Kennst du das? Deine Website läuft. Seit Monaten, vielleicht Jahren, ohne dass irgendetwas auffällt. Sie lädt schnell, sieht gut aus, die Kundschaft bestellt oder schreibt eine Anfrage. Alles wie immer. Genau das ist das Trügerische an Sicherheitslücken: Sie kündigen sich nicht an. Eine Website, die heute völlig unauffällig aussieht, kann morgen über ein Plugin angreifbar sein, das seit drei Jahren niemand mehr aktualisiert hat.
Bei Artd betreuen wir Websites für Kundinnen und Kunden aus ganz unterschiedlichen Branchen. Jede einzelne davon ist, ob sie will oder nicht, ein potenzielles Ziel. Nicht weil jemand es persönlich auf genau diese eine Seite abgesehen hätte, sondern weil die meisten Angriffe im Internet automatisiert ablaufen und gar nicht nach Personen suchen, sondern nach bekannten, noch offenen Schwachstellen.
Genau deshalb haben wir ein eigenes System entwickelt, den Artd Security Scanner. Er überwacht jede Nacht alle betreuten Websites auf genau solche Lücken.
Was eine gehackte Website wirklich kostet
Über Sicherheitslücken spricht man oft sehr abstrakt. Dabei sind die Folgen sehr konkret. Wird eine Website kompromittiert, kann sie plötzlich Spam versenden, Besucherinnen auf dubiose Seiten umleiten oder unbemerkt Schadsoftware verteilen. Google merkt das in aller Regel früher als du selbst und stuft die Seite dann als gefährlich ein oder wirft sie aus dem Suchindex. Was folgt, ist selten in ein paar Minuten erledigt: Schadcode muss gefunden und entfernt, das Vertrauen von Google zurückgewonnen, im schlimmsten Fall die Kundschaft informiert werden. Das kostet Zeit und Geld. Am schwersten wiegt meist der Vertrauensverlust.
Das Unangenehme dabei: Die Ursache ist selten ein raffinierter, gezielter Angriff. Meistens ist es eine ganz gewöhnliche, seit Monaten bekannte Lücke in einem Plugin, das einfach niemand mehr auf dem Radar hatte. Gerade in der Schweiz erwartet auch das Datenschutzgesetz von Unternehmen angemessene technische Massnahmen zum Schutz von Kundendaten. Eine seit Monaten bekannte, ungepatchte Sicherheitslücke passt schlecht zu dieser Sorgfaltspflicht.
Was macht eine Website eigentlich angreifbar?
Die wenigsten Websites werden geknackt, weil jemand stundenlang gezielt nach einer Lücke sucht. Viel häufiger läuft es umgekehrt: Eine Website nutzt ein CMS wie WordPress oder Joomla, dazu eine Reihe von Plugins und Erweiterungen, etwa für den Shop, das Kontaktformular oder die Bildergalerie. Jedes dieser Bauteile wird von Drittanbietern gepflegt, und wie bei jeder Software werden darin von Zeit zu Zeit Fehler entdeckt, durch die sich Unbefugte Zugriff verschaffen können.
Man kann sich das wie ein Schloss vorstellen, das beim Einbau völlig sicher war, bis Jahre später jemand herausfindet, wie man es mit einem gebogenen Draht öffnet. Das Schloss selbst hat sich nicht verändert. Aber das Wissen darüber, wie man es knackt, ist jetzt öffentlich. Sicherheitsforscherinnen und -forscher rund um den Globus entdecken solche Lücken laufend, katalogisieren sie in offenen Datenbanken und bewerten ihre Gefährlichkeit auf einer Skala von 0 bis 10. Das Problem: Diese Information nützt niemandem, wenn sie nicht laufend mit den tatsächlich installierten Plugins auf deiner Website abgeglichen wird.
Ein Beispiel: Ein Kontaktformular-Plugin wird installiert, funktioniert einwandfrei und bleibt drei Jahre lang unangetastet, weil es ja läuft. Genau in dieser Zeit wird öffentlich bekannt, dass sich über eine bestimmte Version dieses Plugins beliebiger Code hochladen lässt. Die Website selbst hat sich in dieser Zeit kein bisschen verändert. Trotzdem ist sie über Nacht zu einem offenen Tor geworden, nur eben eines, von dem niemand etwas weiss, solange keiner nachschaut.
