Wie sicher ist Webflow? Plattformschutz und Verantwortung im Website-Betrieb

Was die Plattform übernimmt

Bei einer regulär gehosteten Webflow-Website betreibst du keinen eigenen CMS-Server. Webflow verwaltet die zugrunde liegende Plattform und veröffentlicht auf seiner Security-Seite Informationen zu Schutzmaßnahmen und Compliance-Nachweisen. Ein Nachweis gilt immer für seinen dokumentierten Geltungsbereich; er zertifiziert nicht automatisch deine individuelle Website.

Aussagen wie „Webflow-Server sind von außen nicht erreichbar“ oder „Webflow kann nicht gehackt werden“ sind keine sachgerechte Sicherheitsbeschreibung. Öffentliche Websites müssen erreichbar sein, und auch Benutzerkonten sowie Schnittstellen bilden Angriffsflächen. Entscheidend sind Schutzmaßnahmen und deren korrekte Nutzung.

Konten und Berechtigungen absichern

Verwende persönliche Konten, sichere Anmeldeverfahren und nur die für eine Aufgabe erforderlichen Rechte. Entferne Zugänge nach Projektende und dokumentiere, wer veröffentlichen, Mitglieder verwalten oder Integrationen autorisieren darf. Ein Agenturwechsel sollte die Übergabe von Eigentum und Rechnungszugängen ausdrücklich einschließen.

API-Tokens und Apps kontrollieren

Behandle API-Tokens als Zugangsdaten. Lege sie nicht in öffentlich ausgeliefertem JavaScript, CMS-Texten oder offenen Repositories ab. Welche Aktionen ein Token ausführen kann, hängt von seinem Geltungsbereich und den gewährten Berechtigungen ab. Die pauschale Behauptung, jeder Schlüssel ermögliche Zugriff auf sämtliche Projekte und Bestellungen, ist deshalb falsch.

Widerrufe nicht mehr benötigte Tokens und Apps. Bei einem möglichen Verlust muss der Zugang gesperrt und der tatsächliche Zugriff untersucht werden; eine bloße Passwortänderung behebt nicht jeden Fall.

Externe Skripte und Datenflüsse prüfen

Analytics, Chat-Widgets und Formulardienste können Inhalte verändern oder Eingaben verarbeiten. Dokumentiere Anbieter, Einsatzzweck und Einbindung. Prüfe auch, welche Skripte über einen Tag Manager nachgeladen werden. Eine kostenpflichtige Integration oder ein CDN macht fremden Code nicht automatisch vertrauenswürdig.

{{callout}}

Backups sind nur ein Teil der Vorsorge

Lege fest, wie Design, CMS-Inhalte, Domainkonfiguration und externe Systeme gesichert werden. Teste den Wiederherstellungsweg. Eine Website-Wiederherstellung widerruft keine gestohlenen Zugangsdaten und setzt ein fremdes CRM nicht zurück.

Bei Verdacht auf einen Vorfall

Ungewöhnliche Weiterleitungen, neue Skripte oder geänderte Inhalte können auf einen Vorfall hindeuten, aber auch andere Ursachen haben. Sichere Beobachtungen und verfügbare Protokolle, begrenze betroffene Zugänge und beziehe Plattformanbieter sowie zuständige Fachpersonen ein. Kläre, ob personenbezogene Daten betroffen sein könnten, bevor du den Fall als erledigt bewertest.

Einordnung der PHP-Sicherheitslücken

Die aktuellen PHP-Lücken betreffen eine andere technische Ebene. Für die Abgrenzung zwischen regulärem Webflow-Hosting und externen PHP-Diensten findest du hier unseren Beitrag zu PHP2Shell und Webflow. Diese Abgrenzung ersetzt kein allgemeines Sicherheitskonzept.

{{cta}}