Website-Sicherheitscheck für kleine Unternehmen: Der komplette Leitfaden 2026
Jede Woche werden tausende kleine Unternehmens-Websites gehackt — nicht weil die Angreifer so raffiniert sind, sondern weil grundlegende Schutzmaßnahmen fehlen. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, wie Sie Ihre Website selbst auf die häufigsten Schwachstellen prüfen.
1. HTTPS und TLS — die Basis
Öffnen Sie Ihre Website im Browser. Wenn in der Adresszeile ein Schloss-Symbol erscheint und die URL mit https:// beginnt, ist die Verschlüsselung aktiv. Fehlt das Schloss oder erscheint eine Warnung “Nicht sicher”, fehlt ein gültiges TLS-Zertifikat.
Sofort-Check: Kostenloser Scanner → prüft HTTPS in 10 Sekunden.
Kosten: Ein TLS-Zertifikat gibt es kostenlos bei Let’s Encrypt. Die Installation dauert etwa 15 Minuten.
2. HSTS — die unsichtbare Schutzschicht
HTTPS allein reicht nicht. HSTS (HTTP Strict Transport Security) zwingt Browser, immer die verschlüsselte Verbindung zu nutzen — auch wenn jemand http:// eintippt.
Prüfen: Öffnen Sie die Browser-Entwicklertools (F12) → Tab “Netzwerk” → Seite neu laden → ersten Eintrag anklicken → unter “Response Headers” nach Strict-Transport-Security suchen.
Empfehlung: max-age=31536000; includeSubDomains; preload
3. Security Header — Schutz vor Clickjacking und XSS
Security Header sind unsichtbare Anweisungen an den Browser, die Ihre Besucher vor Angriffen schützen:
| Header | Was er tut | Empfohlen |
|---|---|---|
| X-Frame-Options | Verhindert Clickjacking | DENY oder SAMEORIGIN |
| X-Content-Type-Options | Verhindert MIME-Sniffing | nosniff |
| Content-Security-Policy | Verhindert XSS-Angriffe | Siehe unten |
| Referrer-Policy | Kontrolliert Referrer-Daten | strict-origin-when-cross-origin |
Sofort-Check: Unser kostenloser Scanner zeigt Ihnen in 10 Sekunden, welche Header fehlen.
4. E-Mail-Sicherheit — SPF, DKIM, DMARC
Das ist der am häufigsten übersehene Schutz. Ohne SPF, DKIM und DMARC kann jeder E-Mails mit Ihrer Domain als Absender verschicken — perfekt für Fake-Rechnungen.
Minimal-Konfiguration für jede Domain:
# SPF (DNS TXT-Eintrag)
v=spf1 include:_spf.example.com ~all
# DKIM (über E-Mail-Provider einrichten)
# DMARC (DNS TXT-Eintrag)
v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de
Starten Sie mit p=none (Monitoring-Modus) und steigern Sie auf p=reject, sobald Sie sicher sind, dass legitime E-Mails korrekt authentifiziert werden.
5. WordPress — die häufigste Angriffsfläche
WordPress betreibt über 40 % aller Websites — und ist damit das beliebteste Ziel für automatisierte Angriffe.
Die 5 wichtigsten WordPress-Prüfungen:
- Admin-Seite verstecken: Ist
/wp-adminöffentlich erreichbar? → IP-Einschränkung oder zusätzliche Auth-Ebene einrichten - Plugins und Themes aktuell? → Automatische Updates aktivieren
- XML-RPC deaktivieren: Wird für Brute-Force-Angriffe genutzt
- Standard-Benutzernamen “admin” ändern
- Login-Versuche begrenzen: Plugin wie “Limit Login Attempts Reloaded” installieren
6. DSGVO-Signale — Vertrauen beginnt bei Transparenz
Eine datenschutzkonforme Website ist nicht nur rechtlich notwendig — sie signalisiert Ihren Kunden Professionalität.
- Datenschutzerklärung: Vollständig, keine Generatoren-Platzhalter
- Impressum: Mit vollständiger Firmenadresse
- Cookie-Banner: Nur wenn tatsächlich Cookies gesetzt werden (sonst weglassen)
- Auftragsverarbeitung: Verträge mit Drittanbietern dokumentiert
Fazit: 30 Minuten reichen für 80 % der Sicherheit
Die meisten Lücken lassen sich in einer halben Stunde schließen. Für eine professionelle externe Prüfung mit schriftlichem Bericht und priorisierten Handlungsempfehlungen: