Website-Sicherheit und SSL: Leitfaden 2026 für KMU.

„Wir sind eine kleine Firma, wer sollte sich schon mit unserer Website beschäftigen?“ Diesen Satz hören wir oft. Doch die meisten Angriffe laufen über automatisierte Tools, die nicht eine bestimmte Firma, sondern jede Website mit einer Schwachstelle ins Visier nehmen. Website-Sicherheit geht jeden an – unabhängig von der Unternehmensgröße.

In diesem Leitfaden erklären wir, warum eine Website zum Ziel wird, wozu ein SSL-Zertifikat dient und wie Sie die ab 2026 kürzeren Zertifikatslaufzeiten betreffen, welche Grundmaßnahmen wie Updates, Zugangsschutz, Backups und Firewall nötig sind, welche OWASP-Top-10-Risiken bei der Softwareentwicklung zu beachten sind und was Sie im Fall eines Angriffs tun sollten.

Ziel ist nicht, Sie zum Sicherheitsexperten zu machen, sondern dass Sie Ihrer Agentur, Ihrem Hoster oder Ihrem Softwareteam die richtigen Fragen stellen und die häufigsten Fehler vermeiden können.

Warum wird eine kleine Website angegriffen?

Für Angreifer sind die Ressourcen Ihrer Website genauso wertvoll wie die Website selbst. Eine gekaperte Website kann genutzt werden für:

• Spam und Phishing: Über Ihren Server werden Tausende gefälschte E-Mails verschickt, Ihre Domain landet auf Blacklists.
• SEO-Spam: Auf Ihrer Website werden versteckte Seiten und Links eingefügt; Google kann Ihre Website als „gehackt“ kennzeichnen.
• Datendiebstahl: Kontaktformulare, Mitgliederdaten und Bestelldaten werden gestohlen – nach dem KVKK eine Datenpanne.
• Erpressung und Schadsoftware: Dateien werden verschlüsselt oder Besuchern wird Schadsoftware untergeschoben.

Hinzu kommen unsichtbare Kosten: Eine gekaperte Website zu bereinigen, Vertrauen zurückzugewinnen, Suchplatzierungen wiederherzustellen und Kunden aufzuklären, kostet meist weit mehr als Vorsorge. Und wenn Ihre E-Mail-Domain auf einer Blacklist landet, erreichen selbst Ihre normalen Angebots- und Rechnungs-E-Mails Ihre Kunden nicht mehr.

Die meisten dieser Angriffe suchen nach bekannten Lücken, für die längst Patches veröffentlicht wurden. Sicherheit entsteht also größtenteils weniger durch komplexe Technologien als durch regelmäßige Wartung und Disziplin.

Der Angreifer wählt Sie nicht aus; er findet die Website, deren Tür offen steht.

Was ist ein SSL-Zertifikat und welchen Typ sollten Sie wählen?

Ein SSL-Zertifikat (technisch heute TLS) verschlüsselt den Datenverkehr zwischen dem Browser des Besuchers und Ihrem Server und sorgt für https und das Schlosssymbol in der Adressleiste. Eine per Formular gesendete Telefonnummer oder ein Passwort kann ohne SSL von jemandem im Netzwerk mitgelesen werden. Browser kennzeichnen Seiten ohne SSL als „nicht sicher“; Google betrachtet HTTPS als Teil der Bewertung der Nutzerfreundlichkeit.

In der Verschlüsselungsstärke gibt es zwischen den drei Typen keinen Unterschied. Der Unterschied liegt in der Identitätsprüfung hinter dem Zertifikat. Für die meisten KMU- und E-Commerce-Websites genügt ein korrekt konfiguriertes, automatisch verlängertes DV-Zertifikat.

SSL-Zertifikate werden 2026 kürzer gültig: Was ist zu tun?

Das CA/Browser Forum, ein Zusammenschluss von Browserherstellern und Zertifizierungsstellen, hat im April 2025 mit dem Beschluss SC-081 entschieden, die maximale Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate schrittweise zu verkürzen:

In der Praxis bedeutet das: Die Zeit, in der man einmal im Jahr ein Zertifikat kauft und von Hand installiert, ist vorbei. Die 200-Tage-Phase gilt bereits; bis 2029 müssen Zertifikate sieben- bis achtmal pro Jahr erneuert werden.