Genau dieser Abgleich war lange Zeit Handarbeit: von Hand prüfen, welche Version wo läuft, welche Lücken dafür bekannt sind, wie dringend ein Update ist. Bei einer einzelnen Website liesse sich das noch machen. Betreust du gleichzeitig viele Websites, auf denen laufend neue Lücken in laufend neuen Plugin-Versionen auftauchen, ist Handarbeit irgendwann keine Frage von Sorgfalt mehr, sondern von Mathematik: Es gibt schlicht nicht genug Stunden im Tag, um das für jede einzelne Website jeden Tag von Neuem zu prüfen.
Hinzu kommt: Sicherheitslücken in Plugins sind nur die halbe Geschichte. Eine Website kann auch dann kompromittiert sein, wenn keine bekannte Schwachstelle "schuld" ist, etwa weil sich über einen anderen Weg unbemerkt Schadcode eingenistet hat. Das merkt man von aussen oft erst, wenn Google die Seite als gefährlich einstuft oder Besucherinnen sich über seltsame Weiterleitungen beschweren. Bis dahin ist der Schaden am Vertrauen bereits angerichtet.
Sicherheit als tägliche Routine, nicht als einmaliges Projekt
Ein Tool, das genau zu unserer Grösse und unserer Kundenvielfalt passte, gab es am Markt nicht. Also haben wir es selbst programmiert. Der Artd Security Scanner löst genau dieses Problem: Er macht aus der stichprobenartigen, manuellen Prüfung eine automatisierte, tägliche Routine. Jede Nacht gleicht das System für jede betreute Website ab, welche CMS-Version, welche Plugins und welche Erweiterungen installiert sind, und vergleicht das mit mehreren unabhängigen, öffentlichen Datenbanken bekannter Schwachstellen. Zusätzlich wird jede Website auf Schadsoftware und auf Einträge in Sperrlisten geprüft, und der Dateibestand selbst wird auf verdächtigen, eingeschleusten Code untersucht. Dabei zählt nicht nur die Versionsnummer der Software, sondern der tatsächliche Code auf dem Server.
Das läuft automatisch jede Nacht, ohne dass jemand von Hand eingreifen muss.
Kurz gesagt kombiniert der Scanner mehrere unabhängige Quellen zu einem Gesamtbild:
- CMS- und Plugin-Datenbanken für WordPress und Joomla, die täglich mit bekannten Schwachstellen abgeglichen werden
- Eine internationale Schwachstellen-Datenbank, die jeder Lücke einen Gefahrenwert zwischen 0 und 10 zuweist
- Ein Malware- und Sperrlisten-Check, der prüft, ob eine Website bereits als gefährlich eingestuft wurde
- Ein Datei-Signatur-Scan, der den tatsächlichen Code auf dem Server nach eingeschleuster Schadsoftware durchsucht
- Eine künstliche Intelligenz von Google (Gemini), die jeden Fund einordnet und eine Handlungsempfehlung formuliert
So sieht das für unser Team im Alltag aus: Auf einen Blick, wie viele Funde welche Dringlichkeit haben und wann der nächste Scan läuft. (Beispieldaten zur Illustration, keine aktuellen Live-Zahlen.)
Werden neue, kritische Funde entdeckt, wird unser Team umgehend benachrichtigt, nicht erst beim nächsten ohnehin geplanten Website-Check.
Eine KI, die mitdenkt statt nur Alarm zu schlagen
Nicht jede gemeldete Lücke bedeutet die gleiche Dringlichkeit. Eine Schwachstelle mit Gefahrenwert 9 in einem aktiven, öffentlich erreichbaren Plugin ist etwas anderes als eine kleinere Lücke in einer Komponente, die kaum genutzt wird. Deshalb bewertet eine KI jeden Fund automatisch und übersetzt ihn in eine klare, verständliche Handlungsempfehlung: von "Update zeitnah einspielen" bis "sofort handeln". So verbringt unser Team die Zeit nicht mit Sortieren und Einordnen, sondern mit dem eigentlichen Beheben.
Wichtig dabei: Die KI trifft keine automatischen Änderungen an deiner Website. Sie ordnet einen Fund ein und schlägt eine Priorität vor. Gehandelt wird immer von Menschen aus unserem Team.
Zu jedem Fund liefert die KI eine kurze Einschätzung und eine klare Empfehlung, statt nur eine nackte Fehlermeldung.
