Zum Inhalt
pandaworks

Wie sicher ist die Website Ihres Trägers?

Eine Liste zum Abhaken: was Ihr Dienstleister leisten sollte, damit Ihre Website sicher bleibt, und was das Gesetz vom Träger verlangt. Nach Gesetz und den Empfehlungen des BSI, Stand: 31. Oktober 2026. Was nach einem Angriff zu tun ist, steht im Ratgeber „Website gehackt“.

Warum das jetzt zählt

Zwischen dem Bekanntwerden einer Sicherheitslücke und ihrer Ausnutzung liegt immer weniger Zeit; das BSI schreibt, dass KI diesen Abstand „drastisch“ verkürzt. Bei großen Lücken in diesem Jahr gab es erste Angriffsbeispiele nach wenigen Stunden.

Darum zählt weniger, mit welchem System Ihre Website gebaut ist, als ob jemand Updates zügig einspielt, Sicherungen prüft und Zugänge schützt.

Die Liste zum Abhaken

Fragen Sie Ihren Dienstleister, ob er das für Ihre Website leistet:

  • Updates kommen zügig, wichtige Sicherheitsupdates zuerst, und werden vorher getestet.
  • Sicherungen entstehen regelmäßig, liegen an einem anderen Ort als die Website und werden testweise zurückgeholt. Erst dann ist sicher, dass sie im Ernstfall helfen.
  • Zugänge zur Verwaltung der Website haben einen zweiten Faktor, etwa einen Code auf dem Handy. Jeder hat einen eigenen Zugang mit den Rechten, die er braucht; wer geht, verliert ihn. Wem Domain und Zugänge gehören sollten, steht im Ratgeber „Anbieter wechseln“.
  • Erweiterungen sind nur die nötigen, und keine, die keine Updates mehr bekommt. Eine Sicherheits-Erweiterung oder Firewall darf dabei nicht die Suchprogramme aussperren, über die Ihre Kitas in KI-Antworten vorkommen; mehr im Ratgeber „KI-Antworten“.
  • Überwachung: Jemand merkt, wenn die Website ausfällt oder sich unerwartet ändert, und handelt.
  • Ein Notfallplan sagt, wer bei einem Angriff was tut und wer die Datenschutzaufsicht informiert.
  • Daten: Sie wissen, wo Website und Formulardaten liegen, und es gibt einen Vertrag zur Auftragsverarbeitung.

Kann Ihr Dienstleister eine dieser Fragen nicht beantworten, lohnt es sich nachzufragen. Wie Ihr Absender vor Fälschungen geschützt wird, steht im Ratgeber „Gefälschte Mails“.

Was das Gesetz vom Träger verlangt

Verantwortlich ist der Träger, nicht sein Dienstleister. Er trifft Maßnahmen, die zum Risiko passen: Daten vertraulich und verfügbar halten, sie nach einem Zwischenfall rasch wiederherstellen und die Maßnahmen regelmäßig überprüfen (Art. 32 DSGVO).

Einen Dienstleister darf er nur beauftragen, wenn dieser hinreichende Garantien dafür bietet (Art. 28 Abs. 1 DSGVO).

Katholische Träger überprüfen ihre Maßnahmen und die ihres Dienstleisters nach der KDG-DVO mindestens alle zwei Jahre und halten das fest. Evangelische Träger brauchen ein IT-Sicherheitskonzept nach den Empfehlungen des BSI (ITSVO-EKD).

Unter die neuen Regeln zur Cybersicherheit nach NIS2 fallen Kita-Träger als solche nicht.

So prüfen Sie Ihre eigene Website

Einen Teil davon sieht man von außen: Ob Ihre Website verschlüsselt erreichbar ist, ob ihr Zertifikat gültig ist und welche Sicherheitseinstellungen der Server mitschickt, misst der kostenlose Website-Check. Updates, Sicherungen und Zugänge aus der Liste sieht er nicht.

Zum Website-Check

In Österreich

Für Kindergärten in Österreich gilt Art. 32 DSGVO genauso, und auch das neue Gesetz zur Cybersicherheit (NISG 2026) erfasst sie nicht. CERT.at schreibt, dass die Zeit für rechtzeitige Updates immer knapper wird.

Hilfe von pandaworks

In jeder Stufe der Betreuung wird Ihre Website jeden Tag geprüft und gesichert, und Updates spiele ich erst ein, wenn ich sie getestet habe. Im Notfall läuft sie binnen vier Stunden wieder (Montag bis Freitag, 9 bis 17 Uhr; im Urlaub und bei Krankheit binnen 24 Stunden eine Antwort).

Ich halte Ihre Website auf dem Stand, wenn sich Gesetze, Google oder Software ändern, und entwickle sie weiter, wenn Sie Neues brauchen.

Wie sicher Ihre Website heute ist, zeigt die Prüfung für 790 €.

Zur Prüfung

Quellen

Stand: 31. Oktober 2026

Weitere Ratgeber

Wie steht es um Ihre Website?

Erstgespräch vereinbaren

hallo@pandaworks.de