Hosting-Sicherheit: SSL, Backups, Updates und DDoS-Schutz

Websites werden heute fast nie gezielt von einem einzelnen Angreifer ins Visier genommen. Viel häufiger sind automatisierte Angriffe: Bots durchsuchen das Netz nach bekannten Lücken in veralteten Plugins, probieren gängige Passwörter aus oder versuchen, Formulare für Spam zu missbrauchen. Gute Sicherheit besteht deshalb weniger aus exotischen Werkzeugen als aus konsequent umgesetzten Grundlagen. Diese Seite zeigt, welche Teile der Hoster übernimmt, welche bei Ihnen bleiben, und bietet eine Checkliste.

Geteilte Verantwortung

Bereich	Hoster	Sie
Rechenzentrum, Hardware, Netzwerk	Ja
Betriebssystem und Serversoftware (beim Webhosting)	Ja
Betriebssystem und Serversoftware (beim eigenen Server)		Ja, sofern nicht managed
CMS, Plugins, Themes, eigener Code		Ja
Zugangsdaten und Benutzerrechte	Bereitstellung von 2FA	Starke Passwörter, 2FA aktivieren
Backups	Meist automatische Sicherung	Prüfen, ergänzen, Wiederherstellung testen
SSL-Zertifikat	Meist automatische Ausstellung	Weiterleitung auf HTTPS, gemischte Inhalte beheben

SSL/TLS: verschlüsselte Verbindungen

HTTPS ist heute Standard. Browser kennzeichnen unverschlüsselte Seiten als nicht sicher, und Formulare, Logins und Shops sind ohne Verschlüsselung nicht vertretbar. Achten Sie auf:

• automatische Ausstellung und Verlängerung des Zertifikats, etwa über Let’s Encrypt; die Zertifikate haben bewusst kurze Laufzeiten und müssen regelmäßig automatisch erneuert werden,
• Weiterleitung aller Aufrufe von http:// auf https://,
• aktuelle Protokolle: TLS 1.2 und 1.3, ältere Versionen abgeschaltet,
• HSTS als Zusatz, der Browser anweist, die Seite nur noch verschlüsselt aufzurufen,
• gemischte Inhalte: Bilder oder Skripte, die noch per http:// eingebunden sind, lösen Warnungen aus.

Backups nach der 3-2-1-Regel

Ein Backup ist erst dann eines, wenn die Wiederherstellung funktioniert. Bewährt hat sich die 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Speicherarten, davon eine außerhalb des Hosting-Kontos. Für Websites heißt das:

1. automatische Backups des Hosters (Dateien und Datenbank), mehrere Tage oder Wochen aufbewahrt,
2. eine zusätzliche Sicherung bei einem anderen Dienst oder lokal,
3. regelmäßige Testwiederherstellung, zum Beispiel in eine Staging-Umgebung.

Denken Sie auch an E-Mail-Postfächer und an die Konfiguration, etwa DNS-Einträge und Weiterleitungen.

Updates ohne Verzögerung

Die meisten erfolgreichen Angriffe nutzen bekannte Lücken, für die es längst Updates gibt. Halten Sie aktuell:

• das CMS und alle Erweiterungen, Plugins und Themes,
• die PHP-Version (nur Versionen mit laufendem Sicherheitssupport),
• bei eigenen Servern Betriebssystem, Webserver und Datenbank.

Entfernen Sie Plugins und Themes, die Sie nicht nutzen; auch deaktivierte Erweiterungen können angreifbar sein. Für größere Updates lohnt eine Staging-Kopie.

Zugänge schützen

• Starke, einzigartige Passwörter für Kundenmenü, CMS, FTP, Datenbank und E-Mail, verwaltet in einem Passwortmanager.
• Zwei-Faktor-Anmeldung für das Kundenmenü des Hosters, den Domainanbieter und die Administratorkonten im CMS.
• SFTP oder SSH statt FTP, denn unverschlüsseltes FTP überträgt Zugangsdaten im Klartext.
• Minimale Rechte: Redakteure brauchen keine Administratorrechte, externe Dienstleister nur zeitlich begrenzte Zugänge.
• Login-Schutz: Begrenzung von Anmeldeversuchen und, wo möglich, Schutz des Admin-Bereichs.

Schutz vor Bots und Überlastung

Automatisierte Zugriffe machen auf vielen Websites einen großen Teil des Traffics aus. Hilfreich sind:

• eine Web Application Firewall, die typische Angriffsmuster wie SQL-Injection oder das Abfragen von Konfigurationsdateien blockiert,
• Rate Limiting, das sehr viele Anfragen von derselben Quelle bremst,
• ein vorgeschaltetes CDN, das statische Inhalte ausliefert und Lastspitzen abfängt,
• DDoS-Schutz auf Netzwerkebene, den viele Hoster und CDN-Anbieter als Basisschutz mitbringen.

Überwachung und Logs

Je früher Sie ein Problem bemerken, desto kleiner der Schaden. Ein externer Uptime-Monitor meldet Ausfälle, Benachrichtigungen des Hosters warnen vor Ressourcen- oder Malware-Funden, und die Server-Logdateien zeigen, welche Adressen ungewöhnlich oft aufgerufen werden. Auf eigenen Servern gehört die regelmäßige Auswertung der Logs zum Pflichtprogramm.

Wenn es doch passiert ist

Bei einem Angriff zählt ein geordnetes Vorgehen: Zugänge sperren und Passwörter ändern, den Hoster informieren, Schadcode identifizieren, auf ein sauberes Backup zurückgreifen oder die Anwendung neu aufsetzen, die Ursache beheben und anschließend die Website bei Suchmaschinen erneut prüfen lassen, falls sie als gefährlich markiert wurde. Sind personenbezogene Daten betroffen, kann eine Meldepflicht gegenüber der Datenschutzaufsicht bestehen. Mehr dazu unter Serverstandort und DSGVO.

Checkliste Hosting-Sicherheit

• SSL-Zertifikat aktiv, Weiterleitung auf HTTPS, keine gemischten Inhalte
• Automatische Backups aktiv, eine Kopie außerhalb des Hostings, Wiederherstellung getestet
• CMS, Plugins, Themes und PHP-Version aktuell
• Ungenutzte Erweiterungen, Testinstallationen und alte Kopien gelöscht
• Zwei-Faktor-Anmeldung bei Hoster, Domainanbieter und CMS-Administratoren
• SFTP oder SSH statt FTP, Zugangsdaten im Passwortmanager
• Benutzerrechte überprüft, ehemalige Dienstleister entfernt
• Web Application Firewall oder Login-Schutz aktiv
• Uptime-Monitor eingerichtet
• Kontaktadressen beim Hoster und Domainanbieter aktuell

Für WordPress-spezifische Punkte lesen Sie WordPress-Hosting, für eigene Server VPS und eigene Server.