Website-Sicherheit im Handwerk: Der Fahrplan für 2026

Website-Sicherheit im Handwerk: Der Fahrplan für 2026

Die drei größten Hebel für Website-Sicherheit im Handwerk sind schnell benannt: HTTPS-Verschlüsselung, regelmäßige Updates und automatische Backups. Ergänzen Sie das mit starken Passwörtern und Zwei-Faktor-Authentifizierung, und Sie haben die meisten realistischen Angriffsszenarien bereits entschärft. Für die rechtliche Seite gilt: Impressum, Datenschutzerklärung und Cookie-Consent sind Pflicht, keine Kür. Anlaufstellen wie die Initiative Cybersicherheit im Handwerk und spezialisierte Anbieter wie Netivoo helfen, wenn die Zeit für die Umsetzung fehlt.

Kurz gesagt:

• Eine sichere Website im Handwerk erfordert neben HTTPS, regelmäßigen Updates und Backups vor allem starke Passwörter und Zwei-Faktor-Authentifizierung.
• Rechtlich müssen Impressum, Datenschutzerklärung, Cookie-Banner, AVV und Foto-Einwilligungen vollständig vorhanden sein, um Abmahnungen zu vermeiden.
• Das IT-Grundschutz-Profil ist ein modularer Fahrplan, um das Sicherheitsniveau schrittweise zu verbessern und kann an die Ressourcen des Betriebs angepasst werden.
• Bei akuten Angriffen sind sofortiges Isolieren, Beweisaufnahme, funktionierende Backups und professionelle Hilfe entscheidend für die Schadensbegrenzung.
• Mobile Geräte im Einsatz auf Baustellen sollten durch getrennte Konten, PINs, VPN und regelmässige Updates geschützt werden.

Inhaltsverzeichnis

• Website-Sicherheit im Handwerk: Die priorisierte Checkliste
• Welche rechtlichen Pflichtangaben gehören auf jede Handwerkerwebsite?
• Was bringt das IT-Grundschutz-Profil für Handwerksbetriebe?
• Was tun im Ernstfall: Notfallplan und Wiederherstellung
• Wie schult man ein kleines Team ohne IT-Abteilung?
• Wartungsvertrag oder Eigenregie: Was passt zu Ihrem Betrieb?
• Absicherung gegen DDoS: Wie realistisch ist die Gefahr für Handwerksbetriebe?
• Wie sichert man Kundenportale und Online-Bestellsysteme ab?
• Wie gehen Handwerksbetriebe richtig mit Mitarbeiter- und Kundendaten um?
• Sicherheit im Homeoffice und auf mobilen Geräten für Handwerksmitarbeiter
• Was Netivoo im Alltag von Handwerksbetrieben sieht
• Netivoo: Website-Sicherheit ohne eigene IT-Abteilung
• Quellen
• FAQ

Website-Sicherheit im Handwerk: Die priorisierte Checkliste

Sie müssen nicht alles auf einmal umsetzen. Aber die Reihenfolge entscheidet, wie schnell ein Betrieb tatsächlich sicherer wird.

1. HTTPS prüfen (15 Minuten, Inhaber oder Webdesigner): Öffnen Sie Ihre Website und schauen Sie auf das Schlosssymbol im Browser. Fehlt es, läuft die Seite noch über das unsichere HTTP, und Formulardaten reisen unverschlüsselt durchs Netz.
2. Zentrale Zugänge sichern (30 Minuten, Inhaber): Hosting-Account, CMS-Login und E-Mail-Postfach bekommen neue, einzigartige Passwörter über einen Passwortmanager wie Bitwarden oder 1Password.
3. Backup einrichten (1 Stunde, Hosting-Anbieter oder Dienstleister): Tägliche automatische Sicherung der Website, dazu eine wöchentliche Kopie an einem zweiten Ort außerhalb des Hauptservers.
4. Updates automatisieren: WordPress-Kern, Plugins und Themes veralten schnell. Jede ungepatchte Lücke ist ein offenes Fenster. Aktivieren Sie automatische Sicherheitsupdates, wo es die Seite zulässt, und prüfen Sie größere Updates monatlich manuell.
5. Server härten: Ein aktuelles SSL-Zertifikat ist inzwischen nach Art. 32 DSGVO praktisch Pflicht, weil die Verordnung angemessene technische Schutzmaßnahmen fordert. Dazu gehört auch eine Firewall auf Anwendungsebene (WAF), die gängige Angriffsmuster wie SQL-Injection abfängt.
6. Zugriffsrechte begrenzen: Nicht jeder Mitarbeiter braucht Admin-Rechte im CMS. Vergeben Sie Rollen nach Bedarf, nicht nach Bequemlichkeit.
7. 2FA aktivieren: Für Hosting-Panel, E-Mail und CMS-Login. Ein gestohlenes Passwort allein reicht dann nicht mehr für den Zugriff.
8. Monitoring einrichten: Kostenlose Tools wie Google Search Console oder UptimeRobot melden, wenn die Seite offline geht oder Google eine Malware-Warnung ausspricht.

