Sami Gashi | 29.11.2021 | aktualisiert 01.09.2026 | 9 min

Webseite gegen Hackerangriffe schützen: 7 Massnahmen für KMU 2026

Ein nicht kleiner Teil des täglichen Lebens findet mittlerweile Online statt. User besuchen Webseiten mit Informationen und manch einer stöbert im Onlineshop nach den neuesten Angeboten. Andere sind in sozialen Netzwerken unterwegs und nahezu alle Medienunternehmen sind auf der Jagd nach neuen Kunden. In den Unternehmen wiederum werden Cloud-Dienste und Onlinebanking genutzt und auch das klassische Meeting wird durch Onlinesitzungen ersetzt. Die Welt könnte so schön sein, wäre da nicht die unbemerkte permanente Bedrohungslage durch Hackerangriffe. Der ein oder andere wird sich sicherlich fragen, was wollen die eigentlich? Wie ein wirksamer Schutz umzusetzen ist und was eine Web Development Agentur tun kann, dazu alles im nachfolgenden Artikel.

Kurz erklärt

Hackerangriffe auf Webseiten sind 2026 keine Ausnahme mehr, sondern Alltag. Schweizer KMU sind besonders gefährdet, weil automatisierte Scan-Tools rund um die Uhr nach offenen Schwachstellen suchen, unabhängig von der Unternehmensgrösse. Die wichtigsten Schutzmassnahmen umfassen: CMS und Plugins aktuell halten, starke Passwörter und Zwei-Faktor-Authentifizierung nutzen, .htaccess absichern, regelmässige Backups anlegen und einen zuverlässigen Webhoster wählen. Nach einem Angriff: sofort alle Zugangsdaten ändern, Schadcode entfernen und die Zugriffsrechte prüfen.

Zuletzt aktualisiert: September 2026 | Erstveröffentlichung: November 2021

Ein Hackerangriff auf eine Webseite ist das unbefugte Eindringen in ein Webserver-System mit dem Ziel, Daten zu stehlen, Schadsoftware zu platzieren oder die Seite für kriminelle Zwecke zu missbrauchen. Für Schweizer KMU bedeutet das konkret: Haftungsrisiko, Datenschutzverletzungen nach DSGVO und empfindliche Reputationsschäden. Wer seine Webseite professionell schützt, vermeidet nicht nur Ausfälle, sondern auch rechtliche Konsequenzen.

Was ist ein Hackerangriff auf eine Webseite und warum sind KMU betroffen?

Ein Hackerangriff auf eine Webseite bezeichnet jeden ungenehmigten Zugriff auf ein Webserver-System. Dabei nutzen Angreifer Schwachstellen in CMS-Installationen, schlecht konfigurierte Zugriffsrechte, veraltete Plugins oder unsichere Passwörter aus. Laut aktuellen Zahlen aus 2026 läuft über 43% aller Webseiten weltweit auf WordPress, was WordPress zum meistangegriffenen CMS der Welt macht.

Schweizer KMU glauben oft, zu klein für gezielte Angriffe zu sein. Das ist ein gefährlicher Trugschluss. Automatisierte Scan-Tools durchsuchen das gesamte Internet systematisch nach offenen Schwachstellen, ohne Rücksicht auf die Grösse des Unternehmens. Wer veraltete Software betreibt, wird früher oder später gefunden.

Woran erkennt man, ob die Webseite gehackt wurde?

Anzeichen für einen Hackerangriff sind vielfältig und oft subtil. Die häufigsten Warnsignale:

Unerwartete Weiterleitungen: Besucher werden plötzlich auf fremde, oft dubiöse Webseiten geleitet.
Google-Sicherheitswarnung: Die Google Search Console oder Browser zeigen Warnhinweise wegen Malware oder Phishing.
Stark verlangsamte Ladezeiten: Eingeschleuster Code verursacht ungewöhnlichen Serverload, was Core Web Vitals direkt verschlechtert.
Unbekannte Pop-ups oder Werbefenster: Besucher sehen Inhalte, die nicht vom Betreiber stammen.
Veränderte Bankdaten im Onlineshop: Auf Checkout-Seiten erscheinen fremde Kontonummern oder Zahlungsanbieter.
Unerklärliche Aktivitäten in Logfiles: Unbekannte Admin-Logins oder Dateiänderungen ausserhalb der regulären Arbeitszeiten.

