Die Antwort sofort: Eine Firmenwebsite ist kein fertiges Produkt, sondern ein laufendes System, das ohne Wartung verfällt: Ein nicht aktualisiertes Redaktionssystem und veraltete Plugins werden zum Einfallstor für automatisierte Angriffe, ein abgelaufenes Zertifikat oder eine abgelaufene Domain legen die Website von einem Tag auf den anderen lahm, und das „Backup” des Hosters überlebt oft genau den Vorfall nicht, für den Sie es brauchen. Website-Betreuung bedeutet vier Dinge, und zwar regelmäßig: Updates nach dem Backup, funktionierende Backups außerhalb des Hostings, Verfügbarkeitsmonitoring und die Kontrolle, dass die Website keine Malware oder SEO-Spam verbreitet. Wenn Sie heute nicht beantworten können, wer Zugang zur Website hat und wann das letzte geprüfte Backup lief, kümmert sich niemand um Ihre Website.
Die meisten Firmenwebsites sind als Projekt entstanden: Jemand hat sie gebaut, übergeben, in Rechnung gestellt — und damit war es das. Danach „läuft” die Website jahrelang irgendwie, bis sie eines Tages nicht mehr läuft. Das Anfrageformular verschickt nichts mehr, bei Google bietet sie plötzlich japanische Uhrenrepliken an, oder sie verschwindet einfach zusammen mit dem Hosting. Dieser Text beschreibt, was mit einer ungepflegten Website tatsächlich passiert, woran Sie einen Hack erkennen und was eine monatliche Website-Betreuung konkret umfasst, wenn sie ordentlich gemacht wird.
Eine Website verfällt, auch wenn niemand sie anfasst
Das ist für Unternehmer der am wenigsten intuitive Teil. Ein Auto nutzt sich ab, wenn Sie damit fahren. Eine Website verfällt, auch wenn Sie überhaupt nichts damit machen — weil sich alles um sie herum verändert.
Nicht aktualisiertes WordPress und Plugins
Ein großer Teil der Firmenwebsites in Tschechien läuft auf WordPress oder einem ähnlichen Redaktionssystem. Der WordPress-Kern selbst wird ordentlich gepflegt; das eigentliche Problem sind Plugins und Themes. Eine typische Firmenwebsite hat zehn bis dreißig davon installiert — Formulare, Galerien, Page Builder, SEO-Plugin, Backup, Cookie-Banner. Jedes davon ist Code von einem anderen Autor, mit unterschiedlicher Wartungsqualität, und jedes kann eine Schwachstelle enthalten.
Eine veröffentlichte Schwachstelle in einem verbreiteten Plugin wirkt wie ein Startschuss. Angreifer gehen Websites nicht manuell durch — automatisierte Scanner durchsuchen das Internet nach Websites mit einer verwundbaren Version. Niemand hat sich Ihre Website „ausgesucht”. Sie stand nur auf einer Adressliste, auf der eine alte Plugin-Version geantwortet hat.
Dazu kommt PHP, also die Sprache, in der WordPress läuft. Ältere PHP-Versionen erhalten nach und nach keine Sicherheitspatches mehr, Hoster schalten sie früher oder später ab — und eine Website, die niemand gepflegt hat, geht in diesem Moment entweder kaputt oder läuft weiter auf einer Version ohne Patches. Beides ist schlecht, nur unterschiedlich schnell.
Zertifikat, Domain, Hosting
Neben dem Code hat eine Website auch betriebliche Abhängigkeiten, die noch leichter vergessen werden:
- HTTPS-Zertifikat. Let’s-Encrypt-Zertifikate gelten 90 Tage und erneuern sich automatisch — solange die Automatik funktioniert. Wenn sie ausfällt, zeigen Browser den Besuchern eine ganzseitige Warnung, und die Anfragen brechen noch am selben Tag ab.
- Domain. Läuft die Domain ab, hören Website und Firmen-E-Mails auf zu existieren. Eine Wiederherstellung ist meist möglich, aber die Schutzfrist ist nicht endlos, und das Konto beim Registrar hat oft jemand geführt, der längst nicht mehr in der Firma ist.
