Prüfbereich
Website-Sicherheit prüfen: Zugänge, Updates, Backups
Der Prüfbereich Datensicherheit untersucht, wie gut Website, Shop und Marketing-Systeme gegen Ausfall, Datenverlust und Angriffe geschützt sind – von Zugängen und Rechten über Updates bis zu Backups mit getestetem Restore. Bewertet wird aus Sicht des Geschäfts: Welche Lücke kann Umsatz stoppen, Kundendaten offenlegen oder den Unternehmenswert mindern?
- GruppeRecht & Sicherheit
- BefundtypenB · G · W
- Red FlagsRF15 · RF16
- ZugriffLesezugänge statt Passwörter
Relevanz
Warum Sicherheitslücken ein Umsatzrisiko sind
Website und Shop sind Vertriebsinfrastruktur. Fallen sie aus, steht der Umsatz – und Kundendaten können betroffen sein.
Im Marketing wächst die Angriffsfläche schleichend: Plugins für Formulare, Pop-ups und Bewertungen, Skripte von Analyse- und Werbetools, Zugänge für Agenturen und Freelancer. Selten weiß jemand, wer welche Rechte hat und welche Komponente seit Jahren nicht aktualisiert wurde.
Bei einer Transaktion zählt das doppelt: Veraltete Systeme bedeuten Investitionsbedarf nach dem Kauf, ein Datenvorfall kann Meldepflichten, Kosten und Reputationsschäden auslösen. Die Prüfung ersetzt keinen Penetrationstest, zeigt aber, wo ein solcher Test angezeigt ist.
Im Blick
- Systeme
- CMS, Shop, Plugins, Formulare, Tag-Manager
- Zugänge
- Administratoren, Agenturen, Freelancer, Altkonten
- Wiederanlauf
- Backup, Restore-Test, Notfallkontakte
Leitfragen
Vier Fragen zur Sicherheit von Website und Marketing-Systemen
Ein Auszug aus den Prüfkarten zu Zugängen, Systemen und Wiederanlauf.
Wer hat heute Administrator-Zugriff – und wer sollte ihn nicht mehr haben?
Altkonten früherer Mitarbeitender und Agenturen sind ein häufiger Einstiegspunkt.
Sind CMS, Plugins und Erweiterungen aktuell, gepflegt und noch notwendig?
Jede ungenutzte oder vom Hersteller aufgegebene Komponente erhöht das Risiko.
Lässt sich die Website nachweislich aus dem Backup wiederherstellen – und in welcher Zeit?
Ein Backup ohne getesteten Restore ist ein Versprechen, kein Beleg.
Welche Marketing-Tools haben Zugriff auf Formular- und Kundendaten?
Drittanbieter-Skripte können im Browser auf alles zugreifen, was auf der Seite steht – auch auf Formulareingaben.
Typische Befunde
Was wir bei Zugängen, Systemen und Backups häufig finden
Beispiele aus CMS, Shop und Backup-Konzepten, jeweils mit Befundtyp und Red-Flag-Bezug.
| Befund (Beispiel) | Typ | Red Flag |
|---|---|---|
| Frühere Agentur und ausgeschiedene Mitarbeitende haben weiterhin Administratorrechte; keine Zwei-Faktor-Anmeldung. | B | – |
| Plugin mit öffentlich bekannter Sicherheitslücke; der Hersteller liefert keine Updates mehr. | B | RF16 |
| Shop-Software in einer Version, für die es keine Sicherheitsupdates mehr gibt. | B | RF16 |
| Backups beim Hoster vorhanden, Wiederherstellung nie getestet; Datenbank oder Mediendateien fehlen im Backup. | B | RF15 |
| Formular-Plugin speichert Anfragen dauerhaft in der Datenbank, ohne Löschkonzept. | G | – |
| Zugangsdaten werden per E-Mail mit Dienstleistern geteilt. | B | – |
G = gesetzliche Pflicht, P = Plattformrichtlinie, B = Best Practice, W = Wirtschaftlichkeit. Zur Einordnung siehe Methodik.
Red Flags
K.-o.-Kriterien in der Datensicherheit
Gesondert vom Score berichtet, weil schon eine dieser Lücken den Betrieb von Website und Shop unterbrechen kann.
- RF15
Kein getesteter Restore-Weg
Ob sich Website, Shop und Daten nach einem Vorfall wiederherstellen lassen, ist unbekannt. Ein Ausfall kann dann Tage statt Stunden dauern.
- RF16
Bekannte Sicherheitslücken oder ungepflegte Systeme
Veraltete Software ist ein offenes Einfallstor und bedeutet Investitionsbedarf, der in die Bewertung des Unternehmens einfließt.
Kennzahlen
Woran wir Sicherheit und Wiederanlauf messen
- Wiederherstellungszeit (RTO) und maximaler Datenverlust (RPO) aus einem dokumentierten Restore-Test
- Anteil der Komponenten mit ausstehenden Sicherheitsupdates
- Zahl der Administrator-Konten im Verhältnis zu den tatsächlich benötigten
- Geschätzte Ausfallkosten je Tag auf Basis von Umsatz und Deckungsbeitrag
Fehlt ein Restore-Test, erscheint das als Red Flag – unabhängig davon, wie gut der übrige Bereich abschneidet.
Normbezug
Sicherheit der Verarbeitung
Datensicherheit ist auch gesetzliche Pflicht. Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) und die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde, möglichst binnen 72 Stunden (Art. 33 DSGVO). Dienstleister mit Zugriff auf personenbezogene Daten betrifft die Auftragsverarbeitung (Art. 28 DSGVO). Befunde dazu weisen wir als Hinweis auf Prüfbedarf mit Norm aus.
Hinweis: Rechtliche Befunde weisen wir als Prüfbedarf mit Normbezug aus – nicht als rechtliche Bewertung. Die rechtliche Prüfung übernimmt auf Wunsch eine unabhängige Partnerkanzlei, die Sie direkt mandatieren. So funktioniert die anwaltliche Prüfung
Überschneidungen
Angrenzende Prüfbereiche
Hosting & Infrastruktur
Server, Firewall, Domains und Verfügbarkeit der Infrastruktur.
MarTech-Stack & Tracking
Welche Tools und Skripte Daten erheben und wohin sie fließen.
Recht & Compliance
Datenschutzpflichten und Auftragsverarbeitung im Gesamtbild.
Wie wir mit Ihren Zugängen und Daten umgehen, beschreibt die Seite Vertraulichkeit.
Pakete
In diesen Paketen geprüft
Vendor Due Diligence
Beseitigt Sicherheitsrisiken, bevor die Käuferseite sie findet.
ab 14.500 € nettoPreise netto zzgl. USt. „Ab“-Preise gelten für Zielunternehmen bis 50 Mio. € Umsatz; verbindlich ist das Festpreisangebot nach Erstgespräch und Selbstauskunft.
Erstgespräch
Wiederherstellen können, bevor es nötig ist
Im kostenfreien Erstgespräch (30 Minuten) klären wir, welche Systeme in die Prüfung gehören und welche Lesezugänge wir benötigen.