Hacker, Google & ChatGPT: Was Unternehmer jetzt über ihre Website wissen müssen

Wer ist Christian? (ab 2:05)

Moderation: Bevor wir in deine Themen Cybersecurity, Websites und Google einsteigen: Wer ist Christian Bachleitner, wenn mal kein Computer vor ihm steht?

Christian: Wenn ich nicht am Computer sitze, spiele ich liebend gerne Volleyball, in der Regel drei- bis viermal die Woche. Vor allem im Sommer findest du mich im Sand in Unterföhring beim Beachen. Ansonsten auch gerne mal nachts auf dem Radl, wenn ich vom Pilates heimfahre.

Moderation: Wie ging dein Weg in die digitale Welt? Was hast du ursprünglich gelernt?

Christian: Tatsächlich sehr klassisch: Münchner Kindl, Ausbildung bei BMW gemacht und auch übernommen worden. Fußball habe ich schon immer gespielt und mir dabei die Knie kaputt gemacht. Dadurch habe ich den Fußball und meinen Job bei BMW an den Nagel gehängt und den Quereinstieg in die IT gemacht, als Fachinformatiker über die Macromedia Business High School hier in München.

„Zu klein für Hacker?“ (ab 3:40)

Moderation: Viele Unternehmer denken beim Thema Cyberangriff: Warum soll es ausgerechnet mich und meine kleine Firma treffen? Wie siehst du das Sicherheitsrisiko für kleine Firmen?

Christian: Der Gedanke „Ich bin zu klein“ ist an sich schon ein massives Risiko. Vor allem die Kleinen sind keine Ziele, sondern einfach Treffer. Früher hat man viel Geld in die Hand genommen, um auf Konzernebene Schaden anzurichten. Heute haben wir KI und Automatisierung. „Ich bin zu klein“ ist deshalb einfach das völlig falsche Mindset.

Moderation: Da muss also noch viel Aufklärungsarbeit getan werden.

Christian: Richtig. Früher haben Agenturen Websites ausgeliefert, die haben dann 10 bis 20 Jahre gehalten, und man hat sich keine Gedanken gemacht. Heute muss Sicherheit einfach Standard werden. Nehmen wir die allereinfachste Sache, Updates: Selbst wenn ich sie zwei Tage zu spät einspiele, bin ich zwei Tage lang anfällig. Vor allem bei Open Source, wo der Quellcode offen liegt und man bei jedem Update sieht, welche Sicherheitslücke geschlossen wurde.

Wo die Lücken liegen (ab 6:27)

Moderation: Nehmen wir ein mittelständisches Unternehmen oder einen Handwerksbetrieb. Wo siehst du klare Sicherheitslücken?

Christian: Bei Websites ist es vor allem die Plugin-Thematik, und die betrifft nicht nur WordPress, sondern auch andere Content-Management-Systeme. Keiner aktualisiert sie, weil es in der Regel keine Wartungsverträge gibt. Die Websites wurden vor Jahren gemacht und nie wieder angefasst. Eine Ebene tiefer, auf dem Server, liegen Datenbanken und PHP-Versionen, die oft seit Jahren niemand angefasst hat. Und auch für die Anmeldung als Administrator kann man problemlos eine Zwei-Faktor-Authentifizierung einrichten.

Dazu kommt Schadcode: Viele wissen gar nicht, dass sie infiziert sind. In einem meiner letzten Fälle hat es der Kunde erst gemerkt, als Viagra-Werbung auf der Startseite stand, bei einem Münchner Familienbetrieb mit über 100 Besuchern am Tag. In einem anderen Fall, ebenfalls ein Münchner Familienbetrieb, stand plötzlich eine gefälschte Nachrichtenseite auf der Startseite. Schadcode kann aber auch unsichtbar sein. Es kann sein, dass einfach nur meine Datenbank regelmäßig gestohlen und im Darknet verkauft wird, und ich weiß gar nicht, dass ich betroffen bin.

Montag, 8 Uhr: Nichts geht mehr (ab 8:44)

Moderation: Spielen wir ein Szenario durch: Montagmorgen, 8 Uhr, man fährt den PC hoch, und plötzlich funktioniert gar nichts mehr. Was sollte man jetzt tun, falls es ein Angriff war?

Christian: Den Rechner sofort vom Netz trennen, denn es kann sein, dass bereits Daten abgezogen werden. Direkt den IT-Partner anrufen und informieren, gegebenenfalls auch bei der Polizei melden, die hat für Cybercrime mittlerweile eigene Abteilungen. Fotografieren, dokumentieren und dann auf die Anweisungen des IT-Partners und der Polizei warten. Im schlimmsten Fall breitet sich ein Virus über alle Standorte aus, und irgendwann kommt eine Lösegeldforderung. Selbst wenn man die zahlt, weiß niemand, ob die Systeme wieder entschlüsselt werden.

