SSL/HTTPS ist eine Sicherheitsschicht, die jede zwischen Browser und Webserver übertragene Information verschlüsselt; sichtbar wird sie als Schloss-Symbol in der Adresszeile. Eine Website ohne Zertifikat öffnet im Browser mit der Warnung "Nicht sicher", Besucher verlassen die Seite, bevor sie ein Formular ausfüllen, und die Website fällt bei Google gegenüber Mitbewerbern zurück. Deshalb ist SSL 2026 bei einem Website-Projekt kein verhandelbarer Posten mehr, sondern von Anfang an eine Grundvoraussetzung.
In diesem Beitrag behandeln wir die Sicherheitsthemen, die wir mit Kunden in der Angebotsphase besprechen - SSL, Backups, Updates, Passwortrichtlinien - und was tatsächlich passiert, wenn eine Website gehackt wird, sowie was die Bereinigung kostet. Ziel ist es, klar zu benennen, welche Fragen Sie stellen sollten, wenn Sie eine Website erstellen oder überarbeiten lassen.
Was ist SSL/HTTPS, und warum darf es kein Verhandlungspunkt sein?
SSL (Secure Sockets Layer) und sein moderner Nachfolger TLS verschlüsseln Informationen, die ein Besucher auf Ihrer Website eingibt - Kontaktformular, Zahlungsdaten, Login-Passwort -, sodass Dritte diese Daten nicht mitlesen können. HTTPS ist die im Browser sichtbare Form dieser Verschlüsselung - das Schloss-Symbol in der Adresszeile. Heute warnen alle großen Browser wie Chrome, Safari und Firefox offen vor Websites ohne SSL; bei manchen Formularen erhält der Nutzer sogar einen zusätzlichen Bestätigungsbildschirm, bevor er fortfahren kann.
Als Agentur raten wir zur Vorsicht bei Anbietern, die ein SSL-Zertifikat als separaten, zusätzlich zu bezahlenden Posten in einem Angebot ausweisen. Ein kostenloses Let's-Encrypt-Zertifikat ist bei den meisten Hosting-Paketen Standard und in wenigen Minuten eingerichtet; wird dafür ein Aufpreis verlangt, deutet das entweder auf veraltete Infrastruktur oder auf eine unangemessene Preisgestaltung hin.
Am Markt gibt es drei Arten von SSL-Zertifikaten: domänenvalidiert (DV), organisationsvalidiert (OV) und mit erweiterter Validierung (EV). Für eine Unternehmenspräsenz- oder Klinikwebsite reicht ein kostenloses DV-Zertifikat völlig aus - das Verschlüsselungsniveau ist identisch. OV- und EV-Zertifikate werden meist für Banken oder große Zahlungssysteme eingesetzt und können mehrere hundert Euro im Jahr kosten. Verlangt eine Agentur von einem kleinen Unternehmen "aus Sicherheitsgründen ein EV-Zertifikat" gegen Aufpreis, ist das meist eine unnötige Kostenposition.
Die Warnung "Nicht sicher" vertreibt Kunden
Die Warnung "Nicht sicher" ist eines der stärksten Signale, das einen Besucher sofort zum Verlassen einer Website bewegt. Gerade auf Seiten mit Kontaktformular, Terminbuchung oder Checkout schließt der Großteil der Nutzer, die diese Warnung sehen, den Tab, bevor sie den Vorgang abschließen. Das Angebotsformular eines Herstellers blieb drei Monate lang unausgefüllt, weil es nicht über SSL lief; als das Problem bemerkt wurde, ließ sich nicht mehr feststellen, wie viele potenzielle Kunden in dieser Zeit verloren gingen - denn ein solcher Verlust taucht nicht einmal in den Analytics-Daten auf.
