Website-Sicherheit: Warum das Schloss in der Adresszeile nicht reicht

Ein Interessent hat Deine Karte in der Hand. Er tippt Deine Adresse ein, und statt Deiner Startseite erscheint eine rote Warnseite: Der Browser rät ihm, diese Website nicht zu besuchen. Er schließt das Fenster und ruft den Nächsten an. Du erfährst davon nichts.

Dabei ist das Schloss in Deiner Adresszeile da. Deine Website hat ein Zertifikat, die Verbindung ist verschlüsselt. Das Schloss sagt aber nur, dass der Weg zwischen Browser und Website geschützt ist. Ob jemand anderes in Deiner Website sitzt, sagt es nicht.

Das Schloss ist da. Und jetzt?

Ein Zertifikat hat heute fast jede Website. Was fehlt, ist meistens etwas anderes: jemand, der die Updates einspielt, Zugänge, die auf Dich laufen, und eine Sicherung, auf die Du Dich verlassen kannst.

Wenn ich mir eine Website zum ersten Mal ansehe, sieht es oft gleich aus: Niemand weiß genau, wer die Updates einspielt. Plugins wurden seit Monaten nicht angefasst. Die Zugänge liegen noch bei der Agentur, die die Website vor Jahren gebaut hat, oft mit einem Passwort, das mehrere Leute kennen.

Und die Sicherung? Ob es eine gibt, weiß der Inhaber meist nicht. Oder er weiß nicht, wie weit sie zurückreicht.

Warum eine Website überhaupt sicher sein muss

Eine unsichere Website kostet selten auf einen Schlag. Sie kostet leise: das Vertrauen Deiner Besucher, Deinen Ruf und am Ende die Kontrolle über Deine eigene Website.

Deine Besucher vertrauen Dir ihre Daten an

Wer Dir über das Kontaktformular schreibt, gibt Dir seinen Namen, seine E-Mail-Adresse und oft sein ganzes Anliegen. Er geht davon aus, dass das nur bei Dir ankommt. Dieses Vertrauen schenkt er Dir, bevor Ihr ein Wort gewechselt habt.

Deine Website ist Dein Aushängeschild

Zeigt der Browser statt Deiner Startseite eine Warnung, oder findet Google unter Deinem Namen fremde Seiten, sieht das niemand als Technik-Problem. Deine Besucher sehen es als Dein Problem. Der Interessent aus dem Beispiel oben fragt nicht nach, er geht.

Du willst an Deine eigene Website rankommen

Wer nicht weiß, wer an seine Website kommt, merkt es oft erst, wenn er selbst nicht mehr drankommt. Dann hängt es an fremden Passwörtern und alten Verträgen, ob Du Deine eigene Website wieder in die Hand bekommst.

Was das Gesetz heute verlangt

Eine geschäftliche Website muss gegen fremden Zugriff und gegen Angriffe geschützt sein. Die Verschlüsselung ist dort ein Beispiel, und längst nicht das einzige.

Bis Mai 2024 stand diese Regel im Telemediengesetz. Das gibt es nicht mehr. Heute steht sie in § 19 Absatz 4 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Wer geschäftlich eine Website betreibt, muss danach sicherstellen, dass niemand unerlaubt auf die Technik dahinter zugreift und dass sie gegen Angriffe von außen geschützt ist. Die Grenze: was technisch möglich und wirtschaftlich zumutbar ist. Der Maßstab: der Stand der Technik.

Dazu kommt die Datenschutz-Grundverordnung. Artikel 32 verlangt, dass Du die Daten Deiner Besucher angemessen schützt, auch hier nach dem Stand der Technik. Aufsichtsbehörden und die meisten Fachleute lesen daraus: Ein Kontaktformular braucht eine verschlüsselte Verbindung.

Seit einem Urteil des Europäischen Gerichtshofs vom Oktober 2024 dürfen außerdem Mitbewerber gegen Datenschutz-Verstöße vorgehen.

Das ist unser Blick als Website-Bauer, keine Rechtsberatung. Bei konkreten Fragen hilft Dir ein Anwalt für IT-Recht.

Wer sich darum kümmert

Verantwortlich bist Du. Selbst machen musst Du nicht alles, aber Du solltest wissen, wer was macht.

So steht es auch im Gesetz: Es spricht von der „jeweiligen Verantwortlichkeit“ des Anbieters. In der Praxis teilen sich drei die Arbeit:

• Der Hoster hält den Server am Laufen. Ein gutes Zertifikat verlängert er oft automatisch.
• Wer die Website gebaut hat oder pflegt, spielt die Updates ein und kennt die Technik.
• Du entscheidest, wer Zugang bekommt, und weißt, wo die Sicherung liegt.

Die Lücke entsteht dazwischen. Die Agentur hat die Website vor Jahren übergeben und sieht sich nicht mehr zuständig. Der Hoster kümmert sich um den Server, aber nicht um die Plugins. Und Du gehst davon aus, dass einer der beiden es macht. Am Ende macht es keiner.

Vier Fragen an Deine Website

Ob Deine Website sicher ist, zeigen vier Fragen. Technik brauchst Du dafür keine, nur klare Antworten von denen, die sich kümmern.