- Hosting. Die Rechnung geht an die E-Mail-Adresse eines ehemaligen Mitarbeiters, die Zugangsdaten kennt eine Agentur, die es nicht mehr gibt. Solange automatisch per Karte bezahlt wird, merkt niemand etwas — bis zur ersten abgelehnten Zahlung.
Das sind keine Katastrophenszenarien, sondern gängige Praxis. Wir sehen es jedes Mal, wenn wir bei einer neuen Firma die IT übernehmen: Die Liste der Website-Zugänge ist das Erste, was fehlt. Dasselbe Muster — eine Infrastruktur, bei der niemand weiß, wer sie eigentlich verwaltet — begegnet uns auch in Firmennetzwerken, wie wir im Artikel über das Audit von Computernetzwerk und Verkabelung beschreiben.
Woran Sie erkennen, dass die Website gehackt ist
Die Hollywood-Vorstellung einer gehackten Website ist eine schwarze Seite mit einem Totenkopf. Die Realität ist unauffälliger und schlimmer: Heutige Angriffe sind darauf ausgelegt, dass Sie möglichst lange nichts bemerken. Eine gehackte Firmenwebsite hat für den Angreifer nur so lange Wert, wie sie funktioniert — sie verschickt Spam, hostet Phishing oder schmarotzt an Ihrer Position in den Suchergebnissen.
SEO-Spam: der Parasit, den Sie im Browser nicht sehen
Die häufigste Form, der Sie bei kleinen Firmenwebsites begegnen, ist SEO-Spam. Der Angreifer schleust Tausende generierter Seiten in die Website ein — typischerweise Angebote für Fälschungen, Medikamente oder Glücksspiel — und nutzt die Vertrauenswürdigkeit Ihrer Domain, damit diese in der Suche ranken. Bekannt ist der sogenannte „Japanese Keyword Hack”, bei dem sich die Suchergebnisse zu Ihrer Website mit japanischem Text füllen.
Perfide daran ist, dass der Spam meist durch eine Technik namens Cloaking getarnt wird: Der Suchmaschine wird der Spam-Inhalt untergeschoben, dem normalen Besucher eine ganz gewöhnliche Seite. Der Inhaber schaut sich seine Website an, alles wirkt in Ordnung — und währenddessen indexiert Google Tausende untergeschobener Seiten. Deshalb fällt ein Hack oft erst über die Folgen auf:
- in den Suchergebnissen tauchen bei Ihrer Website eine fremde Sprache oder unsinnige Produkte auf;
- die Google Search Console (sofern sie überhaupt jemand liest) meldet einen sprunghaften Anstieg indexierter Seiten oder eine manuelle Maßnahme;
- Browser blockieren die Website mit einer Warnung vor irreführenden Inhalten;
- Firmen-E-Mails landen im Spam, weil die Domain den Ruf eines Spam-Versenders bekommen hat;
- die Website wird spürbar langsamer — fremder Code und Tausende zusätzlicher Seiten kosten Leistung.
Warum es nicht reicht, „diese komischen Dateien zu löschen”
Eine gehackte Website zu bereinigen bedeutet nicht, ein paar Dateien zu löschen. Beim Einbruch legt sich der Angreifer typischerweise eine Hintertür an — eine unauffällige Datei im Bilderverzeichnis, eine manipulierte Theme-Datei, ein eigenes Administratorkonto in der Datenbank, einen geplanten Task, der die Infektion wiederherstellt. Wenn Sie nur den sichtbaren Spam löschen, ist er binnen einer Woche zurück.
Eine ordentliche Wiederherstellung heißt: herausfinden, wie der Angreifer hereinkam (und dieses Loch schließen), die Dateien mit einer sauberen Version vergleichen, die Datenbank durchgehen, alle Passwörter und Schlüssel ungültig machen — und erst dann bei den Suchmaschinen eine erneute Überprüfung beantragen. Und vor allem: ein sauberes Backup haben, von dem aus man starten kann. Die Logik ist dieselbe wie bei einem verschlüsselten NAS, über das wir im Artikel zu Ransomware auf dem NAS schreiben: Ohne unabhängiges Backup erholen Sie sich nicht von einem Vorfall, Sie verhandeln mit ihm.
Website-Backups: Der Hoster rettet Sie nicht
„Das Hosting sichert das doch” ist der teuerste Satz der Website-Betreuung. Hoster-Backups haben in der Praxis drei Schwachstellen:
- Kurze Historie. Meist reicht sie einige Tage bis Wochen zurück. SEO-Spam lebt auf einer Website aber typischerweise Wochen bis Monate, bevor ihn jemand bemerkt — und dann ist jedes verfügbare Backup bereits infiziert.
- Alles in einem Korb. Das Backup liegt beim selben Anbieter, oft auf derselben Infrastruktur wie die Website. Ein Vorfall auf Hoster-Seite — oder auch nur ein wegen einer unbezahlten Rechnung gesperrtes Konto — nimmt Website und Backup auf einen Schlag mit.
- Niemand hat je eine Wiederherstellung versucht. Ein Backup, das niemand getestet hat, ist eine Vermutung, kein Backup.
Ein funktionierendes Website-Backup besteht aus zwei Teilen: Dateien (Theme, Plugins, hochgeladene Bilder und Dokumente) und Datenbank (Texte, Bestellungen, Benutzer). Beides muss zusammen gesichert werden, regelmäßig, mit ausreichend langer Versionshistorie — und mindestens eine Kopie muss außerhalb des Hostings liegen, bei einem anderen Anbieter oder auf dem Firmenspeicher. Es ist dieselbe 3-2-1-Regel, die wir beim externen Datenträger als einzigem Backup durchgehen — nur geht es statt um Familienfotos um die Website, die der Firma Anfragen bringt.
Und ab und zu muss man die Wiederherstellung ernsthaft ausprobieren: das Backup nehmen, daraus eine Website auf einer Testadresse aufbauen und prüfen, dass sie wirklich funktioniert. Erst dann wissen Sie, dass Sie ein Backup haben.
Was monatliche Website-Betreuung umfasst
Website-Betreuung heißt nicht „zur Stelle sein, falls etwas ist”. Es ist eine wiederkehrende Routine, die sich mit einer konkreten Checkliste beschreiben lässt:
- Updates mit Bedacht. Kern, Plugins und Theme werden regelmäßig aktualisiert — aber immer nach einem Backup und mit der Kontrolle, dass das Update nichts kaputt gemacht hat. Blinde automatische Updates können eine Website genauso zuverlässig lahmlegen wie gar keine.
- Backups und deren Kontrolle. Nicht nur „das Backup läuft”, sondern auch die stichprobenartige Prüfung, dass sich daraus wiederherstellen lässt.
- Verfügbarkeitsmonitoring. Von einem Ausfall soll der Betreuer innerhalb weniger Minuten vom Monitoring erfahren, nicht am nächsten Tag vom Kunden.
- Sicherheitskontrolle. Malware-Scan der Dateien, Integritätsprüfung, Kontrolle neuer Administratorkonten, Überblick über Anmeldeversuche.
- Ablaufdaten im Blick. Zertifikat, Domain, Hosting — mit Erinnerung, bevor daraus ein Ausfall wird.
- Search Console und Performance. Kontrolle der Indexierung (genau dort zeigt sich SEO-Spam zuerst), der Geschwindigkeit und der Fehler.
- Kleine Inhaltsanpassungen. Geänderte Öffnungszeiten, neue Preisliste, aktuelle Referenzen — Dinge, für die sonst wochenlang auf „jemanden, der das kann” gewartet wird.
Nichts davon ist für sich genommen kompliziert. Der Punkt ist, dass es jeden Monat passiert, nachweisbar und in der Verantwortung einer konkreten Firma — nicht „wenn mal Zeit ist”. Bei uns ist die Website-Betreuung Teil der IT-Dienstleistungen für Unternehmen: Wir übernehmen die Website inklusive Zugangsdaten, bringen Backups und Updates in Ordnung, und wenn Sie gar keine Website haben oder die aktuelle keine Anfragen bringt, können wir eine neue liefern und sie gleich mitbetreuen. Der schnellste erste Schritt ist eine Nachricht über den Kontakt — wir gehen durch, in welchem Zustand die Website ist und was sie tatsächlich gefährdet.
