Website-Sicherheits-Checkliste: 12 wichtige Schritte für 2026

Sicherheitsverletzungen sind längst kein Konzernproblem mehr. Laut IBMs Cost of a Data Breach Report 2025 kostet ein durchschnittlicher Vorfall weltweit inzwischen 4,44 Millionen US-Dollar, in den USA erreichte der Schnitt mit 10,22 Millionen einen Rekordwert. Zugleich zeigt der Verizon Data Breach Investigations Report 2025: Die meisten Angriffe beginnen weiterhin mit den Grundlagen - gestohlene Zugangsdaten (22 % der Fälle), ausgenutzte Schwachstellen (20 %, ein Plus von 34 % gegenüber dem Vorjahr) und Phishing (16 %).

Die gute Nachricht: Die meisten dieser Einfallstore lassen sich mit unspektakulärer, gut dokumentierter Hygiene schließen. Diese Website-Sicherheits-Checkliste führt durch 12 Prüfpunkte - von Transportverschlüsselung und DNS über E-Mail-Authentifizierung bis zur Dark-Web-Exponierung - in ungefährer Prioritätsreihenfolge. Die schnellen Erfolge schaffen die meisten Websites an einem Nachmittag.

Die Checkliste im Überblick

1. Erzwingen Sie HTTPS auf jeder Seite

Jede Anfrage - nicht nur die Login-Seite - gehört über HTTPS ausgeliefert. Leiten Sie sämtlichen HTTP-Verkehr per permanentem 301-Redirect um, stellen Sie interne Links und Canonical-Tags auf https:// um und beseitigen Sie Mixed Content (Bilder, Skripte oder Stylesheets, die noch über HTTP laden), den Browser zunehmend komplett blockieren. Sieht ein Besucher die Warnung "Ihre Verbindung ist nicht privat", ist er weg, bevor Ihre Startseite überhaupt lädt.

2. Behalten Sie den Zertifikatsablauf im Blick - die Laufzeiten schrumpfen rapide

Ein abgelaufenes Zertifikat legt Ihre Website so zuverlässig lahm wie ein Angriff. Und die Anforderungen steigen: Mit dem Beschluss SC-081v3 des CA/Browser Forums sank die maximale Laufzeit von TLS-Zertifikaten im März 2026 auf 200 Tage, sie fällt 2027 auf 100 Tage und liegt 2029 bei nur noch 47 Tagen. Manuelle Verlängerung ist kein tragfähiger Plan mehr.

Automatisieren Sie die Ausstellung mit einem ACME-Client (Let's Encrypt oder die Tools Ihrer CA) und ergänzen Sie eine unabhängige Ablaufüberwachung. Die Zertifikatsdaten prüfen Sie im Terminal:

openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -dates

3. Härten Sie Ihre TLS-Konfiguration

Ein Zertifikat zu besitzen ist nicht dasselbe wie gutes TLS. Deaktivieren Sie TLS 1.0 und 1.1 vollständig, unterstützen Sie nur TLS 1.2 und 1.3 und entfernen Sie veraltete Cipher-Suites. Eine schwache Konfiguration lädt zu Downgrade-Angriffen ein und fällt in jedem Compliance-Scan durch. Unser Leitfaden zur A+-Bewertung für SSL/TLS beschreibt die genauen Servereinstellungen.

4. Setzen Sie die zentralen Security-Header

Security-Header sind die günstigste Härtung, die Sie je ausrollen werden - wenige Zeilen Serverkonfiguration, die den Browser anweisen, ganze Angriffsklassen zu blockieren:

• Strict-Transport-Security (HSTS) - erzwingt HTTPS bei Folgebesuchen
• Content-Security-Policy - Ihre stärkste Verteidigung gegen XSS
• X-Content-Type-Options: nosniff - verhindert MIME-Type-Verwechslung
• X-Frame-Options / frame-ancestors - unterbindet Clickjacking
• Referrer-Policy und Permissions-Policy - begrenzen Datenabfluss und sensible Browserfunktionen

Unser kompletter Security-Header-Leitfaden liefert fertige Beispiele für nginx und Apache.

5. Authentifizieren Sie Ihre E-Mail: SPF, DKIM und DMARC

Ihre Domain versendet E-Mails, selbst wenn Ihre Website es nicht tut - und Angreifer fälschen sie mit Freude, wenn Sie es zulassen. Google und Yahoo verlangen SPF, DKIM und DMARC von Massenversendern seit Februar 2024, und Microsoft führte im Mai 2025 dieselben Anforderungen für Outlook ein - für Domains mit mehr als 5.000 Nachrichten pro Tag. Nicht konforme Mails landen im Spam oder werden abgewiesen.

Veröffentlichen Sie einen SPF-Eintrag, signieren Sie mit DKIM und starten Sie DMARC mit p=none, um Berichte zu sammeln, bevor Sie auf quarantine und reject verschärfen. Unsere Schritt-für-Schritt-Anleitung zu DMARC begleitet den gesamten Rollout.

6. Sichern Sie Ihr DNS ab

DNS ist die Steuerungsebene für alles andere auf dieser Liste. Vier Prüfungen: Aktivieren Sie DNSSEC, damit Antworten nicht unbemerkt gefälscht werden können; veröffentlichen Sie einen CAA-Eintrag, damit nur Ihre gewählte Zertifizierungsstelle Zertifikate für Ihre Domain ausstellen darf; schalten Sie Registrar-Lock und MFA bei Ihrem DNS-Anbieter ein; und entfernen Sie verwaiste Subdomains, die auf abgeschaltete Dienste zeigen - hängende Einträge sind der Klassiker für Subdomain-Takeover.

7. Aktualisieren Sie CMS, Plugins und Abhängigkeiten

Die Ausnutzung bekannter Schwachstellen war 2025 laut DBIR der Erstzugang in 20 % der Fälle - ein Sprung um 34 % in einem Jahr - und ungepatchte, aus dem Internet erreichbare Systeme sind das bevorzugte Ziel. Wer WordPress oder ein anderes CMS betreibt, dessen Angriffsfläche besteht vor allem aus Plugins und Themes: Aktivieren Sie automatische Minor-Updates, entfernen Sie Ungenutztes und abonnieren Sie die Sicherheitshinweise der Komponenten, die Sie behalten.

Gestohlene Zugangsdaten, ungepatchte Software und Phishing öffneten in über der Hälfte der untersuchten Fälle die Tür. Quelle: Verizon DBIR 2025.

8. Aktivieren Sie MFA und mustern Sie schwache Passwörter aus

Der Missbrauch von Zugangsdaten bleibt der häufigste Einzelweg hinein (22 % der Fälle). Aktivieren Sie Multi-Faktor-Authentifizierung für jedes Konto, das Ihre Website verändern kann: CMS-Admin, Hosting-Panel, Domain-Registrar, DNS-Anbieter und E-Mail. Nutzen Sie einen Passwortmanager für einzigartige Passwörter, benennen Sie das Standardkonto admin um oder deaktivieren Sie es, und entfernen Sie Konten von Personen, die keinen Zugriff mehr benötigen.

9. Sichern Sie, als würde der Angriff morgen kommen

Backups sind Ihre letzte Linie gegen Ransomware und die erste gegen versehentliches Löschen. Folgen Sie der 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, eine davon extern - und halten Sie mindestens eine Kopie offline oder unveränderlich, damit ein Angreifer mit Serverzugriff nicht auch die Backups verschlüsselt. Ein nie testweise wiederhergestelltes Backup ist eine Hoffnung, kein Plan: Planen Sie mindestens quartalsweise eine Restore-Übung.

10. Schalten Sie WAF und Rate Limiting vor

Eine verwaltete Web Application Firewall (vom CDN, Hoster oder einem Dienst wie Cloudflare) filtert Injection-Versuche, bösartige Bots und Scanner-Rauschen, bevor sie Ihre Anwendung erreichen. Ergänzen Sie Rate Limiting für Login, Registrierung und API-Endpunkte, um Credential Stuffing und Brute Force auszubremsen - genau die Angriffe hinter Punkt 8.

11. Überwachen Sie das Dark Web auf geleakte Zugangsdaten

Ihre Zugangsdaten können leaken, ohne dass Ihre Website je berührt wird - ein Vorfall bei einem Drittanbieter genügt, wiederverwendete Passwörter erledigen den Rest. Prüfen Sie, ob Konten Ihrer Domain in bekannten Leaks auftauchen, erzwingen Sie dann einen Passwort-Reset und stellen Sie sicher, dass MFA aktiv ist. Unser Leitfaden zur Dark-Web-Überwachung erklärt, wie Exponierung entsteht und was dagegen hilft.

12. Überwachen Sie Verfügbarkeit, Performance und unerwartete Änderungen

Verfügbarkeit ist Teil der Sicherheit. Uptime- und Performance-Monitoring liefert oft das früheste Signal, dass etwas nicht stimmt - ein abgelaufenes Zertifikat, eine verunstaltete Seite oder ein Krypto-Mining-Skript, das die Antwortzeiten in die Höhe treibt. Alarme bei unerwarteten Inhalts- oder Konfigurationsänderungen machen aus einer Woche stiller Kompromittierung einen Fünf-Minuten-Vorfall.

Wie oft sollten Sie die Checkliste durchgehen?

Häufige Fragen

Reicht HTTPS, um meine Website sicher zu machen? Nein. HTTPS verschlüsselt den Datenverkehr unterwegs, hilft aber nicht gegen verwundbare Plugins, schwache Admin-Passwörter, gefälschte E-Mails oder geleakte Zugangsdaten. Es ist aus gutem Grund Schritt 1 von 12 - notwendig, aber nicht hinreichend.

Welcher einzelne Punkt bringt den größten Sicherheitsgewinn? Die Kombination aus Punkt 7 und 8: bekannte Schwachstellen patchen und MFA erzwingen. Zusammen adressieren sie die zwei größten Einfallstore aus dem DBIR 2025 - insgesamt 42 % der Fälle.

Werden kleine Websites wirklich angegriffen? Ja, ständig - nur nicht persönlich. Automatische Scanner klappern jede erreichbare IP und Domain nach abgelaufenen Zertifikaten, veralteten Plugins und offenen Admin-Panels ab. Bots prüfen Ihre Besucherzahlen nicht, bevor sie zuschlagen.

Wie lange dauert die komplette Checkliste? Die Punkte 1, 2, 4 und 8 sind üblicherweise ein Nachmittag Arbeit. E-Mail-Authentifizierung und TLS-Härtung brauchen einige Tage inklusive DMARC-Auswertung. Der Rest sind laufende Gewohnheiten, die Sie einmal automatisieren.

Prüfen Sie all das in 60 Sekunden

Sie können jeden Punkt von Hand verifizieren - oder den ersten Durchgang einem Scanner überlassen. Der kostenlose FortifyNet-Scan prüft SSL/TLS, Security-Header, DNS-Konfiguration, SPF/DKIM/DMARC, Dark-Web-Exponierung und Performance in rund einer Minute - und zeigt Ihnen genau, welche Punkte dieser Checkliste zuerst Aufmerksamkeit brauchen.

Verwandte Leitfäden

• SSL/TLS-Zertifikatssicherheit: der komplette Leitfaden zur A+-Bewertung
• HTTP-Sicherheits-Header: vollständiger Leitfaden
• DMARC einrichten Schritt für Schritt
• Dark-Web-Überwachung: So erkennen Sie Datenpannen