Website, Shop & Kundenportal: Wer trägt die Verantwortung für Sicherheit und Wartung?
· 7 Min. Lesezeit · Benedict Kim
Warum eine Website kein einmaliges Projekt ist, wer für Sicherheit und Datenschutz haftet und wie Sie mit einem klaren Wartungskonzept Ihr Unternehmen schützen.
Die Website ist online, der Shop verkauft, das Kundenportal läuft. Für viele Unternehmen ist das Thema damit erledigt. Die aktuelle PHP-Sicherheitslücke „PHP2Shell“ hat jedoch gezeigt, wie schnell sich das ändern kann: Über Nacht waren Millionen von Websites angreifbar, und nur dort, wo jemand zuständig war, wurde schnell reagiert.
In diesem Beitrag geht es um die Fragen, die sich viele Unternehmer erst stellen, wenn es zu spät ist: Wer ist eigentlich verantwortlich? Was bedeutet Wartung konkret? Und welche Pflichten haben Sie als Betreiber?
Das Wichtigste in Kürze:
- Eine Webanwendung ist kein einmaliges Projekt, sondern braucht laufende Pflege – ähnlich wie ein Firmenfahrzeug.
- Rechtlich verantwortlich für die Sicherheit Ihrer Website und der Kundendaten sind Sie als Betreiber, nicht automatisch Ihre Agentur oder Ihr Hoster.
- Mit klaren Zuständigkeiten, einem Wartungsvertrag und regelmäßigen Backups senken Sie das Risiko erheblich.
Warum Websites heute „Wartung“ brauchen
Ein Großteil aller Unternehmenswebsites, Onlineshops und Kundenportale läuft auf PHP – meist in Form von Systemen wie WordPress, WooCommerce, Shopware, TYPO3 oder individuell entwickelter Software. Diese Systeme bestehen aus vielen Bausteinen:
- dem Server mit Betriebssystem
- der Programmiersprache PHP als „Motor“
- dem Content-Management- oder Shopsystem
- zahlreichen Erweiterungen (Plugins, Themes, Schnittstellen zu Zahlungsanbietern, Warenwirtschaft usw.)
Jeder dieser Bausteine wird von anderen Menschen entwickelt, und in jedem werden regelmäßig Sicherheitslücken gefunden und geschlossen. Eine Website, die nicht aktualisiert wird, wird deshalb mit jedem Monat unsicherer – ohne dass man es ihr von außen ansieht.
Ein passender Vergleich ist ein Firmenwagen: Niemand würde jahrelang ohne Inspektion, TÜV und Reifenwechsel fahren. Bei Websites passiert genau das aber ständig.
Auch Software hat ein Ablaufdatum
Ein oft unterschätzter Punkt: Jede PHP-Version wird nur für einen begrenzten Zeitraum mit Sicherheitsupdates versorgt. Danach gibt es keine Fehlerbehebungen mehr, auch nicht bei schweren Lücken wie PHP2Shell.
| PHP-Version | Sicherheitsupdates bis |
|---|---|
| 8.1 und älter | keine mehr |
| 8.2 | 31.12.2026 |
| 8.3 | 31.12.2027 |
| 8.4 | 31.12.2028 |
| 8.5 | 31.12.2029 |
Konkret heißt das: Läuft Ihre Website auf PHP 8.2, endet die Versorgung mit Sicherheitsupdates in wenigen Wochen. Ein Umstieg sollte jetzt geplant werden. Ältere Websites und Plugins sind mit neuen PHP-Versionen oft nicht ohne Anpassungen kompatibel – das braucht Zeit und Budget.
Ähnliches gilt für Shopsysteme, Plugins und Server-Betriebssysteme: Auch sie haben Supportzeiträume, die Ihr Dienstleister im Blick haben sollte.
Wer ist wofür verantwortlich?
