Website pflegen und absichern: Updates, Backups und was bei einer Datenpanne gilt

Inhalt dieser Seite

Warum musst du deine Website absichern?

Deine Website musst du absichern, weil Angreifer bekannte Lücken automatisiert ausnutzen und das Gesetz geschäftsmäßige Anbieter verpflichtet, ihre Technik und die Daten ihrer Besucher nach dem Stand der Technik zu schützen.

Zwei Regeln greifen hier zusammen. Nach § 19 Abs. 4 TDDDG müssen Anbieter, die digitale Dienste geschäftsmäßig anbieten, unerlaubte Zugriffe auf ihre technischen Einrichtungen verhindern und sie gegen Störungen sichern, soweit das technisch möglich und wirtschaftlich zumutbar ist. Als Beispiel nennt das Gesetz ein als sicher anerkanntes Verschlüsselungs­verfahren. Verarbeitest du personenbezogene Daten, etwa über ein Kontaktformular, verlangt Art. 32 DSGVO zusätzlich geeignete technische und organisatorische Maßnahmen. Dazu zählen Verschlüsselung, die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und eine regelmäßige Überprüfung der Maßnahmen.

Auch kleine Websites sind betroffen. Angriffe laufen meist automatisch und suchen nach veralteter Software, nicht nach bestimmten Unternehmen. Eine gehackte Seite kann Schadsoftware verbreiten, Spam verschicken oder Kundendaten preisgeben.

Wie hältst du deine Website aktuell?

Aktuell hältst du deine Website, indem du Sicherheitsupdates für System, Themes und Erweiterungen zeitnah einspielst, nicht genutzte Komponenten entfernst und Inhalte sowie Pflichtangaben regelmäßig überprüfst.

Das BSI nennt das zeitnahe Einspielen von Updates an erster Stelle seiner wichtigsten Schutzmaßnahmen und hebt dabei Systeme hervor, die aus dem Internet erreichbar sind, etwa Webserver. Bei einem Baukasten übernimmt der Anbieter die technischen Updates. Bei einem selbst betriebenen CMS ist das deine Aufgabe oder die deines Dienstleisters.

• Updates für CMS, Themes und Erweiterungen prüfen und einspielen, vorher sichern
• Nicht genutzte Erweiterungen, Themes und Benutzerkonten löschen
• Erweiterungen nur aus vertrauenswürdigen Quellen und mit aktiver Pflege nutzen
• Version der Server-Software beim Hoster aktuell halten lassen
• Impressum, Preise, Öffnungszeiten und Kontaktdaten aktuell halten
• Datenschutzerklärung anpassen, wenn neue Dienste eingebunden werden
• Formulare und Links regelmäßig testen

Wie sicherst du deine Website richtig?

Richtig sicherst du deine Website mit regelmäßigen, automatischen Backups von Dateien und Datenbank, mindestens einer räumlich getrennten Kopie und einem Test, ob sich die Website daraus tatsächlich wiederherstellen lässt.

Ein Backup ist eine Kopie aller Daten, mit der du deine Website nach einem Fehler, einem Angriff oder einem missglückten Update wiederherstellen kannst. Das BSI rät, Sicherungen räumlich getrennt aufzubewahren, mehr als eine Kopie anzulegen und die Wiederherstellung zu prüfen. Für Unternehmen empfiehlt es außerdem Offline-Backups, die nach dem Sichern vom Netz getrennt sind, damit Schadsoftware sie nicht mitverschlüsseln kann.

1. Umfang festlegen. Dateien, Datenbank, Formulareinträge und gegebenenfalls Bestellungen sichern.
2. Rhythmus wählen. Je öfter sich Inhalte ändern, desto häufiger sichern, mindestens vor jedem Update.
3. Getrennt aufbewahren. Neben dem Hoster-Backup eine eigene Kopie an einem anderen Ort.
4. Wiederherstellung testen. Probeweise eine Sicherung einspielen, zum Beispiel auf einer Testumgebung.
5. Aufbewahrung begrenzen. Alte Sicherungen mit personenbezogenen Daten nach festgelegter Zeit löschen.

Worauf du bei der Auswahl des Hosters achtest, liest du im Ratgeber Webhosting für Gründer.

Wie schützt du Zugänge und Verbindungen?

Zugänge und Verbindungen schützt du mit einer verschlüsselten Übertragung per HTTPS, starken und nur einmal genutzten Passwörtern, einer Zwei-Faktor-Authentisierung und möglichst wenigen Konten mit Administratorrechten.

Verschlüsselung per HTTPS

Ein SSL- oder TLS-Zertifikat sorgt dafür, dass Daten zwischen Browser und Server verschlüsselt übertragen werden. Für Kontaktformulare, Logins und Shops ist das unverzichtbar. Viele Hoster stellen Zertifikate ohne Zusatzkosten bereit. Achte darauf, dass alle Seiten automatisch auf die verschlüsselte Adresse umgeleitet werden.