Stellen Sie sich ein kleines Café in Ihrer Nachbarschaft vor: Läuft die Menü- und Reservierungsseite ohne SSL, sieht ein Kunde, der vom Smartphone aus zugreift, die Warnung, kehrt zu Google zurück und klickt das nächste Ergebnis an. Das ist ein einziges technisches Versäumnis, das sich direkt auf den Umsatz auswirkt. Bei Unternehmen mit hohem mobilem Besucheranteil fällt dieser Verlust noch stärker ins Gewicht, da mobile Browser die Warnung oft deutlicher anzeigen als Desktop-Browser.
Der Einfluss von HTTPS auf das Google-Ranking
Google gibt seit 2014 offen an, HTTPS als Rankingsignal zu nutzen; bei ansonsten gleichwertigen Websites erhält die mit HTTPS einen leichten Vorteil. Für sich genommen ist das kein entscheidender Faktor, aber eine Website ohne SSL startet in den Suchergebnissen definitiv mit einem Nachteil. Auch das moderne Browser-Verhalten - Warnbildschirm, höhere Absprungrate, kürzere Sitzungsdauer - erzeugt indirekt Signale, die sich negativ auf das Ranking auswirken. Dieses Thema behandeln wir aus technischer SEO-Sicht ausführlicher in unserer technischen SEO-Checkliste, in der SSL einer der Prüfpunkte ist.
Regelmäßige Backups: Ihre Versicherung, ohne die Sie nicht starten sollten
Regelmäßige Backups sind die einzige Absicherung, die den Schaden bei einem Zwischenfall auf wenige Stunden begrenzt. Eine Website mit täglichem automatischem Backup lässt sich nach einem Hack oder einem Serverfehler innerhalb weniger Stunden wiederherstellen, während für eine Website ohne Backup nur ein kompletter Neuaufbau bleibt - das dauert in der Regel Tage, und ein Teil der Inhalte lässt sich nie wieder vollständig herstellen.
Die Frage, die Sie bei einem Angebot stellen sollten, ist klar: Wie oft werden Backups erstellt, wie viele Tage Historie werden aufbewahrt, und wie lange dauert die Wiederherstellung tatsächlich? "Wir sichern" ist keine ausreichende Antwort; Häufigkeit und Speicherort müssen konkret benannt werden. Bewährte Praxis ist, Backups getrennt vom eigenen Server der Website zu speichern, denn wird der gesamte Server kompromittiert, kann ein am selben Ort gespeichertes Backup ebenfalls in die Hände des Angreifers fallen. Mindestens sieben, idealerweise dreißig Tage Historie vorzuhalten, ermöglicht es, selbst bei verzögerter Entdeckung eines Problems zu einem sauberen Stand zurückzukehren.
Warum Software- und Plugin-Updates nicht vernachlässigt werden dürfen
Bei CMS-basierten Websites wie WordPress stammt der Großteil der Sicherheitslücken aus veraltetem Kern oder veralteten Plugins. Sobald eine Lücke in einem Plugin bekannt und ein Update veröffentlicht wird, beginnen bösartige Bots innerhalb weniger Wochen, gezielt danach zu scannen; jede Website, die das Update verzögert, landet auf dieser Scan-Liste. Stoßen wir auf eine Unternehmenswebsite mit mehr als dreißig Plugins, prüfen wir als Erstes, welche davon tatsächlich genutzt werden und welche schlicht vergessen wurden und unaktualisiert bleiben - denn jedes ungenutzte Plugin ist eine offene Tür ohne Nutzen, aber mit fortbestehendem Risiko.
Klären Sie mit Agentur oder Hosting-Anbieter unbedingt, wer Updates in welcher Häufigkeit durchführt, damit Sie später nicht feststellen, dass "sich niemand darum gekümmert hat". Bei der Abwägung zwischen WordPress oder individueller Software sollte der Update-Aufwand mit in die Entscheidung einfließen; bei Individualsoftware wird die Angriffsfläche anders verwaltet, aber der Wartungsbedarf entfällt dadurch nicht.
