Das Internet war schon immer Angriffen ausgesetzt. Neu ist jedoch die Geschwindigkeit und der Grad der Automatisierung, mit denen Schwachstellen gefunden und ausgenutzt werden können. Künstliche Intelligenz unterstützt heute Entwickler und Sicherheitsexperten dabei, grosse Mengen an Programmcode zu analysieren, Fehler aufzuspüren und mögliche Sicherheitsprobleme zu erkennen. Dieselben Möglichkeiten können aber auch missbraucht werden. KI Bots durchsuchen das Internet bereits automatisiert nach bekannten Schwachstellen. Mit KI und zunehmend selbstständig agierenden KI-Agenten kann diese Automatisierung eine neue Stufe erreichen: Systeme können analysiert, Angriffsmöglichkeiten bewertet und Teile eines Angriffs automatisiert durchgeführt werden. Für Unternehmen bedeutet das vor allem eines: Die Zeit zwischen dem Bekanntwerden einer Sicherheitslücke und ersten Angriffen wird immer wichtiger.
Wie real diese Entwicklung ist, zeigte sich Mitte Juli 2026 beim weltweit genutzten Content Management System WordPress. Am 17. Juli wurden Sicherheitsupdates für zwei Schwachstellen veröffentlicht, die miteinander kombiniert werden konnten. Besonders problematisch: Bei betroffenen WordPress-Versionen konnte die Kombination unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution ermöglichen – also die Ausführung von Code auf dem Server ohne vorherige Anmeldung. Betroffen war dabei der WordPress-Core selbst und nicht lediglich irgendein zusätzlich installiertes Plugin. Kurz darauf standen bereits öffentlich verfügbare Proof-of-Concepts zur Verfügung und Sicherheitsunternehmen beobachteten tatsächliche Angriffe auf noch nicht aktualisierte Systeme. TechCrunch berichtete am 20. Juli von Schätzungen, wonach zu diesem Zeitpunkt noch mehrere zehn Millionen WordPress-Websites verwundbar gewesen sein könnten. Das Entscheidende für unseren Artikel ist dabei weniger WordPress selbst. Der Vorfall zeigt exemplarisch, wie klein das Zeitfenster für Betreiber moderner Websites geworden ist. Früher konnte man sich vielleicht darauf verlassen, ein Update «bei Gelegenheit» einzuspielen. Heute kann eine öffentlich bekannte Schwachstelle sehr schnell automatisiert im Internet gesucht und angegriffen werden. WordPress veröffentlichte deshalb nicht nur Updates, sondern aktivierte nach Angaben der Berichte teilweise sogar erzwungene automatische Sicherheitsupdates.
Die ganze Online Welt ist betroffen
WordPress ist aufgrund seiner enormen Verbreitung ein gutes Beispiel, aber das grundsätzliche Problem betrifft praktisch jede öffentlich erreichbare Software: Websites, Onlineshops, Kundenportale, Buchungssysteme, Vereinsplattformen, Mitgliederbereiche, Newsletter-Systeme, Web-Applikationen, APIs oder individuell entwickelte Online-Lösungen. Überall läuft Software. Und Software kann Fehler enthalten. Hinzu kommen Abhängigkeiten von Drittkomponenten: Bibliotheken, Erweiterungen, Schnittstellen, Zahlungsanbieter, JavaScript-Komponenten, Server-Software und externe Dienste.
Eine moderne Website ist heute kein fertiges Produkt, das einmal erstellt und anschliessend zehn Jahre unverändert betrieben werden kann. Sie ist ein dauerhaft betriebenes IT-System. Das wäre für mich eine der Kernbotschaften des Artikels.
Warum gerade Schweizer KMU und Vereine umdenken müssen
Viele Schweizer KMU, Vereine und kleinere Organisationen betrachten ihre Website verständlicherweise noch immer primär als Kommunikationsmittel. Sie wurde vielleicht vor fünf Jahren erstellt, funktioniert weiterhin und wird gelegentlich aktualisiert. Solange sie erreichbar ist und gut aussieht, scheint alles in Ordnung.
