Website-Sicherheit · Malware-Entfernung · Ladezeit-Optimierung
Website-Sicherheit und Ladegeschwindigkeit gehören zusammen: Eine langsame Website verliert Besucher, eine ungeschützte Website verliert deren Vertrauen, und oft haben beide Probleme dieselbe Ursache. Seit 2015 schützt AMS.AL Unternehmenswebsites und Onlineshops mit einer Web Application Firewall, DDoS-Schutz über ein CDN, Malware-Scans und -Entfernung, SSL-Zertifikaten und Backups, deren Wiederherstellung wir tatsächlich testen. Gleichzeitig machen wir diese Websites schneller und messen jede Änderung an den Core Web Vitals von Google, damit die Verbesserung nachweisbar ist und nicht nur gefühlt.
2015
Erfahrung seit 2015
Websites, Server und Onlineshops, die wir seit 2015 schützen und betreuen
≤ 2,5 s
Unser LCP-Ziel
Googles Schwelle für „gut“ beim Laden des Hauptinhalts
≤ 200 ms
Unser INP-Ziel
Googles Schwelle für „gut“ bei der Reaktion der Seite auf Klicks
HTTPS
SSL und HSTS
Verschlüsselte Verbindung auf jeder Seite, mit HSTS gegen den Rückfall auf HTTP
Viele Unternehmen denken erst dann an Website-Sicherheit, wenn die Website gehackt wurde, und an die Ladezeit erst dann, wenn sich jemand beschwert, dass sie auf dem Smartphone kaum lädt. Dann ist aus der Arbeit ein Notfall geworden: Die Website ist offline oder markiert, Google zeigt eine Warnung, Kunden rufen an, und niemand weiß, wo man anfangen soll. Ein solcher Notfall kostet immer mehr als die Vorsorge.
Website-Sicherheit und Performance hängen enger zusammen, als es scheint. Ein veraltetes Plugin ist zugleich eine offene Tür für Angreifer und eine Quelle für schweren Code, der jede Seite verlangsamt. Ein Bot, der Tausende Passwörter pro Minute ausprobiert, gefährdet nicht nur das Administratorkonto, sondern überlastet auch den Server für echte Besucher. Ein gut eingerichtetes CDN bringt Inhalte näher zu Ihren Besuchern und filtert im selben Schritt schädlichen Datenverkehr, bevor er Ihren Server erreicht.
Die folgende Tabelle vergleicht den üblichen Ansatz, bei dem man repariert, sobald etwas kaputtgeht, mit der Art, wie AMS.AL Website-Sicherheit und Performance betreut. Es ist kein Projekt, das einmal endet, sondern eine klare, gemessene und dokumentierte Routine.
| Kriterium | Der übliche Ansatz | Website-Sicherheit mit AMS.AL |
|---|---|---|
| Schutz vor Angriffen | Ein Sicherheits-Plugin, einmal installiert und dann vergessen, ohne Regeln für verdächtigen Datenverkehr. | Eine Web Application Firewall (WAF) und DDoS-Schutz über ein CDN wie Cloudflare, mit Regeln, die zu Ihrer Website passen. |
| Malware | Wird erst bemerkt, wenn Google eine Warnung zeigt oder der Hoster das Konto sperrt. | Regelmäßige Scans von Dateien und Datenbank, Entfernung des Schadcodes und Schließen der Lücke, durch die er hereinkam. |
| Updates | Selten, direkt auf der Live-Website, ohne Backup und ohne Test. | Geplante Updates, vorher in einer Staging-Umgebung getestet, mit einem Backup vor jeder Änderung. |
| Ladezeit | Riesige Bilder, kein Cache und Dutzende Skripte auf jeder Seite. | Mehrstufiger Cache, CDN, Bilder in WebP oder AVIF und entfernter Ballast, alles an den Core Web Vitals gemessen. |
| Backups | Kopien auf demselben Server, die nie auf ihre Wiederherstellung geprüft wurden. | Kopien außerhalb des Hauptservers, mit regelmäßigen Wiederherstellungstests und einigen Tagen Verlauf. |
| Überwachung | Der Kunde bemerkt das Problem vor dem technischen Team. | Überwachung von Erreichbarkeit, SSL-Zertifikat, Dateiänderungen und Ladezeit, mit automatischen Warnungen. |
Ihre Besucher sehen die Firewall nicht und wissen nicht, was ein Cache ist, aber sie spüren das Ergebnis sofort. Eine Website, die schnell lädt, keine Browserwarnungen zeigt und nie auf seltsame Werbung umleitet, gewinnt Vertrauen, und aus diesem Vertrauen werden Anfragen, Anrufe und Bestellungen. Deshalb ist Website-Sicherheit keine rein technische Frage: Sie gehört dazu, wie sich Ihr Unternehmen online zeigt.
