Wird die Webseite deines Kunden gehackt, kann das heute rechtliche Meldepflichten mit sich bringen und Haftungsfragen aufwerfen. Der Grund dafür sind die EU-Regelwerke NIS-2 und der Cyber Resilience Act (CRA).
Beide Richtlinien wenden sich an Nutzer, die ihre Sicherheitspflichten an Dienstleister wie Agenturen weitergeben, sowie an Plugin-Hersteller.
Wie groß der Handlungsdruck tatsächlich ist, lässt sich aus einer Bitkom-Studie zum Wirtschaftsschutz 2025 ablesen: 87 % der deutschen Unternehmen waren von Datendiebstahl, Spionage oder Sabotage betroffen, der Schaden lag bei 289,2 Milliarden Euro .
In unserem Beitrag erklären wir dir daher, was NIS-2 für Web-Agenturen bedeutet, welche Rolle der Cyber Resilience Act spielt, ob deine Agentur betroffen ist und wie du Kundenseiten so betreibst, dass sie gut geschützt sind.
- NIS-2 gilt in Deutschland seit dem 6. Dezember 2025. Betroffene Unternehmen müssen sich beim BSI registrieren, Risiken managen und Sicherheitsvorfälle innerhalb von 24 Stunden melden.
- Der Cyber Resilience Act verpflichtet Software-Hersteller wie auch Anbieter kommerzieller WordPress-Plugins zu sicheren Produkten und Sicherheitsupdates. Die Meldepflichten gelten seit dem 11. September 2026.
- Die meisten Agenturen sind indirekt betroffen: Ihre NIS-2-pflichtigen Kunden geben Sicherheitsanforderungen per Vertrag weiter.
- Agenturen ab 50 Mitarbeitenden oder ab 10 Mio. Euro Umsatz , die Webseiten dauerhaft betreuen, können als „Anbieter verwalteter Dienste“ selbst unter NIS-2 fallen.
- Entscheidend sind Updates, Zugriffsschutz, Backups, ein Notfallplan und eine saubere Dokumentation.
Inhaltsverzeichnis
1. NIS-2 und Cyber Resilience Act: Was gilt seit wann?
NIS-2 und der Cyber Resilience Act (CRA) werden oft in einem Atemzug genannt, verfolgen aber unterschiedliche Ansätze. Vereinfacht gesagt: NIS-2 regelt, wie Unternehmen arbeiten. Der CRA regelt, wie Produkte gebaut werden. Für Web-Agenturen sind beide relevant, aber aus unterschiedlichen Gründen.
Dieser Beitrag bietet einen praxisnahen Überblick, ersetzt aber keine Rechtsberatung. Ob und wie dein Unternehmen von NIS-2 oder dem Cyber Resilience Act betroffen ist, hängt vom Einzelfall ab. Verbindliche Informationen findest du beim BSI und im Text der Verordnung (EU) 2024/2847. Für deinen konkreten Fall wende dich bitte an eine Anwältin oder einen Anwalt.
NIS-2 – Sicherheitspflichten für Unternehmen
NIS-2 steht für „Network and Information Security“ und betrifft die Sicherheit von Netzen sowie Informationssystemen. Die EU-Richtlinie verpflichtet Unternehmen, ihre IT systematisch abzusichern, Sicherheitsvorfälle zu melden und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren.
Die NIS-2-Richtlinie der EU ist bereits am 16. Januar 2023 in Kraft getreten.
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 – und zwar ohne Übergangsfrist. Die konkreten Pflichten stehen im überarbeiteten BSI-Gesetz (BSIG).
Wer ist von NIS-2 betroffen?
Grundsätzlich sind Unternehmen aus insgesamt 18 Sektoren betroffen. Dazu zählen zum Beispiel
- Energie,
- Gesundheit,
- Transport,
- Lebensmittel,
- Abfallwirtschaft,
- digitale Dienste oder die
- Herstellung von Maschinen und Elektronik.
Wie du herausfindest, ob du von NIS-2 betroffen bist, erfährst du übrigens im Kapitel 2.
Entscheidend dafür sind Branche und Größe des Unternehmens. Nach Schätzungen fallen in Deutschland rund 29.500 Unternehmen und Einrichtungen unter NIS-2. Je nach Größe unterscheidet das Gesetz zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen.
Pflichten für betroffene Unternehmen
Für alle betroffenen Unternehmen (s. Kapitel 2) gelten im Kern diese Pflichten:
- Registrierung beim BSI: Bis zum 31. Juli 2026 lief die Nachfrist, um dich beim BSI anzumelden. Laut einem Bericht von Börse Express waren Ende Mai 2026 erst rund 18.500 der etwa 29.500 betroffenen Unternehmen registriert.
