Eine neue Website soll Interessenten erreichen und geschäftliche Abläufe unterstützen. Damit sie auch nach dem Start verlässlich nutzbar bleibt, gehören Sicherheitsaufgaben schon in die Beauftragung. Entscheidend sind die tatsächlichen Funktionen, Daten und Zuständigkeiten. Hier erfährst Du, wie Du mit Agentur und IT-Betreuung einen passenden Umfang vereinbarst, Prüfungen sinnvoll abgrenzt und die laufende Pflege gleich mitbetrachtest.
Beginne mit den echten Aufgaben der Website
Beschreibe zunächst, was die Website für Dein Unternehmen tun soll. Eine Seite mit öffentlichen Informationen hat andere Anforderungen als ein Kundenbereich, ein Shop oder ein Formular mit vertraulichen Anhängen. Notiere die vorgesehenen Funktionen und die betroffenen Datenarten. So können Anbieter Sicherheitsleistungen auf einen konkreten Bedarf beziehen, statt Dir ein allgemeines Paket mit unklarer Reichweite anzubieten.
Beziehe die Menschen ein, die später mit der Website arbeiten. Wer pflegt Inhalte, bearbeitet Anfragen oder verwaltet Benutzerkonten? Eine Funktion kann technisch passend gebaut sein und dennoch im Alltag einen ungeklärten Umgang mit Daten erzeugen. Der Auftrag sollte deshalb den Weg vom Besucher bis zur internen Bearbeitung berücksichtigen. Du brauchst dafür keine eigene technische Spezifikation, aber eine verständliche Beschreibung des gewünschten Ergebnisses.
Halte auch geplante Verbindungen zu anderen Diensten fest. Dazu können ein Buchungssystem, eine Zahlungsabwicklung oder ein angebundenes Kundenverwaltungssystem gehören. Eine solche Verbindung erweitert den zu betrachtenden Ablauf. Lass erklären, welche Teile die Agentur übernimmt und welche beim jeweiligen Dienst verbleiben. Ein vollständiger Auftrag macht diese Grenzen sichtbar, ohne fremde Leistungen pauschal als mitgeliefert zu behandeln.
Ordne die Verantwortung zwischen den Beteiligten
Kläre, wer Website, Hosting, Domain und verbundene Dienste betreut. Diese Aufgaben können beim selben Anbieter liegen, müssen es aber nicht. Frage nach einem verständlichen Überblick der Zuständigkeiten und Kontaktwege. Wenn eine Störung auftritt, sollte Dein Unternehmen nicht erst herausfinden müssen, ob Agentur, Hoster oder ein weiterer Dienstleister den nächsten Schritt übernehmen kann.
Unterscheide außerdem Umsetzung und laufenden Betrieb. Die Fertigstellung einer Website bedeutet nicht automatisch, dass spätere Aktualisierungen, Sicherheitsmeldungen und Wiederherstellungen dauerhaft enthalten sind. Lass den angebotenen Umfang ausdrücklich beschreiben. Ein einmaliger Projektpreis und eine laufende Betreuung können sinnvoll zusammenpassen, sollten aber im Vergleich verschiedener Angebote erkennbar getrennt werden.
Lege intern fest, wer Entscheidungen treffen und Änderungen freigeben darf. Ein externer Anbieter kann technische Empfehlungen geben, sollte aber geschäftliche Auswirkungen und erforderliche Mitwirkung mit der zuständigen Person abstimmen. Für Dein Unternehmen ist besonders wichtig, dass diese Rolle auch bei Urlaub oder Personalwechsel handlungsfähig bleibt. Eine klare Vertretung hilft mehr als eine lange Liste unbestimmter Kontaktpersonen.
