Kurz und einfach erklärt
Auch Websites von kleinen Betrieben werden angegriffen. Die Angriffe laufen meist von selbst und treffen viele Seiten auf einmal.
Das größte Risiko sind alte Zusätze, die nicht auf dem neuen Stand sind. Für sie gibt es oft längst Updates.
Eine schlanke Website mit wenigen Teilen bietet oft weniger Fläche für Angriffe.
Updates, Kopien Ihrer Daten, gute Verschlüsselung und ein guter Schutz beim Login senken das Risiko.
Wir bauen Ihre Website bewusst schlank. Auf Wunsch pflegen wir sie laufend.
Ein Dienstagmorgen, kurz nach acht: Die Inhaberin eines kleinen Betriebs öffnet ihre Website und findet statt der Startseite eine fremde Botschaft, dazu die Aufforderung, für die Freischaltung zu zahlen. Über Nacht hat ein automatisiertes Programm eine bekannte Lücke in einem veralteten Plugin ausgenutzt - kein gezielter Angriff auf genau diese Firma, sondern einer von vielen tausend, die jede Nacht das halbe Netz abklopfen. Solche Vorfälle treffen längst nicht mehr nur Konzerne. 43 Prozent (Accenture) der Cyberangriffe zielen auf kleine Unternehmen, 64 Prozent (Hiscox) der kleinen und mittleren Betriebe erlebten binnen zwölf Monaten mindestens einen Angriff, und in Deutschland ist die Zahl der Opfer von Cyber-Erpressung zuletzt um 91 Prozent (Orange Cyberdefense) gestiegen. Der Grund ist unbequem: Kleine Betriebe gelten als leichtes Ziel, weil ihre Websites oft mit Baukästen und fremden Plugins zusammengesteckt und danach kaum gepflegt werden. Dieser Beitrag erklärt verständlich, warum gerade Kleinunternehmen ins Visier geraten, wo die größten Einfallstore liegen und warum eine schlanke, laufend gepflegte Website weniger Angriffsfläche bietet als ein zugewuchertes Selbstbau-System. Wie wichtig regelmäßige Pflege dabei ist, vertieft der Beitrag dazu, warum Website-Pflege so wichtig ist.
Das Wichtigste in Kürze
- Kleine Betriebe sind attraktive Ziele, weil Angriffe automatisiert und in Masse laufen - nicht, weil es Angreifer persönlich auf eine bestimmte Firma abgesehen haben.
- Das größte Einfallstor sind veraltete Plugins, Erweiterungen und Baukasten-Bausteine, für die längst Sicherheitsupdates bereitstehen, die aber nie eingespielt wurden.
- Eine schlanke Website mit wenigen, gepflegten Bausteinen bietet erfahrungsgemäß weniger Angriffsfläche als ein über Jahre zugewuchertes Selbstbau-System.
- Laufende Updates, tägliche Backups, Verschlüsselung und ein starker Login-Schutz senken das Risiko spürbar - die Website zum Festpreis ab 290 Euro, Updates und Backups auf Wunsch mit der Pflege ab 19 Euro pro Monat.
Warum kleine Betriebe ins Visier geraten
Viele Inhaberinnen und Inhaber denken: Was sollte ein Angreifer ausgerechnet von meiner kleinen Firma wollen? Die Antwort ist ernüchternd - meistens gar nichts Persönliches. Ein Großteil der Angriffe läuft vollautomatisch: Programme durchsuchen das Netz rund um die Uhr nach Websites mit bekannten Schwachstellen und schlagen zu, sobald sie eine finden. Ob dahinter ein Konzern oder ein Zwei-Personen-Betrieb steckt, spielt für die Maschine keine Rolle. Genau deshalb trifft es kleine Betriebe so oft: 43 Prozent (Accenture) der Angriffe richten sich gegen kleine Unternehmen, und in Deutschland war zuletzt rund jedes vierte (GDV) kleinere Unternehmen von einem Cybervorfall betroffen. Kleine Betriebe sind kein kleineres Ziel - sie sind ein leichteres. Wo große Firmen eigene IT-Abteilungen haben, läuft die Website im Handwerksbetrieb, in der Praxis oder im Vereinsbüro oft nebenher, gebaut mit einem Baukasten und danach sich selbst überlassen. Welche Rolle das gewählte System dabei spielt, zeigt der Vergleich zwischen eigener Website und Baukasten.