- Risikomanagement: Unternehmen müssen angemessene technische und organisatorische Maßnahmen umsetzen, zum Beispiel Zugriffskontrolle, Backups, Verschlüsselung, Notfallpläne – und die Sicherheit ihrer Lieferkette.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden als Meldung und nach einem Monat als Abschlussbericht ans BSI gehen.
- Verantwortung der Geschäftsleitung: Die Geschäftsführung muss die Maßnahmen billigen, überwachen und regelmäßig an Schulungen teilnehmen. Bei Verstößen kann sie persönlich haften.
Nicht jede Störung muss gemeldet werden. Als erheblich gilt ein Sicherheitsvorfall nach NIS-2, wenn er
- schwere Betriebsstörungen oder finanzielle Verluste für das Unternehmen verursacht hat oder verursachen kann oder
- andere Personen oder Unternehmen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Beispiel
Liefert eine gehackte Webseite Schadcode an Besucher aus oder werden Kundendaten abgegriffen, gilt das als ein erheblicher Vorfall. Ein kurzer Ausfall ohne Folgen ist es meist nicht.
| Kriterium | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
Typische Größe | Ab 250 Mitarbeitende oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | Ab 50 Mitarbeitende oder über 10 Mio. € Umsatz und Bilanzsumme |
Maximales Bußgeld | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
Aufsicht durch das BSI | Auch ohne Anlass möglich (proaktiv) | Vor allem anlassbezogen, z. B. nach einem Vorfall |
Registrierung und Meldepflichten | Ja | Ja |
Die Registrierungspflicht gilt weiter, auch wenn die Nachfrist des BSI bereits abgelaufen ist. Hast du die Registrierung verpasst, solltest du sie so schnell wie möglich nachholen.
Das kannst du über das BSI-Portal tun. Dazu benötigst du ein ELSTER-Organisationszertifikat . Plane dafür etwas Zeit ein, denn die Zugangsdaten kommen per Post und das kann einige Tage dauern.
Die zehn Mindestmaßnahmen aus § 30 BSIG
Was „angemessene Maßnahmen“ im Risikomanagement konkret heißt, steht in § 30 des BSI-Gesetzes. Dort sind zehn Bereiche aufgezählt, die jedes betroffene Unternehmen abdecken muss. Für dich als Agentur ist die Liste doppelt interessant: Viele dieser Punkte kannst du deinen Kunden als Leistung anbieten.
| Mindestmaßnahme | Was das für Webseiten bedeutet (Beispiel) |
|---|---|
Risikoanalyse und Sicherheitskonzepte | Übersicht, welche Webseiten, Plugins und Zugänge es gibt und wo die größten Risiken liegen |
Bewältigung von Sicherheitsvorfällen | Notfallplan mit Zuständigkeiten und Meldewegen (siehe Kapitel 4) |
Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung, Krisenmanagement) | Regelmäßige, getestete Backups und ein Plan für den Ausfall |
Sicherheit der Lieferkette | Sicherheitsanforderungen an Dienstleister wie Agenturen, Hoster und Plugin-Anbieter |
Sicherheit bei Erwerb, Entwicklung und Wartung inklusive Umgang mit Schwachstellen | Updates, Patch-Management und sichere Entwicklung eigener Erweiterungen |
Bewertung der Wirksamkeit der Maßnahmen | Regelmäßige Sicherheitschecks, zum Beispiel Schwachstellen-Scans |
Cyberhygiene und Schulungen | Schulungen zu Passwörtern, Phishing und sicherem Arbeiten |
Kryptografie und Verschlüsselung | HTTPS für alle Webseiten und verschlüsselte Backups |
Personalsicherheit, Zugriffskontrolle und Verwaltung der Systeme | Rechte- und Kontenverwaltung, Inventar aller Webseiten und Systeme |
Multi-Faktor-Authentifizierung und gesicherte Kommunikation | 2FA für alle Logins und sichere Kommunikationswege im Notfall |
Cyber Resilience Act – Sicherheitsregeln für Software
Der Cyber Resilience Act setzt an einer anderen Stelle an als NIS-2: Er regelt, wie sicher Software und vernetzte Geräte sein müssen, bevor sie in der EU verkauft werden dürfen.
Der Cyber Resilience Act ist keine Richtlinie, sondern eine EU-Verordnung (Verordnung (EU) 2024/2847 ). Er gilt also direkt in allen Mitgliedstaaten, ohne dass ein nationales Gesetz nötig ist. In Kraft getreten ist er am 10. Dezember 2024. Seit dem 11. September 2026 müssen Hersteller bereits ausgenutzte Sicherheitslücken melden, ab dem 11. Dezember 2027 gilt der CRA vollständig.
Welche Produkte sind vom CRA betroffen?
Der CRA betrifft alle „Produkte mit digitalen Elementen“, die in der EU verkauft oder bereitgestellt werden: vom smarten Kühlschrank über Router bis hin zu Software – und damit auch kommerzielle WordPress-Plugins und -Themes. Man kann ihn sich wie eine Art CE-Kennzeichen für Cybersicherheit vorstellen. Hersteller müssen unter anderem:
- ihre Produkte von Anfang an sicher entwickeln („Security by Design“),
- Sicherheitsupdates über einen festgelegten Zeitraum liefern – in der Regel mindestens fünf Jahre,
- Schwachstellen systematisch erfassen und beheben,
- aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden melden.
Bei Verstößen gegen die grundlegenden Sicherheitsanforderungen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Reine Online-Dienste wie klassische Software-as-a-Service-Angebote fallen in der Regel nicht unter den CRA, sondern unter NIS-2. Auch nicht-kommerzielle Open-Source-Software ist ausgenommen. Für Organisationen, die Open-Source-Projekte dauerhaft unterstützen, sieht der CRA als sogenannte „Open-Source-Stewards“ deutlich leichtere Pflichten vor.
Die wichtigsten Stichtage im Überblick
| Datum | Was passiert? | Regelwerk |
|---|---|---|
16.01.2023 | NIS-2-Richtlinie der EU tritt in Kraft | NIS-2 |
10.12.2024 | Cyber Resilience Act tritt in Kraft | CRA |
06.12.2025 | NIS2UmsuCG gilt in Deutschland – ohne Übergangsfrist | NIS-2 |
06.03.2026 | Gesetzliche Frist für die Registrierung beim BSI endet | NIS-2 |
11.06.2026 | Regeln für Prüfstellen (Konformitätsbewertung) gelten | CRA |
31.07.2026 | Nachfrist des BSI für die Registrierung endet | NIS-2 |
11.09.2026 | Meldepflichten für ausgenutzte Schwachstellen und schwere Vorfälle gelten | CRA |
11.12.2027 | Cyber Resilience Act gilt vollständig, inklusive CE-Kennzeichnung | CRA |
2. Ist deine Agentur von NIS-2 und CRA betroffen?
Die gute Nachricht vorweg: Die meisten Web-Agenturen fallen nicht selbst unter NIS-2. Die weniger gute: Betroffen sind sie trotzdem fast alle – nur auf anderem Weg. Es gibt drei Wege, wie NIS-2 und der CRA bei dir ankommen können.
Das BSI bietet auf seiner Webseite eine kostenlose NIS-2-Betroffenheitsprüfung an. In wenigen Minuten erfährst du, ob dein Unternehmen unter NIS-2 fällt. Bei Grenzfällen – etwa wenn du knapp an den Schwellenwerten liegst oder zu einer Unternehmensgruppe gehörst – lohnt sich eine kurze rechtliche Beratung.
Direkt betroffen als „Anbieter verwaltetender Dienste“
Diesen Punkt übersehen viele Agenturen schnell.
NIS-2 nennt ausdrücklich „Anbieter verwaltender Dienste“ (englisch: Managed Service Provider, kurz MSP) als eigene Kategorie. Gemeint sind damit Dienstleister, die für andere Unternehmen IT-Systeme dauerhaft betreiben, warten oder überwachen – zum Beispiel über Wartungsverträge, Hosting-Management oder laufenden Support.
Erreicht deine Agentur demnach eine gewisse Größe und betreut durchgehend Kundenwebseiten, kannst du von NIS-2 betroffen sein. Je nach Größe und Umsatz fällst du in eine andere Kategorie:
- Wichtige Einrichtung: ab 50 Mitarbeitenden oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme
- Besonders wichtige Einrichtung: ab 250 Mitarbeitenden oder mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme
Gehörst du mit deiner Agentur zu den Unternehmen, die sich nach NIS-2 richten müssen, gelten für dich die folgenden Regeln:
- Registrierung beim BSI,
- Risikomanagement,
- Meldepflichten und
- die Verantwortung der Geschäftsführung.
Kleine Agenturen und Freelancer unterhalb dieser Schwellen sind nicht direkt betroffen.
Für einige Anbieter spielen Mitarbeiterzahl und Umsatz keine Rolle. Sie gelten immer als besonders wichtige Einrichtung. Dazu gehören vor allem:
- DNS-Diensteanbieter: Das DNS ist das „Telefonbuch“ des Internets und übersetzt Domainnamen in Server-Adressen.
- Register für Top-Level-Domains wie .de
- Qualifizierte Vertrauensdiensteanbieter , etwa für qualifizierte elektronische Signaturen
- Betreiber kritischer Anlagen (KRITIS)
Betreibt deine Agentur eigene Nameserver für die Domains deiner Kunden, solltest du genau prüfen (lassen), ob du als DNS-Diensteanbieter giltst.
