Du musst keinen Code lesen können, um eine Website zu schützen. Die meisten echten Vorfälle sind unspektakulär: ein Passwort, das schon bei einem anderen Dienst benutzt wurde, ein Admin-Konto ohne zweiten Faktor, ein geheimer Schlüssel, der für alle sichtbar eingefügt wurde, oder ein Formular, das allem glaubt, was es erhält.
Diese Checkliste ist für Inhaber geschrieben, nicht für Ingenieure. Nichts davon macht eine Website unhackbar, aber jeder Punkt schließt einen häufigen Zugang. Gib sie an alle weiter, die deine Seite bauen oder pflegen, auch an Uttra, wenn du dort per Chat baust.
Die meisten gehackten Websites scheitern an schwachen oder mehrfach genutzten Passwörtern, veralteter Software und durchgesickerten Schlüsseln, nicht an Filmangriffen. Behebe diese vier Punkte, und du bist den meisten voraus.
Konten: das schwächste Glied
Dein Hosting-, Domain-, E-Mail- und GitHub-Konto ist für Angreifer mehr wert als deine Startseite. Wer sie kontrolliert, kontrolliert deine Website.
- Nutze einen Passwortmanager und für jedes Konto ein langes, einmaliges Passwort.
- Aktiviere überall die Zwei-Faktor-Authentifizierung, wo es sie gibt, besonders bei E-Mail und Domain-Registrar.
- Teile keinen gemeinsamen Zugang im Team; gib jeder Person einen eigenen und entziehe ihn beim Ausscheiden.
- Sichere die Wiederherstellung: Halte Recovery-E-Mail und Telefonnummer aktuell.
Geheime Schlüssel und was nie auf die Seite gehört
API-Schlüssel für Zahlungen, E-Mail oder KI-Dienste sind wie Passwörter für Maschinen. Steht einer im sichtbaren Code der Seite, kann ihn jeder über die Browser-Werkzeuge kopieren.
Bewahre Geheimnisse serverseitig oder in den Geheimnis-Einstellungen der Plattform auf, nie in Screenshots, an andere gesendeten Chat-Nachrichten oder öffentlichen GitHub-Repositories. Ist ein Schlüssel jemals durchgesickert, verschweige es nicht: Widerrufe ihn beim Anbieter und erstelle einen neuen.
Formulare, Anmeldungen und Nutzerdaten
Jedes Formular ist eine Tür. Lass bei der Person, die deine Seite baut, prüfen, dass der Server Eingaben validiert, wiederholte Versuche begrenzt und Besuchern nie rohe Fehlerdetails zeigt.
- Erhebe nur Daten, die du wirklich brauchst; was nicht gespeichert wird, kann nicht abfließen.
- Speichere Passwörter nie im Klartext; nutze eine bewährte Anmeldemethode.
- Stelle sicher, dass die Seite nur über HTTPS läuft, ohne unsichere gemischte Inhalte.
- Nimm Kartennummern nicht selbst entgegen; nutze die gehostete Kasse eines Zahlungsanbieters.
Updates und Code von Dritten
Alte Bibliotheken haben bekannte Lücken, nach denen Angreifer automatisiert suchen. Entferne Plugins, Skripte und Widgets, die du nicht mehr nutzt, und aktualisiere den Rest nach Plan, etwa monatlich. Lade Skripte von Dritten nur aus vertrauenswürdigen Quellen.
Verarbeitest du personenbezogene Daten, verlangt die DSGVO angemessene technische und organisatorische Maßnahmen und bei einer Datenpanne in der Regel eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Das sind allgemeine Hinweise, keine Rechtsberatung; im Zweifel frag eine Fachperson oder deinen Datenschutzbeauftragten.
Eine Sicherheitsprüfung im Chat anfordern
Wenn du mit Uttra baust, kannst du eine Prüfung in einfachen Worten anfordern. Ein Prompt zum Kopieren:
„Prüfe meine Website auf grundlegende Sicherheit: Stelle sicher, dass Formulare Eingaben validieren und wiederholtes Absenden begrenzen, dass keine geheimen Schlüssel im sichtbaren Code stehen und alles über HTTPS läuft, und liste auf, was ich selbst tun muss, zum Beispiel die Zwei-Faktor-Authentifizierung aktivieren.“
Verstehe die Antwort als Liste zum Gegenprüfen, nicht als Garantie. Und halte ein Backup bereit, denn Vorbeugung erreicht nie 100 Prozent.