Ein Montagmorgen, 8:47 Uhr. Ein Kunde ruft an: Seine Website zeigt seit dem Wochenende eine fremde Seite mit kyrillischen Schriftzeichen. Der Online-Shop war 36 Stunden nicht erreichbar. Der Umsatzverlust liegt bereits im fünfstelligen Bereich. Und die Agentur, die die Seite betreut, wusste von nichts.
Solche Szenarien sind kein Einzelfall. Laut Bundesamt für Sicherheit in der Informationstechnik verzeichnete Deutschland 2023 einen Anstieg von Cyberangriffen auf kleine und mittelständische Unternehmen um rund 28 Prozent gegenüber dem Vorjahr. Webagenturen stehen dabei in einer besonders exponierten Position: Sie verwalten nicht selten Zugangsdaten, Hosting-Accounts und CMS-Installationen für Dutzende Kunden gleichzeitig.
Warum Agenturen ein besonderes Angriffsziel sind
Wer als Angreifer einen einzigen Agentur-Account kompromittiert, bekommt unter Umständen Zugang zu zwanzig oder dreißig Kundenprojekten auf einmal. Das macht Agenturen strukturell attraktiver als einzelne Unternehmen. Besonders gefährdet sind Agenturen, die Passwörter in einfachen Tabellen oder unverschlüsselten Notizen verwalten, für alle Kunden denselben SFTP-Nutzer verwenden oder automatische Updates in WordPress, Typo3 und Co. grundsätzlich deaktiviert haben.
Ein weiteres Problem: Viele Agenturen haben keinen definierten Prozess für den Ernstfall. Im Stress wird dann improvisiert, und das kostet wertvolle Zeit.
Die ersten 60 Minuten nach einem Vorfall
Die erste Stunde nach Entdecken eines Angriffs entscheidet darüber, wie groß der Schaden wird. Folgende Schritte sollten Agenturen in dieser Phase priorisieren:
- Betroffene Systeme isolieren: Den kompromittierten Server oder Account sofort vom Netz nehmen, bevor sich Schadcode lateral ausbreitet.
- Kunden informieren: Frühzeitige, sachliche Kommunikation verhindert Kontrollverlust und Vertrauensverlust. Keine Spekulationen, nur gesicherte Fakten.
- Zugangsdaten sperren: Alle potenziell betroffenen Passwörter zurücksetzen, besonders für Hosting, CMS, Datenbanken und E-Mail-Konten.
- Snapshot sichern: Den aktuellen Zustand des kompromittierten Systems als forensisches Abbild sichern, bevor irgendetwas bereinigt wird. Andernfalls gehen Spuren verloren.
- Meldepflichten prüfen: Bei personenbezogenen Daten greift die DSGVO-Meldepflicht. Agenturen, die als Auftragsverarbeiter tätig sind, müssen den Verantwortlichen unverzüglich informieren.
Gerade der letzte Punkt wird in der Praxis häufig vergessen oder zu spät angegangen. Die DSGVO sieht bei Datenpannen eine Meldefrist von 72 Stunden vor. Wer diese Frist verpasst, riskiert empfindliche Bußgelder.
Forensik: Wann externe Spezialisten gefragt sind
Nicht jeder Vorfall lässt sich intern klären. Wenn unklar ist, wie ein Angreifer eingedrungen ist, wie lange er bereits Zugang hatte oder welche Daten abgeflossen sind, braucht es jemanden mit forensischen Methoden und entsprechender Ausrüstung. Agenturen in Baden-Württemberg wenden sich in solchen Situationen etwa an spezialisierte Dienstleister für IT-Notfall Stuttgart, die sowohl bei der Spurensicherung als auch bei der Wiederherstellung kompromittierter Systeme unterstützen.
Externe Forensiker können Log-Dateien systematisch auswerten, den Angriffspfad rekonstruieren und im Zweifelsfall auch gerichtsverwertbare Dokumentationen erstellen. Das ist besonders relevant, wenn ein Auftraggeber rechtliche Schritte gegen den Angreifer erwägt oder wenn Versicherungen Nachweise für den Schadensfall verlangen.
Prävention: Was Agenturen strukturell anders machen sollten
Reaktives Handeln ist teuer. Proaktive Maßnahmen sind es meistens nicht. Die folgenden Punkte lassen sich mit überschaubarem Aufwand in den Agenturalltag integrieren:
- Passwort-Manager verpflichtend einführen: Tools wie Bitwarden oder 1Password ermöglichen es, für jeden Kunden und jedes System individuelle, starke Zugangsdaten zu verwalten, ohne dass Mitarbeiter diese kennen müssen.
- Zwei-Faktor-Authentifizierung für alle Admin-Zugänge: Das betrifft Hosting-Panels, CMS-Backends und Git-Repositories gleichermaßen.
- Automatische Updates aktivieren: Veraltete WordPress-Plugins sind laut einer Studie von Sucuri für rund 56 Prozent aller erfolgreichen CMS-Angriffe verantwortlich. Wer Updates konsequent ausrollt, schließt die häufigste Einfallsroute.
- Backup-Strategie nach der 3-2-1-Regel: Drei Kopien, auf zwei verschiedenen Medien, davon eine außerhalb des Primärsystems. Backups sollten wöchentlich auf Wiederherstellbarkeit geprüft werden.
- Monitoring implementieren: Einfache Uptime-Checks reichen nicht aus. Integritätsmonitoring, das Dateiänderungen auf dem Server meldet, erkennt viele Angriffe, bevor sie sichtbar werden.
Vertragsgrundlage und Haftungsfragen klären
Ein Aspekt, der in technischen Diskussionen oft fehlt: Wer ist eigentlich verantwortlich, wenn es schiefläuft? Das hängt stark von der Vertragsgestaltung ab. Viele Agenturen betreiben Websites im Auftrag, ohne in ihren AGB oder Wartungsverträgen klar zu definieren, welche Sicherheitsleistungen inklusive sind und welche nicht.
Ein Wartungsvertrag sollte mindestens folgende Punkte regeln: den Umfang der überwachten Systeme, die Reaktionszeit im Störungsfall, die Verantwortlichkeit für Updates und Backups sowie die Eskalationskette bei sicherheitsrelevanten Vorfällen. Fehlen diese Regelungen, haften Agenturen im Schadensfall unter Umständen deutlich weiter als beabsichtigt.
Eine kurze Übersicht: Wer macht was im Notfall
| Aufgabe | Agentur | Externer Forensiker | Kunde |
|---|---|---|---|
| Systeme isolieren | Ja | Unterstützend | Nein |
| Forensisches Abbild erstellen | Eingeschränkt | Ja | Nein |
| DSGVO-Meldung auslösen | Informiert Kunden | Nein | Meldet Behörde |
| Kommunikation nach außen | Intern koordinieren | Nein | Ja |
| Systeme wiederherstellen | Ja | Unterstützend | Nein |
Fazit: Vorbereitung ist keine Option
Agenturen, die Website-Sicherheit als nachgelagerte Aufgabe behandeln, unterschätzen systematisch das Risiko, das sie für sich selbst und ihre Kunden darstellen. Ein dokumentierter Notfallplan, klare Vertragsregelungen und technische Mindeststandards sind keine Luxus, sondern Grundvoraussetzung für professionellen Betrieb. Wer diese Strukturen nicht aufbaut, bevor der erste Vorfall eintritt, wird sie im Ernstfall schmerzlich vermissen.
Der Aufwand, sich auf solche Szenarien vorzubereiten, ist überschaubar. Der Schaden, der durch fehlende Vorbereitung entsteht, selten.