Passwörter nach BSI

Das BSI nennt zwei Varianten für sichere Passwörter: mindestens acht Zeichen aus vier Zeichenarten, also Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen, oder mindestens 25 Zeichen mit weniger Komplexität, etwa mehrere zufällige Wörter. Jedes Passwort darf nur für einen Zugang genutzt werden. Ein Passwortmanager hilft dabei. Einen regelmäßigen Wechsel ohne Anlass empfiehlt das BSI nicht mehr, wichtiger sind Zwei-Faktor-Authentisierung und, wo verfügbar, Passkeys.

Zwei-Faktor-Authentisierung und Rechte

Aktiviere die Zwei-Faktor-Authentisierung für CMS, Hosting, Domain und E-Mail. Das BSI bewertet hardwaregestützte Verfahren als besonders sicher. Vergib Administratorrechte nur an Personen, die sie wirklich brauchen, und entferne Zugänge ehemaliger Dienstleister sofort nach Projektende.

Was musst du bei einer Datenpanne tun?

Bei einer Datenpanne musst du den Vorfall eindämmen, dokumentieren und, wenn ein Risiko für die Betroffenen nicht ausgeschlossen ist, unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutz-Aufsichtsbehörde melden.

Eine Datenpanne ist nach Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Die Frist von 72 Stunden beginnt, sobald du von der Verletzung erfährst (Art. 33 Abs. 1 DSGVO). Sie läuft nach Hinweisen des Bundesbeauftragten für den Datenschutz auch am Wochenende und an Feiertagen. Fehlen noch Informationen, kannst du sie schrittweise nachreichen.

1. Eindämmen. Zugänge sperren, Passwörter ändern, betroffene Systeme vom Netz nehmen oder in den Wartungsmodus schalten.
2. Bewerten. Welche Daten sind betroffen, wie viele Personen, welche Folgen drohen?
3. Melden. Bei Risiko an die zuständige Aufsichtsbehörde, meist die des Bundeslands, in dem dein Unternehmen sitzt.
4. Betroffene informieren. Bei voraussichtlich hohem Risiko auch die betroffenen Personen selbst (Art. 34 DSGVO).
5. Dokumentieren. Jede Datenpanne mit Fakten, Auswirkungen und Maßnahmen festhalten, auch wenn keine Meldung nötig ist (Art. 33 Abs. 5 DSGVO).
6. Ursache beheben. Lücke schließen, aus dem Backup wiederherstellen, Abläufe verbessern.

Hostet oder betreut ein Dienstleister deine Website, muss er dich als Auftragsverarbeiter unverzüglich informieren, die Meldung an die Behörde bleibt aber deine Aufgabe. Regle das im Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Mehr dazu im Ratgeber Datenschutz für die Website. Ob eine Versicherung die Kosten eines Angriffs abfedern kann, erklärt der Ratgeber Cyberversicherung.

Selbst pflegen oder Wartung beauftragen?

Ob du deine Website selbst pflegst oder die Wartung beauftragst, hängt davon ab, welches System du nutzt, wie viel Zeit du hast und wie sicher du im Umgang mit Updates, Backups und Zugängen bist.

Bei einem Baukasten bleibt dir vor allem die inhaltliche Pflege. Bei einem selbst betriebenen CMS kommen Updates, Backups und Überwachung dazu. Beauftragst du einen Dienstleister, halte schriftlich fest, was genau dazugehört: Updates in welchem Rhythmus, Backups mit Wiederherstellungstest, Reaktionszeit bei Störungen und ein Vertrag zur Auftragsverarbeitung.

Aufgabe	Baukasten	Selbst betriebenes CMS
Software-Updates	Anbieter	du oder Dienstleister
Backups	Anbieter, eigene Exporte prüfen	du, Hoster oder Dienstleister
Zugänge und Rechte	du	du
Inhalte und Pflichtangaben	du	du
Meldung von Datenpannen	du	du

Wer hilft dir bei Pflege und Sicherheit?

Bei Pflege und Sicherheit deiner Website helfen dir ein gefördertes Gründungscoaching, ein Wartungsvertrag mit klar beschriebenen Leistungen oder eine Schulung, in der du lernst, die Website selbst sicher zu pflegen.

Wenn du aus der Arbeitslosigkeit gründest, kannst du im AVGS Gründercoaching in Modul 7 Website erstellen auch Pflege und Zuständigkeiten planen und in Modul 9 Digitalisierung und KI passende digitale Abläufe einrichten. Ob ein Gutschein bewilligt wird, entscheidet die Agentur für Arbeit oder das Jobcenter im Einzelfall.

Für Hosting mit Updates und Backups gibt es Webhosting und Wartung Basis, mit monatlichem Änderungskontingent die Website-Wartung Plus. Willst du Inhalte selbst aktualisieren, hilft der KI-Kurs Website und Shop selbst pflegen. Firmenkompass macht keine Rechtsberatung, begleitet dich aber technisch und organisatorisch.

Du willst wissen, wie gut deine Website abgesichert ist? Sprich mit uns im kostenlosen Erstgespräch.

Fragen dazu? Dein CoachChristian BerglerCoach für Website und E-Commerce