Website selbst pflegen: Updates, Backups und Zugriffsrechte im Griff

Die Öffnungszeiten sind schnell angepasst, ein neues Foto ist hochgeladen – doch wer kümmert sich um die Technik dahinter? Wer eine Website pflegen möchte, braucht neben aktuellen Inhalten auch verlässliche Updates, brauchbare Sicherungen und klare Zugriffsrechte. Für kleine Betriebe lässt sich das mit einem überschaubaren Wartungsplan organisieren. Entscheidend ist, dass jede Aufgabe eine zuständige Person hat und sich die Wiederherstellung im Ernstfall tatsächlich durchführen lässt.

Zuerst klären: Wer betreut welchen Teil?

Eine Website besteht aus mehreren Teilen. Das Content-Management-System, kurz CMS, verwaltet Inhalte. Erweiterungen ergänzen beispielsweise Formulare oder Shopfunktionen. Das Hosting stellt die technische Umgebung bereit. Hinzu kommen die Domain und angebundene Dienste wie Newsletter oder Terminbuchung.

Halten Sie auf einer Seite fest:

• Welches CMS und welche Erweiterungen werden verwendet?
• Wer übernimmt Updates für das CMS, die Erweiterungen und die Serverumgebung?
• Wo liegen Sicherungen, und wer kann sie wiederherstellen?
• Wer verwaltet Domain, Hosting und zugehörige Benutzerkonten?
• Wer hilft bei einem Ausfall, und wie ist diese Stelle erreichbar?

Bei einem Website-Baukasten übernimmt der Anbieter häufig grosse Teile der technischen Wartung. Prüfen Sie trotzdem, welche Sicherungs-, Export- und Wiederherstellungsfunktionen Ihr Vertrag enthält. Ein Export der Inhalte ist nicht automatisch eine vollständige Sicherung der Website.

CMS-Updates kontrolliert durchführen

Updates können Sicherheitslücken schliessen, Fehler beheben und die Zusammenarbeit verschiedener Komponenten verbessern. Allerdings kann eine neue Version auch Probleme mit einer älteren Erweiterung verursachen. Deshalb gehören Vorbereitung und Funktionskontrolle zum Aktualisieren dazu.

Sicherheitsmeldungen brauchen einen eigenen Ablauf

Unterscheiden Sie zwischen sicherheitsrelevanten Aktualisierungen und grösseren Versionswechseln mit neuen Funktionen. Eine aktiv ausgenutzte Sicherheitslücke verlangt rasches Handeln. Ein planbarer Versionswechsel lässt sich vorbereiten und in einem passenden Zeitfenster durchführen.

Abonnieren Sie die Sicherheitsmeldungen Ihres CMS oder lassen Sie diese durch die betreuende Fachperson überwachen. Eine monatliche Kontrolle allein genügt für dringende Meldungen nicht.

Prüfen Sie ausserdem, ob alle eingesetzten Komponenten noch Sicherheitsupdates erhalten. Für eine nicht mehr unterstützte Erweiterung braucht es einen Ersatz oder einen geordneten Ausbau.

Ein einfacher Ablauf für Aktualisierungen

Für planbare CMS-Updates eignet sich folgende Reihenfolge:

1. Änderungshinweise lesen: Gibt es besondere Voraussetzungen oder bekannte Unverträglichkeiten?
2. Aktuelle Sicherung prüfen: Sind Dateien und Datenbank gesichert, und ist der Wiederherstellungsweg bekannt?
3. Grössere Änderungen vorab testen: Nutzen Sie dafür eine geschützte Kopie der Website, sofern verfügbar.
4. Aktualisierung durchführen: Wählen Sie einen Zeitpunkt, an dem anschliessend jemand prüfen und bei Problemen reagieren kann.
5. Wichtige Funktionen kontrollieren: Testen Sie Navigation, mobile Darstellung, Anmeldung und Kontaktformular einschliesslich Nachrichteneingang. Bei einem Shop gehören Warenkorb und Bestellablauf dazu.