1. Verlängert sich das Zertifikat von selbst?

Früher hast Du ein Zertifikat für ein, zwei Jahre gekauft und vergessen. Das geht nicht mehr. Seit März 2026 gilt ein Zertifikat höchstens 200 Tage, ab März 2027 nur noch 100, ab März 2029 nur noch 47 Tage. Wer da von Hand verlängert, vergisst es irgendwann, und dann steht vor Deiner Website eine Warnung.

Bei den meisten Hostern läuft die Verlängerung heute automatisch und kostet nichts. Ob es bei Dir so ist, siehst Du mit einem Klick auf das Schloss in der Adresszeile: Dort steht, bis wann das Zertifikat gilt. Ist das Datum nur wenige Wochen entfernt, verlängert es sich wahrscheinlich laufend. Frag im Zweifel Deinen Hoster: „Verlängert sich unser Zertifikat automatisch?“ Die Antwort sollte ein klares Ja sein.

2. Wer spielt die Updates ein, und wie schnell?

Jede Website besteht aus Software, und in Software werden laufend Lücken gefunden. Wird eine bekannt, geht es schnell: Bei den beliebtesten Angriffszielen vergehen oft nur Stunden bis zum ersten Angriffsversuch, keine Wochen.

Bei WordPress spielt das System kleine Sicherheits-Updates für den Kern selbst ein. Für Plugins gilt das nicht, dort ist die Automatik ab Werk aus. Und in den Plugins stecken die meisten Lücken.

Darum ist die Frage, wer die Updates einspielt. Frag Deine Agentur oder Deinen Betreuer: „Wann wurde zuletzt aktualisiert, und wer macht es?“ Kommt die Antwort mit einem Datum und einem Namen, ist das gut. Kommt ein Schulterzucken, weißt Du, wo die Lücke ist.

3. Wer hat Zugänge, und laufen sie auf Dich?

Drei Zugänge zählen: der zur Domain, der zum Hosting und der zur Verwaltung Deiner Website. Domain und Hosting sollten auf Deinen Namen laufen. Dann stehst Du nie vor verschlossener Tür, auch wenn Du die Agentur wechselst.

In der Verwaltung bekommt jede Person ein eigenes Konto, statt dass sich mehrere ein Passwort teilen. Verlässt jemand das Team oder endet die Zusammenarbeit mit einer Agentur, wird sein Konto gelöscht. Und wo es angeboten wird, schalte die Anmeldung mit einem zweiten Faktor ein, etwa einem Code auf Deinem Handy. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt das für jeden Dienst, der es anbietet.

4. Gibt es eine Sicherung, und wurde sie je zurückgespielt?

Eine gute Sicherung läuft jeden Tag und liegt an zwei Orten, einer davon außerhalb Deines Hosters. Sie reicht mehrere Wochen zurück, denn ein Befall fällt oft erst spät auf. Wer nur die letzten paar Tage aufhebt, hat im Ernstfall oft nur Fassungen, in denen der Schaden bereits steckt.

Und sie wurde mindestens einmal zurückgespielt. Erst dann weißt Du, dass sie funktioniert. Eine Sicherung, die nie zurückgespielt wurde, ist eine Hoffnung.

Weniger Angriffsfläche

Jedes Teil, das Deine Website nicht braucht, ist ein Teil weniger, das jemand pflegen muss und durch das jemand hereinkommt.

Jedes Plugin ist Software von jemand anderem, mit eigenem Update-Takt. Behalte nur, was Deine Website braucht. Was Du nicht mehr nutzt, lösch ganz: Ein abgeschaltetes Plugin liegt weiter auf dem Server, mit allen Lücken.

Bei WordPress liegt die Anmeldeseite für jeden erreichbar unter derselben bekannten Adresse. Darum probieren Programme dort rund um die Uhr Passwörter aus. Schützen kannst Du Dich mit einem langen Passwort, einem zweiten Faktor und einer Grenze für Fehlversuche.

Unsere eigene Website haben wir deshalb ohne WordPress gebaut. Sie hat keine Plugins und keine öffentliche Anmeldeseite, geändert wird sie nur über unser Website-Studio mit signierten Zugriffen. Ganz ohne Updates kommt aber auch sie nicht aus: Im Dezember 2025 wurde eine schwere Lücke in React und Next.js bekannt, der Technik, auf der solche Websites laufen. Auch da galt: sofort einspielen. Weniger Teile heißt weniger, was passieren kann. Jemanden, der zuständig ist, braucht jede Website.

Fragen und Antworten

Fazit

Kannst Du alle vier Fragen mit einem Namen und einem Datum beantworten, hast Du mehr getan als jedes Zertifikat. Fehlt irgendwo eine Antwort, weißt Du jetzt, wo Du ansetzt.

Willst Du das nicht allein klären: Lass uns 30 Minuten gemeinsam draufschauen. Danach weißt Du, wo Deine Website steht und was zu tun ist. Gespräch vereinbaren

Planst Du ohnehin einen Relaunch, nehmen wir das Thema dabei mit: Website-Relaunch