Zusammenfassung
Dieser Leitfaden zeigt, wie Sie Ihre Website mit SSL/TLS, einer WAF, den OWASP Top 10 und DSGVO-Compliance schützen. Laut IBM Cost of a Data Breach Report 2025 kostet eine Datenpanne weltweit im Schnitt 4,44 Mio. US-Dollar, und viele der Maßnahmen hier kosten wenig.
- Eine Datenpanne kostet weltweit im Schnitt 4,44 Mio. US-Dollar, in den USA 10,22 Mio. US-Dollar (IBM, 2025)
- Eine Web Application Firewall (WAF) filtert automatisierte Angriffe wie SQL-Injection und XSS, bevor sie Ihre Website erreichen
- Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen aus, für die es längst Patches gibt
- DSGVO-Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden
- Mit 2FA auf allen Admin-Zugängen nützen gestohlene Passwörter Angreifern deutlich weniger
Das BSI sieht in seinem Lagebericht 2025 keinen Grund zur Entwarnung: Die IT-Sicherheitslage bleibt angespannt. Kein Unternehmen ist zu klein für einen Angriff, denn Bots durchsuchen das ganze Internet nach bekannten Lücken. Wir zeigen Ihnen Schritt für Schritt, wie Sie Ihre Website schützen.
Aktuelle Bedrohungslage 2026
Wegen KI-gestützter Angriffe, automatisierter Exploit-Kits und organisierter Cybercrime-Gruppen ist Website-Sicherheit eine Daueraufgabe.
Zahlen mit Quelle:
- 4,44 Mio. US-Dollar kostet eine Datenpanne weltweit im Schnitt, nach 4,88 Mio. im Vorjahr (IBM Cost of a Data Breach Report 2025)
- 10,22 Mio. US-Dollar sind es im Schnitt in den USA (gleicher Bericht)
- 241 Tage dauert es im Schnitt, bis eine Datenpanne erkannt und eingedämmt ist (gleicher Bericht)
- Das BSI bewertet die IT-Sicherheitslage in Deutschland 2025 als angespannt (BSI-Lagebericht 2025)
Häufigste Angriffsvektoren
Automatisierte Angriffe
Bots scannen das Internet nach bekannten Schwachstellen. Oft beginnen die ersten Angriffe kurz nachdem eine Lücke bekannt wird.
Phishing & Social Engineering
Angreifer stehlen mit gefälschten E-Mails und Websites Zugangsdaten. Mit KI wirken diese Fälschungen immer überzeugender.
Ransomware
Erpresser verschlüsseln Ihre Daten und fordern Lösegeld. Viele drohen zusätzlich damit, die gestohlenen Daten zu veröffentlichen.
Supply Chain Attacks
Angreifer schleusen Schadcode über kompromittierte Plugins, Themes oder Dependencies ein. Ein gehacktes npm-Paket kann tausende Sites gefährden.
SSL/TLS-Verschlüsselung: Das Fundament
Ein SSL/TLS-Zertifikat verschlüsselt die Kommunikation zwischen Browser und Server. Google nutzt HTTPS als Ranking-Signal, und Browser markieren HTTP-Seiten als "Nicht sicher".
SSL-Empfehlungen:
- Let's Encrypt ist kostenlos, lässt sich automatisch erneuern und reicht für die meisten Websites aus.
- Extended Validation (EV) prüft das Unternehmen gründlich, kostet Geld und bringt wenig, weil Browser dafür keine besondere Kennzeichnung mehr zeigen.
- Wildcard-Zertifikate brauchen Sie, wenn Sie mehrere Subdomains haben.
Wichtige SSL-Konfigurationen
- Aktivieren Sie HSTS, damit Browser für alle künftigen Verbindungen HTTPS erzwingen.
- Setzen Sie auf TLS 1.3 und nur aktuelle Protokolle, TLS 1.0 und 1.1 schalten Sie ab.
- OCSP Stapling beschleunigt die Zertifikatsprüfung.
- CAA Records legen fest, welche CAs Zertifikate ausstellen dürfen.
Sichere Authentifizierung
Schwache oder gestohlene Passwörter gehören zu den häufigsten Einfallstoren. Sichern Sie deshalb zuerst die Anmeldung ab.
Passwort-Richtlinien:
- Mindestens 14 Zeichen mit Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen
- Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Zugänge
- Passwort-Manager für Teams (1Password, Bitwarden)
- Keine Passwort-Wiederverwendung zwischen Diensten
- Passkey-Support wo möglich (WebAuthn/FIDO2)
2FA-Optionen nach Sicherheit:
- 1. Hardware-Keys (YubiKey): am sichersten und phishing-resistent
- 2. Authenticator-Apps (TOTP): etwa Google Authenticator oder Authy
- 3. SMS-Codes: besser als nichts, aber anfällig für SIM-Swapping
- 4. E-Mail-Codes: nur sinnvoll, wenn das E-Mail-Konto selbst mit 2FA geschützt ist
Software aktuell halten
Viele erfolgreiche Angriffe nutzen bekannte Sicherheitslücken aus, für die bereits Updates existieren. Regelmäßige Updates sind deshalb Pflicht.
WordPress
- Automatische Core-Updates aktivieren
- Plugins auf Minimum reduzieren
- Nur Plugins aus wordpress.org nutzen
- Regelmäßig ungenutzte Plugins löschen
- Theme-Updates nicht vergessen
Custom Code (Node.js, PHP)
- npm audit / composer audit regelmäßig
- Dependabot oder Renovate aktivieren
- Kritische Updates innerhalb 24h
- CI/CD-Pipeline für automatische Tests
- Lock-Files committen (package-lock.json)
Web Application Firewall (WAF)
Eine WAF filtert bösartigen Traffic, bevor er Ihre Website erreicht. Sie blockiert einen großen Teil der automatisierten Angriffe.
WAF schützt vor:
SQL-Injection
Angreifer versuchen, SQL-Befehle in Formulare einzuschleusen, um Datenbanken zu manipulieren.
Cross-Site-Scripting (XSS)
Angreifer schleusen bösartigen JavaScript-Code ein, um Nutzerdaten zu stehlen.
DDoS-Attacken
Millionen gleichzeitiger Anfragen überlasten den Server.
Bot-Traffic
Bots greifen automatisiert an, kopieren Inhalte per Scraping oder probieren gestohlene Zugangsdaten durch (Credential Stuffing).
Empfohlene WAF-Anbieter:
- Cloudflare bietet einen kostenlosen Tarif mit grundlegenden WAF-Regeln und ein globales CDN, die Einrichtung ist einfach.
- Sucuri ist auf Website-Security spezialisiert und entfernt auch Malware.
- AWS WAF passt zu Anwendungen, die auf AWS laufen, und lässt sich fein konfigurieren.
- Imperva ist eine Enterprise-Lösung für hochsensible Anwendungen.
OWASP Top 10 verstehen
Die OWASP Top 10 listen die häufigsten Sicherheitsrisiken für Webanwendungen. Als Website-Betreiber sollten Sie diese Risiken kennen und Ihre Seite dagegen absichern.
OWASP Top 10:2025 (aktuelle Ausgabe):
- A01: Broken Access Control (fehlerhafte Zugriffskontrollen)
- A02: Security Misconfiguration (Fehlkonfiguration)
- A03: Software Supply Chain Failures (Schwachstellen in der Software-Lieferkette)
- A04: Cryptographic Failures (unzureichende Verschlüsselung)
- A05: Injection (SQL, NoSQL, OS Command Injection, XSS)
- A06: Insecure Design (unsicheres Design)
- A07: Authentication Failures (Authentifizierungsfehler)
- A08: Software or Data Integrity Failures (fehlende Integritätsprüfung)
- A09: Security Logging and Alerting Failures (unzureichendes Logging und Alarmieren)
- A10: Mishandling of Exceptional Conditions (fehlerhafter Umgang mit Ausnahmesituationen)
DSGVO-Compliance
Datenschutz ist in Deutschland Pflicht. Verstöße können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bestraft werden, je nachdem, welcher Betrag höher ist.
DSGVO-Checkliste:
- SSL/TLS-Verschlüsselung für alle Seiten
- Aktuelle, vollständige Datenschutzerklärung
- Cookie-Banner mit echtem Opt-in (kein "Consent Wall")
- Auftragsverarbeitungsverträge mit allen Dienstleistern
- Keine Analytics/Tracking ohne Einwilligung
- Löschkonzept für personenbezogene Daten
- Verzeichnis von Verarbeitungstätigkeiten
- Datenschutz-Folgenabschätzung bei Bedarf
Achtung: Google Analytics
Die Nutzung von Google Analytics ohne Einwilligung ist in Deutschland nicht DSGVO-konform. Alternativen: Plausible, Fathom, Matomo (selbst-gehostet).
Incident Response: Wenn es passiert ist
Je früher Sie einen Angriff erkennen, desto geringer bleibt der Schaden.
Monitoring implementieren:
- Uptime-Monitoring mit Pingdom, UptimeRobot oder StatusCake
- Security-Scanning mit Sucuri, Wordfence oder Detectify
- Log-Analyse, um verdächtige Aktivitäten zu erkennen
- File Integrity Monitoring, das Änderungen an Dateien überwacht
Incident Response Plan:
Erkennung & Isolierung
Website sofort offline nehmen, um weiteren Schaden zu verhindern.
Beweissicherung
Logs, modifizierte Dateien, Zugriffsprotokolle sichern.
Bereinigung
Malware entfernen, Backdoors finden, sauberes Backup einspielen.
Härtung
Schwachstelle schließen, alle Passwörter ändern, Updates einspielen.
Meldung & Dokumentation
Bei Datenleck: DSGVO-Meldepflicht innerhalb 72 Stunden an Behörde.
Sicherheits-Checkliste
- SSL/TLS-Zertifikat aktiv (HSTS aktiviert)
- Starke Passwörter + 2FA für alle Admins
- Alle Software und Plugins aktuell
- Web Application Firewall (WAF) aktiv
- Automatische tägliche Backups (3-2-1 Regel)
- DSGVO-konform (Datenschutz, Cookie-Banner)
- Security Headers (CSP, X-Frame-Options, etc.)
- Monitoring und Incident Response Plan
Häufige Fragen: Website Sicherheit
Wie erkenne ich, ob meine Website gehackt wurde?
Was kostet ein SSL-Zertifikat?
Wie oft sollte ich Backups erstellen?
Ist WordPress sicher?
Was ist eine Content Security Policy (CSP)?
Brauche ich eine Web Application Firewall (WAF)?
Was muss ich für DSGVO-Compliance tun?
Wie schütze ich mich vor DDoS-Angriffen?
Quellen & Referenzen
Diese Quellen haben wir für den Artikel geprüft und verwendet:
Dokumentation
- 01
- 02
- 03
- 04
Website-Sicherheit prüfen lassen
Wir prüfen Ihre Website auf Sicherheitslücken und erstellen einen konkreten Maßnahmenplan. Das Erstgespräch ist kostenlos, danach erhalten Sie ein individuelles Angebot.
Passende Leistung: Digitalagentur Hamburg