Website absichern: Security Best Practices für Hosting

Jeden Tag werden weltweit über 30.000 Websites gehackt — darunter kleine Blogs, Unternehmensseiten und Online-Shops. Die meisten Angriffe hätten mit einfachen Schutzmaßnahmen verhindert werden können. Website-Sicherheit beginnt nicht erst beim teuren Security-Paket deines Hosters, sondern bereits bei der Wahl des richtigen Hosting-Anbieters und der konsequenten Umsetzung grundlegender Best Practices.

In diesem Artikel bekommst du einen vollständigen Überblick über alle wichtigen Sicherheitsmaßnahmen: Von der obligatorischen SSL-Verschlüsselung über sichere Zugangsdaten und regelmäßige Updates bis zu Backups, Firewalls und professionellem Monitoring. Die Maßnahmen sind priorisiert — du siehst sofort, was zuerst umgesetzt werden sollte.

1. Warum Website-Sicherheit beim Hosting beginnt

Viele Website-Betreiber denken bei Sicherheit zuerst an Plugins oder komplexe Servereinstellungen. Dabei entscheidet die Wahl des Hosting-Anbieters grundsätzlich darüber, welche Sicherheitsinfrastruktur dir zur Verfügung steht — und wie gut deine Website von Anfang an geschützt ist.

Die Hosting-Infrastruktur als Sicherheitsfundament

Beim Shared Hosting teilst du dir Serverressourcen mit anderen Kunden. Ein unsicheres Nachbarkonto auf demselben Server kann theoretisch zur Angriffsfläche für deine Website werden — ein Phänomen, das als Cross-Site Contamination bekannt ist. Seriöse Anbieter verhindern dies durch strikte Konten-Isolation, aber nicht alle Hoster setzen das konsequent um.

VPS- und Cloud-Hosting bietet hier naturgemäß mehr Isolation: Du hast eine eigene virtuelle Umgebung und bist nicht von den Sicherheitspraktiken anderer Kunden abhängig. Der Preis dafür ist mehr Eigenverantwortung bei der Serverkonfiguration.

Shared Responsibility: Was du selbst kontrollierst

Die Sicherheitsverantwortung ist aufgeteilt: Der Hoster sichert die Infrastruktur (Server, Netzwerk, Rechenzentrum), du sicherst deine Anwendungen (CMS, Plugins, Zugangsdaten, Inhalte). Diese Aufteilung gilt besonders beim Managed Hosting.

2. SSL/TLS: Das Fundament der Website-Sicherheit

Ein SSL/TLS-Zertifikat ist heute keine optionale Ergänzung mehr, sondern absolutes Pflichtprogramm. Ohne HTTPS markiert Chrome deine Website als "Nicht sicher", Google bestraft dich im Ranking, und Browser blockieren zunehmend unverschlüsselte Verbindungen.

Was SSL/TLS eigentlich schützt

TLS (Transport Layer Security) verschlüsselt die Datenübertragung zwischen Browser und Server. Konkret verhindert das:

• Man-in-the-Middle-Angriffe: Dritte können den Datenverkehr nicht abfangen und lesen
• Datenmanipulation: Inhalte können auf dem Transportweg nicht verändert werden
• Phishing über gefälschte Websites: Das Zertifikat bestätigt die Identität des Servers
• Session-Hijacking: Authentifizierungs-Cookies bleiben verschlüsselt

Let's Encrypt: Kostenlose SSL-Zertifikate für alle

Seit 2015 bietet die gemeinnützige Zertifizierungsstelle Let's Encrypt kostenlose Domain-validierte (DV) Zertifikate an. Heute verwenden über 300 Millionen Websites Let's Encrypt — nahezu jeder seriöse Hoster integriert Let's Encrypt und aktiviert es per Knopfdruck. Zertifikate sind 90 Tage gültig und werden idealerweise automatisch erneuert (per Certbot oder ACME-Protokoll).

Welcher Zertifikatstyp ist der richtige?

HTTPS erzwingen und Security-Header setzen

Ein Zertifikat allein reicht nicht — HTTP-Traffic muss konsequent auf HTTPS umgeleitet und wichtige Sicherheits-Header müssen aktiviert werden:

# .htaccess (Apache): HTTP zu HTTPS weiterleiten
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# Wichtige Security-Header
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"

Mehr Details findest du in unserem Artikel SSL-Zertifikat beim Hosting.

