Eine gehackte Website ist ein Albtraum. Sie verlieren nicht nur Daten, sondern auch das Vertrauen Ihrer Besucher und möglicherweise Ihre Position bei Google. Die gute Nachricht: Mit den richtigen Maßnahmen können Sie das Risiko drastisch senken. Hier sind acht praktische Tipps, um Ihre Website abzusichern.

Warum werden Websites gehackt?

Die häufigsten Gründe für Hacks sind:

• Veraltete Software mit bekannten Sicherheitslücken
• Schwache Passwörter, die leicht zu erraten sind
• Unsichere Plugins oder Themes
• Kein SSL-Zertifikat
• Schlechte Serversicherheit

1. Verwenden Sie starke, einzigartige Passwörter

Verwenden Sie für jeden Login ein eigenes Passwort. Wenn Sie überall dasselbe Passwort verwenden und eine Website gehackt wird, haben Angreifer Zugriff auf alle Ihre Konten.

Ein Passwortmanager wie Bitwarden oder 1Password hilft Ihnen, starke, einzigartige Passwörter zu erzeugen und sicher zu speichern. Sie müssen sich dann nur noch das Master-Passwort merken.

2. Halten Sie alles auf dem neuesten Stand

Das gilt für:

• Ihr CMS (WordPress, Joomla usw.)
• Alle installierten Plugins und Erweiterungen
• Ihr Theme
• Die PHP-Version auf Ihrem Server

Aktivieren Sie nach Möglichkeit automatische Updates. Erstellen Sie vor größeren Updates immer zuerst ein Backup.

3. Installieren Sie ein SSL-Zertifikat

Ohne SSL können Hacker im selben Netzwerk (zum Beispiel in einem öffentlichen WLAN) Passwörter und andere sensible Daten abfangen. Außerdem markieren Browser Websites ohne SSL als unsicher und Google stuft sie im Ranking niedriger ein.

Bei den meisten Hosting-Anbietern, darunter Theory7, können Sie ein kostenloses SSL-Zertifikat von Let's Encrypt mit einem Klick aktivieren.

4. Erstellen Sie regelmäßig Backups

Eine gute Backup-Strategie:

• Erstellen Sie täglich automatische Backups
• Bewahren Sie Backups an einem externen Ort auf (nicht nur auf demselben Server)
• Testen Sie regelmäßig, ob sich Ihre Backups tatsächlich wiederherstellen lassen
• Bewahren Sie mehrere Versionen auf (nicht nur die letzte)

5. Begrenzen Sie Anmeldeversuche

Nach zum Beispiel fünf fehlgeschlagenen Versuchen wird die IP-Adresse vorübergehend gesperrt. In WordPress können Sie das mit Plugins wie Limit Login Attempts Reloaded oder Wordfence einrichten.

6. Nutzen Sie die Zwei-Faktor-Authentifizierung (2FA)

Verwenden Sie eine Authenticator-App wie Google Authenticator, Authy oder Microsoft Authenticator. Vermeiden Sie die Verifizierung per SMS nach Möglichkeit, weil sie anfälliger für das Abfangen ist.

7. Entfernen Sie ungenutzte Plugins und Themes

Gehen Sie Ihre Plugins und Themes durch:

• Entfernen Sie alles, was Sie nicht aktiv nutzen
• Deaktivieren reicht nicht: Löschen Sie es vollständig
• Prüfen Sie, ob Plugins noch gepflegt werden (letztes Update)
• Wählen Sie Plugins mit vielen Installationen und guten Bewertungen

8. Wählen Sie zuverlässiges Hosting

• Serverseitige Firewalls und Malware-Scans
• Regelmäßige Software-Updates
• DDoS-Schutz
• Tägliche Backups
• 24/7-Monitoring

Günstiges Hosting spart an der Sicherheit. Der Preisunterschied wiegt die Kosten und den Stress einer gehackten Website selten auf.

Was tun bei einem Hack?