Starke Passwörter und Zwei-Faktor-Authentifizierung (2FA)
Ein schwaches oder gemeinsam genutztes Passwort für das Verwaltungspanel zu verwenden, ist gleichbedeutend damit, die Tür Ihrer Website einen Spalt offen zu lassen. Automatisierte Angriffs-Bots probieren die häufigsten Passwortmuster innerhalb von Minuten tausendfach durch; vorhersehbare Kombinationen wie "123456", der Firmenname oder ein Geburtsjahr gehören zu den ersten Versuchen. Ist die Zwei-Faktor-Authentifizierung (2FA) aktiviert, reicht selbst ein erbeutetes Passwort für den Login nicht aus, ohne dass eine Bestätigung über das Telefon erfolgt - diese einzige Einstellung beseitigt einen Großteil des Hacking-Risikos allein.
Ein weiterer häufiger Fehler in kleinen Unternehmen ist, dass mehrere Mitarbeiter denselben Administrator-Zugang gemeinsam nutzen. Jedem Nutzer ein eigenes Konto zuzuweisen, macht nachvollziehbar, wer wann welche Änderung vorgenommen hat, und ermöglicht es, den Zugriff eines ausscheidenden Mitarbeiters gezielt durch Löschen seines eigenen Kontos zu beenden, statt ein gemeinsames Konto abzuschalten. Ein Passwort-Manager erleichtert es, für jedes Konto ein anderes, starkes Passwort zu erzeugen.
Was passiert tatsächlich, wenn Ihre Website gehackt wird?
Wird eine Website kompromittiert, ist das erste erkennbare Zeichen meist nicht ein Absturz der Seite; im Gegenteil, die Website sieht weiterhin normal aus, während sich der eigentliche Schaden im Hintergrund aufbaut.
Einschleusen von Spam-Inhalten
Die häufigste Methode von Angreifern ist, unsichtbare Seiten oder Links auf Ihrer Website einzufügen: Inhalte zu Medikamentenverkauf, Glücksspielseiten oder gefälschten Produktseiten werden in den Quellcode Ihrer Startseite eingebettet. Der Website-Betreiber bemerkt das oft wochenlang nicht, weil dieser Inhalt nicht für normale Besucher, sondern gezielt für Suchmaschinen-Bots sichtbar gemacht wird.
Abstufung bei Google und Aufnahme in die Blacklist
Bemerkt Google diesen Spam-Inhalt, kann die Website vollständig aus den Suchergebnissen entfernt oder im Browser mit der Warnung "Diese Website könnte gefährliche Inhalte enthalten" markiert werden. Für eine solche geblacklistete Website sinkt der normale Traffic fast auf null; selbst bei einer Suche nach dem Markennamen erscheint die Warnung. Die Unternehmenswebsite eines Herstellers hat genau dieses Szenario durchlebt: Zwei Wochen lang erschien sie in der Google-Suche mit dem Hinweis "möglicherweise nicht sicher", und in dieser Zeit blieben sämtliche eingehenden Angebotsanfragen aus.
Für Online-Shops ist das Risiko noch größer: Ein Angreifer, der über ein altes, nicht aktualisiertes Plugin eindringt, kann Kundendaten im Bestellformular oder den Zahlungsvorgang selbst ins Visier nehmen. In diesem Fall leidet nicht nur das Google-Ranking, sondern auch das Vertrauen der Kunden in das Unternehmen; zudem kann im Rahmen der DSGVO eine Meldepflicht für die Datenschutzverletzung entstehen.
Wie hoch sind die Kosten für die Bereinigung?
