So führen Sie ein Sicherheitsaudit für die Website Ihres Kleinunternehmens durch

Die meisten Websites von Kleinunternehmen werden nicht wegen eines exotischen Zero-Day kompromittiert. Sie werden übernommen, weil ein veraltetes Plugin acht Monate lang ungepatcht blieb, weil ein Administratorpasswort aus einem geleakten Forenkonto wiederverwendet wurde oder weil ein Formular klammheimlich Eingaben akzeptierte, die es niemals hätte akzeptieren dürfen. Ein Sicherheitsaudit ist der Weg, diese Lücken zu finden, bevor es jemand anderes tut. Dieser Leitfaden begleitet Sie dabei, selbst eines durchzuführen, und zwar auf eine Weise, die gründlich genug ist, um zu zählen, aber realistisch für ein Team ohne eigene Sicherheitsabteilung.

Was ein Sicherheitsaudit tatsächlich ist

Ein Sicherheitsaudit ist eine strukturierte Überprüfung Ihrer Website und der sie umgebenden Infrastruktur, um Schwachstellen zu ermitteln, die zu Datenverlust, Verunstaltung, Ausfallzeiten oder unbefugtem Zugriff führen könnten. Es ist kein einzelner Scan. Es ist ein wiederholbarer Prozess, der automatisierte Werkzeuge mit manueller Prüfung und einer gesunden Portion „Was würde ein Angreifer hier versuchen" verbindet.

Für ein Kleinunternehmen ist das Ziel keine Härtung auf militärischem Niveau. Es geht darum, die allseits bekannten, hochwahrscheinlichen Lücken zu schließen, die für die überwiegende Mehrheit realer Vorfälle verantwortlich sind. Sie wollen von „wir hoffen, dass alles in Ordnung ist" zu „wir haben geprüft, dokumentiert und die offensichtlichen Probleme behoben" gelangen.

Legen Sie die Erwartungen von Anfang an fest. Ein gutes erstes Audit fördert typischerweise eine Mischung aus schnellen Erfolgen (fehlende Header, schwache Passwörter) und strukturellen Problemen (keine Backups, gemeinsam genutzte Administratorkonten) zutage, deren Behebung länger dauert. Beides ist wichtig.

Bevor Sie beginnen: Umfang und Erlaubnis

Legen Sie fest, was Sie auditieren. Ein typischer Umfang für ein Kleinunternehmen umfasst:

• Die öffentliche Website und alle Subdomains (Blog, Shop, Staging)
• Das CMS oder Framework sowie dessen Plugins, Themes und Abhängigkeiten
• Die Hosting-Umgebung und die Serverkonfiguration
• DNS, E-Mail-Authentifizierung und TLS-Zertifikate
• Administratorzugriff: wer ihn hat, wie sie sich anmelden und von wo

Eine Regel, die Sie keinesfalls überspringen dürfen: Scannen und testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine schriftliche Erlaubnis zum Testen haben. Aggressive Scans gegen einen Drittanbieterdienst, einen Zahlungsdienstleister oder einen Hoster, den Sie nicht kontrollieren, können deren Bedingungen und mancherorts das Gesetz verletzen. Halten Sie Ihre Tests innerhalb Ihrer eigenen Grenze.

Erstellen Sie außerdem ein vollständiges Backup, bevor Sie irgendetwas anfassen. Manche Prüfungen können Web Application Firewalls auslösen, Konten sperren oder den Server kurzzeitig belasten. Sie wollen einen sauberen Wiederherstellungspunkt.

Die zu auditierenden Schichten

Denken Sie in Schichten. Jede hat ihre eigenen Fehlerarten und ihre eigenen Werkzeuge.

1. Oberfläche und Konfiguration

Beginnen Sie mit dem, was das Internet sehen kann. Prüfen Sie Ihre TLS-Konfiguration (Gültigkeit des Zertifikats, Protokollversionen, Stärke der Verschlüsselungsverfahren) und bestätigen Sie, dass HTTP sauber auf HTTPS umleitet. Überprüfen Sie Ihre HTTP-Sicherheitsheader: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options und Referrer-Policy sind diejenigen, die im Stillen ganze Klassen von Angriffen verhindern.