Hier liegt in der Praxis das größte Problem: Viele Unternehmer gehen davon aus, dass „die Agentur“ oder „der Hoster“ sich schon kümmert. Oft ist das aber gar nicht vereinbart.
Typischerweise sieht die Aufteilung so aus:
| Bereich | Wer kümmert sich? |
|---|---|
| Server-Hardware und Rechenzentrum | Hoster |
| Betriebssystem und PHP-Version | Hoster (bei Managed- oder Shared-Hosting) oder Agentur/IT (bei eigenem Server) |
| Website-System, Plugins, Themes | Agentur oder interne IT – nur mit Wartungsvertrag |
| Individuell programmierte Funktionen | Agentur bzw. Entwickler |
| Inhalte, Benutzerkonten, Passwörter | Sie selbst |
| Rechtliche Gesamtverantwortung | Sie als Betreiber |
Die letzte Zeile ist entscheidend: Sie können Aufgaben an Dienstleister abgeben, die Verantwortung bleibt aber bei Ihnen. Umso wichtiger ist es, dass Zuständigkeiten schriftlich geregelt sind.
Tipp: Wenn Sie auf die Frage „Wer spielt bei uns Sicherheitsupdates ein, und wie schnell?“ keine eindeutige Antwort geben können, ist das der wichtigste Handlungsbedarf aus diesem Artikel.
Datensicherheit und Recht: Was Betreiber wissen sollten
Hinweis: Dieser Abschnitt gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für Ihre konkrete Situation wenden Sie sich bitte an Ihren Datenschutzbeauftragten oder einen Fachanwalt.
DSGVO: Schutz nach dem „Stand der Technik“
Sobald Ihre Website personenbezogene Daten verarbeitet – und das tut praktisch jede, schon über ein Kontaktformular –, gilt die DSGVO. Sie verlangt angemessene technische und organisatorische Maßnahmen, die dem Stand der Technik entsprechen. Eine Website mit bekannten, aber nicht geschlossenen Sicherheitslücken erfüllt das in aller Regel nicht.
Drei Punkte sind besonders relevant:
- Auftragsverarbeitung: Hoster und Agenturen, die Zugriff auf Kundendaten haben, verarbeiten diese in Ihrem Auftrag. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag (AVV).
- Meldepflicht: Kommt es zu einer Datenpanne, etwa weil Angreifer Kundendaten abgreifen, muss diese in der Regel innerhalb von 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden. Unter Umständen müssen auch die betroffenen Personen informiert werden.
- Nachweispflicht: Sie müssen im Zweifel belegen können, dass Sie angemessene Schutzmaßnahmen getroffen haben. Dokumentierte Wartung ist dafür Gold wert.
NIS-2: Neue Pflichten für viele mittelständische Unternehmen
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es betrifft rund 30.000 Unternehmen – nicht nur klassische Betreiber kritischer Infrastruktur, sondern zum Beispiel auch mittlere und große Unternehmen aus Bereichen wie Produktion, Lebensmittel, Logistik, Chemie oder digitale Dienste. Als grobe Orientierung gilt: ab etwa 50 Mitarbeitern oder 10 Millionen Euro Umsatz in einem der genannten Sektoren.
Betroffene Unternehmen müssen sich unter anderem beim BSI registrieren, Sicherheitsvorfälle innerhalb enger Fristen melden und ein dokumentiertes Risikomanagement betreiben – wozu ausdrücklich auch der Umgang mit Schwachstellen gehört. Wichtig: Unternehmen werden nicht automatisch benachrichtigt, ob sie betroffen sind. Die IHKs bieten dafür Selbstchecks an.
Haftung der Geschäftsführung
IT-Sicherheit ist Chefsache, und zwar auch im rechtlichen Sinne. Geschäftsführer haben eine allgemeine Sorgfaltspflicht gegenüber ihrem Unternehmen. Unter NIS-2 kann die Geschäftsleitung bei schuldhafter Verletzung der Sicherheitspflichten sogar persönlich haften. Wer nachweisen kann, dass Wartung organisiert und dokumentiert ist, steht deutlich besser da.
