Digitale Sichtbarkeit und Praxis-Website: Spezialfrage 4

Kurzdefinition

Website-Sicherheit und Ausfallschutz bezeichnen die Gesamtheit technischer und organisatorischer Maßnahmen, die eine Praxis-Website gegen unbefugten Zugriff, Datenverlust und ungeplante Ausfallzeiten absichern: regelmäßige Datensicherungen, zeitnah eingespielte Aktualisierungen, eingeschränkte Zugriffsrechte und ein festgelegtes Vorgehen für den Ernstfall. Anders als die einmalige technische Einrichtung ist Sicherheit ein fortlaufender Prozess ohne festen Endpunkt.

Auf einen Blick

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt Unternehmen eine eigene Schritt-für-Schritt-Anleitung zur Einrichtung automatischer Updates zur Verfügung (BSI 2026)
Ergänzend bietet das BSI die Broschüre “Cybersicherheit für KMU” mit branchenübergreifenden Grundempfehlungen an (BSI 2026)
Zugriffsrechte auf ein Content-Management-System sollten nach dem in der IT-Sicherheit anerkannten Prinzip der minimalen Berechtigung vergeben werden, nicht pauschal als Vollzugriff für alle Beteiligten
Ein ungetestetes Backup ist im Ernstfall keine verlässliche Sicherung, erst eine erfolgreich durchgeführte Rücksicherung bestätigt, dass die Datensicherung tatsächlich funktioniert
Ein Ausfall der Website betrifft bei einer Zahnarztpraxis häufig nicht nur die Außendarstellung, sondern auch eine daran gekoppelte Online-Terminbuchung

Einordnung

Von der SSL-Verschlüsselung, einem eigenen Thema dieses Lexikons, unterscheidet sich Website-Sicherheit im Umfang. Ein SSL-Zertifikat sichert ausschließlich die Übertragung von Daten zwischen Website und Besuchenden gegen Mitlesen ab. Website-Sicherheit im hier verstandenen Sinn schließt Verschlüsselung als einen Baustein ein, geht aber deutlich darüber hinaus: Backups, Software-Updates, Zugriffsrechte und ein Vorgehen für den Ernstfall betreffen Angriffs- und Ausfallwege, die eine reine Transportverschlüsselung nicht abdeckt.

Vom Wechsel des Hosting-Anbieters, ebenfalls eigenständig behandelt, unterscheidet sich Website-Sicherheit im Zeithorizont. Ein Hosting-Wechsel ist ein einmaliges Projekt mit klarem Anfang und Ende. Sicherheit dagegen bleibt unabhängig vom gewählten Anbieter eine dauerhafte Aufgabe, die nach jedem Wechsel neu organisiert, aber nie endgültig abgeschlossen werden kann.

Von der reinen technischen Erreichbarkeit einer Website unterscheidet sich der hier gemeinte Ausfallschutz in der Ursache. Nicht jeder Ausfall geht auf einen Angriff zurück, ein abgelaufenes Zertifikat, ein überlastetes Hosting-Paket oder ein fehlerhaftes Update können ebenso zum Stillstand führen. Ausfallschutz behandelt deshalb sowohl böswillige als auch rein technische Ursachen gemeinsam.

Relevanz für die Praxis

Für Zahnarztpraxen hat mangelnder Ausfallschutz mehrere, unterschiedlich schwerwiegende Folgen.

Erstens verhindert ein Ausfall Neupatienten-Anfragen genau in dem Moment, in dem eine suchende Person aktiv nach einer Praxis sucht, ohne dass diese Person notwendigerweise später zurückkehrt. Anders als bei einem bereits gebundenen Patienten gibt es bei der Erstsuche selten eine zweite Gelegenheit für denselben Sucheindruck.

Zweitens kann ein kompromittiertes Content-Management-System dazu führen, dass Browser Warnungen anzeigen oder Suchmaschinen die betroffene Seite mit einem Sicherheitshinweis versehen. Die in einem anderen Beitrag dieser Reihe behandelte Google Search Console meldet solche Vorfälle zwar, verhindert sie aber nicht, die eigentliche Absicherung muss vorher ansetzen.