1. Nehmen Sie Ihre Website offline, um weiteren Schaden zu verhindern
2. Ändern Sie alle Passwörter (Hosting, CMS, FTP, Datenbank)
3. Spielen Sie ein sauberes Backup aus der Zeit vor dem Hack zurück
4. Aktualisieren Sie die gesamte Software auf die neueste Version
5. Scannen Sie nach Malware und entfernen Sie verdächtige Dateien
6. Prüfen Sie die Benutzerkonten auf unbekannte Neuzugänge
7. Beantragen Sie bei Google eine erneute Indexierung, wenn Ihre Website als unsicher markiert wurde

Sicherheit in der Praxis

WordPress absichern

• Ändern Sie die Standard-Login-URL (/wp-admin) mit einem Plugin wie WPS Hide Login
• Begrenzen Sie Anmeldeversuche mit Limit Login Attempts
• Installieren Sie ein Sicherheits-Plugin wie Wordfence oder Sucuri
• Deaktivieren Sie XML-RPC, wenn Sie es nicht nutzen
• Entfernen Sie ungenutzte Plugins und Themes

Onlineshop absichern

Onlineshops sind wegen der Kundendaten und Zahlungsinformationen für Hacker besonders attraktiv:

• Nutzen Sie PCI-konforme Payment-Gateways (Mollie, Stripe)
• Speichern Sie keine Kreditkartendaten
• Verschlüsseln Sie Kundendaten in der Datenbank
• Setzen Sie eine strenge Zugriffskontrolle für Administratorkonten um

Was tun bei einem Hack?

1. Nehmen Sie Ihre Website offline: Verhindern Sie weiteren Schaden
2. Ändern Sie alle Passwörter: Hosting, FTP, Datenbank, CMS
3. Scannen Sie nach Malware: mit Tools oder über Ihren Anbieter
4. Spielen Sie ein sauberes Backup zurück: aus der Zeit vor dem Hack
5. Aktualisieren Sie alles: CMS, Plugins, Themes
6. Analysieren Sie, wie der Hack passiert ist: Vermeiden Sie eine Wiederholung

Nach einem Hack ist es sinnvoll, einen Fachmann hinzuzuziehen, wenn Sie die Ursache nicht finden. Sonst riskieren Sie, erneut gehackt zu werden.

Sicherheitstools

• Sucuri SiteCheck: kostenloser Malware-Scan
• SSL Labs: testet Ihre SSL-Konfiguration
• Security Headers: prüft Ihre HTTP-Header
• Google Search Console: Warnungen bei Sicherheitsproblemen

Hosting und Sicherheit

• Firewall gegen häufige Angriffe
• DDoS-Schutz
• Automatische Malware-Scans
• Regelmäßige Backups

Günstiges Hosting spart oft an der Sicherheit. Wenn Ihre Website geschäftskritisch ist, investieren Sie in hochwertiges Hosting mit guten Sicherheitsmaßnahmen.

Website-Sicherheit ist keine einmalige Aktion, sondern ein fortlaufender Prozess. Die Bedrohungen entwickeln sich ständig weiter und Ihre Verteidigung muss mitwachsen. Zum Glück muss Sicherheit nicht kompliziert sein: Halten Sie Software aktuell, verwenden Sie starke Passwörter, erstellen Sie Backups und wählen Sie zuverlässiges Hosting. Mit dieser Basis sind Sie gegen die häufigsten Angriffe geschützt. Wird Ihre Website trotzdem gehackt, handeln Sie schnell: isolieren, wiederherstellen und aus dem Vorfall lernen, um eine Wiederholung zu vermeiden.

Website-Sicherheit ist ein fortlaufender Prozess, keine einmalige Aktion. Hacker finden immer neue Schwachstellen und Angriffsmethoden. Bleiben Sie wachsam, halten Sie alles aktuell und nehmen Sie Sicherheit ernst. Die Investition von Zeit und Mitteln in gute Sicherheit wiegt die Kosten einer gehackten Website mehr als auf, sowohl finanziell als auch beim Imageschaden bei Ihren Kunden.

Sicherheit erfordert ständige Aufmerksamkeit. Bleiben Sie wachsam, aktualisieren Sie regelmäßig und übernehmen Sie Verantwortung für die Daten Ihrer Besucher.

Sicherheit ist keine einmalige Aktion, sondern ein fortlaufender Prozess. Bleiben Sie wachsam und aktualisieren Sie Ihre Systeme konsequent.

Nehmen Sie die Sicherheit Ihrer Website vom ersten Tag an ernst.

Bei Theory7 helfen wir Ihnen gern, wenn Ihre Website gehackt wurde. Kontaktieren Sie unseren Support und wir suchen gemeinsam nach einer Lösung.

