SSL und grundlegende Website-Sicherheit: was es schützt und was nicht

Ein weitverbreitetes Missverständnis gehört gleich zu Beginn aus dem Weg: Ein SSL-Zertifikat schützt nicht deine Website. Es schützt den Weg zwischen deiner Website und dem Besucher. Es ist der Unterschied zwischen einem verschlossenen Umschlag und einer Alarmanlage — der Umschlag verhindert, dass unterwegs jemand den Brief liest, nicht aber, dass jemand ins Haus einsteigt.

Beides zu verwechseln führt zu Websites mit grünem Schloss und einer Hintertür, die seit acht Monaten offen steht. Dieser Beitrag trennt die zwei Dinge und erklärt, was für jedes zu tun ist.

Was SSL tatsächlich leistet

Wenn jemand Namen und Telefonnummer in dein Formular tippt, reisen diese Daten über eine Kette von Geräten zu dir. Ohne Verschlüsselung kann jeder auf dieser Strecke mitlesen — das WLAN im Café, der Internetanbieter, jemand im selben Netz. SSL macht daraus unlesbares Rauschen.

• Es leistet: die Verschlüsselung dessen, was zwischen Browser und Server hin- und hergeht.
• Es leistet: die Bestätigung, dass die Domain die ist, die sie zu sein behauptet.
• Es leistet nicht: zu verhindern, dass jemand dein Panel per Passwortraten betritt.
• Es leistet nicht: Schutz vor einem veralteten Plugin mit bekannter Schwachstelle.
• Es leistet nicht: dass deine Website "sauber" ist — eine infizierte Seite kann ein einwandfreies Schloss tragen.

Kostenlos oder bezahlt? Fast immer kostenlos

Es gibt eine Branche, die teure Zertifikate verkauft, und für 95 Prozent der Betriebe bringen sie nichts. Die Verschlüsselung eines kostenlosen Zertifikats ist exakt so stark wie die eines für 200 Euro im Jahr — der Unterschied liegt nicht in der Sicherheit, sondern im Prüfumfang für das Unternehmen hinter der Domain.

Der Fehler, der das Schloss halb fertig lässt

Du installierst das Zertifikat, die Seite lädt über HTTPS — und der Browser zeigt trotzdem kein Schloss oder eines mit Warnung. Fast immer ist es dasselbe: Mixed Content. Irgendein Bild, eine Schrift oder ein Skript lädt weiterhin über HTTP, und das bricht die Zusicherung für die gesamte Seite.

Behoben wird das, indem alle Ressourcen auf HTTPS zeigen und eine Weiterleitung von HTTP auf HTTPS für die ganze Domain erzwungen wird. Das ist einmalige Arbeit — und nach jeder größeren Änderung nachzuprüfen, denn dieser Fehler kehrt gern von allein zurück.

Was einen Hack wirklich verhindert

Hier kommt der nützliche Teil. Kaum eine kleine Website wird von einem Menschen angegriffen, der sie ausgewählt hat: Angegriffen wird sie von automatisierten Programmen, die das Netz durchkämmen und bekannte Schwachstellen auf Millionen Seiten durchprobieren. Man muss nicht interessant sein, um eingenommen zu werden — es reicht, veraltet zu sein.

1. 01Halte alles aktuell. CMS, Plugins, Templates, Sprachversion. Die meisten Angriffe nutzen vor Monaten behobene Lücken.
2. 02Lange, einmalige Passwörter, im Passwortmanager. Nicht "Firma2024!", das in Sekunden geraten ist.
3. 03Zwei-Faktor-Authentifizierung für Panel, Hosting und Domain. Die wirksamste Einzelmaßnahme.
4. 04Entferne, was du nicht nutzt. Jedes deaktivierte Plugin und jedes alte Konto ist eine Tür, die weiterhin existiert.
5. 05Nutzer mit minimalen Rechten. Wer nur Beiträge schreibt, braucht keine Berechtigung, Software zu installieren.

Und eine sechste, die keine Vorbeugung ist, sondern ein Netz: getestete Backups. Geht etwas schief, bringen sie dich als Einziges in Stunden statt Wochen zurück. Ausführlich in Backups deiner Website.

Ein großer Teil deiner Sicherheit entscheidet sich beim Hosting

Es ist der beim Tarifvergleich am wenigsten diskutierte Punkt und einer der schwersten. Auf günstigem Shared Hosting teilst du dir den Server mit Hunderten Seiten, und die Infektion eines Nachbarn kann dich erreichen. Managed Hosting spielt dagegen meist Updates ein, filtert bösartigen Verkehr und isoliert Konten.

Das heißt nicht, dass du das Teuerste kaufen musst: Es heißt, dass Tarifpreis und Schutzniveau zusammenhängen und du wissen solltest, was du kaufst. Die realen Unterschiede stehen in Shared, VPS oder Managed Hosting.

Woran du merkst, dass du schon ein Problem hast

Eine kompromittierte Seite sieht selten kaputt aus: Lohnende Angriffe sind unauffällig, denn je länger sie unbemerkt bleiben, desto länger funktionieren sie. Das sind die Signale, die meist zuerst auftauchen.

• Eine Google-Warnung in den Suchergebnissen oder in der Search Console. Das schwerwiegendste Signal — und das späteste.
• Seltsame Weiterleitungen, vor allem mobil oder aus Suchergebnissen, nicht aber bei direkter Adresseingabe.
• Seiten, die du nie erstellt hast, tauchen indexiert auf, meist in Sprachen, die du nicht verwendest.
• Administratorkonten, die du nicht kennst, oder Anmeldungen zu unmöglichen Zeiten.
• Die Seite plötzlich extrem langsam, ohne dass echter Traffic gestiegen wäre.

Was angemessener Schutz kostet

Weniger, als befürchtet. Das Zertifikat ist meist kostenlos und automatisch; Zwei-Faktor kostet nichts; Aktualisieren kostet Zeit, kein Geld. Wirklich bezahlt wird nur gutes Hosting und, bei geschäftskritischen Seiten, ein Wartungspaket, das sich um die Updates kümmert.

Verglichen mit dem Wiederaufbau einer infizierten Seite, dem Zurückholen von Google-Positionen nach einer Malware-Warnung und dem Gespräch mit Kunden über deren Daten, gehört das zu den günstigsten Investitionen überhaupt. Der allgemeine Rahmen steht in was eine professionelle Website kostet.