Welche Verantwortung für Website-Sicherheit bleibt beim Eigentümer?

Versteh die drei Verantwortungen

Website-Sicherheit ist geteilt, darf aber nicht unklar sein. Der Eigentümer entscheidet, was geschützt werden muss, welche Risiken geschäftlich zählen und welcher Aufwand vertretbar ist. Der Anbieter betreibt Plattform, Hosting oder Werkzeug und schützt die kontrollierten Bereiche. Nutzer gehen sicher mit Zugängen um und melden Probleme.

Schreib die Aufgaben in klarer Sprache auf. Ein Hoster kann den Server schützen, während der Eigentümer Plugins aktualisieren, alte Konten entfernen, Integrationen genehmigen und Aufbewahrung bestimmen muss. Eine nicht zugewiesene Aufgabe wird nach Stress oder Personalwechsel leicht vergessen.

Verwende eine einfache Tabelle mit Eigentümer, Anbieter und Nutzer. Notiere System, Handlung, Häufigkeit und Nachweis. So werden allgemeine Aussagen prüfbar und Übergaben leichter.

Was der Eigentümer entscheidet

Der Eigentümer wählt vertrauenswürdige Anbieter, versteht Vereinbarungen und hält wichtige Konten unter Unternehmenskontrolle. Er sollte Domain-, Hosting-, E-Mail-, Website-, Analytics- und Drittanbieter-Konten kennen. Außerdem entscheidet er, wer Zugang erhält und was beim Ausscheiden eines Mitarbeiters oder Anbieters passiert.

Setz Prioritäten für Backups, Updates, Überwachung, Datenschutz und Wiederherstellung. Du musst nicht jede technische Aufgabe selbst erledigen, aber die Erfüllung prüfen können. Ein Wartungsprotokoll oder kurzer Monatsbericht zeigt veraltete Software, fehlgeschlagene Backups und vergessene Administratoren.

Verantwortung braucht Kontinuität. Bewahr Wiederherstellungsdaten an einem geschäftlichen Ort auf und gib mehreren Verantwortlichen Zugang. Eine Sicherheitsaufgabe, die von einem einzigen privaten Postfach abhängt, ist nicht belastbar.

Was der Anbieter verwalten sollte

Die Zuständigkeit hängt vom Dienst ab. Ein Hoster verwaltet vielleicht Serverpatches, Netzwerk, Verfügbarkeit und Infrastruktur-Backups. Eine Agentur verwaltet Updates, Code und Monitoring, wenn dies vereinbart ist. Ein SaaS-Anbieter schützt seine Anwendung, während der Kunde Konten, Einstellungen und eingegebene Daten verantwortet.

Lies die Vereinbarung und frag konkret: Was wird gesichert, wie oft und wie lange? Wer installiert Updates? Wie werden Lücken gemeldet? Wer sieht die Produktion? Was geschieht nach Kündigung? Die Aussage eines Anbieters, ein Dienst sei sicher, deckt nicht automatisch individuellen Code, schwache Passwörter oder unsichere Einstellungen ab, die der Eigentümer kontrolliert.

Verlang Nachweise statt einer allgemeinen Aussage, die Plattform sei sicher. Wartungsprotokoll und Updatebericht zeigen, was der Anbieter tut und wo der Eigentümer noch handeln muss.

Was Nutzer tun müssen

Nutzer schützen ihre Konten mit einzigartigen Passwörtern, Passwortmanager und Mehrfaktor-Anmeldung. Sie teilen keine Konten, bestätigen nur erwartete Anmeldungen und prüfen ungewöhnliche Bitten über bekannte Wege. Nutzer brauchen außerdem einen einfachen Weg, verdächtige Nachrichten, verlorene Geräte und versehentliche Offenlegungen zu melden.

Pass Rechte an die Rolle an. Wer Inhalte bearbeitet, braucht vielleicht keinen Administrator-, Zahlungs- oder Datenbankzugang. Prüf Rechte bei Aufgabenwechseln und entfern sie umgehend, wenn jemand ausscheidet. Sicherheit funktioniert besser, wenn der normale Ablauf die sichere Handlung unterstützt.

Gib Nutzern klare Grenzen für Änderungen. Ein kurzer Freigabeweg für Integrationen und Rechte verhindert, dass gut gemeinte Änderungen Zugangswege schaffen, die niemand prüft.

Schütz Daten und Integrationen

Liste, was die Website sammelt und wohin es fließt. Formulare senden Namen, Telefonnummern und Nachrichten vielleicht an E-Mail, CRM, Buchung, Tabellen oder andere Dienste. Zahlungen, Analytics, Chat und Marketing erzeugen zusätzliche Konten. Der Eigentümer muss wissen, warum jede Integration besteht und ob sie noch gebraucht wird.

Begrenz Daten, prüf Einstellungen und halte Datenschutzhinweise aktuell. Anbietersicherheit nimmt die Verantwortung für rechtmäßige Nutzung, Zugriff und Aufbewahrung nicht ab. Entfern ungenutzte Integrationen und erneuere Schlüssel, wenn Mitarbeitende oder Dienstleister wechseln. Ein kleineres, dokumentiertes System ist leichter zu schützen als eine Sammlung vergessener Verbindungen.

Verbinde Datenschutz und Sicherheit. Weniger Daten begrenzen den Schaden, während korrekte Hinweise und Aufbewahrungsregeln dem Team helfen, bei Kundenfragen einheitlich zu reagieren.

Prüf und reagiere als Unternehmen

Sicherheit endet nicht mit einem Zertifikat. Prüf Konten, Software, Backups, Logs, Domains, Integrationen und Wiederherstellung regelmäßig. Dokumentiere Ergebnis, Änderung und nächsten Verantwortlichen. Teste Wiederherstellung und Kontakte vor einem Ausfall.

Bei einem Vorfall bewahr Belege, begrenz Zugänge und kontaktiere den Anbieter. Informiere Betroffene ohne ungesicherte Behauptungen. Verbessere danach den Ablauf statt nur ein Passwort zu ersetzen. Klare Zuständigkeit macht Sicherheit praktisch.

Übe die erste Stunde eines Vorfalls: Wer ruft an, sperrt Zugang, prüft Backups und informiert Kunden? Vorbereitung verringert Panik und verhindert, dass mehrere Personen widersprüchliche Änderungen vornehmen.

Quellen

• Cybersecurity Basics · CISA
• Cybersecurity guide for SMEs: 12 steps to securing your business · ENISA

Häufige Fragen

Ist der Websiteanbieter für alle Sicherheit verantwortlich?

Nein. Anbieter sichern ihre kontrollierten Bereiche. Eigentümer bleiben für Konten, Einstellungen, Inhalte, Daten, Integrationen und eigene Entscheidungen verantwortlich.

Macht ein SSL-Zertifikat eine Website sicher?

Nein. Es verschlüsselt Verbindungen, schützt aber nicht vor schwachen Passwörtern, veralteter Software, unsicheren Rechten oder kompromittierten Integrationen.

Was sollte ein Eigentümer zuerst prüfen?

Beginn mit Eigentum und Zugriff: Konten, Administratoren, Anbieter, Integrationen und Wiederherstellung. Prüf danach Updates, Backups, Datenverarbeitung und Notfallkontakte.