Website absichern: Sicherheitsmaßnahmen im Vergleich

Maßnahme	Schützt vor	Schwierigkeit	Wirkung	Kosten
SSL-Zertifikat	Man-in-the-Middle-Angriffe	Einfach	Hoch	Kostenlos (Let's Encrypt)
Starke Passwörter	Brute-Force-Angriffe	Einfach	Hoch	Kostenlos
2FA/MFA	Kontoübernahme	Einfach	Sehr hoch	Kostenlos
WAF (Web Application Firewall)	SQL-Injection, XSS, DDoS	Mittel	Sehr hoch	Kostenlos bis kostenpflichtig
Regelmäßige Updates	Bekannte Schwachstellen	Einfach	Hoch	Kostenlos
Backups	Datenverlust bei einem Hack	Einfach	Kritisch	Kostenlos bis kostenpflichtig
Security-Header	XSS, Clickjacking	Fortgeschritten	Mittel	Kostenlos

Wie richten Sie Security-Header zum Absichern Ihrer Website ein?

• Content-Security-Policy (CSP): legt fest, welche Quellen der Browser laden darf, und schützt vor XSS-Angriffen
• X-Frame-Options: verhindert, dass Ihre Website in einem iFrame geladen wird (Schutz vor Clickjacking)
• X-Content-Type-Options: verhindert MIME-Type-Sniffing
• Strict-Transport-Security (HSTS): erzwingt HTTPS-Verbindungen
• Referrer-Policy: legt fest, welche Referrer-Informationen mitgesendet werden
• Permissions-Policy: steuert, welche Browser-APIs Ihre Website nutzen darf

Ein SSL-Zertifikat ist der erste Schritt, doch Security-Header bieten eine zusätzliche Schutzebene. Beim Webhosting von Theory7 sind die wichtigsten Security-Header standardmäßig aktiviert.

Häufige Fragen zum Absichern Ihrer Website

Woran erkenne ich, ob meine Website gehackt wurde?

Anzeichen sind: unbekannte Dateien oder unbekannter Code auf Ihrer Website, unerklärliche Weiterleitungen, Warnungen von Google in der Search Console, plötzlich sinkender Traffic, Spam-Links in Ihren Inhalten oder Beschwerden von Besuchern über Malware-Warnungen.

Reicht ein SSL-Zertifikat aus, um meine Website abzusichern?

Nein, SSL verschlüsselt nur die Verbindung zwischen Besucher und Server. Für einen vollständigen Schutz brauchen Sie außerdem starke Passwörter, Updates, Backups und vorzugsweise eine WAF.

Wie oft sollte ich die Sicherheit meiner Website prüfen?

Führen Sie monatlich einen Sicherheitsscan durch. Prüfen Sie wöchentlich, ob Updates für Ihr CMS, Ihre Plugins und Themes verfügbar sind. Automatisieren Sie nach Möglichkeit mit Tools wie Wordfence oder Sucuri.

Website absichern: Monitoring und Wartung

1. Täglich: automatisches Backup laufen lassen, Monitoring-Warnungen prüfen
2. Wöchentlich: CMS, Plugins und Themes aktualisieren, Anmeldeversuche überprüfen
3. Monatlich: Sicherheitsscan durchführen, ungenutzte Konten und Plugins entfernen
4. Vierteljährlich: Passwörter wechseln, Status des SSL-Zertifikats prüfen, Sicherheitsrichtlinien überarbeiten

Nutzen Sie Tools wie die Google Search Console, um bei Sicherheitsproblemen gewarnt zu werden. Installieren Sie Wordfence oder Sucuri für einen Echtzeitschutz Ihrer WordPress-Website. Beim Webhosting von Theory7 überwachen wir die Server 24/7 auf verdächtige Aktivitäten, und ein gutes SSL-Zertifikat ist standardmäßig enthalten.

Aktionsplan bei einem Hack

Sollte Ihre Website trotzdem gehackt werden, folgen Sie diesem Plan, um den Schaden zu begrenzen:

• Versetzen Sie Ihre Website in den Wartungsmodus, um weiteren Schaden zu verhindern
• Ändern Sie alle Passwörter (Hosting, FTP, Datenbank, CMS-Admin)
• Spielen Sie ein sauberes Backup aus der Zeit vor dem Hack zurück
• Aktualisieren Sie die gesamte Software auf die neueste Version
• Scannen Sie nach Malware und entfernen Sie verdächtige Dateien
• Reichen Sie bei Google einen Antrag auf Überprüfung ein, wenn Ihre Website als unsicher markiert wurde

Website absichern: fortgeschrittene Techniken

Content Security Policy umsetzen

Eine Content Security Policy (CSP) teilt dem Browser mit, welche Quellen auf Ihrer Website geladen werden dürfen. Das schützt vor Cross-Site-Scripting-Angriffen (XSS), indem festgelegt wird, von welchen Domains Skripte, Stylesheets und Bilder geladen werden dürfen. Setzen Sie eine CSP um, indem Sie Ihrer Serverkonfiguration einen HTTP-Header hinzufügen. Beginnen Sie mit einem Berichtsmodus, um zu sehen, welche Quellen blockiert werden, und verschärfen Sie die Policy schrittweise, bis nur noch vertrauenswürdige Quellen erlaubt sind.