Mache Verwaltungszugänge zu einem eigenen Übergabepunkt
Frage, welche Konten für Inhaltsverwaltung, Hosting und weitere Dienste benötigt werden und wie sie Deinem Unternehmen zugeordnet sind. Ein späterer Anbieterwechsel wird einfacher, wenn wichtige Zugänge nicht nur über ein persönliches Konto einer einzelnen externen Person erreichbar sind. Lass Eigentum, berechtigte Verwaltung und einen passenden Übergabeweg bereits im Projekt vereinbaren.
Für Verwaltungszugänge sollte ein angemessener Anmeldeschutz vorgesehen sein. Frage nach den tatsächlich unterstützten Möglichkeiten und der Einrichtung für die berechtigten Personen. Gemeinsam herumgereichte Passwörter sind kein nachvollziehbares Rollenmodell. Die konkrete Lösung hängt von den eingesetzten Diensten ab; Dein Auftrag sollte zeigen, wie Zugriffe zugeordnet und bei einem Wechsel wieder entzogen werden.
Geheime Zugangsmittel gehören nicht in eine allgemeine Ausschreibung oder eine ungeschützte Projekttabelle. Vereinbart für ihre Einrichtung und Übergabe einen passenden geschützten Weg. Für den Angebotsvergleich genügt zunächst die Beschreibung der Zuständigkeiten. So kann Dein Unternehmen handlungsfähig bleiben, ohne sensible Verwaltungsinformationen unnötig breit zu verteilen.
Beschreibe Anforderungen an Formulare und Dateien
Wenn Besucher Anfragen senden, sollte der gewünschte Datenumfang bewusst gewählt sein. Welche Angaben werden wirklich benötigt, wohin gehen sie und wer bearbeitet sie? Ein funktionierender Versand ist nur ein Teil des Ablaufs. Frage auch nach Speicherung, Zugriff und dem Umgang mit unvollständigen oder unerwarteten Eingaben. Die Agentur sollte den gesamten vorgesehenen Weg verständlich erklären.
Bei Datei-Uploads sind zusätzliche Fragen sinnvoll: Welche Dateitypen und Größen werden benötigt, wer erhält Zugriff und wie werden die Dateien weiterverarbeitet? Ein beliebiger Upload für alle Inhalte ist möglicherweise gar nicht erforderlich. Lass den Umfang am tatsächlichen Geschäftszweck ausrichten. Dein Unternehmen bekommt dadurch eine passendere Funktion und kann die dafür nötige Betreuung besser vergleichen.
Vermeide eine Erprobung mit echten vertraulichen Kundenunterlagen, solange der Verarbeitungsweg nicht dafür freigegeben ist. Für die Prüfung lassen sich geeignete Testinhalte vereinbaren. Der Anbieter sollte zeigen, wie die Funktion im vorgesehenen Ablauf arbeitet und wie Fehler behandelt werden. Eine einzelne Testnachricht belegt noch nicht jede wichtige Variante eines umfangreicheren Formulars.
Nutze einen nachvollziehbaren Prüfrahmen
Bitte die Agentur, die vorgesehenen Sicherheitsprüfungen verständlich zu benennen. Welche Funktionen und Rollen werden untersucht, nach welchen Kriterien und mit welchem Ergebnis? Eine allgemeine Aussage wie sicher entwickelt hilft wenig, wenn unklar bleibt, was tatsächlich überprüft wurde. Dein Unternehmen sollte erkennen können, welche Aussage eine Prüfung erlaubt und welche Bereiche bewusst außerhalb ihres Umfangs liegen.
OWASP stellt mit dem Application Security Verification Standard einen offenen Rahmen für technische Anforderungen und die Prüfung von Webanwendungen bereit. Die Projektseite nennt aktuell Version 5.0.0 und empfiehlt eindeutige Versionsbezüge bei Anforderungen. Für Deinen Auftrag kann das eine gemeinsame Sprache schaffen. Entscheidend bleibt aber, welche passenden Anforderungen für die konkrete Website vereinbart und tatsächlich geprüft werden. OWASP: Application Security Verification Standard
Ein vollständiger Standard ist nicht automatisch die richtige pauschale Leistungsbeschreibung für jede kleine Website. Lass den Umfang anhand der Funktionen und des Schutzbedarfs begründen. Wenn eine bestimmte Anforderung nicht passt, sollte das nachvollziehbar erklärt werden. Ein sinnvoll abgegrenzter Prüfauftrag ist besser vergleichbar als ein möglichst umfangreich klingendes Versprechen ohne konkrete Abdeckung.