Was eine solche Website und ihre Betreuung kostet, ist ein Thema für sich — der Umfang unterscheidet sich bei einer kleinen Firma danach, ob es um eine Visitenkarten-Website oder einen Onlineshop geht, und verdient eine eigene Betrachtung. Hier ist etwas anderes wesentlich: zu wissen, was Sie an Website-Betreuung bestellen sollten, damit Sie nicht für eine „Wartung” zahlen, die nie stattfindet.
Fünf Fragen, auf die Sie eine Antwort kennen sollten
Wenn Sie den Zustand Ihrer Website in fünf Minuten prüfen wollen, versuchen Sie zu beantworten:
- Wer hat Zugang zur Website-Administration, zum Hosting und zur Domain — und liegen die Zugangsdaten in der Firma, nicht bei Dritten?
- Wann lief das letzte Backup und wann hat zuletzt jemand die Wiederherstellung ausprobiert?
- Wer erfährt von einem Ausfall der Website, und wie schnell?
- Wann wurden zuletzt das Redaktionssystem und die Plugins aktualisiert?
- Wer repariert die Website, wenn Montagmorgen statt der Startseite eine Browserwarnung erscheint?
Wenn Sie bei zwei oder mehr Fragen mit den Schultern zucken, kümmert sich niemand um Ihre Website — Sie wissen es nur noch nicht. Für Marketing geben Firmen dagegen ohne Zögern hohe Summen aus; wie leicht sich Geld in Werbung für eine Website verbrennen lässt, um die sich niemand kümmert, beschreiben wir im Artikel über die Million, die wir durchs Marketing gedreht haben. Werbung führt Menschen auf die Website — und eine ungewartete Website schickt sie zuverlässig wieder an der Tür zurück.
Häufige Fragen
Meine Website hat eine Agentur gemacht. Kümmert sie sich nicht automatisch darum?
Meistens nicht. Die Erstellung einer Website und ihre Betreuung sind zwei verschiedene Leistungen und zwei verschiedene Verträge. Wenn Sie keine ausdrücklich vereinbarte Wartung haben (und keinen regelmäßigen Bericht dazu bekommen), läuft die Website nach der Übergabe einfach nur — ohne Updates und oft auch ohne funktionierende Backups.
Wie erkenne ich, dass meine Website gehackt ist, wenn sie normal aussieht?
Suchen Sie bei Google nach site:ihredomain.de und schauen Sie durch, was unter Ihrer Domain indexiert ist. Fremde Sprache, Medikamente, Uhren oder Glücksspiel bedeuten SEO-Spam. Weiter hilft die Google Search Console (Sprünge in der Seitenanzahl, manuelle Maßnahmen) und die Kontrolle, ob der Browser bei der Website eine Warnung anzeigt.
Reicht für Backups ein Plugin in WordPress?
Ein Backup-Plugin ist ein guter Anfang, genügt aber allein nicht: Wenn es die Backups auf demselben Hosting ablegt, nimmt ein Vorfall oder eine Kontosperrung sie zusammen mit der Website mit. Entscheidend sind eine Kopie außerhalb des Hostings, eine ausreichende Versionshistorie und eine ab und zu geprüfte Wiederherstellung.
Meine Website wurde gehackt. Soll ich sie löschen und neu bauen?
Nicht sofort. Zuerst muss man herausfinden, wie der Angreifer hereinkam — sonst bauen Sie die neue Website mit demselben Loch und es endet genauso. Die Bereinigung umfasst das Schließen des Einfallswegs, die Kontrolle von Dateien und Datenbank, den Austausch aller Passwörter und danach den Antrag auf erneute Überprüfung bei den Suchmaschinen, damit die Warnungen verschwinden.
Was, wenn ich nicht weiß, wo die Website überhaupt läuft und wer Zugang hat?
Sie sind nicht allein — das ist der häufigste Ausgangszustand, den wir übernehmen. Herausfinden lässt sich das fast immer: aus den DNS-Einträgen, Rechnungen und beim Domain-Registrar. Genau deshalb lohnt es sich, mit einer Inventur der Zugänge und des Website-Zustands zu beginnen, nicht erst mit der Behebung eines Notfalls.