Die Initiative cybersicherheit-handwerk.de empfiehlt genau diesen Einstieg: erst Virenschutz und Updates, dann 2FA, statt sich sofort in komplexe Sicherheitsprojekte zu verlieren.

Profi-Tipp: Testen Sie Ihre Website einmal im Monat über einen kostenlosen SSL-Checker wie SSL Labs. Ein abgelaufenes Zertifikat merkt man sonst erst, wenn Kunden eine Warnmeldung im Browser sehen und die Seite verlassen.

Welche rechtlichen Pflichtangaben gehören auf jede Handwerkerwebsite?

Ein fehlendes Impressum ist einer der häufigsten Abmahngründe im Netz, und gerade bei kleinen Handwerksbetrieben fehlt es überraschend oft komplett oder ist unvollständig. Genauso häufig: Kontaktformulare ohne Hinweis auf die Datenverarbeitung und eingebundene Google Maps ohne Einwilligung der Besucher.

Fünf Punkte für die Schnellprüfung:

• Impressum: Vollständiger Name, Anschrift, Vertretungsberechtigter, Handwerkskammer-Zugehörigkeit und Kontaktdaten, erreichbar mit maximal zwei Klicks von jeder Seite.
• Datenschutzerklärung: Muss erklären, welche Daten wie erhoben, gespeichert und weitergegeben werden. Ein fertiger Baustein erspart hier viel Nacharbeit.
• Cookie-Consent nach TTDSG: Sobald Google Analytics, Google Maps oder externe Schriftarten eingebunden sind, braucht es ein Einwilligungsbanner, bevor diese Dienste laden.
• Auftragsverarbeitungsvertrag (AVV): Mit dem Hosting-Anbieter und jedem Cloud-Dienst, der personenbezogene Daten verarbeitet, muss ein AVV bestehen.
• Foto-Einwilligungen: Baustellenfotos mit erkennbaren Personen oder Kennzeichen brauchen eine dokumentierte Einwilligung, bevor sie in die Galerie wandern.

Diese Fehler lassen sich fast alle an einem Nachmittag beheben. Eine vertiefte Übersicht zu den aktuellen Anforderungen hilft, wenn Sie tiefer einsteigen wollen.

Was bringt das IT-Grundschutz-Profil für Handwerksbetriebe?

Das IT-Grundschutz-Profil von ZDH und BSI ist kein starres Regelwerk, sondern ein stufenweiser Fahrplan. Es beginnt mit dem sogenannten Fundament, den absoluten Basismaßnahmen wie Virenschutz und Backups, und führt über drei Stufen zu einem immer höheren Schutzniveau. Betriebe mit begrenzten Ressourcen müssen nicht alle Stufen sofort erreichen, sie können modular vorgehen und dort ansetzen, wo das Risiko am größten ist.

Das Profil arbeitet mit Landkarten, die typische Geschäftsprozesse im Handwerk abbilden, von der Angebotserstellung bis zur Buchhaltung, und zeigt, welche IT-Bausteine wo greifen. Drei Aufgaben lassen sich direkt aus dem Routenplaner übernehmen:

• Bestandsaufnahme aller Geräte und Zugänge, die Zugriff auf Firmendaten haben.
• Einführung eines Notfallkontakts, der im Ernstfall sofort erreichbar ist.
• Festlegung, wer im Betrieb für welchen IT-Bereich verantwortlich ist.

Wer sich unsicher fühlt, kann einen der geschulten IT-Sicherheitsbotschafter der Handwerkskammern kontaktieren. Viele Kammern bieten zudem Förderprogramme für Beratung und Umsetzung an.

Was tun im Ernstfall: Notfallplan und Wiederherstellung

Die ersten drei Stunden entscheiden oft, wie groß der Schaden am Ende wird.

