Manche Wochen bündeln, was sonst über Monate verteilt passiert. In einer einzigen Woche hatte ich auf dem Tisch: einen gehackten Kunden-Auftritt, ein Backup, das seit Wochen still ins Leere lief, und über 1.100 versteckte Fremd-Einbindungen auf einer einzigen Website. Drei Websites, ein gemeinsamer Nenner: Alles davon war unsichtbar – bis jemand hingeschaut hat.
Die gefährlichsten Website-Probleme scheitern still im Hintergrund. Das gehackte System sieht von außen normal aus. Das kaputte Backup meldet sich nie. Die versteckten Einbindungen laufen lautlos unter der Oberfläche. Was du siehst, ist eine funktionierende Website. Was du hast, kann etwas völlig anderes sein.
Fall 1: Der Hack, den keiner kommen sah
Ein Kunde wurde gehackt – wie in den meisten Fällen über veraltete Komponenten, die lange niemand aktualisiert hatte. Die Bereinigung war Arbeit, aber machbar. Die eigentliche Lektion war eine andere: Im Ernstfall tickt eine Frist, die kaum ein Unternehmer kennt. Sind personenbezogene Daten betroffen, verlangt die DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. Wer erst im Ernstfall herausfindet, wie das geht, verliert die Hälfte dieser Zeit mit Suchen. Updates einspielen ist deshalb Sicherheitsarbeit – und den Notfall-Ablauf kennt man besser vorher.
Fall 2: Das Backup, das keins war
Beim zweiten Fall lief die automatische Datensicherung seit Wochen ins Leere – der Speicher dahinter war voll, und gemeldet hat es nichts und niemand. Die Lektion: Ein installiertes Backup-Plugin ist noch kein Backup. Eine Sicherung existiert erst, wenn drei Fragen bewiesen sind: Wird die Datei wirklich erzeugt? Ist sie aktuell? Und lässt sie sich einspielen? Ein grünes Häkchen im Dashboard beantwortet keine davon. Ein einziger Probe-Durchlauf beantwortet alle drei.
Fall 3: 1.100 blinde Passagiere
Der dritte Fall: ein über viele Jahre gewachsener Blog, außen sauber und gepflegt. In der Datenbank: über 1.100 versteckte Fremd-Einbindungen – alte Werbe-Widgets, Karten, Affiliate-Reste. Viele davon zeigten längst nichts mehr an. Der Haken: Auch ein totes Werbe-Fenster lässt deinen Browser bei fremden Servern anklopfen – und übermittelt dabei Besucherdaten. Bei jedem einzelnen Seitenaufruf. Das ist ein handfestes Datenschutz-Thema. Und das Sicherheits-Plugin? Hat nur einen Bruchteil davon gemeldet. Die Wahrheit stand erst in der Datenbank. Werkzeuge zeigen dir, was sie sehen. Hinschauen muss jemand dort, wo sie wegsehen.
Was du aus den drei Fällen mitnehmen kannst
Alle drei Probleme waren älter als diese eine Woche. Sie liefen leise – und wurden mit jedem Tag teurer. Praktisch heißt das für dich: Erstens, Updates regelmäßig einspielen, veraltete Komponenten sind Einfallstor Nummer eins. Zweitens, das Backup einmal testweise wiederherstellen – vorher ist es eine Hoffnung, danach eine Sicherung. Drittens, einmal in die Tiefe schauen lassen, was deine Website wirklich lädt – die Oberfläche verrät es dir nur zum Teil.
Ein teures Sicherheitskonzept brauchen die wenigsten Unternehmen. Was jedes braucht: jemanden, der einmal richtig hinschaut – und danach regelmäßig.
Häufige Fragen
Woran erkenne ich, dass meine Website gehackt wurde?
Oft lange gar nicht, viele Hacks bleiben absichtlich unauffällig. Warnsignale sind fremde Inhalte, Warnhinweise bei Google, Spam-Mails über die eigene Domain oder eine plötzlich langsame Seite. Der wirksamste Schutz sind aktuelle Updates und regelmäßige Prüfung.
Reicht ein installiertes Backup-Plugin als Datensicherung?
Das Plugin ist der Anfang. Zur Sicherung wird es erst, wenn bewiesen ist: Die Datei wird wirklich erzeugt, sie ist aktuell, und sie lässt sich einspielen. Ein Probe-Durchlauf sagt mehr als jedes grüne Häkchen.
Was muss ich bei einem Hack rechtlich beachten?
Sind personenbezogene Daten betroffen, verlangt die DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. Den Ablauf kennt man deshalb besser vor dem Ernstfall.
Wie finde ich heraus, was meine Website im Hintergrund lädt?
Die Entwicklertools des Browsers zeigen alle Anfragen an fremde Server. Bei über Jahre gewachsenen Websites steht die volle Wahrheit allerdings oft erst in der Datenbank – da braucht es jemanden, der weiß, wo er suchen muss.
- Ein falscher Klick, 21 Artikel weg – und niemand hat es gemerkt
- Was auf deiner Website kaputt ist, ohne dass du es merkst
- Der teuerste Link deines Unternehmens ist der, der ins Leere führt
Du willst wissen, was bei deiner Website unter der Oberfläche los ist?
Die Webseitenanalyse schaut aus fünf Perspektiven auf deine Seite und zeigt dir in wenigen Minuten schwarz auf weiß, wo du Besucher, Vertrauen oder Anfragen verlierst – auch dort, wo du selbst nie hinschaust.