Eine Testumgebung darf keine echten Kundennachrichten versenden oder Zahlungen auslösen. Lassen Sie solche Verbindungen vor dem Test passend einrichten.

Automatische Updates können den Aufwand reduzieren. Aktivieren Sie sie bewusst und verbinden Sie sie mit Sicherungen sowie einer Kontrolle danach. Auch ein automatisch erfolgreich gemeldetes Update sagt noch nichts darüber aus, ob das Kontaktformular weiterhin funktioniert.

Ein Website-Backup muss vollständig und erreichbar sein

Eine heruntergeladene Startseite reicht für die Wiederherstellung eines CMS gewöhnlich nicht aus. Dazu gehören typischerweise die Website-Dateien, hochgeladene Bilder und Dokumente, die Datenbank sowie die benötigte Konfiguration. Lassen Sie sich bestätigen, was Ihre Sicherung tatsächlich enthält.

Das KMU-Portal des Bundes empfiehlt, den Sicherungsrhythmus an der entstehenden Datenmenge auszurichten und Online- mit Offline-Sicherungen zu kombinieren. Diese Grundsätze aus den Empfehlungen zur Cybersicherheit für Schweizer KMU helfen auch bei der Planung von Website-Sicherungen.

Häufigkeit nach möglichem Datenverlust wählen

Fragen Sie zuerst: Wie viele Änderungen könnten wir im schlimmsten Fall verlieren?

Bei einer selten veränderten Firmenwebsite kann ein anderer Rhythmus passen als bei einem Shop mit laufenden Bestellungen. Eine nächtliche Sicherung kann bei einem Ausfall am Abend fast einen ganzen Geschäftstag an neuen Daten fehlen lassen.

Als Ausgangspunkt lässt sich beispielsweise festlegen:

• Automatische tägliche Sicherungen bei regelmässigen Änderungen.
• Zusätzliche Sicherungen vor Updates und grösseren Eingriffen.
• Mehrere ältere Sicherungsstände, damit ein spät bemerkter Fehler nicht bereits in jeder Kopie enthalten ist.

Für einen stark genutzten Shop können deutlich kürzere Abstände erforderlich sein. Klären Sie zugleich, wie lange ein Ausfall dauern darf. Ein vollständiges Backup hilft wenig, wenn die Wiederherstellung länger dauert, als der Betrieb verkraften kann.

Sicherungen getrennt schützen

Liegt die einzige Sicherung im selben Hostingkonto wie die Website, kann eine Kontosperrung oder ein kompromittierter Zugang auch den Zugriff darauf verhindern. Planen Sie deshalb zusätzlich eine getrennte, geschützte Sicherung ein.

Achten Sie darauf, dass ein gestohlenes CMS-Administratorkonto nicht sämtliche Sicherungskopien löschen kann. Backups mit Kundendaten gehören verschlüsselt gespeichert und dürfen nur berechtigten Personen zugänglich sein.

Klären Sie beim Hostinganbieter konkret, wie lange Sicherungen aufbewahrt werden, wer eine Wiederherstellung anstossen kann und ob dafür zusätzliche Kosten entstehen.

Wiederherstellung regelmässig üben

Die Meldung «Sicherung erfolgreich» bestätigt noch keine funktionierende Website. Erst ein Wiederherstellungstest zeigt, ob die Bestandteile zusammenpassen und die nötigen Zugänge vorhanden sind.

Ein vierteljährlicher Test kann für einen kleinen Betrieb ein sinnvoller Ausgangspunkt sein. Nach einem Systemwechsel oder einer grösseren technischen Umstellung sollte zusätzlich geprüft werden.

Stellen Sie dafür eine Sicherung in einer getrennten, geschützten Umgebung wieder her. Kontrollieren Sie Inhalte, Bilder, Anmeldung und zentrale Funktionen. Notieren Sie den verwendeten Sicherungsstand, fehlende Schritte und die benötigte Zeit.

