Sicherheit und Aktualisierung einer Website
Betriebsseiten werden selten gezielt angegriffen. Sie werden gefunden — von Programmen, die millionenfach dieselbe bekannte Lücke abklopfen. Genau deshalb ist der Schutz einfacher, als es klingt.
AUFWAND UND WIRKUNG
Was wie viel bringt
Sortiert nach Verhältnis von Aufwand zu Wirkung. Die ersten drei Zeilen decken bei einer Betriebsseite den größten Teil ab.
| Maßnahme | Aufwand | Wirkung |
|---|---|---|
| System und Erweiterungen aktuell halten | Eine Stunde im Quartal | Sehr hoch — schließt genau die Lücken, nach denen automatisch gesucht wird |
| Eigene Passwörter, Zwei-Faktor-Anmeldung | Einmalig, eine Stunde | Sehr hoch — und kostenfrei |
| Sicherung ausserhalb des Servers, getestet | Einmalig einrichten | Hoch — macht aus dem Ernstfall einen Nachmittag |
| Unbenutzte Erweiterungen entfernen | Einmalig, kurz | Mittel — wirkt zugleich auf Ladezeit und Pflegeaufwand |
Die letzte Zeile steht bewusst unten — wie beim Hosting-Wechsel in der Ladezeit. Ein Paket ersetzt keine Aktualisierung; es wird nur daneben bezahlt.
Für wen
Der Aufbau ist derselbe. Was sich unterscheidet, sind die Fragen, die Ihre Kunden stellen.
WAS WIE VIEL BRINGT
Was tatsächlich schützt
Aktueller Stand, gute Passwörter, funktionierende Sicherungen. Drei Dinge — alles andere im Sicherheitspaket ist Zugabe, die selten gebraucht wird.
Eine Stunde im Quartal.
DIE LAGE
Niemand hat es auf Ihren Handwerksbetrieb abgesehen
Diese Vorstellung führt in beide falschen Richtungen — zu Sorglosigkeit bei den einen und zu teuren Paketen bei den anderen. Was tatsächlich passiert, ist banaler.
01
Angegriffen wird automatisch
Programme klopfen rund um die Uhr Millionen von Adressen auf bekannte Lücken ab — in veralteten Erweiterungen, in alten Systemversionen, bei schwachen Passwörtern. Ob dahinter ein Dachdecker aus Neuss oder ein Konzern steht, spielt keine Rolle. Es geht nicht um Sie, es geht um die Lücke. Womit Google Ladezeit und Bedienbarkeit misst, beschreibt die Dokumentation zu den Core Web Vitals.
02
Und meist nicht für etwas Spektakuläres
Eine übernommene Betriebsseite wird selten zerstört. Sie wird stillschweigend benutzt: für fremde Werbeseiten in versteckten Verzeichnissen, für Massenmails, für Weiterleitungen. Wochenlang unbemerkt — bis die Seite aus den Suchergebnissen fällt oder Ihre Mails überall im Spam landen.
Hinweis aus der Praxis
Ein Bereich, der drei Monate nach Veröffentlichung keine Zugriffe bekommt, hat meist kein Textproblem, sondern ein Nachfrageproblem: Nach dem Thema wird in dieser Region nicht gesucht. Deshalb steht bei uns die Recherche vor dem ersten Satz.
„Wir haben zwei Jahre eine schöne Seite gehabt und nicht einen einzigen Anruf darüber bekommen. Niemand hat uns gesagt, dass die Struktur fehlt.“
Inhaber eines Sanitärbetriebs, 14 Mitarbeiter, Rhein-Kreis Neuss
Zusammengefasst: Sichtbarkeit entsteht nicht aus Gestaltung, sondern aus Abdeckung. Wer viele Fragen vollständig beantwortet, wird oft gefunden — wer eine Seite hat, einmal.
DER AUFWAND
Eine Stunde im Quartal
Das ist der ganze laufende Aufwand für eine Betriebsseite mit wenigen Erweiterungen: Aktualisierungen einspielen, danach kurz durch die Seite gehen, Sicherung prüfen. Alles darüber hinaus ist bei den meisten Betrieben verkaufte Beruhigung.