Wenn Ihre Website noch nicht existiert oder Sie über einen Neuaufbau nachdenken, richtet unser Service Website erstellen sie von Anfang an mit sauberem Code, optimierten Bildern und Sicherheitsregeln ein, sodass Sie diese nicht später nachrüsten müssen.
Jede Website hat andere Risiken und andere Engpässe. Eine Visitenkarten-Website mit wenig Besuchern braucht vor allem Updates und Backups, während ein Onlineshop, der Zahlungen annimmt, breiteren Schutz und auch zu Stoßzeiten kurze Ladezeiten benötigt. Deshalb teilen wir die Arbeit an Website-Sicherheit und Performance in vier Bereiche auf und wählen für jede Website, was sie wirklich braucht.
Eine Web Application Firewall (WAF) steht vor Ihrer Website und prüft jede eingehende Anfrage. Sie blockiert bekannte Versuche von SQL-Injection, schädliche Skripte, Bots, die Passwörter erraten, und Scanner auf der Suche nach verwundbaren Plugins. Wir richten sie über ein CDN wie Cloudflare ein, damit schädlicher Datenverkehr gestoppt wird, bevor er Ihren Server erreicht.
Bei DDoS-Angriffen, wenn Tausende Geräte gleichzeitig Anfragen senden, um die Website lahmzulegen, fängt das Netz des CDN einen Großteil der Last ab. Für empfindliche Seiten wie die Anmeldung, Formulare und den Checkout setzen wir zusätzliche Grenzen, damit eine Welle von Anfragen Ihr Geschäft nicht stoppt.
Ideal für: Onlineshops, Websites mit Kontaktformularen und alle Unternehmen, die Besucher aus Kampagnen erhalten.
Wenn eine Website kompromittiert ist, sind die Anzeichen oft klein: Weiterleitungen auf unbekannte Seiten, Administratorkonten, die niemand angelegt hat, neue Dateien in seltsamen Ordnern oder E-Mails, die im Spam landen. Wir scannen die Website, vergleichen die Dateien mit den Originalversionen und finden den hinzugefügten Code.
Mit dem Entfernen des Codes ist die Arbeit nicht erledigt. Wir finden heraus, wie der Angreifer hereinkam, schließen diese Lücke, ändern Passwörter und Schlüssel und beantragen, falls Google oder die Browser die Website als gefährlich markiert haben, eine Überprüfung, sobald sie sauber ist. Am Ende erhalten Sie einen klaren schriftlichen Bericht über das, was passiert ist, damit Ihre Website-Sicherheit danach stärker ist als zuvor.
Ideal für: Gehackte Websites, Websites mit Warnungen oder Websites, die sich seltsam verhalten.
Härtung bedeutet, einem Angreifer so viele Möglichkeiten wie möglich zu nehmen. Bei WordPress heißt das: ungenutzte Plugins und Themes entfernen, Benutzerrechte einschränken, Konfigurationsdateien schützen, das Bearbeiten von Code im Dashboard abschalten und die Zwei-Faktor-Authentifizierung (2FA) für jeden Administrator aktivieren.
Auf dem Server richten wir SSL/TLS mit modernen Protokollversionen ein, aktivieren HSTS und fügen Sicherheits-Header wie Content-Security-Policy, X-Frame-Options und Referrer-Policy hinzu. Diese Regeln sagen dem Browser, wie er Ihre Besucher schützen soll, selbst wenn jemand versucht, die Website zu missbrauchen.
Ideal für: WordPress- und WooCommerce-Websites, die Angriffe lieber verhindern als bereinigen.
Ladezeit wird gemessen, nicht geschätzt. Wir beginnen mit einem PageSpeed-Audit und den echten Nutzerdaten aus der Search Console, finden heraus, was die Website bremst, und beheben es nach Wirkung geordnet: Seiten- und Objekt-Cache, CDN, Bildkompression in WebP oder AVIF, verzögertes Laden von Bildern unterhalb des sichtbaren Bereichs und das Entfernen von Skripten, die niemand braucht.
Liegt der Engpass in der Datenbank, bereinigen wir alte Daten, ergänzen fehlende Indizes und optimieren die schwersten Abfragen. Bei Websites mit viel Besuchern arbeiten wir auch am Server, gemeinsam mit unserem Webhosting, damit die erste Antwortzeit so kurz wie möglich ist.
