Der 15-Minuten-Sicherheitscheck für Websites

Kategorien: Security

Die meisten Website-Betreiber kümmern sich um Inhalte, Design und Suchmaschinen, und denken an Sicherheit erst, wenn etwas passiert ist. Dabei lassen sich viele typische Schwachstellen in einer Viertelstunde aufspüren. Dieser Beitrag führt in sieben Schritten von je zwei bis drei Minuten durch einen Basis-Check, der ohne Spezialwissen durchgeführt werden kann. Am Ende haben Sie eine Ampel-Auswertung und eine klare Reihenfolge, was Sie zuerst angehen sollten.

Der Zeitplan im Überblick: sieben Stationen, zusammen 15 Minuten.

Das Wichtigste vorab

Schritt	Thema	Dauer
1	Verschlüsselung (HTTPS) und Zertifikat	2 Min.
2	Updates für CMS, Plugins und PHP	3 Min.
3	Zugänge, Passwörter und Zwei-Faktor-Anmeldung	2 Min.
4	Backups	2 Min.
5	Konfiguration und Sicherheits-Header	2 Min.
6	Bekannte Schwachstellen und automatisierter Scan	2 Min.
7	Notfallplan und Pflichten	2 Min.

Jeder Schritt endet mit einer Ampel: grün (in Ordnung), gelb (sollte bald verbessert werden) oder rot (zeitnah beheben). Die Auswertung am Ende hilft Ihnen, aus den Ergebnissen eine Aufgabenliste zu machen.

Vorbereitung: Das brauchen Sie

• einen Browser und Ihre Website-Adresse
• Zugang zum Verwaltungsbereich Ihres Systems (bei WordPress das Dashboard)
• Zugang zum Konto bei Ihrem Hosting-Anbieter, falls vorhanden
• einen Zettel oder eine Notiz-Datei für die Ergebnisse
• eine Uhr, damit es bei 15 Minuten bleibt

Wichtig: Führen Sie diese Prüfung nur an Websites durch, für die Sie verantwortlich sind. Das Testen fremder Seiten ohne Erlaubnis ist nicht zulässig.

Schritt 1: Verschlüsselung und Zertifikat (2 Minuten)

Warum das wichtig ist: HTTPS schützt Daten auf dem Weg zwischen Besucher und Server, etwa Eingaben in Formularen und Logins. Browser warnen bei unverschlüsselten Seiten, und Besucher springen dann häufig ab.

So prüfen Sie:

1. Rufen Sie Ihre Seite mit http:// (ohne „s“) auf. Sie sollten automatisch auf https:// weitergeleitet werden.
2. Klicken Sie in der Adresszeile auf das Schloss-Symbol und öffnen Sie die Zertifikatsdetails. Notieren Sie das Ablaufdatum.
3. Achten Sie auf Warnhinweise des Browsers. „Gemischte Inhalte“ bedeuten, dass einzelne Bilder oder Skripte noch unverschlüsselt geladen werden.
4. Optional: Starten Sie den kostenlosen Server-Test von Qualys SSL Labs (ssllabs.com) für Ihre Domain. Er läuft einige Minuten im Hintergrund, das Ergebnis sehen Sie später.

Gut zu wissen: Zertifikate öffentlicher Zertifizierungsstellen werden nach einem Beschluss des CA/Browser Forums schrittweise kürzer gültig. Der aktuelle Fahrplan sieht höchstens 200 Tage vor, ab März 2027 nur noch 100 Tage und ab 2029 47 Tage. Wer Zertifikate noch von Hand erneuert, sollte auf automatische Erneuerung umstellen. Viele Hosting-Anbieter bieten das an, häufig über Let's Encrypt.

Ampel	Bedeutung
Grün	Weiterleitung funktioniert, Zertifikat gültig, Erneuerung automatisch
Gelb	Zertifikat gültig, aber Erneuerung manuell oder Ablauf in weniger als 30 Tagen
Rot	Browser-Warnung, abgelaufenes Zertifikat, kein HTTPS oder keine Weiterleitung

Schritt 2: Updates (3 Minuten)

Warum das wichtig ist: Viele Angriffe nutzen bekannte Lücken in veralteter Software, für die längst Updates existieren. Das betrifft das Content-Management-System selbst, aber auch Plugins, Themes und die PHP-Version auf dem Server.