Automatisierte Massenangriffe
Angriffe laufen maschinell und in Masse. Programme scannen pausenlos nach bekannten Lücken und greifen jede verwundbare Seite an - unabhängig davon, wie klein der Betrieb dahinter ist.
Daten sind wertvoll
Kundendaten, Zugänge und Postfächer lassen sich verkaufen oder für Betrug missbrauchen. Auch eine kleine Kundenliste hat für Angreifer einen handfesten Wert.
Schwache Verteidigung
Ohne feste Zuständigkeit bleiben Updates liegen, Passwörter sind schwach, Backups fehlen. Diese Lücken machen kleine Websites zum bevorzugten, weil einfachen Ziel.
Ein erfolgreicher Angriff bleibt selten folgenlos. Die Website ist tagelang offline oder zeigt fremde Inhalte, Kundendaten geraten in falsche Hände, und im schlimmsten Fall wird der eigene Server für weitere Angriffe missbraucht. Für die Gesamtwirtschaft summiert sich das: Auf rund 267 Milliarden Euro (Bitkom) beziffert der Digitalverband den jährlichen Schaden durch Diebstahl, Spionage und Sabotage in Deutschland, und acht von zehn (Bitkom) Unternehmen sind davon betroffen. Für einen kleinen Betrieb zählt weniger die Gesamtsumme als der eigene Ausfall: entgangene Anfragen, Aufwand für die Wiederherstellung, Ärger mit betroffenen Kunden und im Zweifel eine Meldepflicht nach Datenschutzrecht. Vorbeugen ist hier deutlich günstiger als Aufräumen - und technisch weit weniger aufwendig, als viele befürchten.
Das größte Einfallstor: veraltete Software
Wenn kleine Websites gehackt werden, liegt es selten an ausgefeilten Methoden, sondern fast immer an veralteter Software. Jedes Plugin, jede Erweiterung und jeder Baukasten-Baustein ist ein Stück Programmcode, in dem mit der Zeit Sicherheitslücken bekannt werden. Die Hersteller liefern dann Updates - doch wer sie nicht einspielt, lässt die Tür offen stehen. Und Angreifer wissen genau, wonach sie suchen: Rund 300.000 (BSI) neue Schadprogramm-Varianten registriert das Bundesamt für Sicherheit in der Informationstechnik im Schnitt pro Tag, und der Einstieg über ausgenutzte Schwachstellen hat sich zuletzt annähernd verdreifacht - ein Plus von rund 180 Prozent (Verizon DBIR) binnen eines Jahres. Je mehr fremde Bausteine eine Website enthält, desto mehr solcher Lücken können sich ansammeln. Ein über Jahre gewachsenes Baukasten-System mit einem Dutzend Plugins ist damit schwerer abzusichern als eine schlanke Seite mit wenigen, bewusst gewählten Bestandteilen.
- Veraltete Plugins und Erweiterungen mit öffentlich bekannten, längst geschlossenen Lücken
- Schwache oder mehrfach verwendete Passwörter, die sich automatisiert durchprobieren lassen
- Fehlende Updates am Redaktions- oder Baukasten-System selbst
- Kein oder ein nie getestetes Backup, sodass die Wiederherstellung im Ernstfall scheitert
- Unverschlüsselte Übertragung ohne gültiges SSL-Zertifikat
- Zu viele, ungenutzte Bausteine, die niemand mehr pflegt, die aber weiter online sind
Zugewuchert heißt angreifbar
Schlank schlägt zugewuchert: weniger Angriffsfläche
Die wirksamste Vorbeugung ist unspektakulär: eine Website, die nur aus dem besteht, was sie wirklich braucht, und die laufend gepflegt wird. Genau darauf zielt eine schlanke Festpreis-Website. Statt eines zugewucherten Baukastens mit vielen fremden Plugins entsteht ein aufgeräumter Auftritt mit wenigen, bewusst gewählten Bausteinen - jeder davon aktuell gehalten. Das reduziert die Zahl möglicher Lücken, macht Updates überschaubar und senkt das Risiko spürbar, ohne dass Sie sich selbst um Technik kümmern müssen. Bei 64 Prozent (Hiscox) betroffener Betriebe ist das keine theoretische Übung. Welche Bestandteile zu Ihrem Betrieb gehören und was das kostet, sehen Sie transparent in unserer Übersicht zu Leistungen. Sicherheit ist dabei kein einmaliges Produkt, sondern das Ergebnis guter Bauweise und regelmäßiger Pflege.
Updates zeitnah einspielen
Sicherheitsupdates für alle Bausteine werden regelmäßig und zeitnah eingespielt, statt monatelang liegenzubleiben. Damit schließen sich bekannte Lücken, bevor sie ausgenutzt werden.
Tägliche Backups
Regelmäßige, getestete Sicherungen sorgen dafür, dass sich die Seite im Ernstfall zügig wiederherstellen lässt - ein Backup, das nie geprüft wurde, hilft im Zweifel nicht.
Verschlüsselung per SSL
Ein gültiges SSL-Zertifikat verschlüsselt die Übertragung zwischen Besucher und Server. Das schützt eingegebene Daten und ist zugleich ein Signal für Suchmaschinen und Vertrauen.
Starker Login-Schutz
Sichere Passwörter, ein zweiter Faktor beim Login und eine Sperre nach Fehlversuchen erschweren automatisiertes Durchprobieren erheblich.
Wenige, gepflegte Bausteine
Nur einbauen, was gebraucht wird: Jeder nicht genutzte Baustein ist eine mögliche Lücke. Eine schlanke Seite ist leichter aktuell zu halten.
Erreichbarkeit im Blick
Ein Blick auf Erreichbarkeit und Auffälligkeiten hilft, Probleme früh zu bemerken, statt erst, wenn Kunden sich melden.
Zur Sicherheit gehört auch, wo eine Website liegt und wie mit Daten umgegangen wird. Wir setzen auf Hosting in Deutschland und eine datensparsame Umsetzung: Es wird nur erhoben, was für den Zweck nötig ist, und die Übertragung ist verschlüsselt. Das senkt nicht nur das technische Risiko, sondern erleichtert auch die Einhaltung der Datenschutzvorgaben. Welche Grundlagen dabei für kleine Websites gelten, fasst der Beitrag zu den Datenschutz-Grundlagen für die kleine Website zusammen. Wer zusätzlich Besucher-Einwilligungen sauber regeln möchte, findet die passenden Antworten im Beitrag dazu, ob eine kleine Website wirklich ein Cookie-Banner braucht.
Pflege ist kein Extra, sondern Schutz
Der 7-Punkte-Check für Ihre Website
Sie müssen kein IT-Fachmann sein, um die größten Risiken einzuschätzen. Mit ein paar einfachen Fragen erkennen Sie, wie es um Ihre Website steht - und ob Handlungsbedarf besteht. Angesichts von 43 Prozent (Accenture) der Angriffe, die auf kleine Firmen zielen, lohnt sich dieser Blick für jeden Betrieb. Gehen Sie die folgende Liste in Ruhe durch:
- Werden Updates zeitnah eingespielt, oder steht seit Monaten eine Aktualisierung aus?
- Gibt es tägliche Backups - und wurde je geprüft, ob sich daraus wiederherstellen lässt?
- Zeigt der Browser ein Schloss und https, oder wird die Seite als unsicher gemeldet?
- Sind die Passwörter stark und einmalig, oder überall dasselbe kurze Kennwort?
- Gibt es einen zweiten Faktor oder eine Sperre nach mehreren Fehlversuchen beim Login?
- Laufen Bausteine mit, die längst niemand mehr nutzt und die niemand pflegt?
- Weiß jemand im Betrieb, wer im Ernstfall zuständig ist und wie schnell reagiert wird?
Wer bei mehreren Punkten ins Grübeln kommt, hat keinen Grund zur Panik, aber Anlass zum Handeln. Vieles davon lässt sich in überschaubarer Zeit ordnen - entweder selbst oder mit Unterstützung. Wie eine dauerhaft gepflegte Website in der Praxis aussieht und welche Aufgaben regelmäßig anfallen, beschreibt der Beitrag dazu, warum laufende Website-Pflege wichtig ist, ausführlich. Wichtig ist vor allem, dass die Zuständigkeit geklärt ist: Eine Aufgabe, die niemandem gehört, bleibt liegen.