1 h
im Quartal
Vier Stunden im Jahr decken bei einer aufgeräumten Seite den größten Teil des Risikos ab.
Der Grund, warum es so wenig ist, liegt am Aufbau: Eine Seite mit sechs Erweiterungen macht weniger Arbeit als eine mit dreißig — und ist zugleich sicherer, weil jede Erweiterung eine eigene Angriffsfläche mitbringt. Sparsamkeit beim Bauen zahlt sich hier zweimal aus. Deshalb gehört die Frage, was wirklich gebraucht wird, an den Anfang und nicht in die Wartung.
Ein Schloss, ein Schlüssel, eine Sicherung — mehr braucht es selten.
Ihre Kunden suchen mit dem Telefon zwischen zwei Terminen. Wir bauen die Seite, die sie überzeugt, bevor sie weiterscrollen: Festpreis je Posten, ein Ansprechpartner, Zugänge in Ihrer Hand.
VIER URSACHEN
Woran es in der Praxis liegt
Nach Häufigkeit sortiert. Bei Betriebsseiten steckt die Ursache fast immer in den ersten beiden Zeilen.
01
Veraltete Erweiterungen
Die mit Abstand häufigste Ursache. Wird in einer weit verbreiteten Erweiterung eine Lücke bekannt, steht sie öffentlich in Verzeichnissen — und wird binnen Stunden automatisch abgeklopft. Wer zwei Monate später aktualisiert, hatte zwei Monate lang eine offene Tür mit Wegbeschreibung.
02
Schwache oder geteilte Passwörter
Dasselbe Passwort für Website, E-Mail und Portal, oft seit Jahren, oft bei mehreren Leuten bekannt. Taucht es in einem fremden Datenleck auf, wird es automatisch durchprobiert — auch bei Ihnen. Der Zugang wird dann nicht geknackt, sondern schlicht benutzt.
03
Erweiterungen, die niemand mehr pflegt
Ein Baustein, dessen Entwickler seit drei Jahren nichts mehr veröffentlicht hat, bekommt auch keine Korrekturen mehr. Er funktioniert weiterhin — und wird mit jedem Monat unsicherer, ohne dass etwas auffällt.
04
Keine Sicherung, die man zurückspielen kann
Der Punkt, der aus einem Ärgernis eine Katastrophe macht. Eine tägliche Sicherung, die auch außerhalb des Servers liegt und schon einmal getestet wurde, verwandelt einen Einbruch in einen verlorenen Nachmittag.
Vier Ursachen — die ersten beiden decken fast alles ab.
Vier Ursachen — die ersten beiden decken fast alles ab.
ZWEI TÜREN
Gepflegt oder vergessen
Sie würden Ihre Werkstatt nicht monatelang offen stehen lassen. Bei einer Website sieht man es nur nicht.
VERGESSEN
Seit zwei Jahren nicht angefasst, Erweiterungen veraltet, niemand zuständig. Die Seite läuft — und genau das ist die Täuschung, denn ein Übernehmen sieht man ihr von außen wochenlang nicht an.
GEPFLEGT
Aktuell, wenige Erweiterungen, eigene Passwörter, getestete Sicherung. Sieht von außen genauso aus — kostet aber eine Stunde im Quartal statt eines verlorenen Wochenendes.
Der Unterschied wird erst im Ernstfall sichtbar
Deshalb ist das der Bereich, in dem am ehesten gespart und am teuersten nachgezahlt wird. Vier Stunden im Jahr sind die günstigste Versicherung, die eine Betriebsseite haben kann — und die einzige, die auch wirkt, wenn man sie nie braucht.
GEPFLEGT
Nach zwei Jahren ohne Pflege angreifbar
Eine Website ohne Aktualisierungen ist nach zwei Jahren angreifbar — nicht weil jemand es auf Sie abgesehen hätte, sondern weil automatisch nach Lücken gesucht wird.
Niemand hat es auf Ihren Handwerksbetrieb abgesehen.