Ist ein aktuelles Backup vorhanden, lässt sich die Bereinigung einer gehackten Website meist mit einem Aufwand im niedrigen dreistelligen Euro-Bereich und wenigen Stunden Ausfallzeit lösen. Ohne Backup, bei einer über Monate nicht aktualisierten Website, sieht die Situation anders aus: Der Code muss Zeile für Zeile durchgesehen, eingeschleuste Schadinhalte entfernt und ein Antrag auf Entfernung aus der Google-Blacklist gestellt werden - dieser Prozess kann deutlich über tausend Euro kosten und sich über zwei bis drei Wochen hinziehen. Die Kosten setzen sich in der Regel aus folgenden Positionen zusammen:
- Code-Prüfung und Entfernung der Schadinhalte
- Sicherheitsprüfung von Server und Datenbank
- Antrag auf Entfernung aus der Google-Blacklist und Wartezeit auf die Prüfung
- Nachträgliche Einrichtung fehlender Schutzmaßnahmen wie SSL, Passwortrichtlinie und 2FA
Und in diesen Zahlen sind die während der Ausfallzeit verlorenen Termine, Bestellungen oder Formularanfragen noch gar nicht enthalten. Eine Website von Anfang an korrekt mit SSL, Backup und Updates aufzusetzen, kostet meist nur einen Bruchteil dieses Bereinigungsprozesses.
Was Sie nach der SSL-Einrichtung prüfen sollten
Mit der Installation des SSL-Zertifikats ist die Arbeit nicht erledigt; ein häufiger Fehler ist, dass die Website sowohl über http als auch über https erreichbar bleibt. In diesem Fall sehen Suchmaschinen denselben Inhalt unter zwei verschiedenen Adressen, und die Rankingstärke wird aufgeteilt; richtig ist, jede Anfrage an die http-Adresse automatisch auf https umzuleiten. Ein weiteres häufiges Problem ist die Warnung wegen "gemischter Inhalte" (Mixed Content): Wird eine Seite zwar über https geladen, aber ein Bild oder Skript darin noch über http abgerufen, entfernt der Browser das Schloss-Symbol oder zeigt eine Teilwarnung. Diese beiden Punkte bei der Übergabe zu prüfen, ist der praktischste Weg, sicherzustellen, dass die SSL-Einrichtung wirklich vollständig ist.
Auch die Gültigkeitsdauer des Zertifikats sollte nicht übersehen werden; kostenlose Zertifikate erneuern sich in der Regel alle neunzig Tage automatisch, doch bricht diese Automatisierung, kann die Website plötzlich mit der Warnung "abgelaufenes Zertifikat" konfrontiert sein. Beim Hosting-Anbieter zu bestätigen, dass diese Erneuerung automatisch erfolgt, verhindert einen unnötigen, sonst vielleicht einmal jährlich auftretenden Ausfall.
Sicherheitsfragen, die Sie der Agentur vor der Websiteerstellung stellen sollten
Diese Fragen bereits in der Angebotsphase zu stellen, beugt den meisten späteren Überraschungen vor:
- Ist das SSL-Zertifikat im Paket enthalten oder wird es separat berechnet?
- Wie oft werden Backups erstellt, wie viele Tage Historie werden aufbewahrt, und wie lange dauert eine Wiederherstellung?
- Wer führt CMS- und Plugin-Updates durch, und in welcher Häufigkeit?
- Wird 2FA für das Verwaltungspanel unterstützt, gibt es nutzerbasierte Zugriffsrechte?
- Wie läuft der Prozess ab, wenn die Website gehackt wird - wie sehen geschätzte Dauer und Kosten aus?
Ein Angebot, das diese Fragen nicht klar und konkret beantworten kann, bedeutet meist, dass Sicherheit bei der Planung keine Rolle gespielt hat. Weitere Fragen, die Sie vor der Beauftragung stellen sollten, haben wir in unserem Beitrag Fragen an die Webagentur zusammengestellt; für den gesamten Auswahlprozess lohnt sich auch ein Blick in unseren Leitfaden Webdesign-Agentur auswählen.
Bei Welda gehören SSL, regelmäßige Backups und aktuelle Sicherheitsinfrastruktur bei jedem Projekt für Webdesign und Entwicklung standardmäßig dazu - keine nachträglich hinzugefügten Optionen, sondern der Ausgangspunkt des Projekts. Wenn Sie den Sicherheitsstatus Ihrer Website gemeinsam mit uns bewerten möchten, können Sie über unsere Kontaktseite ein kostenloses Erstgespräch anfragen.