Web Security

Sicherheit mit Konzept.

Websites sind Einfallstore: veraltete Erweiterungen, schwache Zugänge, ungeschützte Formulare. Wir prüfen, wo Ihre Website verwundbar ist, schliessen die Lücken in TYPO3, Shopware und auf dem Server und erarbeiten ein Sicherheitskonzept, das zu Ihrer Organisation passt, bis zu klaren Abläufen für den Ernstfall.

Security-Check anfragen

Warum jetzt

Angriffe sind Alltag

Stand Oktober 2026. Wir beraten technisch, nicht juristisch.

So läuft es ab

Wie ein Angriff abläuft

Viele Angriffe auf Websites laufen automatisch: Programme suchen rund um die Uhr nach bekannten Lücken. An jeder Station lässt sich der Angriff stoppen oder sein Schaden begrenzen.

  1. Suchen

    Programme durchsuchen das Netz nach Websites mit bekannten Lücken. Schutz: Updates, sobald sie erscheinen.

  2. Eindringen

    Über eine veraltete Erweiterung oder ein erratenes Passwort. Schutz: Zwei-Faktor-Anmeldung und ein gehärteter Server.

  3. Ausbreiten

    Mit den Rechten des gekaperten Kontos geht es weiter. Schutz: Rollen mit nur den nötigen Rechten.

  4. Verstecken

    Schadcode tarnt sich, damit ihn niemand bemerkt. Schutz: Monitoring, Protokolle und Warnungen.

  5. Schaden

    Daten abgeflossen, Spam auf der Seite, Website gesperrt. Schutz: getrennte Backups mit getesteter Wiederherstellung.

  6. Melden

    Bei hohem Risiko für Betroffene verlangt das DSG eine Meldung an den EDÖB. Vorbereitet: ein Notfallplan mit Meldewegen.

Wo Ihre Website heute verwundbar ist, zeigt der Security-Check. Security-Check anfragen

Selbsttest

Wie gut geschützt ist Ihre Website?

Acht Fragen, eine Minute. Kreuzen Sie an, was auf Ihre Website zutrifft.

Was trifft auf Ihre Website zu?

Typische Lücken

Statt Hoffnung, ein Konzept.

Viele Lücken entstehen nicht im Code, sondern aus Gewohnheit: ein geteiltes Passwort, eine vergessene Erweiterung, ein Backup, das nie jemand zurückgespielt hat.

Aktuell bleiben

  • TYPO3 oder Shopware ohne Sicherheitsupdates

    Upgrade auf eine unterstützte Version, ELTS als Brücke

    Bekannte Lücken sind geschlossen

  • Erweiterungen, die niemand mehr pflegt

    Inventar aller Erweiterungen, ersetzen oder entfernen

    Weniger Angriffsfläche

Zugänge

  • Ein Admin-Konto für alle

    Persönliche Konten mit Rollen und nur den nötigen Rechten

    Nachvollziehbar, wer was geändert hat

  • Passwort allein

    Zwei-Faktor-Anmeldung, im TYPO3-Backend schon eingebaut

    Ein gestohlenes Passwort reicht nicht mehr

Server

  • Keine Security-Header

    HSTS, Content-Security-Policy und weitere Header

    Der Browser blockt fremden Code

  • Fehlermeldungen mit Pfaden und Versionen

    Produktivbetrieb ohne Debug-Ausgaben

    Angreifer erfahren nichts über das System

  • Formulare ohne Schutz

    Formularschutz ohne Tracking und Prüfung aller Eingaben

    Kein Spam, keine eingeschleusten Befehle

Ernstfall

  • Backup auf demselben Server

    Getrennte, verschlüsselte Backups mit getesteter Wiederherstellung

    Schnell wieder online

  • Niemand weiss, wer was tut

    Notfallplan mit Kontakten, Abläufen und Meldepflichten

    Ruhe, wenn es darauf ankommt

Leistungen

Vom Check zum Konzept

Ein ehrlicher Befund, eine Härtung in überschaubaren Schritten und Abläufe, die auch dann tragen, wenn etwas passiert.

  1. Security-Check

    Versionen, Erweiterungen, Zugänge, Server und Formulare, angelehnt an die OWASP Top 10. Sie erhalten die wichtigsten Risiken und was zuerst zu tun ist.