DER ERNSTFALL
Was zu tun ist, wenn es passiert ist
Falls Sie diese Seite lesen, weil gerade etwas nicht stimmt — die Reihenfolge ist wichtiger als die Eile.
Zuerst sichern, dann aufräumen
Machen Sie eine Kopie des aktuellen Zustands, bevor Sie irgendetwas löschen — auch des beschädigten. Danach alle Passwörter ändern, auch die von Hosting und E-Mail, und alle angemeldeten Sitzungen beenden. Erst dann suchen, was verändert wurde. Wer sofort aufräumt, löscht oft die Spur, an der man erkennt, wie jemand hereinkam — und die Lücke bleibt offen.
Dann prüfen, was nach außen sichtbar wurde
Wurden Seiten in Ihrem Namen veröffentlicht, gingen Mails hinaus, wurde weitergeleitet? Das entscheidet darüber, was in den nächsten Wochen aufzuräumen ist — bei Suchmaschinen und beim Ruf Ihrer Absenderadresse. Und wenn dabei personenbezogene Daten betroffen sein könnten, greifen Meldepflichten mit kurzen Fristen; das gehört sofort zu einem Anwalt, nicht zu einer Agentur.
WAS AM MEISTEN HILFT
Eine getestete Sicherung von vorgestern. Damit ist die Seite in zwei Stunden wieder da — ohne sie wird daraus eine Rekonstruktion über Tage.
„Eine Stadtseite ohne eigene Inhalte ist eine Behauptung. Mit eigenen Inhalten ist sie ein Nachweis.“
Aus unserem Bauplan-Leitfaden, Abschnitt „Regionale Bereiche“
Diese Seite ist ein Überblick und keine Rechtsberatung — zu Meldepflichten fragen Sie einen Anwalt.
Einmal erklärt, danach selbst gemacht — auch das ist ein Ergebnis.
WAS 12WEB ÜBERNIMMT
Aktualisierung ist im Weiterbau enthalten
Kein eigener Posten, kein Sicherheitspaket. Wer den Weiterbau nutzt, bekommt die Aktualisierung mit — wer ihn nicht nutzt, bekommt die Anleitung und macht es selbst.
IM WEITERBAU ENTHALTEN
Aktualisierung von System und Erweiterungen, Sichtprüfung danach, Kontrolle der Sicherung. Wenige Erweiterungen von Anfang an — das ist der Teil, der beim Bauen entschieden wird und dauerhaft wirkt.
OHNE WEITERBAU
Sie bekommen beim Übergeben eine Anleitung: welche Aktualisierungen wie eingespielt werden, wo die Sicherung liegt, wie man sie zurückspielt. Das ist ausdrücklich vorgesehen und kein Notbehelf — viele Betriebe machen das selbst, und das ist in Ordnung.
NICHT ENTHALTEN
Kein Sicherheitspaket gegen Monatsgebühr, keine Zusage, dass nichts passieren kann, keine Wiederherstellung fremder Seiten ohne Sicherung als Pauschale, keine Rechtsberatung zu Meldepflichten. Domain und Zugänge laufen auf Ihren Betrieb, ein Wechsel bleibt jederzeit möglich.
Gewerk, Ort, Nummer, ein Bild von echter Arbeit. Kein Karussell, kein Ladebalken, keine Suche nach dem Anrufknopf.
Preise, Urlaubszeiten, Stellenanzeige, neue Referenz. Vier Felder, ein Knopf, kein Handbuch. Alles andere übernehmen wir.
ENTHALTEN
Aktualisierung gehört zum Weiterbetrieb
Sie ist kein Sicherheitspaket, sondern Wartung — wie der Ölwechsel. Wer sie extra abrechnet, verkauft etwas, das ohnehin nötig ist.
Vier Schritte, drei davon einmalig.
REIHENFOLGE
Vier Schritte, drei davon einmalig
Wer sie einmal geht, hat danach nur noch die Quartalsstunde.
ZUERST
Passwörter trennen
Eigenes Passwort für Website, Hosting und E-Mail, jeweils verschieden, dazu Zwei-Faktor-Anmeldung wo möglich. Kostet eine Stunde, kostet kein Geld — und deckt die zweithäufigste Ursache vollständig ab.
DANN
Sicherung einrichten und testen
Täglich, außerhalb des Servers, und einmal probeweise zurückgespielt. Der letzte Halbsatz ist der entscheidende — eine Sicherung, die noch nie zurückgespielt wurde, ist eine Vermutung.
DANACH
Ausmisten
Jede Erweiterung, die nicht gebraucht wird, kommt weg. Jede, deren Entwickler seit Jahren nichts mehr veröffentlicht, wird ersetzt. Das wirkt zugleich auf Ladezeit und Pflegeaufwand.
Ab Monat 6 · Laufender Zustand
Die Struktur wächst weiter
Jeden Monat entstehen neue Bereiche entlang des Bauplans: weitere Leistungen, weitere Städte, weitere Antworten. Jeder neue Bereich stärkt die vorhandenen, weil er zusätzliche Verbindungen in dieselbe Struktur bringt.
Zusammengefasst: Vier bis sechs Wochen bis zur fertigen Seite, drei bis sechs Monate bis zur ersten messbaren Bewegung, etwa ein Jahr bis zu einem belastbaren Zustand.
Nicht auffallen. Nicht gefällig sein. Gefunden werden, verstanden werden, angerufen werden. Alles andere an einer Website ist Verzierung.
HALTUNG
Was Sie hier nicht bekommen
Sicherheit ist der Bereich mit den meisten verkauften Abos. Vier Dinge kommen hier nicht vor.
×
Angstverkauf
Keine Schreckenszahlen über Angriffe pro Sekunde. Die stimmen sogar meist — sie sagen nur nichts darüber, was Ihre Seite braucht. Vier Stunden im Jahr sagen mehr.
×
Ein Paket statt Aktualisierung
Keine Monatsgebühr für Schutzsoftware, solange die Erweiterungen veraltet sind. Das behandelt das Symptom und lässt die Ursache stehen — wie ein Hosting-Wechsel bei zu großen Bildern.
×
Zusagen, dass nichts passiert
Keine Garantie für Sicherheit. Wer das verspricht, verspricht etwas, das niemand halten kann. Was sich zusagen lässt, ist regelmäßige Aktualisierung und eine Sicherung, die funktioniert.
×
Abhängigkeit als Geschäftsmodell
Keine Seite, die nur von mir gepflegt werden kann. Sie bekommen die Zugänge und die Anleitung — auch dann, wenn Sie den Weiterbau nicht nehmen oder ihn irgendwann kündigen.
HÄUFIGE FRAGEN
Fragen zur Sicherheit
Wer sollte es auf unsere Seite abgesehen haben?
–
Niemand persönlich — und genau das ist der Punkt. Angegriffen wird automatisch: Programme klopfen Millionen Adressen auf bekannte Lücken ab, ohne zu wissen oder sich dafür zu interessieren, wer dahintersteht. Deshalb ist die wirksamste Maßnahme banal: bekannte Lücken schließen, also aktualisieren.
Brauchen wir ein Sicherheitspaket?
+
Wie oft muss aktualisiert werden?
+
Woran merken wir, dass etwas passiert ist?
+
Es ist schon passiert. Was zuerst?
+
Auf dem Telefon gebaut.
Am Rechner nur geprüft.
Der Kunde steht im Treppenhaus, hat einen Wasserschaden und drei Minuten. Er braucht Ihr Gewerk, Ihren Ort und Ihre Nummer, nicht Ihre Firmengeschichte. Genau so bauen wir.
Sturm02
Fenster03
Flachdach
Erst reden,
dann rechnen.
Das erste Gespräch kostet nichts und verpflichtet zu nichts. Wenn wir die Falschen sind, sagen wir es im Telefonat.
Sie schicken das Formular oder rufen an.
Antwort am selben Werktag, bis 18 Uhr.
Telefonat, eine Stunde, zum Wunschtermin.
Festpreisangebot auf einer Seite, schriftlich.
In zwei Minuten ausgefüllt
Ihre Angaben gehen verschlüsselt direkt an uns und werden nicht weitergegeben.