1. Sofort isolieren: Betroffene Geräte vom Netzwerk trennen, WLAN-Router notfalls neu starten, damit sich Schadsoftware nicht weiterverbreitet.
2. Beweise sichern: Screenshots von Fehlermeldungen, verdächtigen E-Mails oder Lösegeldforderungen machen, bevor irgendetwas gelöscht wird.
3. Backup testen und einspielen: Prüfen Sie vor der Wiederherstellung, ob die letzte Sicherung tatsächlich vollständig und unbeschädigt ist. Genau das wird in der Praxis zu selten geübt, und dann fehlt im Ernstfall die Gewissheit.
4. Hilfe holen: Bei Ransomware liefert Nomoreransom kostenlose Entschlüsselungswerkzeuge für bestimmte Schadsoftware-Varianten. Die Initiative Cybersicherheit im Handwerk bietet zusätzlich eine kostenfreie Notfallhilfe an.

Gegenüber Kunden gilt: transparent informieren, sobald der Verdacht auf einen Datenabfluss besteht, aber keine unbestätigten Details verbreiten.

Profi-Tipp: Legen Sie die Kontaktdaten Ihres Hosting-Supports und der Notfallhilfe ausgedruckt in die Schublade, nicht nur digital. Bei einem Systemausfall ist genau das digitale Adressbuch oft nicht erreichbar.

Wie schult man ein kleines Team ohne IT-Abteilung?

Eine wirksame Schulung dauert keine zwei Stunden, sondern läuft in kurzen, wiederkehrenden Einheiten.

• Zeigen Sie anhand echter Beispiele, wie Phishing-Mails aussehen, etwa gefälschte Rechnungen oder angebliche Paketbenachrichtigungen.
• Klären Sie, wie Baustellenfotos und Kundendaten unterwegs sicher übertragen werden, WhatsApp ist dabei datenschutzrechtlich heikel, weil Metadaten an Server in den USA gehen.
• Führen Sie einen Passwortmanager verbindlich ein und aktivieren Sie 2FA für alle geschäftlichen Zugänge.
• Legen Sie schriftlich fest, wer für Website, Hosting und Updates zuständig ist, damit die Verantwortung nicht zwischen allen zerfällt.
• Planen Sie eine monatliche Kurzprüfung: Läuft das Backup, sind Updates installiert, gibt es neue Warnungen?

Wartungsvertrag oder Eigenregie: Was passt zu Ihrem Betrieb?

Ein realistischer Wartungsvertrag deckt mehr ab als nur “die Seite läuft schon irgendwie”.

• Updates: CMS, Plugins und Sicherheitspatches laufend eingespielt, nicht erst wenn etwas kaputt ist.
• Backups: Automatisierte, regelmäßig getestete Sicherungen mit dokumentierter Wiederherstellungszeit.
• Monitoring: Ausfallüberwachung und Reaktion innerhalb einer vereinbarten Frist, etwa 24 Stunden bei kritischen Fehlern.
• Kleinere Änderungen: Textanpassungen oder neue Bilder ohne separate Rechnung im vereinbarten Kontingent.

Wer selbst niemanden hat, der sich regelmäßig um Updates und Backups kümmert, sollte ein Wartungspaket buchen statt zu riskieren, dass die Seite ein Jahr unangetastet bleibt. Ein Betrieb mit fünf Mitarbeitern hat meist weder Zeit noch Fachwissen, das intern zuverlässig zu leisten.

Absicherung gegen DDoS: Wie realistisch ist die Gefahr für Handwerksbetriebe?

DDoS-Angriffe, bei denen eine Website mit massenhaften Anfragen überflutet wird, treffen selten gezielt kleine Handwerksbetriebe. Häufiger sind Handwerker-Websites Kollateralschaden, wenn der gesamte Hosting-Server angegriffen wird, auf dem viele Kunden gemeinsam liegen.

Trotzdem lohnt sich Vorsorge, gerade wenn Ihre Website Notdienst-Anfragen oder Online-Terminbuchungen abwickelt und ein Ausfall direkt Aufträge kostet. Ein Content Delivery Network wie Cloudflare filtert verdächtigen Datenverkehr, bevor er den eigentlichen Server erreicht, und die Basisstufe ist für viele kleinere Betriebe ausreichend. Wichtiger ist oft die Wahl des Hosting-Anbieters: Seriöse Anbieter haben eigene DDoS-Schutzmechanismen bereits in die Grundinfrastruktur eingebaut.