Bei einem kleinen Onlineshop ist das Bewusstsein häufig etwas grösser. Bei einer Vereinswebsite, einem lokalen Gewerbebetrieb, einer Arztpraxis, einem Treuhänder, Architekturbüro oder einer kleinen Unternehmenswebsite dagegen weniger. Doch für einen automatisierten Angriff spielt die Grösse des Unternehmens kaum eine Rolle. Ein Bot unterscheidet nicht zwischen einem internationalen Konzern und dem Sportverein aus dem Emmental. Er findet eine verwundbare Software – und versucht sie auszunutzen. Gerade diese Erkenntnis dürfte für deine Zielgruppe wichtig sein.
«Bei uns gibt es doch nichts zu holen»
Viele kleinere Unternehmen denken:
Wir speichern keine Kreditkarten. Warum sollte jemand unsere Website hacken? Weil eine kompromittierte Website selbst einen Wert besitzt. Ein Angreifer könnte beispielsweise:
- Schadcode oder Phishing-Seiten auf der Domain platzieren
- Besucher auf betrügerische Websites umleiten
- Spam oder betrügerische E-Mails über den Server versenden
- Zugangsdaten oder Kundendaten abgreifen
- Formulare manipulieren
- Bank- oder Zahlungsinformationen austauschen
- neue Administratoren oder versteckte Zugänge anlegen
- die Website für weitere Angriffe verwenden
- Schadsoftware an Besucher ausliefern
- Inhalte verändern oder löschen
- SEO-Spam und tausende unerwünschte Seiten erzeugen
- die Domain-Reputation beschädigen
- die Website vollständig verschlüsseln oder unbrauchbar machen
Bei einem Onlineshop werden die Möglichkeiten noch kritischer.
Denkbar wäre beispielsweise, dass Zahlungsinformationen manipuliert werden, Bestellungen oder Kundendaten abgegriffen werden oder Besucher unbemerkt auf eine gefälschte Zahlungsseite gelangen.
Und selbst wenn keine sensiblen Daten gestohlen werden, kann bereits eine manipulierte Unternehmenswebsite erheblichen Schaden verursachen.
Der eigentliche Schaden beginnt oft erst danach
Das finde ich für KMU besonders wichtig. Der Schaden besteht nicht nur darin, dass «die Website gehackt wurde». Danach kommen möglicherweise: Bereinigung der Website, forensische Analyse, Wiederherstellung von Backups, Passwortwechsel, Überprüfung weiterer Systeme, Kommunikation mit Hostinganbieter und Kunden, Datenschutzabklärungen, Wiederherstellung der Reputation bei Google, Entfernung von Phishing-Warnungen, erneute Freischaltung von E-Mail-Diensten oder die Prüfung, ob Daten abgeflossen sind.
Aus einem Sicherheitsproblem, das vielleicht durch ein rechtzeitiges Update verhindert worden wäre, können plötzlich Tage an Arbeit und erhebliche Folgekosten entstehen. Bei einem Onlineshop kommt zusätzlich der unmittelbare Umsatzausfall hinzu.
KI verändert dabei beide Seiten
KI verbessert auch die Verteidigung erheblich. Entwickler können Code schneller überprüfen. Sicherheitsforscher können Schwachstellen besser erkennen. Logdateien können automatisiert analysiert und ungewöhnliche Aktivitäten schneller entdeckt werden. Gleichzeitig sinkt aber auch die technische Einstiegshürde für Angreifer.
Ein spannender Gedanke für den Artikel wäre:
KI erfindet Cyberangriffe nicht neu – sie kann bestehende Methoden aber schneller, skalierbarer und automatisierter machen.
