In Deutschland ist die Sicherheit einer Website nicht nur eine technische Aufgabe der IT, sondern eine gesetzliche Pflicht nach Art. 32 DSGVO; als praktische Orientierung dienen die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI).

HTTPS für alle geschäftlichen Websites

Jede Website mit einem Kontaktformular oder einer Übertragung personenbezogener Daten muss aktuelle Verschlüsselung nutzen: TLS 1.3 oder mindestens TLS 1.2. Veraltete Protokolle wie SSL 3.0 oder TLS 1.0 oder unverschlüsseltes HTTP können Maßnahmen der Aufsichtsbehörden nach sich ziehen.

Wichtige HTTP-Security-Header

Eine Sicherheitsprüfung umfasst die korrekte Konfiguration der Header: Strict-Transport-Security (HSTS mit Weiterleitung auf HTTPS), Content-Security-Policy (CSP gegen eingeschleuste Skripte, XSS), X-Frame-Options (Schutz vor Clickjacking und Einbettung in Frames) und X-Content-Type-Options: nosniff.

Schutz der Administration und Zwei-Faktor-Authentifizierung

Brute-Force-Angriffe auf Admin-Bereiche von Content-Management-Systemen (WordPress, Webflow, Shopify) gehören zu den häufigsten Einfallstoren. Der Zugang muss mit Zwei-Faktor-Authentifizierung (2FA), einer Begrenzung der Anmeldeversuche und, wo möglich, einer IP-Freigabeliste geschützt werden.

Regelmäßige Schwachstellenprüfung und Backups

Unternehmen brauchen ein geregeltes Verfahren für automatische Backups, die getrennt vom Hauptsystem auf isolierten Servern liegen. Regelmäßige Updates von CMS, Plugins und Serverbibliotheken verhindern die Ausnutzung bekannter Schwachstellen (CVE).

Was Sie prüfen sollten

  • Die TLS-Konfiguration bei SSL Labs auf die Bewertung „A+“ prüfen.
  • HSTS, CSP und X-Frame-Options auf dem Webserver einrichten.
  • Zwei-Faktor-Authentifizierung für alle Administratoren verpflichtend machen.
  • Tägliche verschlüsselte Backups von Datenbank und Mediendateien einrichten.

Beispielsituation

Ein Onlineshop richtet eine Content-Security-Policy und HSTS ein, verhindert so den Versuch, Zahlungsdaten über ein angreifbares Drittanbieter-Widget abzugreifen, und bestätigt die Zuverlässigkeit des Systems bei einer externen Sicherheitsprüfung.

Der nächste Schritt

Eine technische Sicherheitsprüfung nach den Empfehlungen des BSI schützt die Website vor Angriffen, sichert den Geschäftsbetrieb und hilft, europäisches Recht einzuhalten.

Offizielle Informationen zum Thema

Checklisten und Beispiele sind organisatorische Empfehlungen. Die Anforderungen hängen vom Verfahren, von der Stadt und von Ihrer Situation ab; gleichen Sie sie vor dem Handeln mit der zuständigen Stelle ab. Rechts- und Steuerfragen besprechen Sie bitte mit einer dazu befugten Fachperson.

Dieser Artikel wurde mithilfe von KI erstellt. Das Beispiel veranschaulicht die Vorgehensweise und beschreibt keinen Kundenfall.