Indirekt betroffen, wenn deine Kunden unter NIS-2 fallen
Von NIS-2 bist du tatsächlich dann indirekt betroffen, wenn die Kunden deiner Agentur vom Gesetz betroffen sind. Zum Beispiel ein Maschinenbauer mit 80 Mitarbeitenden, ein regionaler Energieversorger, ein Lebensmittelhersteller oder eine Klinik – sie alle müssen nach NIS-2 auch die Sicherheit ihrer Lieferkette im Blick behalten. Und zu dieser Lieferkette gehörst du, wenn du beispielsweise ihre Webseite baust oder wartest.
„Viele mittelständische Unternehmen sind Teil komplexer Lieferketten oder erbringen zentrale Dienstleistungen.“
Quelle: Interview „Cybersicherheit vor Bürokratie“ der DIHK vom 5. März 2026
In der Praxis bedeutet das für dich, dass deine Kunden ihre Pflichten per Vertrag an dich weitergeben. Zu den typischen Anforderungen zählen:
- Sicherheitsanhänge im Vertrag mit konkreten Maßnahmen, etwa Zwei-Faktor-Authentifizierung, Update-Fristen oder Backup-Vorgaben
- Nachweise , zum Beispiel ein ausgefüllter Sicherheitsfragebogen, eine Übersicht deiner Maßnahmen oder Zertifikate deines Hosting-Partners
- Meldepflichten : Du musst einen Sicherheitsvorfall so schnell melden, dass dein Kunde seine eigene 24-Stunden-Frist gegenüber dem BSI einhalten kann
- Prüfrechte : Dein Kunde darf kontrollieren, ob du die vereinbarten Maßnahmen tatsächlich umsetzt
Bist du von NIS-2 betroffen? Schnellübersicht
| Szenario | NIS-2 direkt? | NIS-2 indirekt? |
|---|---|---|
Freelancer, baut Webseiten ohne Wartungsvertrag | Nein | Kaum |
Kleine Agentur (unter 50 Mitarbeitende) mit Wartungsverträgen | Nein | Ja, wenn Kunden NIS-2-pflichtig sind |
Agentur ab 50 Mitarbeitenden mit Wartung und Hosting | Ja, als Anbieter verwaltetender Dienste | Ja |
Agentur mit eigenen, verkauften Plugins oder Themes | Abhängig von Größe und Leistungen | Abhängig von den Kunden |
Cyber Resilience Act – Wann wird deine Agentur zum „Hersteller“?
Beim Cyber Resilience Act kommt es darauf an, ob du ein Produkt auf den Markt bringst (dann bist du Hersteller) oder eine Dienstleistung erbringst. Als Dienstleister bist du bisher nur indirekt betroffen.
| Kategorie | Umsetzung | Betroffen / Nicht betroffen |
|---|---|---|
Hersteller | Du verkaufst eigene Plugins oder Themes über deine Webseite, CodeCanyon oder als Freemium-Version im WordPress-Verzeichnis mit kostenpflichtigem Pro-Upgrade . | ✅ Betroffen |
Dienstleister | Du erstellst individuelle Webseiten für einzelne Kunden. Hier spricht vieles dafür, dass es sich um eine Dienstleistung handelt und der CRA nicht direkt greift. Abschließend geklärt ist die Abgrenzung aber noch nicht – die EU-Kommission hat dazu weiterführende Leitlinien angekündigt. | ⚠️ Indirekt betroffen |
Open-Source-Entwickler | Du bietest kostenlose Plugins ohne größeres Geschäftsmodell als reines Open-Source-Projekt an. Diese sind in der Regel vom CRA ausgenommen. | ❌ Nicht betroffen |
Auch wenn du selbst keine Plugins entwickelst, betrifft dich der CRA über die Plugins, die du auf Webseiten einsetzt. Und genau dort liegt das größte Sicherheitsrisiko im WordPress-Ökosystem.
Laut dem Report „State of WordPress Security in 2026“ des Sicherheitsanbieters Patchstack (Februar 2026) wurden 2025 insgesamt 11.334 neue Schwachstellen in WordPress-Komponenten gemeldet, das sind ca. 42 % mehr als im Vorjahr. 91 % davon steckten in Plugins.
Der Cyber-Resilience-Act soll diese Statistiken langfristig verbessern, da kommerzielle Plugin-Anbieter zukünftig mehr Updates liefern und Lücken schneller melden müssen. Gleichzeitig entsteht eine neue Gefahr: Anbieter, die den Aufwand scheuen, könnten ihre Plugins ab Dezember 2027 nicht mehr in der EU anbieten oder die Entwicklung einstellen.