Prüfe Datenschutz im tatsächlichen Datenweg
Wenn personenbezogene Daten verarbeitet werden, braucht die Website neben technischen Schutzmaßnahmen eine passende rechtliche Gestaltung. Kläre, welche zuständige Fachperson Zweck, Rechtsgrundlage und erforderliche Informationen prüft. Eine Datenschutzerklärung allein zeigt nicht, dass alle technischen Datenwege wie vorgesehen eingerichtet sind. Umgekehrt ersetzt eine technische Sicherheitsprüfung nicht automatisch die rechtliche Bewertung der Verarbeitung.
Artikel 32 DSGVO bezieht sich auf ein dem Risiko angemessenes Schutzniveau durch technische und organisatorische Maßnahmen. Dazu gehören je nach Situation auch Verfügbarkeit, Wiederherstellung und die Überprüfung der Wirksamkeit. Diese amtliche Grundlage hilft bei der Einordnung, ohne für jede Website eine identische technische Lösung vorzugeben. BfDI: DSGVO, insbesondere Artikel 32
Lass externe Einbindungen und mögliche weitere Empfänger bewusst prüfen. Ein Analysewerkzeug oder ein eingebetteter Dienst kann einen anderen Datenweg schaffen als die übrige Website. Die rechtliche und technische Umsetzung sollten zusammenpassen. Für den Angebotsvergleich ist wichtig, wer die Prüfung übernimmt, welche Mitwirkung von Dir gebraucht wird und wie eine spätere Änderung erneut eingeordnet wird.
Vereinbare Pflege für eingesetzte Komponenten
Frage nach den verwendeten grundlegenden Systemen und Erweiterungen sowie nach ihrer laufenden Pflege. Wer beobachtet relevante Sicherheitsmeldungen und wer spielt notwendige Aktualisierungen ein? Eine aktuelle Website kann später veralten, wenn niemand diese Aufgabe übernimmt. Der Auftrag sollte deshalb den vorgesehenen Betriebsweg beschreiben und nicht beim ersten erfolgreichen Aufruf der neuen Seite enden.
Unterscheide dabei die Bereitstellung einer Aktualisierung von ihrer geprüften Einführung in Deine Umgebung. Eine Erweiterung kann mit anderen Funktionen verbunden sein, die bei einer Änderung berücksichtigt werden müssen. Lass erklären, welche angemessenen Prüfungen der Anbieter übernimmt und wie ein Problem behandelt wird. Die konkrete Tiefe sollte sich an Funktion und Auswirkung orientieren, statt pauschal jeden Eingriff gleich zu behandeln.
Wenn ein Bestandteil nicht mehr unterstützt wird, braucht Dein Unternehmen eine verständliche Information und eine Entscheidung über das weitere Vorgehen. Frage nach einem Vorschlag für Ersatz oder Anpassung und den dabei erwarteten Auswirkungen. Eine unbegrenzte unveränderte Nutzbarkeit sollte nicht aus einem einmaligen Projektvertrag abgeleitet werden. Eine klare Pflegevereinbarung macht den späteren Aufwand besser planbar.
Plane Sicherung und Wiederherstellung gemeinsam
Eine Sicherung ist für Dein Unternehmen erst dann besonders wertvoll, wenn sich die benötigten Inhalte und Einstellungen im vereinbarten Umfang wiederherstellen lassen. Frage, was tatsächlich gesichert wird und wer für die Wiederherstellung zuständig ist. Website-Dateien, Datenbanken und Daten in externen Diensten können unterschiedliche Zuständigkeiten haben. Die Antwort sollte zur konkreten Architektur passen.