  2. Härtung

    TYPO3, Shopware und Server: Updates, Rechte, Security-Header und eine sichere Konfiguration. Mehr unter Upgrades & Updates.

  3. Zugänge absichern

    Zwei-Faktor-Anmeldung, Rollen, Passwortregeln und ein Ablauf für neue und austretende Mitarbeitende.

  4. Backup- und Notfallkonzept

    Getrennte Backups, getestete Wiederherstellung und ein Notfallplan mit Meldewegen. Mehr unter Hosting & Betrieb.

  5. Datenschutz nach DSG

    Formulare, Tracking und Auftragsverarbeitung, damit Sicherheit und Datenschutz zusammenpassen. Mehr unter Datenschutz.

Ablauf

In vier Schritten sicherer

  1. Check

    Wir prüfen Versionen, Erweiterungen, Zugänge, Server-Konfiguration und Formulare.

  2. Konzept

    Risiken nach Schwere und Aufwand, dazu Rollen, Backups und der Ablauf im Ernstfall.

  3. Härtung

    Wir setzen um, in TYPO3, Shopware und auf dem Server.

  4. Wartung

    Updates und Monitoring halten den Stand, auch wenn neue Lücken bekannt werden.

Lesbar für alle

Sicher, ohne auszusperren.

Ein Captcha ohne Bilderrätsel, eine Anmeldung, die auch mit Screenreader klappt, eine Fehlermeldung, die sagt, was zu tun ist: Gute Sicherheit hält Angreifer draussen und Menschen nicht auf. Wie Web-Design, Barrierefreiheit, KI und GEO zusammenspielen, zeigen wir auf einer eigenen Seite.

Lesbar für alle entdecken
  • Web-Designfür Menschen, die sehen und klicken
  • Barrierefreiheitfür Screenreader, Tastatur und Lupe
  • GEOfür KI-Assistenten, die lesen und zitieren
  • KIfür KI-Agenten, die im Auftrag handeln

FAQ

Gut zu wissen

Stand Oktober 2026. Wir beraten technisch, nicht juristisch.

Ist meine TYPO3-Website sicher, wenn sie aktuell ist?

Aktuelle Versionen sind die wichtigste Grundlage, aber nicht alles. Auch Erweiterungen, Zugänge, Server-Konfiguration und Formulare entscheiden über die Sicherheit. Der Security-Check zeigt, wo Ihre Website heute steht.

Was prüft der Security-Check?

Versionen von CMS, Erweiterungen und PHP, Zugänge und Rechte, Server-Konfiguration und Security-Header, Formulare und Uploads sowie Backups und Notfallabläufe. Als Leitfaden dienen die OWASP Top 10 in der Fassung von 2025, die Liste der wichtigsten Risiken für Webanwendungen.

Ist der Security-Check ein Penetrationstest?

Nein. Der Check prüft Konfiguration, Versionen und Abläufe, ohne Ihre Website anzugreifen. Wo ein Penetrationstest sinnvoll ist, etwa bei Kundenportalen mit sensiblen Daten, sagen wir es Ihnen.

Brauche ich eine Zwei-Faktor-Anmeldung?

Für jedes Konto mit Zugang zum Backend empfehlen wir sie. TYPO3 hat sie seit Version 11.1 eingebaut, mit einer App für Einmal-Codes und Wiederherstellungscodes für den Notfall. Ein gestohlenes Passwort allein reicht dann nicht mehr.

Was sind Security-Header?

Anweisungen, die der Server dem Browser mitgibt: etwa nur verschlüsselt zu verbinden (HSTS) oder nur Skripte aus erlaubten Quellen auszuführen (Content-Security-Policy). Sie kosten wenig und verhindern ganze Klassen von Angriffen.

Was muss ich nach einem Angriff melden?

Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen, verlangt Art. 24 DSG eine Meldung an den EDÖB, so rasch als möglich. Betreiber kritischer Infrastrukturen, etwa Spitäler, Energieversorger oder Rechenzentren, melden Cyberangriffe seit dem 1. April 2025 zudem innert 24 Stunden dem Bundesamt für Cybersicherheit. Ein Notfallplan legt vorher fest, wer was meldet.

Security-Check

Wo ist Ihre Website verwundbar?

Security-Check anfragen

JuliaBeratung, Administration