Für dich heißt das: Du solltest gut darüber informiert sein, welche Plugins auf Kundenwebseiten aktiv sind, und für kritische Plugins am besten früher als später einen Plan B haben.
Was du als Plugin- oder Theme-Hersteller jetzt tun musst
Du giltst beim Cyber Resilience Act als Hersteller. Dann hast du nun ein bisschen Arbeit vor dir. Folgende Aufgaben solltest du einmal umsetzen bzw. überprüfen:
- Risikobewertung: Prüfe, welche Sicherheitsrisiken dein Produkt mit sich bringt, und halte das schriftlich fest.
- Sicher entwickeln und ausliefern: Dein Produkt muss sichere Standardeinstellungen haben und darf bei der Auslieferung keine bekannten, ausnutzbaren Schwachstellen enthalten.
- Software-Stückliste (SBOM): Führe eine Liste aller Bestandteile und fremden Bibliotheken, die in deinem Produkt stecken.
- Schwachstellen-Management: Richte eine feste Kontaktstelle für Sicherheitsmeldungen ein, etwa eine eigene E-Mail-Adresse, behebe Lücken zügig und liefere Sicherheitsupdates während des Unterstützungszeitraums kostenlos aus.
- Technische Dokumentation und Konformitätsbewertung: Bei der Konformitätsbewertung prüfst du, ob dein Produkt alle Anforderungen des CRA erfüllt, und dokumentierst das.
- EU-Konformitätserklärung und CE-Kennzeichnung: Ab dem 11. Dezember 2027 musst du bestätigen, dass dein Produkt die Anforderungen erfüllt, und es mit dem CE-Zeichen versehen.
Die meisten WordPress-Plugins fallen in die Standardkategorie des CRA . Hier reicht eine Selbstbewertung, eine externe Prüfstelle brauchst du nicht. Strengere Verfahren gelten nur für „wichtige“ und „kritische“ Produkte. Aufpassen solltest du bei Sicherheits-Plugins: Software mit Sicherheitsfunktionen wie Malware-Scannern, Firewalls oder Passwortmanagern kann als „wichtiges Produkt“ eingestuft werden.
👉🏻 Wie du Sicherheitslücken in Plugins und Themes Schritt für Schritt schließt, erfährst du in unserem Artikel: WordPress Sicherheitslücken schließen 2026
- PageSpeed Score
- Core Web Vitals
- Parameter mit Erläuterung
Nach dem Absenden erhältst du das Ergebnis direkt per E-Mail.
Mit dem Absenden dieses Formulars stimmst du unseren Datenschutzbestimmungen zu.
3. Best Practices – So sicherst du Kundenseiten richtig ab
Weder NIS-2 noch der CRA schreiben dir vor, welches Plugin, welches Tool oder welche Einstellung du verwenden musst. Gefordert sind Maßnahmen nach dem „Stand der Technik“ . Was heute Stand der Technik ist, kann in ein paar Jahren schon veraltet sein. Deine Maßnahmen solltest du deshalb regelmäßig überprüfen.
Für Plugin- und Theme-Hersteller geht der CRA noch einen Schritt weiter: Sie müssen ihre Produkte von Anfang an sicher entwickeln („Security by Design“). Für den Bau und die Wartung von WordPress-Webseiten lassen sich die Anforderungen gut in konkrete Maßnahmen übersetzen. Wir zeigen dir hier, worauf du achten solltest.
„NIS-2 erfindet das Rad nicht neu.“
Quelle: Interview „Cybersicherheit vor Bürokratie“ der DIHK vom 5. März 2026
Regelmäßiges Update- und Patch-Management einführen
Eine veraltete Software ist bei WordPress das größte Einfallstor für Sicherheitslücken und Cyberangriffe.
Laut dem BSI-Lagebericht von 2025 wurden im letzten Jahr durchschnittlich 119 neue Schwachstellen pro Tag bekannt, das sind rund 24 % mehr als im Vorjahr. Und Angreifer sind schnell: Laut Patchstack werden besonders stark angegriffene Lücken im Median schon rund fünf Stunden nach ihrer Veröffentlichung massenhaft ausgenutzt.
Ein Update „irgendwann diese Woche“ reicht mittlerweile nicht mehr aus, um die Sicherheit deiner Seite und die deiner Kunden zu gewährleisten. Bewährt haben sich folgende Regeln:
- Kritische Sicherheitsupdates innerhalb von 24 Stunden einspielen
- Kleinere Updates automatisch zulassen, größere Versionssprünge erst auf einer Staging-Umgebung prüfen
- Virtuelles Patching nutzen: Eine Firewall blockiert Angriffe auf bekannte Lücken, auch bevor das offizielle Update verfügbar ist
- Ungenutzte Plugins und Themes nicht nur deaktivieren, sondern ganz aus WordPress löschen
👉🏻 Warum Updates gleichzeitig schützen und Risiken bergen, liest du in unserem Artikel: WordPress-Updates 2026: Zwischen Sicherheit und Risiko
Zugriffsschutz ändern: Wer darf was?
Viele Angriffe brauchen gar keine Sicherheitslücke. Oft reicht ein erratenes oder geklautes Passwort schon aus, um Zugriff auf deine Webseite und deine Daten zu erhalten. Deshalb gehört ein richtig ausgewählter Zugriffsschutz zu den wirksamsten Schutzmethoden:
- Zwei-Faktor-Authentifizierung (2FA) bei WordPress für alle Konten mit Admin- oder Redakteursrechten. Laut Microsoft blockiert sie mehr als 99,9 Prozent der Angriffe auf Benutzerkonten.
- Persönliche Konten statt geteilter Logins: Jede Person bekommt ein eigenes Konto mit eigenem Login. Nur so kann nachvollzogen werden, wer was geändert hat.
- So wenig Rechte wie nötig verteilen: Ein Redakteur braucht keine Admin-Rechte, ein externer Dienstleister nur zeitlich begrenzten Zugang.
- Regelmäßig aufräumen: Konten von ehemaligen Mitarbeitenden oder Freelancern solltest du sofort entfernen.
Die richtige Server- und Hosting-Umgebung
Die sicherste WordPress-Installation nützt wenig, wenn der Server darunter Lücken hat. Achte bei Kunden-Webseiten vor allem auf diese Punkte:
- Web Application Firewall (WAF): Ein Filter, der verdächtige Anfragen erkennt und blockiert, bevor sie WordPress erreichen.
- Isolierte Umgebungen: Jede Webseite läuft getrennt von anderen. Wird eine Seite kompromittiert, sind die übrigen nicht automatisch mit betroffen.
- Aktuelle PHP-Version und verschlüsselte Verbindungen (HTTPS/TLS) als Standard.
- Protokollierung: Logs zeigen im Ernstfall, was wann passiert ist – unverzichtbar für die Meldung eines Vorfalls.
- Serverstandort in Deutschland oder der EU , damit auch der Datenschutz nach DSGVO sauber geregelt ist.
Backups und Wiederherstellung
Ein Backup ist nur so gut wie die Wiederherstellung. Gerade bei Ransomware-Angriffen, bei denen Daten verschlüsselt werden, entscheidet ein funktionierendes Backup darüber, ob eine Webseite nach Stunden oder nach Wochen wieder online ist. Orientiere dich an der bewährten 3-2-1-Regel : drei Kopien deiner Daten, auf zwei unterschiedlichen Speichern, eine davon an einem anderen Ort.
- Automatisch und täglich sichern, bei Shops mit vielen Bestellungen auch häufiger
- Außerhalb des Webservers speichern, damit ein Angreifer die Backups nicht gleich mit löscht
- Unveränderbare Backups nutzen, die für einen festgelegten Zeitraum nicht gelöscht oder überschrieben werden können
- Wiederherstellung regelmäßig testen – zum Beispiel einmal im Quartal – und das Ergebnis dokumentieren
Wir erleben es leider immer noch zu oft, dass Kunden keine regelmäßigen Backups ihrer Seite erstellen. Wir hatten schon den Fall, dass Monate an Daten verloren gegangen sind. Das sind große finanzielle Schäden für den Kunden.
4. Prozesse, Verträge und Haftung – Sicherheit nachweisbar machen
Technik allein reicht nicht immer aus. Die Regelungen von NIS-2 legen großen Wert auf die Organisation und die Nachweisbarkeit der durchgeführten Maßnahmen. Für Agenturen gilt deshalb eine einfache Faustregel:
Was nicht dokumentiert ist, ist im Zweifel nicht passiert.
Wer im Ernstfall nachvollziehen kann, welche Maßnahmen umgesetzt wurden und wie reagiert wurde, steht gegenüber Kunden, Versicherungen und Behörden deutlich besser da. Das ist also deine persönliche Absicherung!
Werden bei einem Vorfall personenbezogene Daten abgegriffen, etwa Kundendaten aus einem Shop oder Kontaktformular, muss der Vorfall zusätzlich nach Art. 33 DSGVO gemeldet werden: innerhalb von 72 Stunden an die zuständige Datenschutz-Aufsichtsbehörde. Verantwortlich für diese Meldung ist in der Regel dein Kunde als Betreiber der Webseite. Als Agentur, die in seinem Auftrag Daten verarbeitet, musst du ihn unverzüglich informieren.
Notfallplan und Meldeketten für NIS-2 und CRA-Vorfälle
Spielen wir das Thema einmal gedanklich durch: Wie musst du dich verhalten, wenn eine Webseite gehackt wird oder eine Sicherheitslücke in deinem Plugin auftaucht, das du verkaufst?
Sobald ein Sicherheitsvorfall erkannt wird – egal ob auf einer Seite oder einem Plugin – zählt jede Stunde. Dein Notfallplan legt vorab fest, wer was tut, damit im Ernstfall niemand improvisieren muss. Er sollte mindestens diese Fragen beantworten:
- Wer ist intern zuständig, und wer vertritt diese Person?
- Wen informierst du bei Kunden und über welchen Kanal, auch nachts oder am Wochenende?
- Welche Sofortmaßnahmen folgen: Webseite/ Plugin vom Netz nehmen, Zugänge sperren, Beweise sichern?
- Wer stellt das Backup wieder her, und wer dokumentiert den Vorfall?
- Wer kümmert sich um den Patch?
- Direkte Meldung an die Behörden, wenn du in der Pflicht stehst.
| Frist | NIS-2 (Unternehmen an das BSI) | CRA (Hersteller an ENISA/CSIRT) |
|---|---|---|
24 Stunden | Frühwarnung bei einem erheblichen Sicherheitsvorfall | Frühwarnung bei aktiv ausgenutzter Schwachstelle oder schwerem Vorfall |
72 Stunden | Meldung mit erster Bewertung des Vorfalls | Ausführliche Meldung mit ersten Details |
Danach | Abschlussbericht nach einem Monat | Abschlussbericht: 14 Tage nach verfügbarem Fix (Schwachstelle) bzw. nach einem Monat (Vorfall) |
NIS-2
Besonders wichtig sind die Meldefristen. Ist dein Kunde oder du NIS-2-pflichtig, muss dem BSI ein erheblicher Vorfall innerhalb von 24 Stunden gemeldet werden.
Registrieren und melden kannst du NIS-2-Vorfälle über das Melde- und Informationsportal des BSI.
CRA
Nur Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit ihrer Produkte auswirken, melden.
Das kannst du über die CRA Single Reporting Platform tun. Mehr Informationen dazu findest du beim BSI in der Pressemitteilung zum Cyber Resilience Act.
🚑 Was du tun kannst, wenn eine WordPress-Webseite bereits Probleme macht, zeigen wir dir hier: WordPress Soforthilfe
NIS-2 konforme Wartungsverträge und SLAs
Ein klassischer Wartungsvertrag regelt oft nur, dass regelmäßig Updates eingespielt werden. Für NIS-2-pflichtige Kunden könnte das im Notfall aber zu vage sein. Ein zeitgemäßer Vertrag mit Service-Level-Vereinbarung (SLA) sollte konkret festlegen:
- Reaktionszeiten für kritische Sicherheitsupdates und Störungen
- Backup-Rhythmus , Aufbewahrungsdauer und regelmäßige Wiederherstellungstests
- Meldepflicht der Agentur bei Sicherheitsvorfällen, inklusive Frist und Kontaktweg
- Eingesetzte Subdienstleister , etwa Hosting-Anbieter oder externe Entwickler
- Auftragsverarbeitung nach DSGVO (Art. 28), falls du Zugriff auf personenbezogene Daten hast
- Berichte , zum Beispiel ein monatlicher Report über Updates, Backups und Auffälligkeiten
Solche Berichte sind übrigens doppelt wertvoll: Sie dienen deinem Kunden als Nachweis gegenüber dem BSI und machen gleichzeitig sichtbar, was deine Agentur leistet.
Die Rolle des Hosting-Partners
Viele der in Kapitel 3 beschriebenen Maßnahmen kannst du als Agentur kaum allein stemmen, vor allem nicht für Dutzende Kundenseiten gleichzeitig. Firewall, Malware-Scans, Server-Updates, isolierte Umgebungen und automatische Backups gehören deshalb idealerweise zum Hosting.
Die Verantwortung teilt sich dann auf: Der Hoster sichert Server und Infrastruktur ab, die Agentur kümmert sich um WordPress, Plugins, Zugänge und Inhalte.
Wichtig ist hier für dich, dass diese Aufteilung schriftlich festgehalten ist. Frag gerne bei deinem Managed WordPress Hoster,
- welche Sicherheitsmaßnahmen er übernimmt,
- wo seine Server stehen und
- welche Nachweise er dir für deine Kunden bereitstellen kann.
Ein Managed WordPress Hosting aus Deutschland nimmt dir dabei einen großen Teil der technischen Basisarbeit ab, sodass du dich besser auf die Betreuung deiner Kunden konzentrieren kannst.