• Auf automatische Verlängerung umstellen: Nutzen Sie einen Anbieter mit ACME-Unterstützung (z. B. Let’s Encrypt) oder die Auto-SSL-Funktion Ihres Hosting-Panels.
• Zertifikate überwachen: Richten Sie ein Monitoring-Tool ein, das vor ablaufenden Zertifikaten warnt.
• Manuell installierte Zertifikate erfassen: Wenn Sie kostenpflichtige OV-/EV-Zertifikate nutzen, fragen Sie Ihren Anbieter schon jetzt nach Automatisierungsoptionen.
• HSTS aktivieren: Der HSTS-Header weist den Browser an, sich immer per HTTPS mit Ihrer Website zu verbinden, und verhindert Downgrade-Angriffe auf unverschlüsselte Verbindungen.

5 Grundmaßnahmen für Website-Sicherheit

Die technisch einfachsten Maßnahmen stoppen die meisten Angriffe:

• 1. Aktuelle Software — Content-Management-System, Theme, Plugins, Serversoftware und genutzte Bibliotheken sollten regelmäßig aktualisiert werden. Ungenutzte Plugins zu deaktivieren reicht nicht – entfernen Sie sie vollständig.
• 2. Starker Zugangsschutz — Verwenden Sie für Admin-Panel, Hosting-Panel, FTP und Datenbank einzigartige, lange Passwörter, einen Passwortmanager und wo immer möglich Zwei-Faktor-Authentifizierung (2FA).
• 3. Minimale Rechte — Geben Sie jedem Nutzer nur die Rechte, die er braucht. Schließen Sie Konten ausgeschiedener Mitarbeitender und von Agenturen nach Projektende sofort.
• 4. Regelmäßige Backups — Wenden Sie die 3-2-1-Regel an: mindestens drei Kopien, zwei verschiedene Medien, eine Kopie an einem vom Server unabhängigen Ort. Testen Sie mehrmals im Jahr, ob sich das Backup wiederherstellen lässt.
• 5. Monitoring — Lassen Sie sich bei Erreichbarkeitsproblemen, Dateiänderungen und fehlgeschlagenen Login-Versuchen warnen. Prüfen Sie regelmäßig den Bericht „Sicherheitsprobleme“ in der Google Search Console.

Firewall (WAF), DDoS-Schutz und Sicherheits-Header

Die zweite Schicht über den Grundmaßnahmen besteht darin, bösartigen Traffic zu stoppen, bevor er Ihre Website erreicht.

• Web Application Firewall (WAF): Filtert SQL-Injection, Brute-Force-Login-Versuche und bekannte Angriffsmuster. Die meisten CDN-Dienste bieten das in ihren Basispaketen an.
• DDoS-Schutz: Schutz auf CDN- oder Hosting-Ebene gegen Versuche, die Website mit massenhaften Anfragen lahmzulegen – besonders wichtig in Kampagnenzeiten.
• Login-Begrenzung und CAPTCHA: Die Begrenzung von Versuchen im Admin-Panel und in Formularen erschwert Bots die Arbeit.
• Sicherheits-Header: HTTP-Header wie Content-Security-Policy, X-Frame-Options (oder CSP frame-ancestors), X-Content-Type-Options und Referrer-Policy teilen dem Browser mit, welchen Quellen er vertrauen soll, und verhindern viele Angriffsarten von vornherein.

CDN und Caching beschleunigen zugleich Ihre Website; Sicherheit und Performance verbessern sich hier mit derselben Investition. Die Geschwindigkeitsseite haben wir unter Website-Geschwindigkeit und Core Web Vitals in einem eigenen Beitrag behandelt.