Was jede Firma schnell umsetzen kann (ab 10:42)

Moderation: Cybersecurity ist für viele ein Riesenbegriff. Was sind die gängigsten Dinge, die ich schnell umsetzen kann, egal ob kleines oder großes Unternehmen?

Christian: Ein paar Klassiker sind super schnell umzusetzen. Im Unternehmen einen Passwortmanager einführen: Jedes Unternehmen, das keinen hat, macht einen großen Fehler. Zwei-Faktor-Authentifizierung auf alles. Ich weiß, viele sagen: „Das ist doch Aufwand, da muss ich mein Handy rausholen.“ Trotzdem: Wenn jemand das Passwort zu meinem E-Mail-Postfach hat, aber nicht das Handy, kommt er eben nicht rein. Das ist ein massiver Schutz für zwei Sekunden mehr Arbeit.

Dann natürlich Updates: Rechner, Router, immer alles aktuell halten. Updates kommen nicht zum Spaß raus. Backups am besten auf komplett entkoppelten Systemen, und niemals an der gleichen Stelle. Bei einer gehackten Website lagen die Backups auf demselben Server wie die Website: monatliche Backups über drei Jahre, und das Backup, das ich einspielen wollte, war genauso verseucht, weil sich ein Virus durch das komplette Dateisystem frisst. Und am besten macht man sich vorher Gedanken: eine verantwortliche Person in der Firma und ein Notfallplan, damit im Ernstfall nicht alle wie kopflose Hühner im Kreis laufen.

Gibt es hundertprozentige Sicherheit? (ab 13:04)

Moderation: Kann man überhaupt hundertprozentige Sicherheit erreichen, oder geht es eher darum, die Risiken so professionell wie möglich zu minimieren?

Christian: Natürlich nicht. Es geht darum, die Risiken zu minimieren. Unknackbar sein schaffen auch Konzerne nicht. Wenn komplette Teams viel Geld dafür erhalten, bei dir einzubrechen, dann schaffen sie es auch. Einbrecher gehen eben auch zum Haus mit den gekippten Fenstern.

Der Faktor Mensch (ab 14:01)

Moderation: Und den Faktor Mensch dürfen wir nicht vergessen. Du kannst viele Sicherheitssysteme einbauen, aber wenn jemand eine E-Mail „Dringende Rechnung“ öffnet, ohne auf den Absender zu achten, ist schnell etwas heruntergeladen. Wie groß ist dieser menschliche Faktor?

Christian: Der Mensch ist das größte Einfallstor. Angreifer suchen sich ihre Opfer aus, vor allem bei größeren Unternehmen. Auf LinkedIn kann ich alle Mitarbeiter recherchieren, auf Facebook innerhalb von Minuten ihre Vorlieben herausfinden, und das lässt sich mittlerweile mit KI automatisieren. Dagegen helfen im Grunde nur Schulungen. Phishing-Mails kann man inzwischen auch abfangen: Dafür gibt es Endpoint-Security-Systeme, die eine Partnerfirma bei mir im Büro implementiert. Im Konzernbereich ist das längst Standard, und es kommt langsam auch im Mittelstand und bei Familienunternehmen an, weil die Preise sinken, je mehr es nutzen. Solche Systeme sind mittlerweile KI-gestützt und durchleuchten E-Mails technisch komplett.

Was Google heute wichtig ist (ab 17:02)

Moderation: Die sicherste Website der Welt bringt wenig, wenn niemand sie findet. Erklär uns ganz kurz: Was muss eine Website heute können, damit Google sie für relevant hält?

Christian: Ich glaube, man kann das in drei Säulen aufteilen. Einmal die Technik: schnelle Ladezeiten, für das Handy optimiert und mittlerweile auch für KI-Suchmaschinen technisch indexierbar. Die zweite Säule ist der Inhalt: Die Website sollte die Fragen deiner Zielgruppe beantworten, damit der Inhalt einen Mehrwert hat und nicht einfach von ChatGPT generiert ist. Und dann Vertrauen: Google-Bewertungen, echte Fotos statt KI-Fotos, echte Referenzen, ein sauberes Impressum, saubere Datenschutzerklärung und ein gepflegtes Unternehmensprofil.

Moderation: Es reicht also nicht mehr, ein paar Keywords in die Texte zu packen.

Christian: Das ist lange vorbei. Google zählt keine Wörter mehr wie früher, sondern versteht Themen ganzheitlich. Nur weil jemand „Elektriker in München“ hundertmal auf seine Website schreibt, ist er noch lange nicht auf Platz 1.

SEO trifft KI (ab 19:04)

Moderation: Früher hat man gesagt: Ich google das mal schnell. Heute gehen viele Menschen in KI-Programme, wenn sie einen Dienstleister suchen. Wie verändert das die Entwicklung in den Unternehmen?