Was gute Wartung umfasst
Ein seriöser Wartungsvertrag für eine PHP-basierte Website oder einen Onlineshop sollte mindestens Folgendes regeln:
Updates
- Regelmäßige Aktualisierung von Website-System, Plugins und Themes
- Rechtzeitige Planung von PHP-Versionswechseln
- Kritische Sicherheitsupdates innerhalb einer festen Frist, zum Beispiel 24 bis 48 Stunden
Backups
- Automatische, regelmäßige Datensicherung (bei Shops mindestens täglich)
- Aufbewahrung an einem separaten Ort, nicht nur auf demselben Server
- Regelmäßiger Test, ob sich ein Backup auch wirklich wiederherstellen lässt
Überwachung
- Prüfung, ob die Website erreichbar ist
- Benachrichtigung bei verdächtigen Änderungen oder Fehlern
- Beobachtung von Sicherheitswarnungen (z. B. vom BSI)
Notfallplan
- Klare Ansprechpartner und Erreichbarkeit im Ernstfall
- Festgelegtes Vorgehen bei einem Angriff
- Unterstützung bei der Meldung an Behörden, falls nötig
Dokumentation
- Protokoll, wann was aktualisiert wurde
- Übersicht über alle Zugänge, Systeme und Dienstleister
Was Sie selbst tun können
Auch ohne technisches Wissen können Sie viel für die Sicherheit Ihrer Website tun:
- Zuständigkeiten klären: Halten Sie schriftlich fest, wer sich um Server, PHP, Website-System und Plugins kümmert.
- Verträge prüfen: Gibt es einen Wartungsvertrag? Einen AVV mit Hoster und Agentur? Ist eine Reaktionszeit bei Sicherheitslücken vereinbart?
- Zugänge aufräumen: Löschen Sie Benutzerkonten ehemaliger Mitarbeiter oder Dienstleister. Nutzen Sie starke Passwörter und, wo möglich, die Zwei-Faktor-Anmeldung.
- Weniger ist mehr: Jedes Plugin und jede ungenutzte Funktion ist ein mögliches Einfallstor. Lassen Sie Überflüssiges entfernen.
- Alte Projekte abschalten: Vergessene Test-Websites, alte Landingpages oder Microsites werden oft nicht mehr gewartet und sind ein beliebtes Angriffsziel.
- Einmal im Jahr nachfragen: Lassen Sie sich von Ihrem Dienstleister kurz bestätigen, welche Versionen im Einsatz sind und wie lange diese noch unterstützt werden.
Was kostet das, und was kostet es, nichts zu tun?
Wartungsverträge für kleinere Unternehmenswebsites liegen häufig im zweistelligen bis niedrigen dreistelligen Bereich pro Monat, bei umfangreichen Shops und Portalen entsprechend höher. Dem gegenüber stehen bei einem erfolgreichen Angriff:
- Umsatzausfall, solange Shop oder Portal offline sind
- Kosten für Bereinigung, Wiederherstellung und forensische Analyse
- mögliche Bußgelder und Schadensersatzforderungen
- Vertrauensverlust bei Kunden und Geschäftspartnern
In aller Regel ist Vorsorge um ein Vielfaches günstiger als die Schadensbehebung.
Fazit
Eine Website, ein Onlineshop oder ein Kundenportal ist ein Werkzeug, das ständig gepflegt werden muss. Die Verantwortung dafür liegt bei Ihnen als Betreiber, auch wenn Sie die Umsetzung an Profis abgeben. Sorgen Sie deshalb für klare Zuständigkeiten, einen verlässlichen Wartungsvertrag und regelmäßige Backups. Dann ist die nächste Sicherheitslücke kein Grund zur Panik, sondern eine Routineaufgabe, die schlicht erledigt wird.