👉🏻 Worauf es bei der Wahl des Hosting-Anbieters ankommt, liest du in unserem Artikel: WordPress Hosting – bester deutscher Anbieter im Vergleich
Was du als Agentur zusagen solltest
So verlockend es im Verkaufsgespräch ist: Versprich deinen Kunden keine „rechtssichere“ oder „hundertprozentig sichere“ Webseite. Absolute Sicherheit gibt es nicht, und für die Einhaltung von NIS-2 bleibt am Ende dein Kunde selbst verantwortlich. Sagst du mehr zu, als du halten kannst, holst du dir unnötige Haftungsrisiken ins Haus.
Besser ist es, konkret zu beschreiben, welche Maßnahmen du umsetzt und in welchem Zeitraum du reagierst. Ergänzend solltest du:
- die Haftung im Vertrag angemessen begrenzen,
- deine Berufshaftpflicht prüfen und über eine Cyber-Versicherung nachdenken,
- Verträge und Sicherheitsanhänge einmalig von einer Fachanwältin oder einem Fachanwalt für IT-Recht prüfen lassen.
5. Sicherheit wird zum Verkaufsargument
NIS-2 und der Cyber Resilience Act verändern die Spielregeln für Web-Agenturen – auch dann, wenn sie selbst nicht direkt unter die Gesetze fallen. Rund 29.500 Unternehmen in Deutschland müssen ihre IT-Sicherheit inzwischen nachweisen, und sie erwarten das auch von ihren Dienstleistern. Gleichzeitig zwingt der CRA die Plugin-Anbieter, für mehr Sicherheit zu sorgen, was das WordPress-Ökosystem langfristig stärken, kurzfristig aber auch durcheinanderbringen wird.
Für Agenturen ist das weniger Last als Chance. Wer seine Kunden-Webseiten konsequent aktualisiert, absichert und sichert, einen Notfallplan hat und all das sauber dokumentiert, kann Sicherheit als echte Leistung verkaufen. Gerade größere Kunden suchen genau solche Partner – und sind bereit, dafür zu bezahlen.
Am besten fängst du jetzt an: Prüfe, ob deine Agentur selbst betroffen ist, erstelle eine Übersicht aller Kunden-Webseiten mit ihren Plugins und überarbeite deine Wartungsverträge. Und wenn du dir die technische Basis nicht allein aufbauen willst, unterstützt dich ein spezialisierter Hosting-Partner dabei.
Häufige Fragen zu NIS-2 und CRA für Web-Agenturen
Muss sich meine Agentur beim BSI registrieren?
Nur dann, wenn deine Agentur selbst unter NIS-2 fällt. Das ist vor allem der Fall, wenn du Webseiten oder IT-Systeme für Kunden dauerhaft betreibst oder wartest und mindestens 50 Mitarbeitende hast oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme erreichst. Ob das auf dich zutrifft, kannst du mit der kostenlosen Betroffenheitsprüfung des BSI herausfinden.
Bin ich als Freelancer von NIS-2 betroffen?
Direkt in aller Regel nicht, weil du unter den Größenschwellen liegst. Arbeitest du aber für Kunden, die unter NIS-2 fallen, können diese dir vertraglich Sicherheitsanforderungen auferlegen, etwa feste Update-Fristen, Zwei-Faktor-Anmeldung oder Meldepflichten bei Vorfällen.
Gilt der Cyber Resilience Act auch für kostenlose WordPress-Plugins?
Es kommt auf das Geschäftsmodell an. Rein nicht-kommerzielle Open-Source-Plugins sind ausgenommen. Steht hinter einem kostenlosen Plugin dagegen ein Geschäftsmodell – etwa eine kostenpflichtige Pro-Version oder bezahlter Support –, fällt es in der Regel unter den CRA.
Ab wann gilt der CRA vollständig, und was gilt schon heute?
Der Cyber Resilience Act ist seit dem 10. Dezember 2024 in Kraft. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden melden. Ab dem 11. Dezember 2027 gelten alle Anforderungen, inklusive CE-Kennzeichnung.
Welche Strafen drohen bei Verstößen gegen NIS-2?
Besonders wichtigen Einrichtungen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent. Zusätzlich kann die Geschäftsleitung persönlich haften, wenn sie ihre Pflichten verletzt.
Reicht ein Managed Hosting aus, um die Anforderungen zu erfüllen?
Nein, aber es ist eine wichtige Grundlage. Ein gutes Managed Hosting übernimmt die Absicherung von Server und Infrastruktur, etwa Firewall, Malware-Scans und Backups. Für WordPress-Updates, Zugänge, Notfallpläne, Verträge und Dokumentation bleiben du als Agentur und dein Kunde verantwortlich.
