Zum Hauptinhalt der Seite

Website-Sicherheit in Zeiten von GenAI

Generative KI verändert, wie schnell Sicherheitslücken in Websites gefunden und ausgenutzt werden. Was früher Wochen dauerte, geschieht heute oft innerhalb von Tagen. Für den laufenden Betrieb einer Website heißt das: Monitoring und Updates brauchen kürzere Zyklen und klare Prozesse.

Dieser Artikel erklärt, was sich konkret verändert hat und wie sich das Risiko mit den richtigen Abläufen zuverlässig kontrollieren lässt. Zudem legen wir transparent dar, wie wir bei schwarzdesign damit umgehen.

Laptop mit Dashboard einer Monitoring-Software

Monitoring und regelmäßige Updates helfen, Sicherheitsrisiken im laufenden Website-Betrieb früh zu erkennen.

Warum braucht es Sicherheitsupdates?

Jede Software enthält Fehler, auch ein Content-Management-System (CMS). Manche dieser Fehler sind Sicherheitslücken: Sie können Angreifenden ermöglichen, eine Website zu verändern, Inhalte einzusehen oder unberechtigt auf Benutzerkonten zuzugreifen. Sicherheitsupdates schließen bekannt gewordene Lücken und reduzieren damit ein konkretes Betriebsrisiko.

Updates betreffen nicht nur das CMS selbst. Auch Plugins, technische Abhängigkeiten und für den Betrieb eingesetzte Software können Schwachstellen enthalten. Gerade bei Websites mit vielen Plugins oder individuell eingebundenen Diensten ist deshalb entscheidend, die gesamte Installation im Blick zu behalten.

Was sind mögliche Folgen eines Hacks?

Wird eine Sicherheitslücke ausgenutzt, können Angreifende Zugriff auf die Website und angeschlossene Systeme erhalten. Die Folgen reichen über eine technische Störung hinaus:

  • Der Betrieb steht kurzfristig still: Anfragen, Leads und Geschäftsprozesse werden unterbrochen
  • Vertrauen und Außenwirkung leiden, etwa durch manipulierte Inhalte oder Browser-Warnungen
  • Bei personenbezogenen Daten entstehen zusätzlich Melde- und Haftungspflichten

Wie gravierend ein Vorfall ausfällt, hängt stark davon ab, wie schnell er erkannt und behoben wird. Genau darauf zielen die folgenden Prozesse ab.

Was hat sich durch generative KI verändert?

Large Language Models (LLMs) können Code und technische Änderungen in kurzer Zeit auswerten. Sie ersetzen keine Sicherheitsprüfung durch Fachleute. Sie senken aber die Hürde, um Hinweise auf Schwachstellen zu erkennen, bekannte Angriffsmuster anzupassen oder einen veröffentlichten Bugfix zu analysieren.

Insgesamt werden dadurch viele Sicherheitslücken bekannt, die möglicherweise schon lange existierten, bisher aber nicht gefunden wurden. Sobald diese "in der Welt" sind, ist es für Angreifende leicht, sie auszunutzen.

Das sagen nicht nur wir:

Für den Betrieb heißt das vor allem: Wer Updates nach festen Zyklen einspielt, bleibt in den allermeisten Fällen ausreichend geschützt.

Der Handlungszeiträume verkürzen sich

Hersteller veröffentlichen Sicherheitsupdates oft, bevor sie die Details einer Schwachstelle offenlegen. Das Zeitfenster zwischen Update und Bekanntgabe der Schwachstelle, häufig als Disclosure Window bezeichnet, soll Betreibern Gelegenheit geben, die Updates einzuspielen. Nach Ablauf der Frist werden technische Informationen veröffentlicht, damit der Fehler nachvollziehbar dokumentiert ist.

Die Änderung im Programmcode kann jedoch selbst Hinweise liefern: Wer eine ältere mit einer aktualisierten Version vergleicht, kann eingrenzen, welches Problem behoben wurde. LLMs können solche Vergleiche strukturieren und beschleunigen. Dadurch kann es passieren, dass Angreifende die Schwachstelle schon vor Ende des Disclosure Windows aktiv ausnutzen.

Angriffe werden skalierbarer und günstiger

Spezialisierte Tools und zunehmend autonome Agenten können einzelne Schritte eines Angriffs automatisieren, etwa die Suche nach erreichbaren, nicht aktualisierten Websites. Nicht jede Lücke wird sofort ausgenutzt. Für weit verbreitete CMS und Plugins steigt das Risiko jedoch deutlich, sobald eine Sicherheitslücke öffentlich bekannt ist.

Zeitnahe Updates waren schon immer notwendig. Unter den neuen Bedingungen verkürzt sich aber der sinnvolle Update-Zyklus.

Die Anzahl an Sicherheitslücken in WordPress ist zwischen 2023 und 2025 von knapp 6000 auf über 11000 gestiegen

Die Anzahl der Sicherheitslücken in WordPress nimmt von Jahr zu Jahr zu

Die Anzahl der gemeldeten CVEs steigt von knapp 40000 in 2024 auf prognostiziert bis zu 66000 in 2026

Die Anzahl gemeldeter CVEs pro Jahr übersteigt jede Prognose

Den Überblick behalten: Monitoring und Alerts

Wir betreuen bei schwarzdesign über einhundert Websites. Der erste Schritt für eine solide Sicherheitsarchitektur ist kontinuierliches Monitoring und ein vollständiger Überblick über den Status aller Projekte. Ein reines Uptime-Monitoring reicht aber nicht aus: Wenn eine Website aufgrund eines Hacks nicht mehr erreichbar ist, ist es bereits zu spät. Die Projektübersicht muss daher schon vorher greifen und liefert uns folgende Informationen:

  • Welche CMS-Version ist aktuell installiert?
  • Welche Plugins in welchen Versionen verwendet die Seite?
  • Welche sicherheitsrelevanten Updates sind verfügbar?
  • Welche sonstige Software braucht Updates (z. B. neue PHP-Versionen)?

Besonders wichtig: Bei kritischen Sicherheitslücken reicht es nicht aus, wenn das nächste geplante Update zwei Wochen später durchgeführt wird. Wenn eine solche Schwachstelle bekannt und ein Patch veröffentlicht wird, muss dieser unverzüglich installiert werden. Dafür braucht es ein verlässliches Warnsystem, das uns über solche kritischen Releases informiert. Die Unterscheidung zwischen regulären und kritischen Updates ist dabei entscheidend – ansonsten gehen die wirklich wichtigen Warnungen in der Masse unter.

Konkrete Prozesse für unsere Systeme

Aktuell gehen wir mit Monitoring und Updates für die von uns eingesetzten Systeme wie folgt um.

Craft CMS

Für kritische Sicherheitsupdates gibt es einen eigenen RSS-Feed. Bei Bekanntgabe einer dringenden Sicherheitslücke werden wir über diesen Feed benachrichtigt und updaten alle Projekte unverzüglich.

Reguläre Updates des CMS (sowie wichtiger Sicherheitsupdates von Plugins) führen wir aktuell monatlich aus, um innerhalb des 30-tägigen Disclosure Windows zu bleiben. Alle drei Monate folgt ein vollständiges Update aller Abhängigkeiten inklusive Tests und Qualitätssicherung.

Kirby CMS

Kirby stellt einen API-Endpunkt zur Verfügung, über den neue Schwachstellen bekanntgegeben werden. Bei kritischen Updates können wir so unverzüglich aktiv werden.

Vollständige Updates planen wir alle 3 Monate ein, abhängig von den eingesetzten Erweiterungen und individuellen Funktionen.

WordPress

WordPress ist aufgrund seiner weiten Verbreitung ein häufiges Angriffsziel. Besonders Plugins können zum Einfallstor werden. Deshalb setzen wir möglichst wenige, aktiv gepflegte Erweiterungen ein und halten sie zeitnah aktuell. WordPress kann automatische Updates im Hintergrund ausführen. Diese Funktion bleibt eingeschaltet – ausgenommen Hauptversionen. Zusätzlich führen wir alle zwei Monate manuelle Updates und eine Überprüfung der Installation durch.

Drupal

Bei Drupal prüfen wir monatlich Sicherheitsmeldungen und führen kritische Updates zeitnah durch. Vollständige Updates aller Komponenten erfolgen dreimal jährlich. Dabei berücksichtigen wir insbesondere die Module und Integrationen der jeweiligen Installation.

Stabilität gewährleisten

Updates benötigen Zeit und Budget, und dies muss im Verhältnis zum strategischen Wert der Website für unsere Kunden stehen. Ein Update kann individuelle Funktionen beeinflussen und manuelle Anpassungen erfordern. Deshalb lassen sich Aktualisierungen bei geschäftskritischen Websites nicht vollautomatisch durchführen.

Vor der Veröffentlichung prüfen wir, ob zentrale Funktionen weiterhin arbeiten, etwa Kontaktformulare, Login-Bereiche, Schnittstellen und redaktionelle Abläufe. Automatische Backups und Möglichkeiten zur Wiederherstellung gehören ebenfalls dazu. So entsteht eine tragfähige Balance zwischen zeitnaher Absicherung, planbarem Aufwand und stabiler Funktion der Website.

Die Alternative: Statische Websites

Mit einem soliden Sicherheitskonzept lässt sich das Risiko bei einer CMS-basierten Website auf ein gut kontrollierbares Maß reduzieren. Monitoring, klare Update-Zyklen und die in diesem Artikel beschriebenen Prozesse sorgen dafür, das zeigt die tägliche Betreuung von über einhundert Projekten. Für Websites mit häufigen inhaltlichen Änderungen, individuellen Funktionen oder redaktionellem Alltagsbetrieb bleibt ein CMS wie Craft CMS oder Kirby CMS deshalb die passende Wahl.

Für eine bestimmte Art von Projekten gibt es jedoch eine Alternative, die den Update-Aufwand grundsätzlich umgeht: statische Websites, ganz ohne CMS. Einfache HTML-Dateien, die nicht für jeden Besucher neu generiert werden. Das eignet sich vor allem für Websites, die sich inhaltlich selten ändern und ohne komplexe Funktionen auskommen, etwa Projekt-, Kampagnen- oder Institutionsseiten mit überschaubarem Pflegeaufwand. Weil kein serverseitiger Programmcode läuft, entfallen viele klassische Sicherheitslücken (auch wenn einige Angriffsvektoren bleiben, z. B. Schwachstellen in eingesetzten JavaScript-Libraries oder unerlaubte Zugriffe auf Hosting-Provider oder verknüpfte externe Services). Solche Websites können jahrelang online bleiben, ohne ein einziges Update durchführen zu müssen, und lassen sich auf Plattformen wie Cloudflare oder Netlify oft kostenfrei betreiben.

Bei schwarzdesign nutzen wir Astro als Static Site Generator, wenn dieser Ansatz zum Projekt passt. Damit kombinieren wir die Vorteile statischer Websites mit besserer Handhabbarkeit: Die Website wird aus strukturierten Daten und Templates generiert und bei jeder Änderung automatisch neu veröffentlicht.

Als Faustregel: Wer viel und oft an Inhalten arbeitet, braucht die Flexibilität eines CMS. Wer eine Website mit seltenen Änderungen betreibt und Update-Aufwand grundsätzlich vermeiden möchte, für den kann eine statische Website die richtige Lösung sein. Gerne besprechen wir mit Ihnen, welcher Ansatz zu Ihren Anforderungen passt.

Quellen

Siehe auch