XSS-Attacken - Die unsichtbare Gefahr für deine Website

Typische Anzeichen sind merkwürdige Pop-ups, Weiterleitungen auf fremde Seiten, plötzlich auftauchende Inhalte, die du nie eingestellt hast, oder Sicherheitswarnungen im Browser ("Diese Website ist nicht sicher"). Auch ein plötzlicher Einbruch deiner Besucherzahlen kann ein Hinweis sein, weil Google gehackte Seiten aus den Suchergebnissen wirft oder mit einer Warnung versieht.

Oft merken Betreiber den Angriff aber erst, wenn sich Kunden beschweren oder der Hoster die Seite sperrt. Es zahlt sich deshalb aus, die eigene Website regelmäßig selbst aufzurufen, die Google Search Console im Blick zu behalten und bei seltsamem Verhalten sofort einen Profi draufschauen zu lassen. Je früher du reagierst, desto kleiner bleibt der Schaden.

WordPress selbst wird laufend gewartet, aber das Gesamtsystem ist in der Praxis ein beliebtes Angriffsziel. Laut einer Studie von Sucuri basierten 2019 über 90 % aller gehackten CMS-Websites auf WordPress. Das liegt einerseits an der riesigen Verbreitung, andererseits an veralteten Plugins und Themes, die oft jahrelang nicht aktualisiert werden und bekannte Sicherheitslücken offen lassen.

Wenn du WordPress nutzt, brauchst du also einen klaren Update-Plan: Core, Plugins und Themes regelmäßig aktualisieren, unnötige Plugins löschen und Backups einrichten. Wer sich darum nicht selbst kümmern will, sollte die Wartung an einen Profi auslagern oder gleich auf eine Technologie ohne Plugin-Wildwuchs setzen. Wir bei webgaudi.at bauen unsere Websites bewusst ohne klassisches WordPress-Setup, damit diese Angriffsfläche gar nicht erst entsteht.

Kurz gesagt: derjenige, der deine Website betreut. Hast du deine Seite selbst gebaut oder von jemandem erstellen lassen, der sich danach nicht mehr meldet, kümmert sich in der Praxis oft niemand darum. Genau solche Websites werden am häufigsten Opfer von Angriffen, weil Updates und Sicherheitsprüfungen jahrelang ausbleiben.

Die bessere Lösung ist eine laufende Betreuung durch eine Webagentur. Wir übernehmen das für Kunden in ganz Österreich, von Wien bis Innsbruck: sichere Technik von Anfang an, aktuelle Software und ein Ansprechpartner, wenn etwas auffällig ist. So musst du dich als Tischler, Steuerberater oder Cafébesitzer nicht selbst mit XSS, Updates und Sicherheitsheadern beschäftigen, sondern kannst dich auf dein Geschäft konzentrieren.

Das hängt davon ab, wie tief der Angreifer ins System gekommen ist und ob es saubere Backups gibt. Mit einem aktuellen Backup lässt sich eine Website oft innerhalb weniger Stunden wiederherstellen. Wichtig ist dabei, zuerst die Sicherheitslücke zu finden und zu schließen, sonst steht der Angreifer kurz darauf wieder vor der Tür.

Ohne Backup wird es aufwendiger: Dann muss der Schadcode manuell aufgespürt und entfernt werden, was sich je nach Umfang über mehrere Tage ziehen kann. Dazu kommen Passwort-Wechsel, Software-Updates und gegebenenfalls ein Antrag bei Google, die Warnung vor deiner Seite wieder zu entfernen. Unser Tipp aus der Praxis: Automatische Backups einrichten, bevor etwas passiert. Das ist der Unterschied zwischen einem kurzen Schreck und einer teuren Woche Stillstand.

Ja, gerade als kleines Unternehmen. Viele glauben, ihre Website sei zu unbedeutend, um angegriffen zu werden. Die meisten Angriffe laufen aber vollautomatisch: Bots durchsuchen das Internet rund um die Uhr nach Websites mit bekannten Schwachstellen, egal ob es sich um einen Konzern oder eine Bäckerei in Salzburg handelt. Dem Bot ist deine Firmengröße völlig egal.

Für ein kleines Unternehmen ist der Schaden sogar oft größer: Eine gehackte Website bedeutet Ausfall, Vertrauensverlust bei Kunden und schlechtere Google-Rankings, und es fehlt meist die IT-Abteilung, die das schnell behebt. Die gute Nachricht: Mit einer sauber gebauten Website, aktueller Software und regelmäßigen Backups bist du gegen den Großteil dieser automatisierten Angriffe gut geschützt.

Nur teilweise, und das wird oft missverstanden. Ein SSL-Zertifikat (erkennbar am Schloss-Symbol und an https:// in der Adresszeile) verschlüsselt die Verbindung zwischen dem Browser deines Besuchers und deinem Server. Niemand kann also unterwegs mitlesen, was etwa in ein Kontaktformular eingetippt wird.

Gegen Angriffe wie XSS oder SQL-Injection schützt SSL aber überhaupt nicht, denn diese nutzen Schwachstellen in der Website selbst aus, nicht in der Übertragung. Eine Seite kann das Schloss-Symbol haben und trotzdem voller Sicherheitslücken sein. SSL ist heute Pflicht (auch für dein Google-Ranking), aber eben nur ein Baustein. Dazu gehören außerdem geprüfte Eingaben, aktuelle Software und sinnvolle Sicherheitsheader.

Wenn bei dem Angriff personenbezogene Daten betroffen sein könnten (etwa Kundendaten aus einem Kontaktformular, Shop-Bestellungen oder Newsletter-Adressen), bist du laut DSGVO grundsätzlich verpflichtet, das binnen 72 Stunden der österreichischen Datenschutzbehörde (DSB) zu melden. Bei hohem Risiko für die Betroffenen musst du zusätzlich die betroffenen Personen selbst informieren.

Wurde nur die Optik der Seite verändert und es sind nachweislich keine Personendaten im Spiel, kann die Meldepflicht entfallen. Das solltest du aber nicht selbst aus dem Bauch heraus entscheiden. Dokumentiere den Vorfall, sichere Beweise (Logs, Screenshots) und hol dir im Zweifel rechtlichen Rat. Wegschauen ist die schlechteste Option, denn bei vertuschten Datenpannen drohen empfindliche Strafen.

In den meisten Fällen ja, und zwar deutlich. Eine statische Website besteht aus fertigen HTML-Dateien ohne klassische Datenbank, ohne Login-Bereich und ohne Plugin-System. Damit fallen die häufigsten Einfallstore weg, über die WordPress-Seiten gehackt werden: veraltete Plugins, unsichere Themes und schwache Admin-Passwörter.

Wo es keinen Server-Code gibt, der Benutzereingaben verarbeitet, gibt es auch kaum Angriffsfläche für SQL-Injections und viele XSS-Varianten. Wir setzen bei webgaudi.at deshalb auf moderne statische Technik mit Astro: Die Seiten sind dadurch nicht nur sicherer, sondern auch spürbar schneller. Hundertprozentige Sicherheit gibt es nirgends, aber die Angriffsfläche ist um ein Vielfaches kleiner als bei einem klassischen CMS.