Kurz gesagt: Ob eine Website noch sicher ist, sieht man ihr von außen nicht an. Fünf Dinge können Sie aber selbst prüfen, ohne Technikkenntnisse und in einer Viertelstunde. Die wichtigste Frage dabei: Wer hat eigentlich die Zugangsdaten?
„Die Seite läuft doch“ höre ich oft. Stimmt meistens auch. Nur sagt das wenig darüber aus, ob sie noch gepflegt wird. Eine Website ist wie ein Haus, in dem niemand mehr wohnt: Von der Straße aus sieht es eine ganze Weile gut aus. Was drinnen passiert, merkt man erst, wenn jemand einbricht. Deshalb hier fünf Punkte, die Sie ohne fremde Hilfe durchgehen können.
1. Das Schloss in der Adresszeile
Rufen Sie Ihre Website auf und schauen Sie links neben die Adresse. Steht dort ein geschlossenes Schloss und beginnt die Adresse mit „https“, ist die Verbindung verschlüsselt. Fehlt das Schloss oder warnt der Browser gar vor der Seite, ist das Zertifikat abgelaufen oder nie eingerichtet worden. Das ist kein Hack, aber ein deutliches Zeichen, dass sich länger niemand gekümmert hat. Google stuft solche Seiten außerdem ab.
2. Wann gab es das letzte Update?
Bei einer WordPress-Website melden Sie sich im Redaktionsbereich an, meist unter Ihrer Adresse mit dem Zusatz /wp-admin. Oben erscheint dann eine Zahl neben „Aktualisierungen“. Eine Handvoll ist normal, die kommen laufend. Stehen dort 20, 30 oder mehr, liegt die letzte Pflege Monate zurück. Jedes ausgelassene Update kann eine bekannte Sicherheitslücke offen lassen, und genau die werden automatisiert abgesucht.
Sie wissen gar nicht, ob Ihre Seite mit WordPress gebaut ist, oder haben keinen Zugang? Dann sind Sie direkt bei Punkt 5.
3. Was Google über Ihre Seite anzeigt
Geben Sie bei Google site:ihre-adresse.de ein, mit Ihrer eigenen Adresse. Sie sehen dann alle Seiten, die Google von Ihnen kennt. Tauchen dort Seiten auf, die Sie nie angelegt haben, etwa mit fremdsprachigen Titeln, Medikamenten oder Markenartikeln, wurde die Seite mit großer Wahrscheinlichkeit gehackt. Solche Einträge sind oft das Erste, was Kunden von einem Hack mitbekommen, lange bevor der Betreiber es merkt.
4. Kommt das Kontaktformular noch an?
Schicken Sie sich selbst eine Testanfrage über das Formular Ihrer Website. Kommt innerhalb weniger Minuten nichts an, verlieren Sie seit unbestimmter Zeit Anfragen, ohne es zu wissen. Die Ursache ist meist harmlos, ein Plugin-Update oder eine Änderung beim E-Mail-Versand. Nur merkt es eben niemand, weil ausbleibende Mails nicht auffallen. Prüfen Sie bei der Gelegenheit auch, ob die Seite auf dem Handy sauber lädt: Bilder da, Text lesbar, Menü bedienbar.
5. Wer hat die Zugangsdaten?
Das ist aus meiner Sicht der wichtigste Punkt, und der, an dem es am häufigsten hakt. Zu einer Website gehören drei Zugänge: die Domain (die Adresse), das Hosting (der Speicherplatz) und die Website selbst (WordPress). Oft liegen die bei drei verschiedenen Stellen, und mindestens einer davon bei einem früheren Dienstleister, einem Bekannten oder einem Mitarbeiter, der nicht mehr da ist.
Solange alles läuft, fällt das nicht auf. Es fällt auf, wenn die Seite weg ist, die Domain ausläuft oder jemand etwas ändern soll und niemand mehr rankommt. Dann wird aus einer Kleinigkeit ein wochenlanges Hin und Her.
nnnnDas Kind ist damit aber nicht gleich in den Brunnen gefallen. Wer der Hoster ist, lässt sich mit ein paar Handgriffen herausfinden, und oft liegt dort auch die Domain. Und wer zwar keinen Zugang zu WordPress hat, aber an das Hosting kommt, kommt auch wieder auf die Website. Es ist nur einfacher und günstiger, das vorher zu klären als im Notfall.
Tipp: Alle Zugänge an einen Ort
Legen Sie sich eine Übersicht an, bei wem Domain, Hosting, Website-Login und E-Mail-Postfächer liegen, und ob Sie selbst dort Zugang haben. Nicht die Passwörter, nur: wo, wer, und auf wessen Namen der Vertrag läuft. Wenn eine Zeile leer bleibt, ist das Ihre erste Aufgabe. Fragen Sie beim früheren Dienstleister nach und lassen Sie Domain und Hosting auf Ihr Unternehmen übertragen, falls das noch nicht so ist. Die Adresse Ihrer Firma sollte Ihnen gehören, nicht demjenigen, der sie damals registriert hat.
Und wenn etwas davon nicht stimmt?
Dann ist das kein Grund zur Panik, aber einer, sich zu kümmern. Fehlendes Schloss und liegengebliebene Updates lassen sich in der Regel schnell beheben. Bei fremden Seiten im Google-Index muss die Website gründlich gesäubert und die Lücke geschlossen werden, über die der Angriff kam. Und fehlende Zugänge klärt man am besten, bevor man sie braucht.
Diese fünf Punkte ersetzen keine technische Prüfung. Sie zeigen aber recht zuverlässig, ob sich jemand um die Seite kümmert. Wenn Sie mögen, schaue ich mir Ihre Website an und sage Ihnen, wie es um sie steht. Dafür reicht mir die Adresse. Was zu einer regelmäßigen Pflege gehört, habe ich im Beitrag zur WordPress-Wartung beschrieben.