Achten Sie auch auf Informationslecks. Offengelegte .git-Ordner, öffentlich lesbare .env-Dateien, Verzeichnisauflistungen, ausführliche Fehlerseiten, die Stack Traces preisgeben, und Standard-Administrationsoberflächen unter vorhersehbaren URLs sind allesamt verbreitet und leicht zu beheben.

2. Anwendung und Code

Hier leben die interessanten Fehler. Sie suchen nach den OWASP-Klassikern: Injection-Schwachstellen, fehlerhafte Zugriffskontrolle, Cross-Site-Scripting, unsichere direkte Objektreferenzen und Cross-Site Request Forgery. Testen Sie jede Eingabe: Suchfelder, Kontaktformulare, Anmeldefelder, URL-Parameter und Datei-Uploads.

Wenn Sie individuelle Software entwickeln, prüfen Sie die Authentifizierung und die Sitzungsverwaltung sorgfältig. Werden Sitzungen bei der Abmeldung ungültig gemacht? Sind Passwort-Zurücksetzungen erratbar? Kann ein normaler Benutzer einen Administrator-Endpunkt erreichen, indem er die URL bearbeitet? Diese Probleme auf Logikebene tauchen in automatisierten Scans selten auf, was genau der Grund für ihr Fortbestehen ist.

Für einen tieferen, angreiferorientierten Blick darauf, wie diese Schwachstellen miteinander verkettet werden, behandelt unser Leitfaden zu Penetrationstests die Denkweise und die Methodik ausführlicher.

3. Abhängigkeiten und Aktualisierungen

Veraltete Komponenten sind die mit Abstand häufigste Ursache für die Kompromittierung von Kleinunternehmen. Erstellen Sie ein Inventar jedes Plugins, jeder Bibliothek, jedes Themes und jedes Pakets und gleichen Sie dann jedes einzelne mit bekannten Schwachstellendatenbanken ab. Alles, was nicht gewartet oder nicht gepatcht ist, stellt ein Risiko dar. Wenn ein Plugin seit zwei Jahren nicht aktualisiert wurde, behandeln Sie es als Risiko, unabhängig davon, ob bereits eine CVE veröffentlicht wurde.

4. Zugriff und Identität

Auditieren Sie, wer sich anmelden kann und wie. Halten Sie Ausschau nach gemeinsam genutzten Konten, schwachen oder wiederverwendeten Passwörtern, fehlender Mehr-Faktor-Authentifizierung und veralteten Konten von Personen, die das Unternehmen verlassen haben. Angreifer „hacken" sich selten hinein, wenn sie sich einfach mit Zugangsdaten anmelden können, die aus einer Phishing-E-Mail abgegriffen wurden. Diese menschliche Schicht verdient ihre eigene Aufmerksamkeit, weshalb wir einen begleitenden Beitrag darüber geschrieben haben, wie Sie Ihr Start-up vor Phishing schützen.

5. Infrastruktur und Wiederherstellung

Bestätigen Sie schließlich die langweiligen, aber entscheidenden Grundlagen: automatisierte Backups, die getestet werden (ein Backup, das Sie nie wiederhergestellt haben, ist eine Vermutung), Firewall- und Zugriffsregeln, eine Protokollierung, die tatsächlich aufbewahrt wird, und einen Plan für den Fall, dass tatsächlich etwas schiefgeht.

Zu verwendende Werkzeugkategorien

Sie brauchen keine teure Suite. Sie brauchen ein zuverlässiges Werkzeug aus jeder Kategorie:

• TLS- und Header-Scanner, um Ihr Zertifikat und Ihre Sicherheitsheader zu bewerten
• Web-Schwachstellenscanner, um das Aufspüren gängiger Injection- und Fehlkonfigurationsprobleme zu automatisieren
• Abhängigkeits- und CMS-Scanner, um veraltete Plugins und als anfällig bekannte Versionen zu kennzeichnen
• Port- und Dienstscanner, um zu sehen, was auf Ihrem Server offengelegt ist
• Passwort- und Geheimnisprüfungen, um wiederverwendete Zugangsdaten und fest codierte Schlüssel in Ihrer Codebasis aufzuspüren

Automatisierte Werkzeuge sind hervorragend in der Breite und miserabel im Urteil. Sie erzeugen Fehlalarme und übersehen Fehler in der Geschäftslogik völlig. Behandeln Sie ihre Ausgabe als eine Liste von Hinweisen, die es von Hand zu überprüfen gilt, nicht als Urteil.

