiv erschweren würden.

Sicherheitsrelevante Header, die gesetzt sein sollten:

Content-Security-Policy – legt fest, welche externen Ressourcen geladen werden dürfen
Strict-Transport-Security – erzwingt HTTPS-Verbindungen
X-Frame-Options – verhindert die Einbettung der Seite in fremde Frames
X-Content-Type-Options – unterbindet MIME-Type-Sniffing
Permissions-Policy – schränkt den Zugriff auf Browser-Funktionen wie Kamera oder Mikrofon ein

Kostenlos prüfen lässt sich das über observatory.mozilla.org – das Mozilla Observatory bewertet die Header-Konfiguration Ihrer Website und gibt konkrete Hinweise.

Cross-Site Scripting (XSS): Wenn Ihre Seite fremden Code ausführt

XSS gehört zu den häufigsten Angriffsmethoden überhaupt. Dabei wird schadhafter JavaScript-Code in eine Website eingeschleust – über Suchfelder, Kommentarbereiche oder Kontaktformulare – und anschließend im Browser der Besucher ausgeführt. Mögliche Folgen: gestohlene Sitzungsdaten, Weiterleitungen auf Phishing-Seiten, manipulierte Inhalte.

Das Grundprinzip der Absicherung von Formularen auf Webseiten ist einfach: Nutzereingaben niemals ungefiltert verarbeiten. Serverseitige Validierung und Escaping sind Pflicht, eine restriktive Content-Security-Policy reduziert das Schadenspotenzial erheblich.

DNS und E-Mail-Authentifizierung

Die DNS-Konfiguration einer Domain bietet oft eine weitere, häufig übersehene Angriffsfläche. Fehlende oder fehlerhafte Einträge für SPF, DKIM und DMARC ermöglichen E-Mail-Spoofing: Angreifer versenden E-Mails, die scheinbar von Ihrer Domain stammen – für Phishing-Kampagnen oder gezielte Täuschungsversuche.

Überprüfen lässt sich das unter anderem mit dmarcian.com/dmarc-inspector oder dem Google Admin Toolbox.

Formulare: Schnittstellen zwischen Besucher und Server

Kontaktformulare sind interaktive Einfallspunkte und entsprechend ein beliebtes Ziel. Häufige Schwachstellen sind fehlende serverseitige Validierung, anfällige Formular-Handler und das Fehlen von CSRF-Token-Schutz.

Zur Absicherung sollten Eingaben konsequent serverseitig geprüft, CSRF-Schutz implementiert und Fehlermeldungen so gestaltet werden, dass sie keine Systeminformationen preisgeben.

Barrierefreiheit: Rechtliche Pflicht ab 2025

Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz (BFSG) verbindlich für viele Unternehmen. Digitale Angebote müssen barrierefrei gestaltet sein – das umfasst ausreichende Farbkontraste, sinnvolle Alternativtexte für Bilder, Tastaturnavigation und eine nachvollziehbare Dokumentstruktur.

Diese Anforderungen sind in der Praxis weitgehend standardisiert und mit geeigneten Werkzeugen gut prüfbar. Ein kostenloser Einstiegspunkt ist das WAVE Web Accessibility Evaluation Tool, das eine erste automatisierte Analyse liefert. Für eine vollständige Konformitätsprüfung ist eine manuelle Bewertung ergänzend erforderlich.

Die IP-Reputation Ihrer Website

Ein Aspekt, der häufig übersehen wird: die Reputation der IP-Adresse, unter der Ihre Website erreichbar ist. Wenn ein früherer Nutzer derselben Adresse für Spam oder Angriffe verantwortlich war, kann das Auswirkungen auf die E-Mail-Zustellbarkeit und das Ranking haben – ohne dass Sie etwas dafür können.

Prüfen lässt sich das über AbuseIPDB oder den Spamhaus IP-Check.

Fazit: Wer wartet, zahlt drauf

Sicherheit ist kein einmaliger Zustand, sondern ein kontinuierlicher Prozess. Neue Schwachstellen werden täglich entdeckt. Software wird aktualisiert – oder eben nicht. Angreifer passen ihre Methoden laufend an.

Die gute Nachricht: Viele der beschriebenen Prüfungen lassen sich mit frei zugänglichen Werkzeugen selbst durchführen. Das Aufrufen zahlreicher einzelner Tools kostet Zeit und liefert verschiedene Ergebnisse in diversen Darstellungsformen. Besser ist ein umfangreicher Check, der professionelle Ergebnisse liefert.

Wer außerdem sichergehen möchte, dass kein Bereich übersehen wird – insbesondere im Hinblick auf die Anforderungen aus Artikel 32 DSGVO –, sollte einen strukturierten, professionellen Security Check in Betracht ziehen. Denn wer auf einen Angriff wartet, bevor er handelt, hat bereits verloren.