Sicherheit bei individueller Software: OWASP Top 10:2025

Hat Ihre Website individuell entwickelte Bereiche wie Mitgliedschaft, Zahlung, Reservierung oder Kundenportal, hängt die Sicherheit weitgehend davon ab, wie der Code geschrieben ist. Die weltweit maßgebliche Liste ist hier die OWASP Top 10, in der OWASP die kritischsten Risiken von Webanwendungen aufführt. In der 2025er-Version, der ersten Aktualisierung seit 2021, stechen diese Punkte hervor:

• Fehlerhafte Zugriffskontrolle: Fehler wie der, dass ein Nutzer durch Ändern einer Nummer in der Adressleiste die Rechnung eines anderen sehen kann. Nach wie vor auf Platz eins.
• Sicherheitsrelevante Fehlkonfiguration: Offen gelassene Admin-Oberflächen, Standardpasswörter, ausführliche Fehlermeldungen. In der Liste 2025 auf Platz zwei aufgestiegen.
• Fehler in der Software-Lieferkette: Diese neue Kategorie umfasst die Sicherheit von Drittanbieter-Paketen, Plugins und Build-Tools im Projekt.
• Kryptografische Fehler und Injection: Passwörter im Klartext speichern oder Benutzereingaben ungeprüft in Datenbankabfragen einfügen.
• Fehlerhafte Behandlung von Ausnahmesituationen: Ebenfalls eine neue Kategorie; sie beschreibt, wie ein System im Fehlerfall in einen unsicheren Zustand gerät.

Nutzen Sie diese Liste in der Zusammenarbeit mit Ihrem Softwareteam als Prüfwerkzeug: Fragen Sie, welche Maßnahme gegen welches Risiko getroffen wurde. Bei kritischen Projekten ist ein unabhängiger Penetrationstest vor dem Launch ebenfalls gute Praxis. Deshalb sind in unseren eigenen Produkten wie KATSİS und RestaurantBill, die Zahlungen und personenbezogene Daten verarbeiten, rollenbasierte Berechtigungen, verschlüsselte Verbindungen und Protokollierung (Logs) vom ersten Tag des Designs an vorgesehen. Mehr zu diesen Produkten finden Sie auf der Seite Projekte – schauen Sie gern vorbei.

Was tun, wenn Ihre Website gehackt wurde?

Trotz bester Vorkehrungen kann es zu einem Vorfall kommen. Panische Eingriffe verwischen oft Spuren und vergrößern das Problem. Gehen Sie ruhig in dieser Reihenfolge vor:

• Schritt 1 — Versetzen Sie die Website in den Wartungsmodus oder sperren Sie sie vorübergehend, damit Besucher keinen Schaden nehmen.
• Schritt 2 — Ändern Sie alle Passwörter (Panel, Hosting, FTP, Datenbank, E-Mail) und beenden Sie alle Sitzungen.
• Schritt 3 — Untersuchen Sie Serverprotokolle und geänderte Dateien, um den Ursprung des Angriffs zu finden; ein Restore aus dem Backup, ohne die Lücke zu schließen, führt zur Wiederholung des Angriffs.
• Schritt 4 — Stellen Sie ein sauberes Backup wieder her, aktualisieren Sie sämtliche Software und beantragen Sie in der Search Console eine Überprüfung.
• Schritt 5 — Wenn personenbezogene Daten betroffen sind, bewerten Sie die Lage rechtlich. Das KVKK sieht vor, dass Verantwortliche eine Datenpanne nach Kenntnisnahme schnellstmöglich und laut Beschluss der Datenschutzbehörde spätestens innerhalb von 72 Stunden dem Datenschutzausschuss (Kişisel Verileri Koruma Kurulu) melden und die Betroffenen in angemessener Frist informieren.

Das Nationale Zentrum für die Reaktion auf Cybervorfälle (USOM) veröffentlicht in der Türkei Warnungen zu Cyberbedrohungen und nimmt Vorfallmeldungen entgegen. Es ist eine gute Gewohnheit, die für Ihr Unternehmen relevanten Mitteilungen zu verfolgen.

Häufig gestellte Fragen

Fazit

Website-Sicherheit ist keine einmalige Einrichtung, sondern eine dauerhafte Gewohnheit: automatisch verlängertes SSL, aktuelle Software, Zwei-Faktor-Authentifizierung, Backups außerhalb des Servers und eine Firewall. Diese Grundschichten stoppen den Großteil automatisierter Angriffe schon an der Tür.

Bei CYF Tech entwickeln wir Websites und individuelle Websoftware von Anfang an mit Blick auf Sicherheit und unterstützen Sie nach dem Launch mit Wartung und Updates. Wenn Sie den Sicherheitsstatus Ihrer bestehenden Website gemeinsam prüfen möchten, schreiben Sie uns.