Ideal für: Websites, die auf dem Smartphone langsam sind, Shops mit großem Katalog und Websites, die von Google abhängen.
Gute Arbeit an Website-Sicherheit und Performance beginnt nicht mit Änderungen, sondern mit Messungen. Wir müssen wissen, wo Ihre Website steht, bevor wir etwas anfassen, damit wir Ihnen am Ende klar zeigen können, was besser geworden ist. Deshalb teilen wir die Arbeit in sechs Schritte, jeder mit konkreten Ergebnissen, die Sie erhalten.
Wir prüfen die Versionen von WordPress, Plugins und PHP, die Benutzerrechte, das SSL-Zertifikat, die Sicherheits-Header und die vorhandenen Backups. Wir scannen die Website nach Malware und messen ihre Ladezeit mit PageSpeed Insights und den Daten der Search Console, mobil und am Desktop.
Was Sie erhalten
Auf Basis des Audits erstellen wir einen Plan mit der Reihenfolge der Arbeiten: zuerst die größten Risiken, dann die Änderungen mit der stärksten Wirkung auf die Ladezeit. Bevor wir irgendetwas anfassen, erstellen wir ein vollständiges Backup und bewahren es außerhalb des Servers auf.
Was Sie erhalten
Finden wir Malware, entfernen wir sie und schließen die Lücke. Danach aktualisieren wir Core, Plugins und Theme kontrolliert, entfernen Ungenutztes, aktivieren die Zwei-Faktor-Authentifizierung für Administratoren und richten Sicherheits-Header und HSTS ein.
Was Sie erhalten
Wir stellen die Website hinter ein CDN wie Cloudflare und richten die Web Application Firewall, Regeln gegen Bots und Grenzen für die Anmeldung und Formulare ein. Nach jeder Regel prüfen wir, dass Zahlungen, Formulare und Kundenkonten normal funktionieren.
Was Sie erhalten
Wir richten Cache, Kompression und CDN für statische Dateien ein, wandeln Bilder in der richtigen Größe in WebP oder AVIF um, verschieben Skripte, die nicht sofort gebraucht werden, und optimieren die Datenbank. Nach jeder Änderung messen wir erneut, um die tatsächliche Wirkung zu sehen.
Was Sie erhalten
Zum Schluss übernehmen wir die Website-Sicherheit und Performance Ihrer Website in unsere laufende Überwachung: Erreichbarkeit, SSL-Zertifikat, unerwartete Dateiänderungen, Backups und Core Web Vitals werden automatisch geprüft. Wir testen regelmäßig die Wiederherstellung aus den Backups und senden Ihnen einen kurzen Bericht in verständlichen Worten.
Was Sie erhalten
Rund um Website-Sicherheit und Performance gibt es viele Fachbegriffe, doch die Grundideen sind einfach. Hier ist, was wir jedem Kunden vor Beginn erklären, damit Entscheidungen mit allen Informationen getroffen werden.
Google misst Seiten mit drei Kennzahlen, die das Erlebnis Ihrer Besucher beschreiben. Largest Contentful Paint (LCP) misst, wie schnell der Hauptinhalt erscheint, Interaction to Next Paint (INP) misst, wie schnell die Seite auf einen Klick oder eine Eingabe reagiert, und Cumulative Layout Shift (CLS) misst, wie stark sich Elemente beim Laden verschieben. Die Schwellen, die Google als „gut“ bewertet, sind klar:
Die meisten gehackten Websites sind kein gezielt ausgewähltes Opfer. Es sind Websites mit einem veralteten Plugin, das ein automatischer Bot findet, während er Tausende Adressen pro Stunde scannt. Regelmäßige Updates schließen einen Großteil dieser Türen und machen die Website oft auch schneller, weil neue Versionen von PHP und Plugins effizienter laufen. Für die Website-Sicherheit sind Updates daher die wichtigste einzelne Gewohnheit.
Das einzige Risiko von Updates ist, dass eine neue Version etwas beschädigt. Deshalb aktualisieren wir nie direkt auf der Live-Website ohne Backup, und größere Änderungen testen wir zuerst in einer Staging-Umgebung.
Ein SSL/TLS-Zertifikat verschlüsselt die Verbindung zwischen Besucher und Website, sodass Passwörter und Formulardaten unterwegs nicht mitgelesen werden können. HSTS weist den Browser an, die Website immer über HTTPS zu öffnen, auch wenn jemand die Adresse ohne eingibt. Sicherheits-Header fügen eine weitere Ebene hinzu: Sie legen fest, woher Skripte geladen werden dürfen, verhindern, dass die Website in fremde Seiten eingebettet wird, und steuern, welche Informationen beim Klick auf einen Link weitergegeben werden. Zusammen bilden sie eine solide Grundlage für Website-Sicherheit.