Forschung geht inzwischen sogar in Richtung autonomer Agenten, die Webanwendungen selbstständig untersuchen und Angriffsmöglichkeiten identifizieren können. Ein im Juli 2026 veröffentlichtes Forschungsprojekt demonstrierte beispielsweise einen selbstständig arbeitenden Agenten für Web-Sicherheitstests an kontrollierten Testsystemen. Die Autoren hielten operative Details und Exploit-Code bewusst zurück, gerade wegen des Dual-Use-Risikos.
Das zeigt sehr schön, wohin die Reise gehen kann, ohne daraus eine Panikgeschichte machen zu müssen.
Die Konsequenz für kleinere Unternehmen: Professionalisierung
Hier würde ich langsam die Brücke zu deiner Dienstleistung schlagen – noch ohne «Jetzt Wartungsvertrag kaufen».
Die Zeiten, in denen eine Firmenwebsite einfach irgendwo installiert und anschliessend jahrelang sich selbst überlassen werden konnte, gehen zu Ende.
Auch kleinere Unternehmen benötigen zunehmend grundlegende professionelle Strukturen:
regelmässige Sicherheitsupdates, Backups, Monitoring, sichere Benutzerkonten, Zwei-Faktor-Authentifizierung, korrekt konfigurierte Zugriffsrechte, Server- und Hosting-Sicherheit, Schutzmechanismen gegen automatisierte Angriffe sowie jemanden, der Sicherheitsmeldungen beurteilen und bei kritischen Ereignissen reagieren kann.
Dabei muss ein KMU keine eigene IT-Sicherheitsabteilung aufbauen.
Aber es sollte klar geregelt sein, wer verantwortlich ist.
«Wer schaut eigentlich nach unserer Website?»
Das könnte eine weitere starke Zwischenüberschrift sein. Viele Unternehmen könnten diese einfache Frage vermutlich nicht beantworten.
- Wer prüft, ob Updates verfügbar sind?
- Wer beurteilt, ob ein Update sicherheitskritisch ist?
- Wer bemerkt ungewöhnliche Zugriffe?
- Wer kontrolliert die Backups?
- Wer weiss, was zu tun ist, wenn morgen eine kritische Sicherheitslücke veröffentlicht wird?
- Wer überprüft nach einem Angriff, ob tatsächlich alle Hintertüren entfernt wurden?
Wenn die Antwort auf all diese Fragen «niemand» lautet, liegt genau darin das eigentliche Risiko.
Professionelle Betreuung wird vom Komfortfaktor zum Sicherheitsfaktor
Die professionelle Betreuung einer Website war lange vor allem eine Frage des Komforts. Updates wurden erledigt, Backups kontrolliert und technische Probleme behoben. Mit der zunehmenden Automatisierung von Cyberangriffen verändert sich diese Rolle.
Laufende Betreuung wird zunehmend Teil des Sicherheitskonzepts eines Unternehmens. Ein professionell betreuter Webauftritt sollte deshalb nicht nur aktualisiert werden. Entscheidend ist das Zusammenspiel aus Software, Hosting, Konfiguration, Zugriffsrechten, Monitoring, Backup, Reaktionsfähigkeit und fachlicher Beurteilung.
Ein Ausblick
Vor zwanzig Jahren war eine Unternehmenswebsite vielfach eine digitale Visitenkarte. Heute hängen daran Formulare, Kundendaten, E-Mail-Kommunikation, Shops, Schnittstellen, Mitgliederbereiche und teilweise ganze Geschäftsprozesse.
Entsprechend muss sich auch unser Verständnis ihrer Sicherheit verändern.
Eine professionelle Website braucht heute nicht nur jemanden, der sie erstellt – sondern jemanden, der dafür sorgt, dass sie auch morgen noch sicher betrieben werden kann.
Das wäre meines Erachtens auch die ideale Überleitung, um erst ganz am Ende dezent auf eure Wartungs- und Sicherheitsangebote hinzuweisen.