Drittens sind Praxisverwaltungssoftware und öffentliche Website bei den meisten Anbietern getrennte Systeme. Ein Sicherheitsvorfall auf der Website betrifft in aller Regel nicht unmittelbar die Patientenakte. Das Vertrauen der Patientinnen und Patienten leidet dennoch, wenn die öffentlich sichtbare Website kompromittiert wirkt, unabhängig davon, welche Systeme technisch tatsächlich betroffen sind.

Viertens sind Zuständigkeiten häufig unklar zwischen Webagentur, Hosting-Anbieter und Praxisteam verteilt. Im Ernstfall kostet diese Unklarheit Reaktionszeit, weil zunächst geklärt werden muss, wer überhaupt handeln kann und darf, bevor die eigentliche Behebung beginnt.

Was bei der Umsetzung zählt

Legen Sie einen festen Rhythmus für Datensicherungen fest und testen Sie mindestens einmal, ob sich aus einem vorhandenen Backup tatsächlich eine funktionierende Version der Website wiederherstellen lässt, statt sich auf die bloße Existenz einer Sicherungsdatei zu verlassen.

Spielen Sie Aktualisierungen für Content-Management-System, Erweiterungen und Serversoftware zeitnah ein, im Idealfall automatisiert, wie es das BSI für Unternehmen allgemein empfiehlt, statt Updates aus Sorge vor Darstellungsfehlern dauerhaft aufzuschieben.

Vergeben und entziehen Sie Zugriffsrechte konsequent, insbesondere nach einem Wechsel der Webagentur oder eines Teammitglieds mit eigenen Zugangsdaten, statt alte Zugänge einfach bestehen zu lassen.

Klären Sie vertraglich, wer im laufenden Betrieb sichert, wer aktualisiert und wer im Ernstfall reagiert, festgehalten etwa im Vertrag mit der Hosting- oder Betreuungsagentur, statt diese Fragen erst während eines Vorfalls zu klären.

Hinterlegen Sie einen Notfallkontakt und einen groben Ablaufplan für den Ernstfall schriftlich und für mehrere Personen im Team zugänglich, statt das Wissen bei einer einzelnen Person zu belassen.

Prüfen Sie nach jeder größeren Änderung an der Website, etwa einem Relaunch oder einem Wechsel der Agentur, ob Zugriffsrechte, Backup-Rhythmus und Update-Verantwortung noch zur neuen Situation passen.

Zahlen und Kontext

Das Bundesamt für Sicherheit in der Informationstechnik ist die zuständige Bundesbehörde für Fragen der Informationssicherheit in Deutschland und richtet sich mit eigenen, kostenfrei verfügbaren Angeboten auch an kleine und mittlere Unternehmen. Dazu zählen eine Schritt-für-Schritt-Anleitung zur Einrichtung automatischer Updates sowie die Broschüre “Cybersicherheit für KMU” mit branchenübergreifenden Grundempfehlungen (BSI 2026). Beide Angebote richten sich allgemein an Unternehmen und Organisationen, eine speziell auf Arzt- oder Zahnarztpraxen zugeschnittene Handreichung des BSI lag im Rahmen dieser Recherche nicht vor.

Zu der Frage, wie häufig deutsche Zahnarztpraxen von Sicherheitsvorfällen an der eigenen Website betroffen sind oder wie lange typische Ausfallzeiten dabei ausfallen, liegen keine belastbaren, von Körperschaften oder amtlicher Statistik erhobenen Daten vor. Einzelne, öffentlich bekannt gewordene Vorfälle lassen sich nicht ohne Weiteres verallgemeinern und werden deshalb hier nicht als Grundlage einer Häufigkeitsangabe herangezogen.

