Dass Cybersecurity längst eine strategische Aufgabe ist, zeigt sich auch in aktuellen Unternehmensbefragungen: Sicherheit zählt zu den wichtigsten IT-Prioritäten deutscher Unternehmen. Für die eigene Website wird dieser Anspruch in der Praxis jedoch nicht immer konsequent in laufende Prozesse übersetzt. Häufig wird Sicherheit beim Relaunch berücksichtigt - und danach vor allem dann zum Thema, wenn ein Update ansteht oder bereits etwas passiert ist.

Wer kümmert sich nach dem Relaunch um die Sicherheit?

Ein typisches Problem ist die Verteilung der Zuständigkeiten. Eine Agentur entwickelt die Website, das Marketing pflegt anschließend die Inhalte und der Hoster betreibt Server und Infrastruktur. Doch wer beobachtet neue Sicherheitsmeldungen? Wer prüft und installiert kritische Updates? Wer kontrolliert Erweiterungen, Zugriffsrechte und Backups? Und wer übernimmt die technische Koordination, falls die Website kompromittiert wird?

Besonders deutlich wird diese Frage bei Websites, die auf einem Content-Management-System wie WordPress basieren. Denn mit dem Go-live endet die technische Arbeit nicht: Neben dem eigentlichen CMS müssen auch Themes, Plugins und Schnittstellen regelmäßig geprüft und aktualisiert werden. Je umfangreicher die Website ist, desto wichtiger wird deshalb eine klar geregelte laufende Betreuung.

Unternehmen sollten verbindlich festlegen, ob diese Aufgaben intern oder durch einen externen Dienstleister übernommen werden. Fehlen im eigenen Team die nötigen Ressourcen oder das spezialisierte Know-how, kann eine fähige WordPress-Agentur die technische Wartung und Betreuung übernehmen. Bei der Auswahl sollte jedoch nicht allein auf Design und Entwicklung geachtet werden. Ebenso wichtig ist, ob der Dienstleister Sicherheitsupdates, Backups, Monitoring und einen klaren Prozess für Notfälle abdeckt.

Warum moderne Websites immer neue Angriffsflächen schaffen

WordPress zeigt anschaulich, weshalb Website-Sicherheit als laufende Aufgabe verstanden werden muss. Eine typische Installation besteht nicht nur aus dem CMS selbst. Hinzu kommen Theme, Plugins, Serverumgebung, Datenbank, Benutzerkonten und häufig externe Dienste oder APIs. Jede dieser Komponenten verändert sich im Laufe der Zeit und kann aktualisiert werden müssen.

Risiken entstehen etwa durch veraltete oder nicht mehr gepflegte Erweiterungen, unnötige Administratorrechte, schwache Zugangsdaten oder fehlende Mehrfaktor-Authentifizierung. Auch Backups helfen nur dann zuverlässig, wenn sie aktuell sind und sich im Ernstfall tatsächlich wiederherstellen lassen. Das Problem ist daher nicht automatisch das eingesetzte Content-Management-System. Kritisch wird es vor allem dann, wenn niemand den Softwarebestand überblickt und der sichere Betrieb nicht organisiert ist.

Aktuelle Sicherheitslücken zeigen, wie klein das Zeitfenster ist

Wie schnell aus einer bekannt gewordenen Schwachstelle ein konkretes Risiko werden kann, zeigte sich im Juli 2026. WordPress veröffentlichte am 17. Juli die Sicherheitsversion 7.0.2, die ein kritisches und ein als hoch eingestuftes Sicherheitsproblem behob. Die Schwachstellen konnten in Kombination eine nicht authentifizierte Remote Code Execution ermöglichen - also die Ausführung von Code aus der Ferne. Kurz darauf warnte das BSI bereits vor aktiver Ausnutzung und empfahl, entsprechende Updates unverzüglich einzuspielen.