Was der Scanner bewusst nicht macht
Genauso wichtig wie das, was der Scanner tut, ist das, was er bewusst nicht tut. Er behebt Lücken nicht automatisch selbst. Das bleibt Aufgabe unseres Entwicklerteams, das jeden Fund einordnet, bevor an deiner Website etwas verändert wird. Er ersetzt auch keine tiefergehende, manuelle Sicherheitsprüfung für besonders sensible Systeme. Besonders wichtig: Er überwacht ausschliesslich technische Eigenschaften deiner Website wie Software-Versionen und Dateien. Inhalte oder Nutzerdaten deiner Website sind davon zu keinem Zeitpunkt betroffen.
Was heisst das konkret für dich?
Ist deine Website bei uns gehostet, betrifft dich das direkt: Im Hintergrund läuft ein System, das wir selbst entwickelt haben und das jede Nacht deine Website mitprüft, ohne dass du selbst etwas dafür einrichten oder überwachen musst.
Genauso wichtig: Diese Überwachung ist nicht an unser eigenes Hosting gekoppelt. Wir bieten die laufende Sicherheitsüberwachung und Wartung auch für Websites an, die extern gehostet sind. Wo deine Website technisch liegt, spielt keine Rolle, solange sie bei uns in Betreuung ist. Websites, die wir neu übernehmen, egal ob bei uns oder extern gehostet, laufen häufig seit Jahren mit demselben Plugin-Stand. Nicht aus Nachlässigkeit, sondern weil schlicht niemand einen laufenden Abgleich mit der aktuellen Schwachstellen-Landschaft gemacht hat. Genau das ändert sich vom ersten Tag an, sobald eine Website bei uns unter Betreuung steht.
Solltest du deine Website aktuell selbst oder über eine andere Agentur betreuen lassen, lohnt sich eine einfache Frage: Weiss meine Agentur eigentlich in Echtzeit, welche Schwachstellen auf meiner Website gerade aktiv sind, oder wird das nur geprüft, wenn zufällig mal Zeit dafür ist?
Sicherheit ist kein einmaliges Projekt, das man abhakt, sondern ein Zustand, den man laufend aufrechterhalten muss. Genau dafür haben wir den Artd Security Scanner gebaut. Und genau deshalb läuft er jede Nacht, ohne Ausnahme.
Fazit
Die gefährlichsten Sicherheitslücken sind nicht die, nach denen jemand gezielt mit bösen Absichten sucht, sondern die, die schlicht niemandem auffallen. Mit dem Artd Security Scanner verwandeln wir das ungute Gefühl "hoffentlich ist noch alles sicher" in ein tägliches, überprüfbares Ja.
Du willst wissen, wie es um die Sicherheit deiner eigenen Website steht? Nimm unverbindlich Kontakt mit uns auf. Wir schauen uns das gemeinsam an.
Häufige Fragen
Nein. Wir bieten die laufende Sicherheitsüberwachung und Wartung auch für Websites an, die extern gehostet sind. Entscheidend ist, dass deine Website bei uns unter Betreuung steht, nicht wo sie gehostet ist.
Nein. Der Scanner läuft im Hintergrund für alle von Artd betreuten Websites automatisch mit, unabhängig vom Hosting-Ort.
Unser Team wird umgehend benachrichtigt, prüft den Fund samt KI-Einschätzung und behebt ihn, je nach Dringlichkeit sofort oder im nächsten Wartungsfenster.
Nein. Der Scanner erkennt Risiken und Schadsoftware, sichert aber selbst keine Daten. Im Rahmen unserer Wartung erstellen wir zusätzlich regelmässige, verschlüsselte Backups deiner Website und legen sie automatisiert in einem Cloud-Speicher ab. Scanner und Backup ergänzen sich, das eine ersetzt das andere nicht.
Für jede Website, die auf einem CMS mit Plugins oder Erweiterungen läuft, also praktisch für jede moderne Business-Website, ob Shop, Portfolio oder Kundenportal.
Der Artd Security Scanner ist Teil unserer laufenden Betreuung. Wie das konkret für deine Website aussieht, besprechen wir gerne persönlich mit dir.
Der Scanner läuft automatisiert jede Nacht. Kritische Funde lösen zusätzlich sofort eine Benachrichtigung an unser Team aus. Du musst also nicht auf den nächsten ohnehin geplanten Wartungstermin warten, bis jemand hinschaut.
