Die häufigsten Angriffe auf kleine Websites – und was wirklich hilft

Wer über Angriffe auf Unternehmen liest, denkt an Konzerne und Lösegeldforderungen in Millionenhöhe. Die Realität kleiner Betriebe sieht anders aus: Fast alles, was passiert, ist automatisiert und trifft niemanden persönlich. Genau deshalb ist es beherrschbar.

Automatisierte Angriffe auf bekannte Lücken

Der mit Abstand häufigste Fall: Ein Programm sucht das halbe Internet nach Websites ab, die eine bestimmte veraltete Erweiterung einsetzen. Wo es fündig wird, nutzt es eine öffentlich dokumentierte Lücke. Das Ziel ist meist nicht Ihr Betrieb, sondern Rechenleistung, Weiterleitungen auf fremde Seiten oder ein Versteck für Spam.

Die Gegenmaßnahme ist unspektakulär: aktuelle Software. Ein System, dessen Kern und Erweiterungen monatlich aktualisiert werden, fällt aus dem Suchraster dieser Programme heraus. Der Aufwand liegt bei einer halben Stunde im Monat, das Aufräumen nach einem Vorfall bei mehreren Tagen.

Angriffe auf das Anmeldeformular

Bei WordPress-Installationen liegt die Anmeldung an einer bekannten Adresse. Automatisierte Versuche mit Standardnamen wie „admin“ und Passwortlisten laufen dort praktisch dauerhaft. Drei Maßnahmen reichen in fast allen Fällen: kein Benutzer mit dem Namen admin, ein langes Kennwort aus dem Passwortmanager und eine Begrenzung der Anmeldeversuche. Ein zweiter Faktor macht die Sache endgültig unattraktiv.

Phishing, auch an die Firmenadresse

Die gefährlichere Variante zielt nicht auf die Website, sondern auf Menschen. Typisch sind Nachrichten, die eine Rechnung, eine Domainverlängerung oder eine angebliche Abmahnung ankündigen. Sie wirken deshalb glaubwürdig, weil solche Vorgänge tatsächlich vorkommen.

Zwei Gewohnheiten helfen zuverlässiger als jedes Filterprogramm: Links in solchen Nachrichten grundsätzlich nicht anklicken, sondern die betreffende Seite selbst im Browser öffnen. Und bei Zahlungsaufforderungen mit Zeitdruck immer kurz auf einem zweiten Weg rückfragen.

Datenabfluss über Formulare

Kontaktformulare ohne Spam-Schutz werden nicht nur für Werbung missbraucht, sondern gelegentlich auch zum Versand von Nachrichten über Ihren Server. Ein einfacher Schutz und eine saubere Zustellung über einen Formulardienst verhindern das. Wichtig ist zusätzlich, dass Anfragen nicht dauerhaft ungeschützt auf dem Server liegen bleiben.

Der teuerste Fehler: kein Backup

Wenn doch etwas passiert, entscheidet die Sicherung über den Schaden. Eine tägliche Sicherung außerhalb des Servers, deren Rücksicherung getestet wurde, macht aus einem Notfall eine Unannehmlichkeit. Ohne sie steht die Frage im Raum, ob die Seite neu gebaut werden muss.

Eine kurze Prüfliste

Kern, Theme und Erweiterungen aktuell, monatlich geprüft
Kein Benutzer namens admin, lange Kennwörter, zweiter Faktor am Postfach
Anmeldeversuche begrenzt
Tägliches Backup außerhalb des Servers, Rücksicherung mindestens einmal getestet
Formulare mit Spam-Schutz, Anfragen nicht dauerhaft auf dem Server
Zertifikat und Erreichbarkeit überwacht, damit Ausfälle nicht durch Kundenanrufe auffallen

Wer diese sechs Punkte abhakt, hat den realistischen Teil des Risikos abgedeckt. Alles Weitere ist eine Frage der Größe des Betriebs. Wir bieten das gebündelt als Wartung an, es lässt sich aber genauso gut selbst erledigen, wenn jemand die Verantwortung dafür übernimmt.