Ein einfacher Praxistest zeigt, wie es um Ihre Seite steht: Rufen Sie die Website über ein mobiles Netz und gleichzeitig über WLAN auf. Lädt sie in beiden Fällen innerhalb von zwei bis drei Sekunden, ist die Grundleistung ausreichend, um auch bei erhöhtem Datenverkehr nicht sofort zusammenzubrechen. Wer eigene Server betreibt statt gehostete Lösungen zu nutzen, sollte zusätzlich eine Web Application Firewall einsetzen, die ungewöhnliche Zugriffsmuster automatisch blockiert.

Wie sichert man Kundenportale und Online-Bestellsysteme ab?

Immer mehr Handwerksbetriebe bieten Online-Terminbuchung, Angebotsanfragen mit Datei-Upload oder Kundenportale für den Auftragsstatus an. Jede dieser Funktionen ist ein zusätzlicher Angriffspunkt, weil hier Daten direkt in Ihre Systeme fließen.

Bei Datei-Uploads sollten Sie den akzeptierten Dateityp technisch begrenzen, sonst lässt sich über ein harmlos aussehendes PDF-Formular auch ausführbarer Code einschleusen. Formulare ohne Spam-Schutz werden zudem schnell von automatisierten Bots überflutet, was nicht nur nervt, sondern auch echte Anfragen im Rauschen untergehen lässt. Ein funktionierender Spam-Schutz im Kontaktformular, etwa über ein unauffälliges Honeypot-Feld statt eines nervigen Captchas, löst beides gleichzeitig.

Wo Kunden sich einloggen, um ihren Auftragsstatus zu sehen, gilt: Passwörter der Kunden dürfen niemals im Klartext gespeichert werden, sondern nur gehasht. Das ist bei gängigen CMS-Systemen wie WordPress mit seriösen Portal-Plugins Standard, sollte aber bei jeder Individualentwicklung explizit geprüft werden. Und wer Zahlungsdaten oder Anzahlungen über die Website abwickelt, braucht einen zertifizierten Zahlungsdienstleister statt einer selbstgebauten Lösung, allein schon wegen der PCI-DSS-Anforderungen an Kartendaten.

Wie gehen Handwerksbetriebe richtig mit Mitarbeiter- und Kundendaten um?

Ein Handwerksbetrieb sammelt mehr sensible Daten, als vielen bewusst ist: Kundenadressen, Zugangscodes zu Gebäuden, Fotos von Innenräumen, manchmal auch Gesundheitsdaten bei barrierefreien Umbauten. Diese Daten liegen oft verteilt über E-Mail-Postfach, CRM, Excel-Tabellen und WhatsApp-Chats, und genau diese Streuung ist das eigentliche Risiko.

Legen Sie fest, wo Kundendaten zentral gespeichert werden, und reduzieren Sie die Anzahl der Orte, an denen dieselbe Information doppelt liegt. Für Mitarbeiterdaten gilt zusätzlich: Gehaltsabrechnungen, Krankmeldungen und Personalakten gehören nicht in dasselbe geteilte Laufwerk wie die Kundendatenbank, sondern erhalten eigene, eingeschränkte Zugriffsrechte.

Wenn Bewerbungsunterlagen oder Kundendaten über die Website eingehen, muss die Datenschutzerklärung genau erklären, wie lange diese Daten aufbewahrt werden und wann sie gelöscht werden. Ein häufiger Fehler: Anfragen aus dem Kontaktformular landen unbegrenzt im E-Mail-Postfach, obwohl die Datenschutzerklärung eine Löschung nach Abschluss des Vorgangs verspricht. Prüfen Sie, ob Ihre eigene Praxis zu dem passt, was auf der Website steht, denn die Diskrepanz zwischen beidem ist genau das, was bei einer Beschwerde auffällt.

Sicherheit im Homeoffice und auf mobilen Geräten für Handwerksmitarbeiter

Viele Handwerker arbeiten heute mit dem Smartphone oder Tablet direkt auf der Baustelle, dokumentieren Aufträge per Foto, füllen digitale Formulare aus oder greifen über eine App auf das Kundenportal zu. Genau diese mobilen Geräte sind oft schlechter geschützt als der Büro-PC.

Private und geschäftliche Nutzung sollten getrennt bleiben, wo immer möglich, etwa über ein eigenes Firmenprofil auf dem Gerät oder eine separate App für Kundendaten. Ein gesperrter Bildschirm mit PIN oder Fingerabdruck ist Minimum, nicht Kür, denn ein verlorenes Baustellenhandy mit offenem Zugriff auf das Kundenportal ist ein realer Vorfall, keine theoretische Gefahr.

