Was tatsächlich angegriffen wird
Die Protokolle unserer Server zeigen es jeden Tag: automatisierte Anfragen nach Konfigurationsdateien, Sicherungskopien und Verwaltungsoberflächen — von Absendern, die mit dem Unternehmen dahinter nichts zu tun haben. Das sind keine gezielten Angriffe, sondern Massenprüfungen. Ein Skript klopft Millionen Domains nach denselben Schwachstellen ab und meldet die Treffer; erst dann kommt jemand vorbei. Wer in dieser Liste nicht auftaucht, bleibt für die allermeisten Angreifer unsichtbar.
Die Einfallstore sind seit Jahren dieselben: Erweiterungen mit bekannter, aber nicht geschlossener Lücke, Zugänge mit schwachen oder wiederverwendeten Passwörtern, Formulare, die alles annehmen, Server auf einer PHP-Version ohne Sicherheitsupdates. Bei Onlineshops kommt der Checkout dazu — manipulierte Skripte, die Zahlungsdaten abgreifen, fallen oft erst auf, wenn Kunden sich melden.
Deshalb beginnt Sicherheit bei uns nicht mit einem Produkt, sondern mit einer Bestandsaufnahme: Welche Versionen laufen, welche Erweiterungen sind im Einsatz und werden noch gepflegt, wer hat welche Zugänge, wo liegen Konfiguration und Backups. Das Ergebnis ist eine priorisierte Liste — was sofort passieren muss, was in den nächsten Wochen ansteht und was Sie sich sparen können.
Härtung: jedes System nach seinen Regeln
TYPO3, WordPress und Shopware haben jeweils eigene Stellschrauben, und wir kennen sie aus dem täglichen Betrieb eigener und übernommener Installationen. Wir schließen, was nicht offen sein muss, geben Zugängen nur die Rechte, die ihre Aufgabe braucht, prüfen Erweiterungen vor der Installation und bauen Zahlungs- und Checkout-Prozesse so, dass Kartendaten Ihren Server nie berühren. Für Systeme auf Versionen ohne Herstellersupport planen wir das Update — ein Sicherheits-Plugin allein hält keine veraltete Codebasis am Leben.
Darunter liegt der Server: aktuelle PHP- und Datenbankversionen, saubere Dateirechte, Konfiguration und Zugangsdaten außerhalb des Webverzeichnisses, zeitgemäße Verschlüsselung und Sicherheitsheader. Auf unseren eigenen Servern in Deutschland ist das der Standard; auf fremden Hostings setzen wir um, was die Umgebung zulässt, und sagen klar, wo sie es nicht tut.
Vieles, was ein Server abwehren müsste, erreicht ihn bei uns gar nicht erst. Eine vorgelagerte Firewall filtert bekannte Angriffsmuster, bremst Automaten und hält Scanner fern — so eingestellt, dass echte Kunden, Zahlungsanbieter und Schnittstellen ungehindert durchkommen. Wie wir das mit Cloudflare einrichten, steht auf der eigenen Leistungsseite zur Cloudflare-Konfiguration.
Updates, Backups, Zugänge: die unspektakuläre Hälfte
Die meisten erfolgreichen Angriffe nutzen Lücken, für die es längst ein Update gab. Deshalb spielen wir Sicherheitsupdates für Core, Erweiterungen und Serverumgebung zeitnah ein — getestet, mit Rückweg, in festen Intervallen und ohne dass Sie daran denken müssen. Das ist der Kern unserer laufenden Betreuung, nicht ihr Nebenprodukt.
Ein Backup ist erst dann eines, wenn es sich zurückspielen lässt. Wir sichern getrennt vom Produktivsystem, halten mehrere Stände vor und proben die Rücksicherung regelmäßig. Beim Verdacht auf einen Vorfall ist genau das die entscheidende Frage: Gibt es einen sauberen Stand von vor dem Einbruch?
Und wir räumen Zugänge auf: wer sich wo anmelden kann, mit welchen Rechten — und wer das Unternehmen längst verlassen hat. Verwaltungszugänge bekommen einen zweiten Faktor, Zugangsdaten einen sicheren Ort statt eines E-Mail-Postfachs. Das ist unspektakuläre Arbeit. Sie entscheidet trotzdem.
Wenn es passiert ist: ein Ablauf statt Panik
Hundertprozentige Sicherheit gibt es nicht, und wer sie verspricht, hat sie nicht verstanden. Was es gibt, ist ein geübter Ablauf: System isolieren, Zugänge tauschen, Spuren sichern, den Weg hinein finden, sauberen Stand zurückspielen, Lücke schließen. Aufgeräumt wird nicht durch Löschen gefundener Dateien — die Hintertür liegt meist woanders —, sondern durch den sauberen Stand plus alle ausstehenden Updates.
Sind personenbezogene Daten betroffen oder möglicherweise betroffen, gilt zusätzlich die Meldepflicht nach Artikel 33 DSGVO binnen 72 Stunden gegenüber der Aufsichtsbehörde. Wir liefern dafür die technische Grundlage: was passiert ist, seit wann, welche Daten erreichbar waren, was getan wurde. Die rechtliche Bewertung bleibt bei Ihnen oder Ihrem Datenschutzbeauftragten — wir sorgen dafür, dass die Fakten vorliegen.