Nur wenige Wochen später folgte mit dem Sicherheitsrelease WordPress 7.0.3 ein weiteres Update. Die am 6. August veröffentlichte Version enthielt mehrere Sicherheitskorrekturen, darunter eine Schwachstelle auf dem Anmeldebildschirm, die unter bestimmten Umständen bis zur Ausführung von PHP-Code führen konnte. WordPress empfahl Websitebetreibern erneut eine sofortige Aktualisierung.

Für Unternehmen ergibt sich daraus eine entscheidende Frage: Ist der eigene Prozess schnell genug, um auf eine kritische Sicherheitsmeldung kurzfristig zu reagieren? Wenn Updates erst bei der nächsten routinemäßigen Wartung mehrere Wochen später geprüft werden, kann das Zeitfenster bereits zu groß sein.

Website-Sicherheit muss zum festen Prozess werden

Ein wirksamer Sicherheitsprozess beginnt mit Transparenz. Unternehmen sollten wissen, welche CMS-Version, Themes, Plugins, Schnittstellen und Benutzerkonten eingesetzt werden. Erweiterungen, die nicht mehr benötigt oder nicht mehr gepflegt werden, gehören auf den Prüfstand.

Darauf aufbauend braucht es klare Regeln für Updates. Sicherheitsrelevante Aktualisierungen sollten priorisiert, wenn nötig in einer Testumgebung geprüft und anschließend zeitnah ausgerollt werden können. Gleichzeitig sollten Administratorrechte auf die Personen beschränkt sein, die sie tatsächlich benötigen. Konten ehemaliger Mitarbeiter oder Dienstleister sollten konsequent entfernt und besonders privilegierte Zugänge möglichst durch Mehrfaktor-Authentifizierung geschützt werden.

Auch Backups gehören zu diesem Prozess. Entscheidend ist nicht nur, dass Sicherungskopien vorhanden sind, sondern dass regelmäßig geprüft wird, ob sich daraus eine funktionsfähige Website wiederherstellen lässt. Ergänzend sollte ein Monitoring Auffälligkeiten und Ausfälle frühzeitig sichtbar machen. Gerade bei wiederkehrenden Tätigkeiten gewinnt dabei die Automatisierung in der Cybersicherheit an Bedeutung: Automatisierte Prüfungen und Warnungen können Reaktionszeiten verkürzen, ersetzen aber nicht die klare Verantwortung für die daraus folgenden Maßnahmen.

Sicherheit braucht klare Verantwortlichkeiten

Ob die Website intern, extern oder in einem gemischten Modell betreut wird, ist letztlich zweitrangig. Entscheidend ist, dass Zuständigkeiten eindeutig festgelegt sind. Das Marketing kann beispielsweise Inhalte verantworten, die IT-Sicherheitsvorgaben und Zugänge und ein externer Dienstleister die technische Wartung. Wichtig ist, dass keine Aufgabe zwischen diesen Rollen liegen bleibt.

Dazu gehört auch ein einfacher Notfallplan: Wer wird informiert, wenn verdächtige Aktivitäten auftreten? Wer kann die Website kurzfristig sperren oder wiederherstellen? Und wer prüft, ob möglicherweise weitere Systeme betroffen sind? Solche Fragen sollten nicht erst während eines Angriffs geklärt werden.

Mit dem Go-live beginnt der sichere Betrieb erst

Eine Unternehmenswebsite ist nach ihrer Veröffentlichung kein abgeschlossenes Projekt. Sie bleibt ein öffentlich erreichbares Softwaresystem, das sich durch Updates, neue Funktionen und Schnittstellen kontinuierlich verändert. Unternehmen sollten deshalb regelmäßig drei Fragen beantworten können: Wer überwacht Sicherheitsupdates? Wie schnell können kritische Aktualisierungen eingespielt werden? Und wer reagiert, wenn die Website kompromittiert wurde?

Wer darauf klare Antworten hat, behandelt Website-Sicherheit nicht mehr als einmalige technische Maßnahme, sondern als kontinuierlichen Unternehmensprozess - und reduziert damit eine häufig unterschätzte Angriffsfläche erheblich.