So prüfen Sie (am Beispiel WordPress):

1. Öffnen Sie im Dashboard den Bereich Aktualisierungen. Stehen dort Updates an, notieren Sie diese.
2. Gehen Sie die Liste der Plugins durch. Prüfen Sie für jedes Plugin, ob es noch gepflegt wird. Im Plugin-Verzeichnis sehen Sie, wann es zuletzt aktualisiert wurde. Plugins, die seit langer Zeit keine Updates mehr bekommen, sind ein Risiko.
3. Löschen Sie inaktive Plugins und Themes, die Sie nicht brauchen. Auch deaktivierte Erweiterungen können Schwachstellen enthalten, solange ihre Dateien auf dem Server liegen.
4. Prüfen Sie die PHP-Version unter Werkzeuge → Website-Zustand → Info → Server. Vergleichen Sie sie mit der Übersicht der unterstützten Versionen auf php.net/supported-versions.php. Eine Version, die keine Sicherheitsupdates mehr erhält, sollte zeitnah ersetzt werden.

Bei anderen Systemen wie Joomla, TYPO3, Shopware oder Typo ist das Vorgehen ähnlich: Version des Systems, der Erweiterungen und der Serversoftware prüfen.

Tipp: Legen Sie vor größeren Updates ein Backup an. Für kleine Sicherheitsupdates lassen sich automatische Aktualisierungen aktivieren.

Ampel	Bedeutung
Grün	Alles aktuell, keine überflüssigen Plugins, PHP wird unterstützt
Gelb	Einzelne Updates stehen aus oder es gibt inaktive Plugins
Rot	Updates seit Wochen offen, ungepflegte Plugins oder nicht mehr unterstützte PHP-Version

Schritt 3: Zugänge und Passwörter (2 Minuten)

Warum das wichtig ist: Gestohlene oder erratene Passwörter sind einer der häufigsten Wege in eine Website. Jeder zusätzliche, vergessene Zugang vergrößert die Angriffsfläche.

So prüfen Sie:

1. Öffnen Sie die Benutzerliste Ihres Systems. Kennen Sie jede Person? Löschen oder sperren Sie Konten ehemaliger Mitarbeiter, Praktikanten und Agenturen.
2. Prüfen Sie die Rollen. Nicht jeder braucht Administratorrechte. Redakteure kommen mit weniger aus.
3. Vermeiden Sie den Benutzernamen „admin“ und verwenden Sie für jedes Konto ein eigenes, langes Passwort aus einem Passwortmanager.
4. Ist für Administratorkonten die Zwei-Faktor-Anmeldung oder ein Passkey aktiviert? Das ist die wirksamste Einzelmaßnahme gegen Kontoübernahmen.
5. Denken Sie auch an Zugänge außerhalb des CMS: Hosting-Konto, Datenbank, FTP oder SFTP. Bevorzugen Sie SFTP statt FTP, weil FTP Zugangsdaten unverschlüsselt überträgt.

Ampel	Bedeutung
Grün	Nur bekannte Konten, starke Passwörter, Zwei-Faktor für Administratoren
Gelb	Zwei-Faktor fehlt oder einzelne Konten haben zu viele Rechte
Rot	Alte oder unbekannte Konten, Standardbenutzer „admin“ mit schwachem Passwort, gemeinsame Zugänge

Schritt 4: Backups (2 Minuten)

Warum das wichtig ist: Wenn alles andere versagt, ist das Backup Ihre Lebensversicherung, ob nach einem Angriff, einem fehlerhaften Update oder einem Serverausfall. Entscheidend ist nicht, dass ein Backup existiert, sondern dass es sich auch wiederherstellen lässt.

Beantworten Sie vier Fragen:

1. Gibt es ein Backup von Dateien und Datenbank?
2. Wie aktuell ist das letzte Backup? Bei Websites mit täglichen Änderungen sollte es höchstens einen Tag alt sein.
3. Liegt eine Kopie außerhalb des Servers, auf dem die Website läuft? Ein Backup nur auf demselben Server geht mit diesem verloren.
4. Haben Sie eine Wiederherstellung schon einmal getestet?

Die 3-2-1-Regel als Richtschnur: drei Kopien, auf zwei verschiedenen Medien, davon eine an einem anderen Ort.

Ampel	Bedeutung
Grün	Aktuelles Backup, externe Kopie, Wiederherstellung getestet
Gelb	Backup vorhanden, aber nur auf dem Server oder nie getestet
Rot	Kein Backup, oder niemand weiß, wo es liegt

Schritt 5: Konfiguration und Sicherheits-Header (2 Minuten)

Warum das wichtig ist: Browser und Server tauschen vor jeder Seite Zusatzinformationen aus, die sogenannten HTTP-Header. Sicherheits-Header sagen dem Browser, wie er Ihre Seite sicher behandeln soll. Sie sind kein Ersatz für Updates, aber ein günstiger zusätzlicher Schutz.