Backups regelmäßig testen
Selbstbau oder gepflegte Website? Der Vergleich
| Aspekt | Zugewuchertes Selbstbau-System | Gepflegte Festpreis-Website (Webstart) |
|---|---|---|
| Updates | Bleiben oft monatelang liegen | Werden regelmäßig und zeitnah eingespielt |
| Bausteine | Viele fremde Plugins, teils ungenutzt | Wenige, bewusst gewählte Bestandteile |
| Backups | Selten eingerichtet, nie getestet | Tägliche, geprüfte Sicherungen |
| Login-Schutz | Schwache Passwörter, kein zweiter Faktor | Starke Passwörter und zusätzlicher Schutz |
| Zuständigkeit | Unklar - die Aufgabe bleibt liegen | Fester Ansprechpartner aus der Region |
| Angriffsfläche | Wächst mit jedem Zusatz-Baustein | Bewusst klein gehalten |
Ein Selbstbau ist nicht per se unsicher, und eine betreute Seite ist kein Selbstläufer - entscheidend ist, ob jemand die Pflege dauerhaft übernimmt. Genau hier liegt für viele kleine Betriebe das eigentliche Problem: Die Website wird gebaut, geht online und wird dann sich selbst überlassen. Eine schlanke Festpreis-Website mit optionaler Pflege dreht diese Logik um: wenige Bausteine, klare Zuständigkeit, laufende Updates. Das Ergebnis ist eine Seite, die im Alltag weniger Angriffsfläche bietet und Ihnen den Rücken freihält. Wie so ein Auftritt für eine typische Zielgruppe aussieht, zeigt exemplarisch der Beitrag zur Website für Coaches und Berater - dieselben Grundsätze gelten für Handwerk, Praxis oder Verein.
Nach einem Angriff: schnell und richtig reagieren
Trotz aller Vorsicht kann es passieren. Wichtig ist dann, ruhig und in der richtigen Reihenfolge vorzugehen, statt in Hektik weitere Schäden anzurichten. Der erste Schritt ist, die Seite vom Netz zu nehmen oder in einen Wartungsmodus zu versetzen, damit Besucher nicht gefährdet werden und der Schaden sich nicht ausbreitet. Danach geht es darum, die Ursache zu finden, sauber aufzuräumen und aus einem geprüften Backup wiederherzustellen - nicht einfach das befallene System weiterzunutzen. Auch die rechtliche Seite gehört dazu: Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutzbehörde nötig sein, oft binnen 72 Stunden. Welche Pflichtangaben ohnehin auf jede geschäftliche Website gehören, fasst der Beitrag zur Impressumspflicht und den Pflichtangaben zusammen.
- Seite in den Wartungsmodus setzen oder vom Netz nehmen, damit niemand weiter gefährdet wird
- Alle Passwörter ändern - für das System, die Datenbank, das Hosting und die E-Mail-Postfächer
- Ursache suchen und den Schadcode restlos entfernen, statt nur die sichtbaren Spuren zu beseitigen
- Aus einem sauberen, geprüften Backup wiederherstellen, das vor dem Angriff erstellt wurde
- Alle Bausteine aktualisieren und ungenutzte Erweiterungen entfernen, bevor die Seite zurückkommt
- Prüfen, ob personenbezogene Daten betroffen sind, und Meldepflichten im Blick behalten
Ehrliche Einordnung
Quellen und Studien
Verwandte Artikel
Onepager oder mehrere Seiten: was für den Start reicht
Wann reicht ein Onepager, wann braucht die Website mehrere Seiten? Drei Auslöser für den Ausbau, Zahlen aus Bayern und ein klarer Ausbaupfad ohne Neuanfang.
Gewerbe angemeldet, Website fehlt: die ersten Wochen
Der Gewerbeschein liegt auf dem Tisch. Welche drei Seiten in der ersten Woche stehen müssen, was das Impressum aus den Anmeldeunterlagen übernimmt und was warten darf.
Website steuerlich absetzen: Kosten richtig verbuchen
Erstellung, Domain und Pflege werden steuerlich verschieden behandelt. Was EStG, UStG und die AfA-Tabellen hergeben - und wo die 800-Euro-Regel endet.