Ein Backup auf demselben Server wie die Website verschwindet mit ihr, und ein nie getestetes Backup kann sich genau dann als unvollständig erweisen, wenn Sie es brauchen. Wir folgen der 3-2-1-Regel: drei Kopien, an zwei verschiedenen Orten, eine davon außerhalb des Hauptservers.
Wenn Ihre Website Namen, E-Mail-Adressen oder Bestellungen erfasst, ist deren Schutz nach der DSGVO auch eine gesetzliche Pflicht. Bei Kartenzahlungen müssen die Kartendaten von einem zugelassenen Zahlungsanbieter nach dem Standard PCI DSS verarbeitet und nicht auf Ihrer Website gespeichert werden. Wir richten die Website so ein, dass sie nicht mehr Daten speichert als nötig, denn zur Website-Sicherheit gehört auch der respektvolle Umgang mit den Informationen Ihrer Kunden.
Wir versprechen keinen bestimmten PageSpeed-Wert, denn das Ergebnis hängt vom Theme, den Plugins und den Inhalten ab, die Sie wählen. Was wir tun: vorher und nachher messen, Googles „gute“ Schwellen anpeilen und Ihnen klar zeigen, was sich verändert hat und warum. Dasselbe gilt für die Website-Sicherheit: Wir berichten, was geprüft, blockiert und behoben wurde, statt allgemeine Versprechen zu machen.
Die Überwachung prüft die Website von außen, wie es ein Besucher tun würde, und von innen, mit Blick auf Dateien und Server. So sehen wir nicht nur, ob die Website erreichbar ist, sondern auch, ob sich etwas ohne Ihr Wissen verändert hat.
In regelmäßigen Abständen senden wir Ihnen einen kurzen Bericht in verständlichen Worten: was aktualisiert wurde, wie viele Angriffsversuche blockiert wurden, wie sich die Core Web Vitals entwickelt haben und was wir als Nächstes empfehlen. Ist Ihre Website mit der Search Console verbunden, verknüpfen wir die Ladezeit mit den Suchdaten, damit Sie sehen, ob die technische Verbesserung auch der Sichtbarkeit hilft.
Die Ladezeit ist nur ein Teil des Rankings bei Google. Wenn Sie auch an Inhalten, Keywords und der Struktur Ihrer Website arbeiten möchten, setzt unsere SEO-Optimierung bei denselben Messungen an.
Eine Website, die heute bereinigt wurde, kann morgen gefährdet sein, wenn in einem ihrer Plugins eine neue Schwachstelle bekannt wird. Deshalb funktioniert Website-Sicherheit besser als laufender Service denn als einmaliger Einsatz. Für Inhaltsänderungen, Plugin-Prüfungen und kleine Anpassungen arbeitet unsere Website-Wartung mit derselben Überwachung.
Um Ihnen die Wahl zu erleichtern, haben wir die Arbeit an Website-Sicherheit und Performance in drei Stufen gegliedert. Jede wird an Ihre Website angepasst, und Sie können mit einem einmaligen Audit beginnen und später zum laufenden Schutz wechseln. Mit dem Werkzeug unten sehen Sie, welche Stufe Ihren Anforderungen am nächsten kommt.
Eine vollständige Prüfung und eine saubere Website, einmalig.
Ideal für: Websites, die wissen möchten, wo sie stehen, oder die gehackt wurden und bereinigt werden müssen.
Laufender Schutz und eine Website, die schnell lädt.
Ideal für: Unternehmenswebsites und kleine Onlineshops, die Ruhe und kurze Ladezeiten wünschen.
Umfassende Betreuung für Websites, bei denen jede Minute zählt.
Ideal für: Onlineshops mit viel Besuchern, Plattformen mit Benutzerkonten und Webanwendungen.
Wählen Sie, was Ihre Website beschreibt, und wir zeigen Ihnen die passende Stufe. Das ist nur eine Orientierung: Das Angebot erstellen wir nach dem Audit.
Wählen Sie mindestens eine Option, um die Empfehlung zu sehen.
Wir veröffentlichen keine Festpreise, denn der Aufwand hängt vom Zustand der Website, der Technik und den Besucherzahlen ab. Nach dem Audit erstellen wir ein kostenloses, unverbindliches Angebot, in dem jeder Kostenpunkt klar aufgeführt ist.