So prüfen Sie:

1. Geben Sie Ihre Adresse bei einem Header-Test ein, zum Beispiel securityheaders.com oder dem MDN HTTP Observatory von Mozilla. Das Ergebnis erscheint nach wenigen Sekunden.
2. Achten Sie auf diese Header:

Header	Wofür er gut ist
Strict-Transport-Security (HSTS)	Erzwingt dauerhaft verschlüsselte Verbindungen
X-Content-Type-Options	Verhindert, dass der Browser Dateitypen „errät“
Referrer-Policy	Begrenzt, welche Seitenadresse an andere Anbieter weitergegeben wird
Content-Security-Policy	Legt fest, woher Skripte und Inhalte geladen werden dürfen, auch gegen Einbettung in fremde Seiten
Permissions-Policy	Schränkt Browserfunktionen wie Kamera oder Standort ein

3. Rufen Sie nur auf Ihrer eigenen Seite testweise einen Ordner wie /wp-content/uploads/ auf. Es darf keine Dateiliste erscheinen.
4. Prüfen Sie, dass keine Sicherungs- oder Testdateien öffentlich erreichbar sind, etwa Archive, Datenbank-Dumps oder Konfigurationsdateien. Im Zweifel fragen Sie Ihren Hoster oder Ihre Agentur.
5. Fehlermeldungen von PHP oder dem System gehören nicht in den sichtbaren Bereich für Besucher.

Für Fortgeschrittene: Mit einem Befehl in der Eingabeaufforderung sehen Sie die Header Ihrer eigenen Seite direkt:

curl -I https://www.ihre-domain.de

Vorsicht bei HSTS: Aktivieren Sie diesen Header erst, wenn die gesamte Seite zuverlässig über HTTPS läuft. Eine Fehlkonfiguration kann Besucher aussperren.

Ampel	Bedeutung
Grün	Wichtige Header gesetzt, keine Dateilisten, keine sichtbaren Fehlermeldungen
Gelb	Einzelne Header fehlen
Rot	Dateilisten, öffentlich erreichbare Backups oder Konfigurationsdateien, sichtbare Fehlermeldungen

Schritt 6: Bekannte Schwachstellen und automatisierter Scan (2 Minuten)

Warum das wichtig ist: Sicherheitslücken in Software werden öffentlich als CVE (Common Vulnerabilities and Exposures) mit einer eindeutigen Kennung gelistet. Dazu gehört meist eine Bewertung des Schweregrads, der CVSS-Wert. Angreifer durchsuchen das Netz automatisiert nach Seiten, die betroffene Versionen einsetzen. Lesen Sie dazu auch den Beitrag Angreifer brauchen Sekunden – Ihre Website braucht einen Plan.

So prüfen Sie:

1. Notieren Sie Namen und Version Ihres Systems sowie Ihrer wichtigsten Plugins und Themes.
2. Suchen Sie diese in einer Schwachstellendatenbank, etwa in der National Vulnerability Database (nvd.nist.gov) oder in speziellen WordPress-Datenbanken wie denen von Patchstack oder WPScan.
3. Lassen Sie einen automatisierten Scan laufen, der das für Sie übernimmt. Der Website Security Check prüft zum Beispiel neben bekannten Schwachstellen auch DNS- und Hosting-Einstellungen, JavaScript, CMS und Plugins sowie Kontaktformulare. Das Ergebnis ist ein Bericht, der Befunde nach Dringlichkeit sortiert, sodass Sie wissen, womit Sie anfangen.

Wichtig: Ein automatisierter Scan ist ein schneller erster Blick, ersetzt aber keinen Penetrationstest durch Fachleute. Er findet bekannte Probleme zuverlässig, aber keine individuellen Fehler in selbst entwickelten Funktionen.

Ampel	Bedeutung
Grün	Keine bekannten Schwachstellen in eingesetzter Software
Gelb	Schwachstellen mit niedrigem oder mittlerem Schweregrad
Rot	Hohe oder kritische Schwachstellen, besonders wenn sie bereits aktiv ausgenutzt werden

Schritt 7: Notfallplan und Pflichten (2 Minuten)

Warum das wichtig ist: Wenn eine Website kompromittiert wird, entscheiden die ersten Stunden über den Schaden. Wer dann erst nach Zuständigkeiten und Zugangsdaten suchen muss, verliert wertvolle Zeit.

Legen Sie jetzt einen Notfallzettel an mit:

• dem Namen und der Telefonnummer der verantwortlichen Person und einer Vertretung
• den Kontaktdaten Ihres Hosting-Anbieters und Ihrer Agentur
• dem Ort, an dem Backups und Zugangsdaten sicher liegen
• einer kurzen Liste der ersten Schritte: Passwörter ändern, Seite in den Wartungsmodus setzen, Backup einspielen, Protokolle sichern, Hoster informieren

Datenschutz im Ernstfall: Wurden personenbezogene Daten kompromittiert, müssen Sie die Datenschutzverletzung unter bestimmten Voraussetzungen innerhalb von 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO), sofern ein Risiko für die Betroffenen besteht. Ein vorbereiteter Ablauf hilft, diese Frist einzuhalten. Mehr zu Datenschutzthemen finden Sie im Beitrag Rechtssichere Webseiten mit dem DSGVO-Website-Check.

Auch kurz prüfen: Sind Impressum und Datenschutzerklärung von jeder Seite aus erreichbar und aktuell?

Ampel	Bedeutung
Grün	Notfallzettel vorhanden, Zuständigkeiten geklärt
Gelb	Teile bekannt, aber nichts schriftlich festgehalten
Rot	Niemand weiß, was im Ernstfall zu tun ist

Ihre Auswertung: Aus Ampeln wird eine Aufgabenliste

Tragen Sie Ihre Ergebnisse ein und ergänzen Sie, wer was bis wann erledigt:

Schritt	Ergebnis (Grün, Gelb, Rot)	Aufgabe	Zuständig	Bis wann
1 HTTPS und Zertifikat
2 Updates
3 Zugänge
4 Backups
5 Konfiguration und Header
6 Schwachstellen
7 Notfallplan

So kann eine ausgefüllte Auswertung aussehen: Rote Punkte zuerst, gelbe danach.

In welcher Reihenfolge Sie vorgehen sollten

Wenn mehrere Punkte rot oder gelb sind, hilft diese Reihenfolge:

1. Backups: Ohne funktionierende Sicherung kann jedes andere Problem teuer werden.
2. Updates: Das schließt die häufigsten Einfallstore.
3. Zugänge und Zwei-Faktor: Das verhindert Kontoübernahmen.
4. HTTPS und Sicherheits-Header: Das stärkt die Grundkonfiguration.
5. Schwachstellen: Beheben Sie kritische Befunde nach Dringlichkeit.
6. Notfallplan: Schreiben Sie ihn auf, solange nichts passiert ist.

So bleiben Sie dran

Ein einmaliger Check ist besser als keiner, aber Sicherheit ist kein Zustand, sondern eine Gewohnheit:

• Monatlich: Wiederholen Sie die 15 Minuten. Ein fester Kalendereintrag hilft.
• Nach Änderungen: Prüfen Sie erneut nach neuen Plugins, einem Relaunch, einem Wechsel des Hosters oder einer neuen Agentur.
• Vierteljährlich: Nehmen Sie sich mehr Zeit, testen Sie eine Wiederherstellung und überprüfen Sie Zugänge gründlich.
• Bei Fristen: Zertifikatslaufzeiten und Support-Enden von PHP-Versionen sind feste Termine, die Sie sich notieren sollten.

Grenzen dieses Checks

Der 15-Minuten-Check erfasst die wichtigsten Grundlagen, mehr nicht. Er ersetzt keinen Penetrationstest, keine Prüfung selbst entwickelter Funktionen und keine rechtliche Bewertung. Betreiben Sie einen Online-Shop mit Zahlungsdaten oder verarbeiten Sie besonders sensible Daten, brauchen Sie zusätzliche Maßnahmen und fachkundige Begleitung.

Häufige Fragen

Brauche ich dafür IT-Kenntnisse?

Für die meisten Schritte genügt Grundwissen im Umgang mit dem Verwaltungsbereich Ihrer Website. Bei Unsicherheit helfen Ihr Hosting-Anbieter oder Ihre Agentur.

Wie oft sollte ich den Check wiederholen?

Monatlich, sowie nach größeren Änderungen an der Website. Bei Shops und stark genutzten Seiten lohnt eine häufigere automatische Prüfung.

Was mache ich, wenn mehrere Punkte rot sind?

Bleiben Sie ruhig und arbeiten Sie die Reihenfolge von oben nach unten ab. Beginnen Sie mit dem Backup. Wenn Sie nicht allein weiterkommen, holen Sie sich Unterstützung durch Ihren Hoster oder einen Fachbetrieb.

Reicht es, ein Sicherheits-Plugin zu installieren?

Ein Plugin kann helfen, ersetzt aber nicht die Grundlagen: aktuelle Software, starke Zugänge, Backups und ein Notfallplan. Ein Plugin, das selbst nicht aktuell gehalten wird, kann sogar zum Risiko werden.

Gehört Barrierefreiheit auch zur Website-Qualität?

Ja. Wer seine Website regelmäßig auf Sicherheit prüft, sollte die Zugänglichkeit gleich mitdenken. Mehr dazu im Beitrag Barrierefreiheit im Web.

Fazit

Sicherheit beginnt nicht mit teuren Werkzeugen, sondern mit Aufmerksamkeit für die Grundlagen. In 15 Minuten wissen Sie, ob Ihre Verschlüsselung stimmt, Ihre Software aktuell ist, Ihre Zugänge sauber sind, ein brauchbares Backup existiert und ob Sie im Ernstfall handlungsfähig wären. Wer das monatlich wiederholt, beseitigt die meisten typischen Risiken, bevor jemand sie ausnutzt.