Christian: Komplett und vollständig. SEO heißt, in der Liste bei Google aufzutauchen. GEO bedeutet, in einer Antwort genannt zu werden. Ich frage ChatGPT nach dem besten Elektriker im Umkreis von 5 Kilometern, weil bei mir zu Hause die Steckdosen kaputt sind, und bekomme eine Antwort, keine Ergebnisseiten. Manchmal sind es zwei, drei Empfehlungen, oft aber auch nur eine. Wie ich ChatGPT dabei unterstütze, mein Unternehmen zu empfehlen? Das ist keine Geheimwissenschaft: Firmendaten überall gleich halten, also auf der Website, bei Google und in lokalen Verzeichnissen. Strukturierte Daten pflegen, in den Inhalten Fragen und Antworten einbauen und KI-Crawler nicht über die robots.txt aussperren. Das hat man früher gemacht, heute muss man da aufmachen, außer man möchte in KI-Systemen nicht auftauchen.

Die Website als bester Mitarbeiter (ab 21:20)

Moderation: Wird eine gute Website dadurch immer anspruchsvoller, weil man in immer kürzeren Abständen auf die Algorithmen eingehen muss?

Christian: Ja, hundertprozentig. Es gibt ja immer noch den Begriff der digitalen Visitenkarte. Den halte ich für Nonsens, aber früher war es eben so. Heute ist eine Website vergleichbar mit deinem besten Mitarbeiter: Sie muss fit sein, sie muss gefunden werden und sie darf nicht bestechlich sein.

Schnellfragerunde (ab 22:37)

Moderation: WordPress oder individuelle Entwicklung?

Christian: WordPress, wenn ich Inhalte pflegen will. Ansonsten individuell, wegen Tempo und Sicherheit.

Moderation: Google oder ChatGPT?

Christian: Warum sollte ich eins weglassen?

Moderation: Design oder Geschwindigkeit?

Christian: Geschwindigkeit, hundertprozentig. Das schönste Design bringt nichts, wenn die Nutzer warten müssen.

Moderation: Passwort oder Passwortmanager?

Christian: Auf jeden Fall Passwortmanager.

Moderation: Und SEO?

Christian: SEO ist im Endeffekt ein Fitnessstudio und nicht eine OP, die man einmalig macht.

Moderation: Backup oder eine sehr gute Cyberversicherung?

Christian: Backup, weil sich wahrscheinlich die wenigsten Familienunternehmen eine Cyberversicherung leisten können.

Moderation: Technik oder guter Inhalt?

Christian: Guter Inhalt.

Umgang mit Misserfolgen (ab 24:32)

Moderation: Wie gehst du persönlich mit Hürden und Misserfolgen um?

Christian: Grundsätzlich kenne ich keine Misserfolge. Wenn ich auf die Nase falle, habe ich ja etwas richtig gemacht. Es ist wie mit Mitarbeitern: Mitarbeiter, die keine Fehler machen, will ich nicht im Unternehmen haben, denn sie nehmen keine Risiken auf sich und wollen keine Verantwortung übernehmen. Jeder Misserfolg ist für mich ein Beweis, dass ich etwas ausprobiert habe. Wenn ich gegen die Wand gelaufen bin, stehe ich auf, ziehe mein Learning daraus und mache weiter. Ich habe mich zum Beispiel über ein Jahr lang über meinen Pitch bei Netzwerkveranstaltungen geärgert, weil er zu technisch war. Heute denke ich: Du hast ein Jahr lang etwas falsch gemacht, aber das spielt keine Rolle. Jetzt passt er, und ich komme gut bei anderen Unternehmern an.

Für Achtjährige erklärt (ab 26:31)

Moderation: Was würdest du einem Achtjährigen sagen, der dich fragt: „Was machst du eigentlich den ganzen Tag?“

Christian: Ich baue Läden oder Supermärkte im Internet auf und sorge dafür, dass andere Menschen den Weg zu den Läden finden, vor allem den richtigen Eingang, und dass nachts keiner einbricht.

Das Geheimnis des Erfolgs (ab 27:14)

Moderation: Was ist dein Geheimnis des Erfolgs?

Christian: Bei den größeren Unternehmen, die ich betreue: den Kunden zum Helden machen und nicht mich selbst. Diese Woche haben wir zum Beispiel einen neuen Onlineshop für ein etwas größeres Münchner Unternehmen gelauncht. Noch bevor wir die Website bei Google zur Neuindexierung beantragt hatten, hat mich der Kunde am nächsten Tag gegen 22:30 Uhr angerufen und aus dem Bett geholt: „Christian, wir haben 500 Euro mit dem neuen Onlineshop verdient.“ Offenbar hatten seine Partner gesehen, dass die Website neu ist, und sofort die ersten Bestellungen aufgegeben. Das ist ein tolles Feedback.

Moderation: Eine Website darf nicht nur schön aussehen: Sie muss gefunden werden, sie muss funktionieren, sie sollte Vertrauen schaffen, und geschützt sein sollte sie natürlich auch. Danke, Christian, dass du bei uns warst.