3. Sichere Zugangsdaten und Authentifizierung

Schwache Passwörter sind nach wie vor eine der häufigsten Ursachen für gehackte Websites. Automatisierte Brute-Force-Angriffe testen Millionen von Passwort-Kombinationen pro Sekunde — ein achstelliges Wörterbuchwort ist in Sekunden geknackt.

Starke Passwörter: Was wirklich funktioniert

Zwei-Faktor-Authentifizierung (2FA) aktivieren

2FA verhindert, dass ein gestohlenes Passwort allein ausreicht, um Zugang zu deinem Konto zu erlangen. 2FA-Methoden im Vergleich (von sicher zu weniger sicher):

• Hardware-Security-Keys (FIDO2/WebAuthn): YubiKey, Google Titan — phishing-resistent, sicherste Methode
• TOTP-Apps: Google Authenticator, Authy, Bitwarden TOTP — zeitbasierte Einmalcodes, sehr sicher
• Push-Benachrichtigungen: Microsoft Authenticator, Duo — komfortabel, aber anfällig für Prompt Bombing
• SMS-TAN: Anfällig für SIM-Swapping — besser als nichts, aber nicht empfohlen

SSH-Schlüssel statt Passwörter für Server-Zugriff

Bei VPS und dedizierten Servern solltest du SSH-Passwort-Authentifizierung deaktivieren und ausschließlich SSH-Key-Authentication verwenden:

# SSH-Key-Paar generieren (lokal)
ssh-keygen -t ed25519 -C "dein@email.de"

# Öffentlichen Key auf Server übertragen
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server-ip

# SSH-Daemon-Konfiguration anpassen
PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
Port 2222

4. Software-Updates und Patch-Management

Die überwiegende Mehrheit erfolgreicher Website-Angriffe nutzt bekannte Schwachstellen in veralteter Software aus — nicht Zero-Day-Exploits. Mit konsequentem Update-Management eliminierst du die größte Angriffsfläche.

WordPress: Das beliebteste Angriffsziel

WordPress ist mit über 43 % Marktanteil das verbreitetste CMS der Welt — und damit auch das beliebteste Angriffsziel. Die meisten Sicherheitsprobleme entstehen durch veraltete Plugins und Themes.

• Automatische Updates aktivieren: WordPress bietet seit Version 5.5 automatische Minor-Updates; aktiviere auch Major-Updates nach vorherigem Test
• Plugins und Themes aktuell halten: WPScan zeigt täglich neue Schwachstellen — Plugins werden oft innerhalb von 24 Stunden nach Bekanntwerden aktiv angegriffen
• Inaktive Plugins und Themes löschen: Deaktivierte Plugins werden noch ausgeführt und können Schwachstellen enthalten — vollständig löschen
• Nur aktiv gepflegte Plugins verwenden: Prüfe im WordPress-Repository, wann das Plugin zuletzt aktualisiert wurde

PHP-Version: Kritisch für Sicherheit und Performance

PHP-Versionen jenseits des End-of-Life-Datums erhalten keine Sicherheitsupdates mehr. Trotzdem läuft ein erheblicher Teil aller WordPress-Websites auf veralteten PHP-Versionen.

Update-Strategie für produktive Websites

1. Backup vor jedem Update erstellen (manuell oder automatisch)
2. Updates zunächst auf Staging-Umgebung testen
3. Änderungsprotokoll (Changelog) des Updates lesen — besonders bei Major-Versionen
4. Nach dem Update Website auf Funktion prüfen: Formulare, Checkout, Login
5. Bei Problemen: Rollback auf Backup

5. Backups: Dein letztes Sicherheitsnetz

Kein Sicherheitssystem ist unfehlbar. Ransomware, menschliche Fehler, Hardware-Ausfälle und Hacker-Angriffe können jeden treffen — das entscheidende ist, wie schnell du dich erholen kannst.

Die 3-2-1-Backup-Strategie

Was muss ins Backup?

• Dateisystem: Alle Dateien im Web-Root (WordPress-Core, Themes, Plugins, Uploads, Custom Code)
• Datenbank: Alle Datenbank-Tabellen mit vollständigen Daten (MySQL/MariaDB Dump)

Häufiger Fehler: Nur das Dateisystem oder nur die Datenbank wird gesichert. Ohne das jeweils andere kannst du die Website nicht vollständig wiederherstellen.

Backup-Frequenz: Wie oft ist genug?

Off-Site Backup-Lösungen

• UpdraftPlus (WordPress-Plugin): Kostenlos, unterstützt Amazon S3, Google Drive, Dropbox, FTP als Ziel
• BackupBuddy: Premium-Plugin mit vollständiger Migration-Funktion
• Hetzner Storage Box: Günstige SFTP/WebDAV-Storage ab 3,35 EUR/Monat für 100 GB
• Backblaze B2: Sehr günstiger Cloud-Speicher (0,006 USD/GB/Monat), S3-kompatible API
• Rclone: Open-Source-Tool für automatische Synchronisation zu 40+ Cloud-Diensten

6. Firewall und Intrusion Detection

Firewalls filtern schadhaften Traffic, bevor er deine Anwendung erreicht. Die Kombination aus Netzwerk-Firewall (auf Server-Ebene) und Web Application Firewall (auf Anwendungsebene) bietet den stärksten Schutz.

Web Application Firewall (WAF): Schutz auf Anwendungsebene

Eine WAF analysiert HTTP-Traffic und blockiert bekannte Angriffsmuster wie SQL-Injection, Cross-Site Scripting (XSS), Remote File Inclusion und andere OWASP-Top-10-Angriffe, bevor sie deine Anwendung erreichen.

Server-Firewall mit UFW konfigurieren

# UFW (Uncomplicated Firewall) auf Ubuntu/Debian
ufw default deny incoming
ufw default allow outgoing
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow 2222/tcp
ufw limit 2222/tcp
ufw enable
ufw status verbose

Fail2ban: Automatischer Schutz gegen Brute-Force

Fail2ban analysiert Log-Dateien in Echtzeit und sperrt IP-Adressen automatisch, die zu viele fehlgeschlagene Login-Versuche innerhalb kurzer Zeit produzieren. Es funktioniert mit SSH, FTP, Apache, Nginx und WordPress.

# Fail2ban Installation
apt install fail2ban

# jail.local Konfiguration
[DEFAULT]
bantime  = 3600
findtime = 600
maxretry = 5

[sshd]
enabled = true
port    = 2222

[wordpress]
enabled  = true
filter   = wordpress
maxretry = 3

DDoS-Schutz: Verteilte Angriffe abwehren

DDoS-Angriffe überfluten deine Website mit so vielen Anfragen, dass sie für echte Nutzer nicht mehr erreichbar ist. Effektiver Schutz erfordert Ressourcen auf Infrastrukturebene.

• Cloudflare (kostenlos): Grundlegender DDoS-Schutz durch Traffic-Filterung am Netzwerk-Edge
• Hoster-seitiger Schutz: Viele Hoster bieten integrierte DDoS-Mitigation an — frage aktiv danach
• OVHcloud / Hetzner: Integrierter DDoS-Schutz durch VAC-Technologie (OVH) bzw. Anycast (Hetzner)
• AWS Shield / Azure DDoS Protection: Für kritische Infrastruktur bei großen Cloud-Anbietern

7. Malware-Erkennung und Monitoring

Selbst bei guten Schutzmaßnahmen können Angriffe durchdringen. Entscheidend ist, wie schnell du einen Einbruch erkennst. Laut IBM Security beträgt die durchschnittliche Zeit bis zur Erkennung eines Angriffs über 200 Tage — in dieser Zeit richten Angreifer maximalen Schaden an.

Regelmäßige Malware-Scans

• Sucuri SiteCheck: Kostenloser Remote-Scan — prüft, was ein Browser sieht
• Wordfence (WordPress): Vergleicht Dateien mit dem offiziellen WordPress-Repository; findet modifizierte Core-Dateien
• Maldet / Linux Malware Detect (LMD): Server-seitiger Scanner für Linux, optimiert für Shared-Hosting-Umgebungen
• ClamAV: Open-Source-Virenscanner für Linux-Server, integrierbar in Cronjobs
• Imunify360: Kommerzieller Server-Scanner, von vielen cPanel-Hostern angeboten

Uptime-Monitoring und Alerting einrichten

• UptimeRobot (kostenlos): Prüft alle 5 Minuten die Erreichbarkeit; sendet Alerts per E-Mail oder Slack
• Better Uptime: Status-Pages + Monitoring, kostenloser Plan verfügbar
• Pingdom: Performance-Monitoring + Uptime, ab 14 USD/Monat
• Zabbix / Prometheus: Open-Source-Monitoring für eigene Server, umfassende Metriken

Security-Ereignisse loggen und auswerten

Log-Dateien sind das Gedächtnis deines Servers. Analysiere regelmäßig: Access Logs (ungewöhnlicher Traffic, verdächtige URL-Muster), Auth-Logs (fehlgeschlagene SSH-Versuche), WordPress-Logs (unbekannte Admin-Accounts) und PHP-Fehlerprotokolle (mögliche Injection-Versuche).

Datei-Integritätsüberwachung (FIM)

File Integrity Monitoring erkennt Veränderungen an Dateien, die sich normalerweise nicht ändern sollten. Wenn ein Angreifer eine PHP-Backdoor installiert oder Core-Dateien modifiziert, schlägt FIM sofort Alarm:

# AIDE (Advanced Intrusion Detection Environment)
apt install aide

# Initiale Datenbank erstellen
aideinit

# Täglicher Cronjob zur Integritätsprüfung
0 3 * * * /usr/sbin/aide --check | mail -s "AIDE Report" admin@domain.de

8. Sicherheit beim Hosting-Anbieter wählen

Nicht jeder Hoster nimmt Sicherheit gleich ernst. Die folgenden Kriterien helfen dir, Anbieter mit echtem Sicherheitsfokus von solchen zu unterscheiden, die Sicherheit nur als Marketing-Schlagwort verwenden.

Security-Checkliste: Wichtige Maßnahmen im Überblick

Was du beim Hosting-Anbieter prüfen solltest

• ✓Kostenlose SSL-Zertifikate — Let's Encrypt-Integration mit Auto-Renewal, idealerweise per Klick im Control Panel aktivierbar
• ✓Automatische Backups — tägliche Backups mit mindestens 7–14 Tagen Aufbewahrung und einfacher Restore-Funktion
• ✓Malware-Scanning — proaktives Scanning und Benachrichtigung bei Verdacht, idealerweise mit automatischer Quarantäne
• ✓DDoS-Mitigation — integrierter Netzwerk-Schutz gegen volumetrische Angriffe ohne Aufpreis
• ✓Server-seitige Firewall — Basis-Firewall als Standard aktiviert, konfigurierbar für eigene Regeln
• ✓Aktuelle Software-Versionen — schnelle Updates bei kritischen Sicherheitslücken in Webserver-Software
• ✓Konto-Isolation (Shared Hosting) — separate Benutzerkonten und Verzeichnisrechte verhindern Cross-Contamination
• !2FA für Kundenkonto — Login-Schutz für das Hosting-Kundenkonto selbst, oft vergessen aber kritisch
• !Transparente Sicherheitsvorfälle — kommuniziert der Anbieter aktiv bei Sicherheitsvorfällen? Status-Seite vorhanden?
• !DSGVO-Konformität — Serverstandort Deutschland/EU, Auftragsverarbeitungsvertrag (AVV) verfügbar
• !Keine überfälligen PHP-Versionen — Anbieter, die PHP 7.4 oder älter noch anbieten (ohne Warnhinweis), nehmen Sicherheit nicht ernst

Sicherheit im Vergleich: Was die besten Anbieter bieten

Die sicherheitsbewusstesten Hoster bieten Sicherheitsfunktionen als Standard — nicht als teures Add-on: Let's Encrypt mit Auto-Renewal, tägliche Backups ohne Aufpreis, proaktives Malware-Scanning und zeitnahe Sicherheitsupdates für die gesamte Server-Software.

Vergleiche aktuelle Anbieter in unserem Hosting-Anbieter-Vergleich. Oder starte direkt die Domain-Suche, um einen passenden Anbieter für deine Domain zu finden.

Website-Sicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Aber mit den hier beschriebenen Maßnahmen bist du deutlich besser geschützt als die überwiegende Mehrheit aller Websites im Netz.

Weitere Informationen findest du in unserem Artikel über SSL-Zertifikate beim Hosting und im Hosting-Vergleich.