Öffentliches WLAN, etwa beim Kunden vor Ort oder im Café, sollte für den Zugriff auf sensible Systeme vermieden werden, ein mobiler Datentarif ist hier meist die sicherere Wahl. Wer regelmäßig aus dem Homeoffice arbeitet, sollte den Router mit einem individuellen, starken Passwort schützen statt der Werkseinstellung, und für den Zugriff auf Firmensysteme möglichst ein VPN nutzen. Für vernetzte Werkzeuge und Gebäudetechnik, die zunehmend auch im Handwerk zum Einsatz kommen, gilt zusätzlich: IoT-Geräte brauchen eigene, regelmäßig aktualisierte Zugangsdaten, denn ein Gerät mit Werkspasswort im Netzwerk öffnet oft die Tür zu allem anderen.

Was Netivoo im Alltag von Handwerksbetrieben sieht

Fehlendes Impressum, ein Kontaktformular ohne Datenschutzhinweis, kein Backup seit Jahren. Diese drei Mängel begegnen uns bei Handwerker-Websites immer wieder, oft bei Betrieben, die technisch top aufgestellt sind, deren Website aber seit dem Launch niemand mehr angefasst hat. Bei der Umsetzung neuer Websites wird auf einen festen Ansprechpartner und transparente Preise gesetzt, damit Sicherheit von Anfang an mitgedacht wird statt nachträglich geflickt zu werden.

— Jonas

Netivoo: Website-Sicherheit ohne eigene IT-Abteilung

Netivoo baut Ihre Website von Anfang an mit HTTPS, rechtssicheren Texten und sauberer technischer Basis, statt Sicherheit als teures Extra nachzurüsten. Im Unterschied zu klassischen Agenturen wird ein fester Ansprechpartner, ein Festpreis und ein fertiges Ergebnis in kurzer Zeit angeboten.

Für laufenden Schutz gibt es die Pakete Basis und Premium der Website-Pflege, die Updates, Backups und Monitoring abdecken, damit Sie sich nicht selbst um jede Sicherheitslücke kümmern müssen. Wer eine komplette Umsetzung von Website bis Datenschutz sucht, findet unter Netivoo die passenden Leistungspakete, von der einfachen Visitenkarte bis zum Komplettauftritt. Vereinbaren Sie über die Kontaktseite ein unverbindliches Erstgespräch und lassen Sie prüfen, wie es um die Sicherheit Ihrer aktuellen Website steht.

Quellen

• Cybersicherheit meistern – Initiative Cybersicherheit im Handwerk
• Cybersicherheit im Handwerk | ZDH
• DSGVO‑Checkliste für Handwerker | Compliance‑Copilot

FAQ

Wie prüfe ich, ob eine Website sicher ist?

Achten Sie zuerst auf das Schlosssymbol im Browser, das für ein gültiges HTTPS-Zertifikat steht. Prüfen Sie danach, ob Impressum und Datenschutzerklärung vollständig und erreichbar sind, und testen Sie, ob ein Cookie-Banner vor dem Laden von Google-Diensten erscheint.

Wie erstelle ich eine Handwerker-Website?

Sie benötigen eine mobiloptimierte Struktur mit Leistungsseiten, Referenzen und einem Kontaktformular, dazu die rechtlichen Pflichtangaben von Anfang an. Netivoo übernimmt diesen Prozess inklusive Gestaltung und rechtssicherer Umsetzung innerhalb von etwa sieben Tagen, wie auf Netivoo beschrieben.

Was kostet eine Website mit 10 Seiten?

Der Preis hängt stark vom Funktionsumfang ab, etwa ob Galerie, Notdienstseite oder Google-Business-Integration enthalten sind. Aktuelle Pakete und Preise für Handwerker-Websites finden Sie direkt auf der Angebotsseite von Netivoo.

Wie kann ich meine Website sicher machen?

Die wirksamsten Sofortmaßnahmen sind ein gültiges SSL-Zertifikat, regelmäßige Updates von CMS und Plugins sowie automatische, getestete Backups. Ergänzen Sie das mit einem Passwortmanager und Zwei-Faktor-Authentifizierung für alle zentralen Zugänge, wie es auch die Initiative Cybersicherheit im Handwerk empfiehlt.

Empfehlungen

• Handwerkerwebsites in 7 Tagen sicher: SSL Pflicht nach Art. 32 DSGVO
• Rechtliche Pflichten für Handwerker-Websites: Was 2026 zählt
• Handwerkerwebsite: 3 Pflichtbausteine für Google Maps Datenschutz
• Cookie-Banner-Pflicht in Deutschland: Was Sie 2026 wissen müssen