HTTP-Security-Header einrichten

Neben CSP gibt es mehrere weitere Security-Header, die Ihre Website vor häufigen Angriffen schützen. Die wichtigsten sind X-Content-Type-Options (verhindert MIME-Type-Sniffing), X-Frame-Options (schützt vor Clickjacking), Strict-Transport-Security (erzwingt HTTPS) und Referrer-Policy (beschränkt die Weitergabe von Referrer-Informationen). Diese Header fügen Sie über Ihre .htaccess-Datei oder die Serverkonfiguration hinzu. Testen Sie Ihre Header mit SecurityHeaders.com, um zu sehen, wie Ihre Website abschneidet.

Übersicht der Security-Header

Header	Schutz vor	Priorität	Konfiguration
Content-Security-Policy	XSS, Dateninjektion	Hoch	Komplex
Strict-Transport-Security	Downgrade-Angriffe	Hoch	Einfach
X-Frame-Options	Clickjacking	Medium	Einfach
X-Content-Type-Options	MIME-Sniffing	Medium	Einfach
Referrer-Policy	Informationslecks	Niedrig	Einfach
Permissions-Policy	API-Missbrauch	Niedrig	Mittel

Website absichern: Monitoring und Reaktion auf Vorfälle

Echtzeit-Monitoring einrichten

Installieren Sie ein Sicherheitsmonitoring, das verdächtige Aktivitäten in Echtzeit erkennt. Dazu gehört die Überwachung von Anmeldeversuchen, Dateiänderungen, Datenbankabfragen und Netzwerkverkehr. Tools wie Wordfence für WordPress oder OSSEC als serverseitige Lösung liefern Echtzeitwarnungen bei verdächtigen Aktivitäten. Richten Sie Benachrichtigungen per E-Mail oder Push-Nachricht ein, damit Sie sofort auf mögliche Bedrohungen reagieren können.

Notfallplan für Sicherheitsvorfälle erstellen

Bereiten Sie sich auf den schlimmsten Fall vor, indem Sie einen Notfallplan erstellen, bevor Sie ihn brauchen. Dieser Plan beschreibt, wer bei einem Sicherheitsvorfall was tut. Der erste Schritt ist, die betroffene Website zu isolieren, um weiteren Schaden zu verhindern. Der zweite Schritt ist die Analyse des Angriffsvektors. Der dritte Schritt ist die Wiederherstellung aus einem sauberen Backup. Der vierte Schritt ist das Schließen der Sicherheitslücke. Der fünfte Schritt ist die Information der Betroffenen, falls personenbezogene Daten abgeflossen sind, gemäß der Meldepflicht nach der DSGVO.

Regelmäßige Sicherheitsaudits

Planen Sie mindestens einmal pro Quartal ein Sicherheitsaudit Ihrer Website ein. Prüfen Sie, ob die gesamte Software aktuell ist, ob es bekannte Schwachstellen in Ihren Plugins oder Ihrem Theme gibt, ob die Zugriffsrechte korrekt eingestellt sind und ob Ihre Backups funktionieren und nutzbar sind. Nutzen Sie Online-Scanner wie Sucuri SiteCheck oder Mozilla Observatory für einen schnellen externen Scan. Dokumentieren Sie die Ergebnisse und beheben Sie etwaige Probleme sofort.

Möchten Sie Ihre Website auch mit einem SSL-Zertifikat schützen? Dann lesen Sie unseren Artikel alles über SSL-Zertifikate mit ausführlichen Informationen.

Website absichern: Checklisten nach Website-Typ

Sicherheits-Checkliste für WordPress

• WordPress-Core, Theme und alle Plugins auf die neueste Version aktualisieren
• Den Standard-Admin-Benutzernamen in etwas Eindeutiges ändern
• Zwei-Faktor-Authentifizierung für alle Administratoren aktivieren
• XML-RPC deaktivieren, wenn Sie es nicht für externes Publizieren nutzen
• Die maximale Zahl der Anmeldeversuche mit einem Sicherheits-Plugin begrenzen
• Datei- und Ordnerrechte korrekt setzen (Dateien 644, Ordner 755)
• Automatische Updates für kleine Releases und Sicherheitspatches aktivieren
• Regelmäßig einen Sicherheitsscan mit Wordfence oder Sucuri durchführen

Sicherheits-Checkliste für Onlineshops

• PCI-DSS-Konformität für die Kreditkartenverarbeitung sicherstellen
• Ein Extended-Validation-SSL-Zertifikat für zusätzliches Vertrauen in Betracht ziehen
• Zahlungsdaten nie lokal speichern, sondern über einen externen Zahlungsdienstleister abwickeln
• Kundenkonten mit strengen Passwortvorgaben und Brute-Force-Schutz absichern
• Regelmäßig Penetrationstests des Bestellprozesses durchführen
• Transaktionsprotokolle führen und auf verdächtige Muster überwachen

Lesen Sie auch unseren Artikel Cloudflare einrichten für eine zusätzliche Sicherheitsebene über das Netzwerk.

Website absichern: künftige Bedrohungen und Trends

Neue Bedrohungen im Jahr 2026

KI-gesteuerte Angriffe werden immer ausgefeilter und schwerer zu erkennen. Deepfake-Technologie wird für gezielte Phishing-Angriffe eingesetzt, die immer überzeugender werden. Supply-Chain-Angriffe zielen auf beliebte Plugins und Bibliotheken, die von Millionen Websites genutzt werden. Zero-Day-Schwachstellen werden schneller entdeckt und ausgenutzt als je zuvor. Bleiben Sie über die neuesten Sicherheitstrends auf dem Laufenden, indem Sie spezialisierten Blogs und Newslettern folgen.

Proaktive Sicherheitsmaßnahmen

Investieren Sie in einen mehrschichtigen Sicherheitsansatz, der nicht von einer einzelnen Maßnahme abhängt. Kombinieren Sie Netzwerksicherheit über eine WAF und ein CDN, Serversicherheit über regelmäßige Updates und Härtung, Anwendungssicherheit über sichere Programmierung und Eingabevalidierung sowie Benutzersicherheit über starke Authentifizierung und Schulungen zur Sensibilisierung. Testen Sie Ihre Sicherheit regelmäßig mit automatisierten Scans und erwägen Sie einen jährlichen professionellen Penetrationstest, um Schwachstellen aufzudecken, die automatisierte Tools übersehen.

Website absichern: häufige Fragen beantwortet

Notfallplan für Sicherheitsvorfälle

Jedes Unternehmen mit einer Website sollte einen Notfallplan für Sicherheitsvorfälle haben. Dieser Plan beschreibt die Schritte, die Sie unternehmen, wenn Ihre Website gehackt wird oder ein Datenleck auftritt. Dokumentieren Sie, wer für welche Maßnahmen verantwortlich ist, wie Sie Kunden informieren und welche technischen Schritte nötig sind, um den Schaden zu begrenzen und die Website wiederherzustellen. Üben Sie diesen Plan regelmäßig, damit alle wissen, was im Notfall zu tun ist. Eine schnelle und organisierte Reaktion minimiert den Schaden und stellt das Vertrauen Ihrer Besucher wieder her.

Ihre Sicherheit kontinuierlich verbessern

Das Absichern Ihrer Website ist ein fortlaufender Prozess, der ständige Aufmerksamkeit erfordert. Führen Sie vierteljährlich ein Sicherheitsaudit durch, bei dem Sie alle Plugins, Themes und Konfigurationen auf Schwachstellen prüfen. Abonnieren Sie Sicherheits-Newsletter und verfolgen Sie relevante Quellen, um über neue Bedrohungen und Best Practices informiert zu bleiben. Indem Sie Sicherheit als kontinuierlichen Prozess statt als einmalige Aufgabe behandeln, schützen Sie Ihre Website wirksam vor den sich ständig ändernden Bedrohungen im Internet.

Vergessen Sie nicht, auch die physische Sicherheit in Ihre Strategie einzubeziehen. Sorgen Sie dafür, dass nur autorisierte Mitarbeitende Zugang zu den Systemen haben, auf denen Ihre Website läuft, und nutzen Sie ausnahmslos für alle Administratorkonten die Zwei-Faktor-Authentifizierung.

Quellen und Referenzen

• Let's Encrypt: kostenlose SSL-Zertifikate (letsencrypt.org)
• Cloudflare: Learning Center (cloudflare.com/learning)
• Mozilla Developer Network: MDN Web Docs (developer.mozilla.org)
• Wordfence: WordPress Security Report (wordfence.com)
• Sucuri: Website Security Research (sucuri.net)
• SSL Labs: SSL Server Test by Qualys (ssllabs.com)
• Autoriteit Persoonsgegevens (niederländische Datenschutzbehörde): Informationen zur DSGVO (autoriteitpersoonsgegevens.nl)