Das sind die Fragen, die Unternehmen uns am häufigsten stellen, bevor sie uns die Website-Sicherheit und Ladezeit ihrer Website anvertrauen. Fehlt Ihre Frage, schreiben Sie uns, und wir antworten persönlich.
Er umfasst den Schutz der Website mit WAF und DDoS-Schutz über ein CDN, Malware-Scan und -Entfernung, die Härtung von WordPress und Server, SSL/TLS mit HSTS, Sicherheits-Header, Zwei-Faktor-Authentifizierung, Backups mit Wiederherstellungstests und Überwachung.
Für die Ladezeit umfasst er Cache, CDN, Bildoptimierung in WebP oder AVIF, die Bereinigung von Code und Datenbank sowie Messungen an den Core Web Vitals.
Schreiben Sie uns oder rufen Sie sofort an und löschen Sie nichts, denn die betroffenen Dateien helfen uns herauszufinden, wie der Angreifer hereinkam. Wir beginnen damit, die Website zu isolieren und eine Kopie ihres aktuellen Zustands zu sichern, dann bereinigen wir sie, schließen die Lücke und ändern die Passwörter.
Die Gesamtdauer hängt von der Größe der Website und davon ab, wie tief der Angriff ging; nach der ersten Prüfung sagen wir es Ihnen klar.
Nein, und wir raten zur Vorsicht bei jedem, der das verspricht. Der PageSpeed-Wert schwankt von Test zu Test und hängt von Theme, Plugins, Werbung und Inhalten ab. Wir peilen Googles „gute“ Schwellen für LCP, INP und CLS an, messen vorher und nachher und zeigen Ihnen die echten Ergebnisse.
Für die meisten Unternehmen ja. Ein CDN bringt Inhalte näher zu den Besuchern, entlastet den Server und bietet DDoS-Schutz und eine Web Application Firewall. Wir richten es so ein, dass es den Checkout, die Kundenkonten und die Formulare nicht blockiert.
Nicht, wenn die Maßnahmen richtig eingerichtet sind. Oft ist es umgekehrt: Das Blockieren schädlicher Bots entlastet den Server, und das Entfernen unnötiger Plugins macht die Website leichter. Deshalb betreuen wir Website-Sicherheit und Performance gemeinsam und messen die Ladezeit nach jeder neuen Regel.
Sicherheitsupdates sollten so bald wie möglich nach ihrer Veröffentlichung eingespielt werden, größere Updates zuerst in einer Staging-Umgebung getestet. In den Paketen mit laufendem Schutz prüfen wir sie regelmäßig und spielen sie mit einem Backup vor jeder Änderung ein.
Die Backups werden außerhalb des Servers aufbewahrt, auf dem die Website läuft, mit einigen Tagen Verlauf. Wir testen die Wiederherstellung regelmäßig, damit wir wissen, dass sie funktioniert. Wenn Sie zurückgehen müssen, stellen wir die ganze Website oder nur einen Teil wieder her, zum Beispiel die Datenbank.
Ja. Die meisten Websites, die wegen Website-Sicherheit oder Ladezeit zu uns kommen, wurden von anderen gebaut. Wir beginnen mit dem Audit, um zu verstehen, wie die Website aufgebaut ist, und sagen Ihnen offen, ob sich etwas beheben lässt oder ob ein Neuaufbau sinnvoller ist.
Weil wir seit 2015 Websites erstellen und Server, Domains und E-Mail unter einem Dach betreuen. Wenn ein Problem gleichzeitig Code, Server und CDN betrifft, brauchen Sie keine drei Anbieter, die sich gegenseitig die Schuld zuschieben.
Wir sagen offen, was wir versprechen können und was nicht, und messen unsere Arbeit an klaren Kennzahlen. Mehr über unsere Geschichte und unsere Arbeitsweise finden Sie auf der Seite Über uns.
Senden Sie uns die Adresse Ihrer Website und sagen Sie uns, was Sie am meisten beschäftigt: ein kürzlicher Angriff, langsame Ladezeiten auf dem Smartphone oder einfach der Wunsch nach Ruhe. Wir antworten mit einer kurzen Prüfung, einem Plan für Ihre Website-Sicherheit und Performance und einem kostenlosen Angebot, ganz unverbindlich.
Sie können uns per E-Mail schreiben oder direkt anrufen. Wird Ihre Website gerade angegriffen, rufen Sie an: Schnelles Handeln begrenzt den Schaden.
Zuletzt aktualisiert: