Die meisten Sicherheitsprobleme, die kleine Unternehmen bei ihrer Website treffen, sind keine ausgeklügelten Angriffe. Sie sind das digitale Äquivalent einer unverschlossenen Tür — ein schwaches Passwort, das über fünf Konten hinweg wiederverwendet wird, Software, die seit zwei Jahren nicht aktualisiert wurde, ein Plugin, an dessen Installation sich niemand erinnert. Nichts davon braucht eine eigene IT-Abteilung zur Behebung; es braucht eine kurze Liste von Gewohnheiten, konsequent umgesetzt.
Passwörter und Zugriff sind die erste Verteidigungslinie
Ein wiederverwendetes Passwort ist die häufigste Art, wie ein Konto kompromittiert wird — nicht weil die Website selbst gehackt wurde, sondern weil das Passwort irgendwo ganz anders geleakt und dann gegen alles andere ausprobiert wurde, was diese Kontoinhaberin sonst nutzt. Ein Passwortmanager und einzigartige Passwörter für jedes Konto schließen den Großteil dieser Lücke, sobald einmal eingerichtet, mit fast keinem laufenden Aufwand.
Zwei-Faktor-Authentifizierung auf allem, was die Website steuert — das Hosting-Konto, das Content-Management-System, der Domain-Registrar — fügt eine zweite Prüfung hinzu, die die überwiegende Mehrheit automatisierter Einbruchsversuche stoppt, die darauf setzen, dass ein Passwort allein genügt. Das ist eine Fünf-Minuten-Einrichtung pro Konto und eine der Sicherheitsmaßnahmen mit dem besten Ertrag, die einem Unternehmen ohne jedes technische Team zur Verfügung stehen.
Zugriffsrechte sollten außerdem regelmäßig überprüft werden: Ein ehemaliger Mitarbeiter oder eine alte Auftragnehmerin, die noch Anmeldedaten besitzt, ist eine Tür, von der niemand mehr weiß, dass sie unverschlossen ist. Den Zugriff zu entziehen, wenn jemandes Rolle endet, sollte ein Standardschritt sein, kein nachträglicher Gedanke.
Software aktuell halten
Eine Website, die auf einem Content-Management-System, einer Reihe von Plugins oder beliebiger Drittanbieter-Software aufbaut, trägt eine laufende Verpflichtung: Diese Komponenten erhalten Sicherheitspatches, und eine Website, die sie nie anwendet, läuft mit bekannten, veröffentlichten Schwachstellen, die jeder nachschlagen kann. Dabei geht es weniger um ein einzelnes Update als um eine Routine — Updates nach einem regelmäßigen Zeitplan zu prüfen und anzuwenden, statt eine Website zwischen Redesigns unangetastet zu lassen, wenn das meiste davon veraltet.
Backups: die Maßnahme, die zählt, nachdem bereits etwas schiefgegangen ist
Jede andere Maßnahme auf dieser Liste dreht sich um Prävention. Backups drehen sich darum, was passiert, wenn Prävention trotzdem versagt — und irgendwann passiert das, egal wie vorsichtig ein Unternehmen ist. Ein aktuelles, getestetes Backup, getrennt von der Live-Website gespeichert, verwandelt eine potenzielle Katastrophe in einen Nachmittag mit Dateiwiederherstellung. Ohne eines kann derselbe Vorfall bedeuten, eine Website von null neu aufzubauen, samt allem, was darauf war.
Das Wort „getestet“ zählt genauso viel wie „aktuell“. Ein Backup, das noch nie tatsächlich wiederhergestellt wurde, ist ein Backup, dessen tatsächliche Funktionsfähigkeit niemand mit Zuversicht annehmen kann, und der erste Moment, in dem sich herausstellt, dass es nicht funktioniert, sollte nicht während eines echten Vorfalls sein.
Was nicht passieren muss
Umfassende Enterprise-Sicherheitstools, ein eigenes Überwachungsteam oder ein formeller Sicherheitsaudit sind nicht das, was die meisten Websites kleiner Unternehmen zuerst brauchen, und sie als Voraussetzung zu behandeln bedeutet oft, dass nichts passiert, während das Unternehmen auf ein Budget oder eine Expertise wartet, die es vielleicht nie bereitstellt. Die Handvoll Maßnahmen oben — einzigartige Passwörter, Zwei-Faktor-Authentifizierung, aktuelle Software und ein getestetes Backup — deckt die überwältigende Mehrheit der realen Vorfälle ab, die Websites kleiner Unternehmen tatsächlich treffen, und keine davon erfordert spezialisiertes technisches Wissen zur Umsetzung.
Warum das zur übrigen Pflege der Website gehört
Eine gehackte oder verunstaltete Website kostet nicht nur Zeit zur Behebung — sie kostet das Vertrauen jeder Besucherin, die sie in diesem Zustand sieht, und unterbricht direkt alles, wofür die Website geschäftlich da ist, von diesem Moment bis zur Wiederherstellung. Sicherheitspflege gehört zur selben laufenden Disziplin wie eine Website als Geschäftssystem statt als statische Broschüre zu behandeln — sie ist kein einmaliges Projekt, das beim Launch abgeschlossen ist, sondern eine dauerhafte Verantwortung, solange die Website live ist. Unser Webteam baut diese Grundlagen von Anfang an in jede Website ein und hält sie im Rahmen der laufenden Betreuung aktuell, statt Sicherheit als ein Problem zu behandeln, das jemand anderes im Nachhinein lösen soll.
