Inhalt
Kurzantwort
Die meisten Angriffe auf Websites nutzen veraltete Shop-Systeme, Plugins oder schwache Admin-Zugänge. Updates, MFA für alle Admins, getestete Backups und ein gesicherter Domain-Zugang sind deshalb die Basis. WAF und DDoS-Schutz werden vor allem für Onlineshops relevant, bei denen ein Ausfall direkt Umsatz kostet.
Warum ist das für kleine Unternehmen relevant?
Ein kompromittierter Shop kann Kundendaten preisgeben, Zahlungsseiten manipulieren oder Schadsoftware verteilen. Für Onlineshops bedeutet jeder Ausfall entgangenen Umsatz und Vertrauensverlust – und Website, E-Mail und Shop hängen oft an derselben Domain.
Was gehört dazu?
CMS-, Shop- und Plugin-Updates
Zeitnah einspielen; ungenutzte Plugins und Themes entfernen.
Basis
Admin-Konten und MFA
Persönliche Admin-Konten mit MFA für Shop, Hosting, Domain-Registrar und Zahlungsdienstleister.
Basis
Hosting und Backups
Seriöses Hosting mit Updates der Serverumgebung; eigene, getestete Backups von Dateien und Datenbank.
Basis
Domain- und DNS-Sicherheit
Registrar-Konto mit MFA, automatische Verlängerung, Transfersperre, DNS-Änderungen nur durch wenige Personen.
Basis
TLS
Verschlüsselte Verbindung (HTTPS) mit automatisch erneuertem Zertifikat ist heute Standard.
Basis
Zahlungsdienstleister
Zahlungsdaten möglichst nicht selbst verarbeiten, sondern über etablierte Dienstleister abwickeln; deren Vorgaben beachten.
Basis
Monitoring
Erreichbarkeit, Änderungen an Dateien und ungewöhnliche Admin-Anmeldungen überwachen.
Sinnvoll bei wachsender IT
WAF
Eine Web Application Firewall filtert typische Angriffe auf Webanwendungen. Ersetzt keine Updates.
Relevant bei erhöhtem Risiko
DDoS-Schutz
Schutz vor gezielter Überlastung, oft Teil von Hosting- oder CDN-Angeboten.
Relevant bei erhöhtem Risiko
Was schützt die Maßnahme?
- Ausnutzen bekannter Lücken in Shop-System und Plugins
- Übernahme von Admin- und Registrar-Konten
- Lange Ausfälle, wenn Backups getestet sind
Was schützt sie nicht?
- Lücken in nicht aktualisierter Software trotz WAF
- Täuschung von Kunden über ähnlich geschriebene Fremddomains
- Fehler bei externen Dienstleistern, auf die Sie keinen Einfluss haben
Welche Basismaßnahmen reichen oft?
- 01Updates für Shop, Plugins und Themes
- 02MFA für alle Admin-, Hosting- und Registrar-Konten
- 03Eigene, getestete Backups
- 04Domain mit Auto-Verlängerung und Transfersperre
- 05Zahlungsabwicklung über einen etablierten Dienstleister
Wann wird eine weitergehende Lösung sinnvoll?
WAF, DDoS-Schutz und erweitertes Monitoring lohnen sich, wenn der Shop einen wesentlichen Teil des Umsatzes erzeugt, viele Kundendaten speichert oder bereits angegriffen wurde. Häufig bieten Hosting- oder CDN-Anbieter diese Funktionen als Zusatz an.
Typische Fehler
- Plugin-Updates aus Angst vor Fehlern aufschieben
- Ein gemeinsames Admin-Konto für alle
- Domain läuft unbemerkt aus
- Backups nur beim Hoster und nie getestet
Checkliste
- Shop und Plugins aktuell
- Ungenutzte Plugins entfernt
- MFA für alle Admins, Hosting und Registrar
- Backup getestet
- Domain-Ablauf und Transfersperre geprüft
- Zuständigkeit für Updates geklärt
Häufige Fragen
Braucht jeder Shop eine WAF?
Nein. Für kleine Shops sind Updates, MFA und Backups wichtiger. Eine WAF ist eine zusätzliche Schicht bei höherem Risiko.
Wer ist für Updates verantwortlich?
Das sollte schriftlich geklärt sein – mit Agentur, Hoster oder intern. Unklare Zuständigkeit ist eine häufige Ursache für veraltete Shops.
Nächster sinnvoller Schritt
Klären Sie schriftlich, wer Updates für Shop und Plugins einspielt und wie oft.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- CISA – Cybersecurity and Infrastructure Security Agency
- ENISA – European Union Agency for Cybersecurity
Geprüft am 06.10.2026.
Allgemeine Orientierung – ersetzt keine individuelle technische Sicherheitsprüfung, Rechts- oder Datenschutzberatung.