Cyberknecht

Wissen / Checklisten / IT-Sicherheit

Website-Sicherheit: Checkliste für Betreiber

Die wichtigsten Maßnahmen gegen vermeidbare Sicherheitslücken.

Stand: 27.10.2026 · Redaktion: Carl Thorns · Kostenlos und ohne Anmeldung

PDF herunterladenAlle Ressourcen

Dieser Leitfaden führt dich vom konkreten Ausgangsproblem über die praktische Umsetzung bis zur überprüfbaren Abnahme. Jeder Abschnitt nennt eine Methode, ein Beispiel, ein Erfolgskriterium und eine typische Fehlerquelle.

Arbeitsablauf auf einen Blick

1. HTTPS und Transport

Prüfe gültiges Zertifikat, HTTP→HTTPS-Weiterleitung und gemischte Inhalte. HSTS erst nach Prüfung aller betroffenen Subdomains ausrollen.

Praxisbeispiel
curl -I http://example.org und curl -I https://example.org
So erkennst du, dass es funktioniert: HTTP leitet sauber um, keine Mixed-Content-Warnungen.
Typischer Fehler: HSTS includeSubDomains ohne Inventar aktivieren.

2. Updates und Abhängigkeiten

Erfasse CMS, Plugins, PHP-Laufzeit und Libraries. Aktualisiere nach Test und Backup; entferne ungenutzte Komponenten.

Praxisbeispiel
composer audit für PHP-Abhängigkeiten.
So erkennst du, dass es funktioniert: Bekannte kritische Sicherheitslücken sind bewertet und behandelt.
Typischer Fehler: Nur das CMS, aber nicht Plugins und Laufzeit aktualisieren.

3. Zugänge und MFA

Beschränke Admin-Konten, verwende individuelle Konten und MFA, wo unterstützt. Prüfe Rollen und ausscheidende Mitarbeiter.

Praxisbeispiel
Admin-Rollenliste mit Eigentümer und letzter Prüfung.
So erkennst du, dass es funktioniert: Kein gemeinsames Administratorpasswort im Umlauf.
Typischer Fehler: Dauerhaft geteilte Logins ohne Nachvollziehbarkeit.

4. Header und Sitzungen

Prüfe CSP, X-Content-Type-Options, Referrer-Policy und Cookie-Attribute. Starte CSP bei komplexen Seiten gegebenenfalls mit Report-Only.

Praxisbeispiel
Set-Cookie: session=…; Secure; HttpOnly; SameSite=Lax
So erkennst du, dass es funktioniert: Keine unnötigen Scriptquellen, Cookies passend abgesichert.
Typischer Fehler: Blind kopierte CSP, die Geschäftsprozesse blockiert.

5. Backups und Wiederherstellung

Sichere Dateien und Datenbank getrennt und teste eine Wiederherstellung in einer isolierten Umgebung.

Praxisbeispiel
Monatlicher Restore-Test mit Protokoll und Zeitmessung.
So erkennst du, dass es funktioniert: Ein dokumentierter Restore funktioniert mit aktuellen Sicherungen.
Typischer Fehler: Backup-Erfolgsmeldung ohne Restore-Test als Sicherheit ansehen.

Abnahmeprotokoll für die Praxis

Nutze die folgenden Punkte als dokumentierbare Abnahme. Trage bei jedem Punkt Datum, getestete URL beziehungsweise System, Ergebnis und gegebenenfalls einen offenen Befund ein.

  1. Abnahmekriterium: HTTP leitet sauber um, keine Mixed-Content-Warnungen.

  2. Abnahmekriterium: Bekannte kritische Sicherheitslücken sind bewertet und behandelt.

  3. Abnahmekriterium: Kein gemeinsames Administratorpasswort im Umlauf.

  4. Abnahmekriterium: Keine unnötigen Scriptquellen, Cookies passend abgesichert.

  5. Abnahmekriterium: Ein dokumentierter Restore funktioniert mit aktuellen Sicherungen.

Fachquellen und weiterführende Dokumentation

Diese Primärquellen dienen zur Vertiefung und zur Prüfung versionsabhängiger Details. Bei rechtlichen Themen ersetzt der Leitfaden keine individuelle Rechtsberatung.

Praxisvertiefung: Angriffsfläche verkleinern

Inventarisiere CMS, Plugins, PHP-Version, Hosting, DNS und Zugänge. Entferne nicht verwendete Komponenten und aktiviere MFA für Admin- und Hostingkonten.

Technische Umsetzung

Prüfe Updates, HTTPS, sichere Cookies, restriktive Berechtigungen, Backup-Zugriff und Security-Header. CSP erst mit Report-Only testen, damit legitime Funktionen nicht ausfallen.

So überprüfst du das Ergebnis

Führe Restore-Tests und Berechtigungsprüfungen durch. Ein Header-Checker allein bestätigt keine sichere Website.