Typische Fehler

Backup nur auf demselben Server wie die Website Bei einem vollständigen Ausfall des Servers steht damit auch die vermeintliche Sicherung nicht mehr zur Verfügung.

Updates aus Angst vor Darstellungsfehlern dauerhaft aufgeschoben Nicht eingespielte Sicherheitsaktualisierungen zählen zu den häufigsten Einfallstoren für eine Kompromittierung, das Risiko wächst mit jedem verstrichenen Monat.

Ein einzelnes, geteiltes Passwort für alle Zugänge Scheidet eine Person mit Kenntnis dieses Passworts aus der Zusammenarbeit aus, bleibt der Zugang bestehen, solange niemand aktiv daran denkt, ihn zu ändern.

Keine Person im Team eindeutig für Sicherheit zuständig Ohne klare Zuständigkeit bleiben Updates, Backup-Kontrollen und Zugriffsprüfungen leicht liegen, weil jede beteiligte Stelle annimmt, eine andere kümmere sich darum.

Rücksicherung eines Backups noch nie getestet Erst der tatsächliche Test zeigt, ob eine Sicherung im Ernstfall wirklich eine funktionierende Website wiederherstellt.

Häufige Fragen

Wie oft sollten Backups erstellt werden? Zu einer allgemeinverbindlichen Frist hierfür liegt keine im Rahmen dieser Recherche geprüfte amtliche Quelle vor. Der Rhythmus sollte sich daran orientieren, wie viel Inhalt zwischen zwei Sicherungen verloren gehen könnte, ohne dass dieser Verlust hinnehmbar wäre.

Reicht ein automatisches Update-System aus? Automatische Updates senken das Risiko veralteter Software erheblich, ersetzen aber nicht die Kontrolle, ob eingespielte Aktualisierungen die Website weiterhin fehlerfrei darstellen.

Wer ist für die Sicherheit einer von einer Agentur betreuten Website verantwortlich? Das richtet sich nach der vertraglichen Vereinbarung. Ohne ausdrückliche Regelung ist im Zweifel unklar, wer für Backups, Updates und Reaktionen im Ernstfall zuständig ist, eine schriftliche Klärung wird deshalb empfohlen.

Was tun wir bei einem Verdacht auf eine kompromittierte Website? Vorrangig sollte der Zugriff eingeschränkt und die betreuende Agentur oder der Hosting-Anbieter informiert werden, bevor weitere Änderungen vorgenommen werden, um Spuren der Kompromittierung nicht zu überschreiben.

Betrifft ein Sicherheitsvorfall auf der Website auch die Patientenakte? Bei getrennten Systemen für Website und Praxisverwaltung in aller Regel nicht unmittelbar, eine sorgfältige technische Trennung beider Systeme vorausgesetzt.

Quellen

Bundesamt für Sicherheit in der Informationstechnik (BSI): Angebote für Unternehmen und Organisationen, unter anderem Anleitung zu automatischen Updates und Broschüre “Cybersicherheit für KMU”. Abgerufen am 22.07.2026. https://www.bsi.bund.de

Unsicherheiten

Zur Häufigkeit von Sicherheitsvorfällen an Websites deutscher Zahnarztpraxen und zu typischen Ausfallzeiten im Vorfall liegen keine belastbaren, von Körperschaften oder amtlicher Statistik erhobenen Daten vor.

Eine speziell auf Arzt- oder Zahnarztpraxen zugeschnittene Handreichung des BSI wurde im Rahmen dieser Recherche nicht aufgefunden, die genannten Empfehlungen richten sich allgemein an Unternehmen und wurden nicht praxisspezifisch geprüft.

Der Beitrag gibt den Stand vom 22.07.2026 wieder. Konkrete technische Angebote und Anleitungen des BSI können sich in Aufbau und Inhalt ändern.

Dieser Beitrag wurde redaktionell erstellt und fachlich geprüft. Er ersetzt keine individuelle Rechts- oder Steuerberatung.

Zusatz-Longtail Digitale Sichtbarkeit und Praxis-Website #4