Eine echte Audit-Checkliste

Arbeiten Sie diese der Reihe nach ab. Dokumentieren Sie jeden Befund mit seinem Schweregrad und einem Verantwortlichen für die Behebung.

1. Erstellen Sie ein vollständiges Backup von Dateien und Datenbank und bestätigen Sie, dass Sie es wiederherstellen können.
2. Bestätigen Sie, dass TLS gültig, modern und mit HSTS auf der gesamten Website erzwungen ist.
3. Überprüfen Sie, dass die Sicherheitsheader vorhanden und korrekt konfiguriert sind.
4. Scannen Sie nach offengelegten sensiblen Dateien: .env, .git, Backups, Konfigurations-Dumps.
5. Erstellen Sie ein Inventar aller Plugins, Themes und Abhängigkeiten und patchen oder entfernen Sie anschließend alles Veraltete.
6. Testen Sie jedes Eingabefeld auf Injection und Cross-Site-Scripting.
7. Prüfen Sie die Zugriffskontrolle: Versuchen Sie als Benutzer mit geringen Rechten, Administrations-URLs und die Datensätze anderer Benutzer zu erreichen.
8. Überprüfen Sie alle Benutzerkonten, entfernen Sie veraltete und erzwingen Sie MFA bei jeder Administratoranmeldung.
9. Bestätigen Sie starke, eindeutige Passwörter und gleichen Sie die Zugangsdaten mit bekannten Leak-Listen ab.
10. Scannen Sie offene Ports und deaktivieren Sie Dienste, die Sie nicht benötigen.
11. Stellen Sie sicher, dass die Protokollierung aktiviert und aufbewahrt wird und Anmelde- sowie Fehlerereignisse enthält.
12. Testen Sie, dass automatisierte Backups ausgeführt und korrekt wiederhergestellt werden.
13. Halten Sie die Befunde schriftlich fest, weisen Sie Verantwortliche zu und legen Sie einen Termin für ein erneutes Audit fest.

Aus Befunden Behebungen machen

Ein Audit, das in einem Dokument endet, ändert nichts. Priorisieren Sie nach realem Risiko: Etwas, das von einem anonymen Besucher ausgenutzt werden kann, wiegt schwerer als ein theoretisches Problem, das Administratorzugriff erfordert. Beheben Sie Elemente mit hohem Schweregrad und geringem Aufwand sofort, planen Sie die strukturelle Arbeit ein und halten Sie akzeptierte Risiken ausdrücklich fest, damit nichts vergessen wird.

Machen Sie es dann zur Gewohnheit. Führen Sie die Checkliste vierteljährlich erneut durch, und immer nach einer größeren Änderung: einem neuen Plugin, einem Redesign, einer Migration oder einer neuen Integration. Sicherheit ist ein Zustand, den Sie aufrechterhalten, keine Aufgabe, die Sie einmal erledigen.

Wo ein Partner hilft

Manche Befunde lassen sich an einem Nachmittag unkompliziert beheben. Andere (das Neuschreiben einer fehlerhaften Authentifizierung, eine gehärtete Deployment-Pipeline oder eine laufende Überwachung) profitieren von erfahrenen Händen. Wenn Ihr Audit Probleme zutage gefördert hat, für deren Lösung Sie nicht ausgestattet sind, oder wenn Sie es vorziehen, dass ein Spezialist den gesamten Prozess durchführt, kann Ihnen das Team von Innovation T helfen. Entdecken Sie unsere Leistungen oder nehmen Sie Kontakt auf, und wir helfen Ihnen, aus einer Checkliste eine wirklich sicherere Website zu machen.