Website sicher und schnell betreiben¶
Eine Website ist nie fertig. Sie läuft weiter, während du dich um anderes kümmerst — und genau in dieser Zeit entsteht der allergrößte Teil dessen, was wir später melden müssen.
Das Formular ist die Nummer eins¶
Rund 40 % aller Vorfälle gehen auf ein missbrauchtes Formular zurück — mehr als jede andere Ursache. Dahinter steckt kein Einbruch und kein gestohlenes Passwort, nur ein Kontaktformular, das jeder ausfüllen kann und das brav verschickt, was hineingeschrieben wird.
So schützt du es:
-
Ein aktuelles Captcha einbauen. Die wirksamste Einzelmaßnahme. Empfehlenswert sind:
- hCaptcha: die datenschutzfreundlichere Wahl, Server in der EU, kostenlos nutzbar
- Google reCAPTCHA: sehr verbreitet, aber Datenübertragung an Google; wenn, dann in der aktuellen Version und mit einem Hinweis in der Datenschutzerklärung
Wichtig ist die aktuelle Version. Selbst erzeugte Bildchen, Rechenaufgaben und ältere reCAPTCHA-Fassungen mit Ampeln und Fahrrädern werden längst automatisch gelöst. Ein Captcha von vor ein paar Jahren ist praktisch dasselbe wie gar keines. 2. Empfängeradresse fest im Skript hinterlegen — niemals aus dem Formular übernehmen. 3. Betreff und Absender vorgeben, nicht aus den Eingabefeldern zusammenbauen. 4. Alte Formulare löschen. Die Testseite von 2019, das abgelöste Plugin, das Rückruf-Formular einer Kampagne, die längst vorbei ist.
→ Mein Kontaktformular verschickt Spam
Kurz prüfen, was du überhaupt online hast
Viele wissen gar nicht mehr, welche Formulare auf ihrer Seite noch existieren. Ein Blick ins Menü der Plugins und in alte Unterseiten genügt meistens — und dauert zehn Minuten.
Updates: die zweite große Ursache¶
Schadsoftware im Webspace, Schadcode in geplanten Aufgaben, fremde Startbefehle im Konto — der Einstieg war fast immer eine veraltete Version.
- CMS, Plugins und Themes aktuell halten. Auch die, die du nicht benutzt.
- Was du nicht brauchst, löschen statt nur deaktivieren. Ein abgeschaltetes Plugin liegt weiterhin auf dem Server und ist weiterhin angreifbar.
- Bei neuen Erweiterungen auf den Hersteller achten. Vieles stammt von Einzelpersonen, die es nebenher pflegen. Wird dort eine Lücke gemeldet, dauert die Korrektur oft Wochen oder bleibt aus. Prüfe vor der Installation, wann zuletzt aktualisiert wurde, wie verbreitet die Erweiterung ist und ob jemand auf Fragen antwortet. Etwas Verbreitetes mit gepflegtem Support ist die sicherere Wahl als ein Nischenfund mit genau der einen Funktion.
- Meldet sich einer unserer Prüfläufe zu einer veralteten Erweiterung, dann ist Eile angebracht. Wie du damit umgehst, steht unter Sicherheitslücke in einer Erweiterung.
- Eine aktuelle PHP-Version wählen: alte bekommen keine Sicherheitsupdates mehr. → PHP-Version ändern
- Vor größeren Updates eine Kopie anlegen und darin testen. → Installation klonen
„Läuft doch" ist kein Sicherheitszustand
Eine gehackte Website sieht meistens völlig normal aus. Der Schadcode will nicht auffallen — er verschickt Spam, versteckt Weiterleitungen oder wartet einfach ab. Dass alles funktioniert, sagt über den Zustand nichts aus.
Zugänge sparsam vergeben¶
- Nicht das cPanel-Passwort weitergeben. Für Agenturen und Entwickler gibt es bessere Wege. → Zweiter Zugang für die Agentur?
- Zugänge entfernen, wenn die Arbeit erledigt ist: FTP-Konten, Datenbankfreigaben, Testinstallationen.
- Im CMS aufräumen: Wie viele Administratoren hat deine Website? Bei vielen Seiten sind es mehr, als jemand benennen könnte.
Sicherungen: nicht erst, wenn es brennt¶
Wir sichern täglich, und du kannst selbst zurückspielen (so geht’s). Zwei Dinge solltest du trotzdem wissen:
- Vor jeder größeren Änderung lohnt eine zusätzliche Sicherung von Hand — das dauert Minuten.
- Nach einem Einbruch muss der Stand vor dem Einbruch liegen. Wer den Zeitpunkt nicht kennt, holt sich den Schadcode zurück.
Keine Backups im eigenen Webspace stapeln
Backup-Plugins legen ihre Archive gern im Webspace ab, oft öffentlich erreichbar und selten aufgeräumt. Damit liegt eine vollständige Kopie deiner Website inklusive Datenbank und Zugangsdaten dort, wo jeder danach sucht.
Und sie füllen den Speicher. Ist er voll, steht die Website: Das CMS kann nichts mehr speichern, Bestellungen gehen verloren, und E-Mails werden nicht mehr angenommen. Herunterladen, dann auf dem Server löschen.
Geschwindigkeit: die wirksamsten Hebel¶
Langsame Seiten haben selten eine exotische Ursache. In dieser Reihenfolge lohnt es sich:
- Einen Zwischenspeicher einrichten. Der größte Hebel überhaupt. Was sich nicht ändert, muss auch nicht bei jedem Aufruf neu berechnet werden. Ohne Zwischenspeicher fragt dein System für jeden Besucher die Datenbank ab und baut dieselbe Seite erneut zusammen. Mit Zwischenspeicher liegt sie fertig bereit und wird einfach ausgeliefert. Wichtig dabei: genau ein Cache-Plugin. Zwei gleichzeitig behindern sich und erzeugen Fehler, die schwer zu finden sind.
- Bilder verkleinern, bevor du sie hochlädst. Der häufigste Bremsklotz im Alltag. Ein Handyfoto hat gern 5 MB, gebraucht werden 200 KB.
- Aufräumen statt aufrüsten. Jede Erweiterung wird bei jedem Seitenaufruf mitgeladen, auch wenn sie dort nichts zu tun hat. Viele bringen eigene Skripte und Stilvorlagen mit. Ungenutzte Plugins zu löschen bringt deshalb doppelt etwas, für die Ladezeit und für die Sicherheit.
- Die PHP-Version prüfen. Läuft die Seite noch auf einer sehr alten Version, ist der Sprung nach oben deutlich spürbar. Zwischen zwei aktuellen Versionen ist der Unterschied dagegen meist gering. Aktuell halten solltest du sie trotzdem, dann aber vor allem aus Sicherheitsgründen. → PHP-Version ändern
Vorher messen spart Arbeit
Miss nach, wo es klemmt, statt auf Verdacht zu optimieren. Am einfachsten im Browser selbst:
In Chrome oder Edge auf deiner Seite F12 drücken, zum Reiter Lighthouse wechseln und
die Analyse starten. Das läuft vollständig lokal, es wird nichts übertragen, und du siehst
sofort die größten Bremsen.
Wer lieber einen Onlinedienst nutzt: PageSpeed Insights ist am verbreitetsten, Yellow Lab Tools ist quelloffen und wird in Europa betrieben.
→ Performance: warum ist meine Seite langsam?
Und dann noch: Sichtbares für Besucher¶
- HTTPS aktivieren: kostenlos, und ohne zeigt der Browser „Nicht sicher“. → SSL-Zertifikat aktivieren
- Schriften und Karten lokal einbinden statt von fremden Servern zu laden. → Google Fonts
Die Kurzfassung¶
| Sofort | aktuelles Captcha ins Formular · alte Formulare löschen · HTTPS aktivieren |
| Monatlich | Updates einspielen · ungenutzte Plugins löschen · Administratoren prüfen |
| Vor Änderungen | zusätzliche Sicherung · in einer Kopie testen |
| Nie | cPanel-Passwort weitergeben · Backups im Webspace liegen lassen |