Überschreiben Sie für eine Übung niemals die laufende Website. Bei einem Shop könnte dadurch eine neuere Bestellung verloren gehen. Auch im echten Störungsfall muss vor einer Rücksicherung geklärt werden, welche Daten seit dem gewählten Sicherungszeitpunkt hinzugekommen sind.

Zugriffsrechte passend zur Aufgabe vergeben

Wer Texte bearbeitet, benötigt normalerweise keine Rechte zur Installation von Erweiterungen oder zur Benutzerverwaltung. Vergeben Sie deshalb möglichst kleine, zur Aufgabe passende Berechtigungen.

Jede Person erhält ein eigenes Konto. So lassen sich Zugänge gezielt sperren und Änderungen besser zuordnen. Nutzen Sie für die tägliche Inhaltspflege ein Redaktionskonto; melden Sie sich für technische Arbeiten separat mit Administratorrechten an.

Schützen Sie insbesondere CMS-, Hosting- und Domainzugänge mit individuellen Passwörtern und, wo verfügbar, einer Zwei-Faktor-Authentifizierung. Dabei wird neben dem Passwort ein zusätzlicher Nachweis verlangt, beispielsweise über eine Authentifizierungs-App.

Bewahren Sie Wiederherstellungscodes geschützt auf. Eine berechtigte Stellvertretung muss auch dann handlungsfähig bleiben, wenn die hauptverantwortliche Person abwesend ist oder ihr Telefon verliert. Unternehmenskonten sollten über eine vom Betrieb kontrollierte E-Mail-Adresse wiederherstellbar sein.

Entziehen Sie Zugänge beim Austritt von Mitarbeitenden oder nach dem Ende eines Agenturauftrags zeitnah. Prüfen Sie dabei auch verbundene Dienste und technische Zugangsschlüssel.

Ein Wartungsplan für den Betriebsalltag

Die folgenden Intervalle sind ein Vorschlag. Passen Sie sie an die Bedeutung und Nutzung Ihrer Website an.

Zeitpunkt	Aufgabe	Zuständigkeit
Täglich automatisch	Sicherungen ausführen und Fehler melden	Sicherungsdienst; benannte Person prüft Meldungen
Wöchentlich	Verfügbare Updates und Sicherungsstatus prüfen; Kernfunktionen testen	Website-Verantwortliche
Bei dringender Sicherheitsmeldung	Betroffenheit klären und notwendige Massnahmen einleiten	Technisch zuständige Person
Monatlich	Benutzerkonten und Erweiterungen prüfen; unbenötigte Zugänge entfernen	Website-Verantwortliche
Vierteljährlich	Wiederherstellung testen und Notfallkontakte kontrollieren	Verantwortliche und Stellvertretung
Vor grösseren Änderungen	Sicherung erstellen, Test und Rückkehr zum bisherigen Stand vorbereiten	Ausführende Person

Führen Sie dazu ein kurzes Wartungsprotokoll: Datum, Änderung, ausführende Person, Ergebnis und offene Punkte reichen meist aus.

Bei technischen Problemen nach einem festen Ablauf handeln

Legen Sie vorab fest, wer einen Vorfall koordiniert, wer technische Arbeiten übernimmt und wer eine Rücksicherung freigibt. Halten Sie Kontaktdaten ausserhalb der Website bereit, damit sie auch bei einem Ausfall verfügbar sind.

Dokumentieren Sie bei einer Störung die Fehlermeldung, den Zeitpunkt und die zuletzt vorgenommenen Änderungen. Bei einem vermuteten Angriff sollten Fachpersonen früh einbezogen und vorhandene Protokolle gesichert werden. Eine Rücksicherung allein beseitigt weder die Ursache noch möglicherweise gestohlene Zugangsdaten.

Beginnen Sie mit drei konkreten Aufgaben: eine verantwortliche Person samt Stellvertretung benennen, den Umfang der vorhandenen Sicherungen prüfen und einen Wiederherstellungstest terminieren. Damit wird aus der Annahme «Das wird schon gesichert» ein überprüfbarer Ablauf.