Besprich einen kontrollierten Nachweis des vorgesehenen Wiederherstellungswegs. Ein erfolgreiches Sicherungsprotokoll allein zeigt nicht jede praktische Voraussetzung für den Wiederanlauf. Lass den Anbieter erklären, welchen Umfang er überprüft und welche Informationen Dein Unternehmen danach erhält. Für eine einfache Website kann der Nachweis überschaubar sein; wichtig ist die Aussagekraft für den tatsächlich benötigten Betrieb.
Kläre auch die Aufbewahrung notwendiger Zugangsinformationen und die Erreichbarkeit der zuständigen Stelle. Wenn nur eine ausgefallene Person den Wiederherstellungsweg kennt, bleibt ein organisatorisches Problem. Dein Unternehmen sollte die nötigen Ansprechpartner und berechtigten Schritte nachvollziehen können. Dafür müssen keine geheimen Mittel in öffentlich zugängliche Projektdokumente aufgenommen werden.
Lege die Abnahme an echten Funktionen fest
Vereinbare vor Projektende, welche Ergebnisse für die Übergabe gezeigt werden sollen. Dazu gehören die wichtigen Besucherfunktionen und die für Dein Team benötigte Verwaltung. Prüfe beispielsweise den vereinbarten Anfrageweg mit geeigneten Testdaten und den Zugriff berechtigter Rollen. Eine schöne Startseite allein belegt nicht den vollständigen Ablauf einer Website mit zusätzlichen geschäftlichen Funktionen.
Lass gefundene Abweichungen mit ihrer Auswirkung benennen. Welche Punkte müssen vor dem Start behoben werden, welche Entscheidung braucht Deine Mitwirkung und welche begrenzte Einschränkung wird bewusst vereinbart? Ein nachvollziehbares Ergebnis hilft Dir mehr als die alleinige Aussage alles geprüft. Die Abnahme sollte erkennen lassen, welcher tatsächliche Stand übergeben wird.
Eine Live-Erprobung mit echten Kunden oder produktiven Formularaktionen braucht einen ausdrücklich abgestimmten Umfang. Für viele Prüfungen eignen sich vorbereitete Testwege. Frage den Anbieter, wie er den Nachweis erbringt, ohne unbeabsichtigte Nachrichten oder Datenänderungen auszulösen. Das ist eine praktische Frage der Projektführung und gehört zur konkreten Vorbereitung des Starts.
Vergleiche Angebote über die gesamte Nutzungszeit
Stelle Erstellung, Prüfungen, Übergabe und laufende Betreuung getrennt gegenüber. Welche Leistungen sind enthalten, welche Lizenzen oder weiteren Dienste werden benötigt und wie werden spätere Änderungen beauftragt? Ein niedriger Projektpreis ist schwer zu bewerten, wenn wichtige Betriebsaufgaben ungeklärt bleiben. Vergleiche dieselben Funktionen und Zuständigkeiten, damit der wirtschaftliche Unterschied verständlich wird.
Denke auch an ein mögliches Vertragsende. Welche Unterlagen, Inhalte und berechtigten Verwaltungszugänge erhält Dein Unternehmen für einen Wechsel? Eine geordnete Übergabe schützt den Wert der Website. Sie sollte nicht erst verhandelt werden müssen, wenn eine Zusammenarbeit bereits endet. Lass den vorgesehenen Umfang so beschreiben, dass eine neue Betreuung die tatsächlich eingesetzte Lösung nachvollziehen kann.
Passende Sicherheitsleistungen für Deine Website anfragen
Auf der Startseite von IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Halte eine allgemeine Übersicht der gewünschten Website-Funktionen, bestehenden Dienstleister und wichtigen Datenwege bereit. Vertrauliche Inhalte oder Administratorzugänge werden für diese erste Beschreibung nicht benötigt. Den konkreten Prüf- und Betreuungsumfang vereinbarst Du mit dem jeweiligen Anbieter.