Haftung und Verantwortung: Was Schweizer Webseitenbetreiber wissen müssen

Die Rechtslage in der Schweiz ist eindeutig: Wenn eine gehackte Webseite Dritten Schaden zufügt, haftet der Betreiber. Unwissenheit schützt nicht vor Strafe. Befindet sich auf einer Webseite Schadsoftware, die über einen Angriff eingeschleust wurde, ist der Betreiber nach schweizerischem Recht haftbar, sofern er die ihm zumutbaren Schutzmassnahmen nicht umgesetzt hat. Ergänzend gilt seit 2023 das revidierte Schweizer Datenschutzgesetz (DSG), das bei Datenschutzverletzungen durch Hackerangriffe Meldepflichten und Bussgelder vorsieht. Nur wenn der Angriff nachweislich intern beim Webhoster erfolgte, kann die Haftung auf diesen übergehen.

Webseite gegen Hackerangriffe schützen: 7 Massnahmen in der Praxis

Diese 7 Schutzmassnahmen lassen sich schrittweise umsetzen und decken die häufigsten Angriffsvektoren ab:

Schritt 1: CMS, Themes und Plugins aktuell halten. Sicherheitsupdates für WordPress und Plugins müssen innerhalb weniger Tage eingespielt werden, kritische Patches sofort. Über 60% aller erfolgreichen WordPress-Hacks nutzen bekannte, bereits gepatchte Schwachstellen aus.
Schritt 2: Zugangsdaten zur Datenbank auslagern. Die wp-config.php enthält Datenbankpasswörter im Klartext. Diese Datei muss eine Verzeichnisebene über dem Web-Root gespeichert werden, damit sie nicht öffentlich zugänglich ist.
Schritt 3: Login-URL umbenennen. Die Standard-URL wp-login.php ist bei Hackern bekannt und wird gezielt angegriffen. Ein Plugin wie WPS Hide Login oder eine manuelle Umbenennung erhöht die Sicherheit deutlich.
Schritt 4: .htaccess für Zugriffsschutz nutzen. Mit der .htaccess-Datei lassen sich ganze IP-Adressräume sperren, sensible Verzeichnisse schützen und direkte Dateiaufrufe verhindern. Schon eine einzige Zeile kann einen ganzen Ordner sichern.
Schritt 5: Zwei-Faktor-Authentifizierung aktivieren. Selbst wenn ein Passwort kompromittiert wird, verhindert ein zweiter Faktor (Authenticator-App oder SMS-Code) den unbefugten Zugriff aufs WP-Backend.
Schritt 6: Regelmässige Backups anlegen. Backups müssen extern gespeichert werden, nicht nur auf dem gleichen Server. Im Angriffsfall ist eine schnelle Wiederherstellung ohne externe Kopie unmöglich.
Schritt 7: Zuverlässigen Webhoster wählen. Professionelles Hosting beinhaltet serverseitige Sicherheitsmechanismen, automatische Malware-Scans und Monitoring. Günstigstes Angebot ist selten das sicherste.

Nach einem Hackerangriff: So gehen Sie gezielt vor

Ein erfolgreicher Angriff hinterlässt immer Spuren. Die richtige Reaktion in der richtigen Reihenfolge ist entscheidend:

Webseite offline nehmen: Sofort alle Besucherzugriffe unterbrechen, um weiteren Schaden zu verhindern.
Alle Zugangsdaten ändern: WordPress-Admin-Passwort, FTP-Zugangsdaten, Datenbank-Passwort und Hosting-Passwort sofort erneuern.
Schadcode identifizieren und entfernen: Alle Dateien auf dem Server nach unbekanntem oder verdächtigem Code durchsuchen. Schadcode befindet sich häufig am Anfang oder Ende von PHP-Dateien.
Zugriffsrechte prüfen: Falsch gesetzte Datei- und Ordnerberechtigungen (insbesondere 777) schliessen, korrektes Berechtigungsmodell herstellen.
Sauberes Backup einspielen: Falls vorhanden, ein vor dem Angriff erstelltes Backup einspielen und danach alle Plugins und WordPress auf aktuelle Versionen aktualisieren.
Google Search Console prüfen: Allfällige Sicherheitswarnungen aus der Google Search Console entfernen und Überprüfung beantragen.

Wie wähle ich den richtigen Webhoster für maximale Sicherheit?

Nicht jedes Hosting-Angebot bietet die gleichen Sicherheitsstandards. Professionelles Webhosting für Schweizer KMU sollte mindestens folgende Kriterien erfüllen:

Automatische Malware-Scans und Monitoring-Benachrichtigungen
Tägliche Backups mit externer Speicherung
Web Application Firewall (WAF) auf Serverebene
SSL-Zertifikat inklusive (HTTPS-Pflicht für Domainautorität und Suchmaschinenranking)
Schweizer Serverstandort für DSGVO/DSG-Konformität
24/7-Support bei Sicherheitsvorfällen

Für Schweizer KMU ohne eigene IT-Abteilung lohnt sich die Zusammenarbeit mit einer Web Development Agentur, die Hosting, Wartung und Sicherheits-Monitoring aus einer Hand übernimmt.

Häufige Fragen

Woran erkenne ich, ob meine Webseite gehackt wurde?

Typische Zeichen sind unerwartete Weiterleitungen auf fremde Seiten, unbekannte Pop-ups, stark verlangsamte Ladezeiten oder Warnhinweise in Google. Die Google Search Console zeigt unter «Sicherheitsprobleme» aktive Malware-Warnungen an. Bei Onlineshops auf veränderte Bankdaten im Checkout achten. Im Zweifel sofort eine Web Development Agentur beiziehen.

Bin ich als Webseitenbetreiber haftbar, wenn meine Seite gehackt wird?

Ja. Schweizer Gerichte nehmen Webseitenbetreiber klar in die Haftung, wenn die Webseite für Angriffe auf Dritte missbraucht wird und der Betreiber zumutbare Schutzmassnahmen unterlassen hat. Seit 2023 gilt zudem das revidierte Datenschutzgesetz (DSG), das bei Datenverlust durch Hackerangriffe Meldepflichten und Bussgelder vorsieht.

Wie oft muss ich WordPress und Plugins aktualisieren?

Sicherheitsupdates sollten innerhalb weniger Tage eingespielt werden, kritische Patches sofort. Viele Schweizer KMU haben WordPress-Installationen, die seit Monaten nicht aktualisiert wurden. Über 60% aller erfolgreichen WordPress-Hacks nutzen bekannte, bereits gepatchte Schwachstellen aus. Automatische Updates für Minor-Versionen empfehlen sich, bei Major-Updates vorher ein Backup erstellen.

Was kostet ein Wartungsvertrag mit einer Web Development Agentur?

Professionelle Wartungsverträge für Schweizer KMU beginnen ab ca. CHF 100 bis 300 pro Monat und umfassen Updates, Backups, Sicherheits-Monitoring und Verfügbarkeitsüberwachung. Das ist deutlich günstiger als die Behebung eines erfolgreichen Hackerangriffs, der im Schnitt Kosten von mehreren tausend Franken verursacht, zuzüglich allfälliger Reputationsschäden.

Welche WordPress-Plugins empfiehlt ONELINE für die Website-Sicherheit?

Bewährte Sicherheitsplugins sind Wordfence (Firewall und Malware-Scanner), WPS Hide Login (Login-URL verstecken), UpdraftPlus (automatische Backups) und iThemes Security. Wichtig: Plugins nur aus dem offiziellen WordPress-Repository oder direkt beim Hersteller beziehen und regelmässig aktualisieren. Premium-Plugins von Drittanbietern auf Nulled-Sites sind ein häufiger Einfallstor für Malware.