Website-Sicherheit — bei uns Standard, kein Aufpreis

Die Sicherheits-Baseline: in jedem Paket inklusive

Jede Website von Studio Erdinc wird mit derselben Sicherheits-Baseline ausgeliefert — ohne Aufpreis, vom Onepager bis zum Agent-Ready-Abo. Sicherheit ist keine Option im Bestellformular, sondern Teil der Bauweise:

• Statische Architektur — kein CMS-Login, keine Datenbank, keine Plugins: die häufigsten Angriffswege existieren gar nicht erst. Git-Versionierung macht jeden Stand wiederherstellbar.
• Security-Header ab Werk — Content-Security-Policy (Hash-basiert), Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und Framing-Schutz. Diese Website liefert genau diese Header selbst aus — prüfbar mit den Entwicklertools Ihres Browsers.
• Erzwungenes HTTPS — TLS-Zertifikat inklusive automatischer Erneuerung; unverschlüsselte Aufrufe werden umgeleitet.
• DNS-Härtung — DNSSEC (bei .ch von der Registry voll unterstützt), CAA-Record und Registrar-Lock gegen Domain-Entführung.
• E-Mail-Auth-Basis — SPF, DKIM und DMARC im Überwachungsmodus gehören zur E-Mail-Einrichtung beim Onboarding.
• Formular-Spam-Schutz ohne Dark Patterns — Honeypot und serverseitige Filter statt CAPTCHA-Hürden für Ihre Kunden.
• security.txt und Datenschutz by Design — ein dokumentierter Meldeweg für Sicherheitshinweise; keine Tracker und keine Cookies im Standard.

Der Grund für dieses Vorgehen ist einfach: Nachgerüstete Sicherheit bleibt Flickwerk. Eine Bauweise, die Angriffsflächen von Anfang an weglässt, ist zuverlässiger als jedes später installierte Sicherheits-Plugin.

Warum statische Websites strukturell sicherer sind

Eine statische Website besteht aus fertigen Dateien, die der Server unverändert ausliefert — es gibt kein Login-Formular, keine Datenbank und keine Plugins, deren Lücken sich ausnutzen liessen. Genau diese drei Wege sind bei CMS-Websites die häufigsten Einfallstore: gestohlene Zugangsdaten, verwundbare Erweiterungen und veraltete Installationen.

Das ist kein Urteil gegen WordPress — ein gepflegtes CMS mit diszipliniertem Update-Regime kann sicher betrieben werden. Es ist eine Frage des laufenden Aufwands: Ein CMS muss permanent aktuell gehalten werden, eine statische Website hat diese Update-Pflicht auf Anwendungsebene schlicht nicht. Was übrig bleibt — Hosting, DNS, Domain, Transportverschlüsselung — härten wir mit der Baseline. Den fairen Gesamtvergleich der Bauweisen zieht der Beitrag WordPress vs. handcodiert; was handcodierte Entwicklung sonst auszeichnet, steht auf der Seite handcodierte Webentwicklung.

E-Mail-Schutz komplett: Phishing im Firmennamen stoppen — CHF 690

Ohne E-Mail-Authentifizierung kann jeder Angreifer E-Mails versenden, die aussehen, als kämen sie von Ihrer Domain — an Ihre Kunden, Ihre Lieferanten, Ihre Buchhaltung. Dagegen gibt es einen etablierten Standard aus drei DNS-Einträgen: SPF, DKIM und DMARC. Seit Februar 2024 verlangen Google und Yahoo diese Authentifizierung von Massenversendern; Microsoft weist nicht authentifizierte Massen-Mails seit Mai 2025 ab. Wie die Prüfkette funktioniert, erklärt der Ratgeber SPF, DKIM, DMARC erklärt.

Das Modul E-Mail-Schutz komplett (CHF 690 einmalig) führt Ihre Domain sicher bis zur durchgesetzten Richtlinie:

• Drittsender-Inventar — welche Dienste senden in Ihrem Namen? Newsletter-Tool, Buchhaltung, CRM, Ticketsystem.
• Alignment aller legitimen Absender — SPF-Einträge konsolidieren, DKIM-Signaturen bei den Diensten aktivieren.
• 90 Tage begleiteter Stufenplan — vom Überwachungsmodus über p=quarantine bis p=reject, mit Auswertung der DMARC-Reports in jeder Stufe.
• Abschluss-Report und Kunden-Doku — was eingerichtet ist, was es bedeutet, worauf bei neuen Versand-Werkzeugen zu achten ist.

Der doppelte Nutzen, ehrlich formuliert: Ihre Domain lässt sich nicht mehr als Absender fälschen — und Ihre legitimen Mails landen seltener im Spam-Ordner, weil Empfangsserver authentifizierte Absender bevorzugen. Das Modul ist auch für Domains buchbar, deren Website nicht von uns stammt; Voraussetzung ist Zugriff auf die DNS-Verwaltung.

Der Website-Sicherheits-Check: 20 Punkte, ehrlicher Befund — CHF 490

Der Website-Sicherheits-Check prüft in 20 Punkten, wie gut eine Website und ihre Domain heute geschützt sind — mit einem Score von 0 bis 100 und einer priorisierten Massnahmenliste. Geprüft werden unter anderem:

• Security-Header (CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Framing-Schutz) und TLS-Konfiguration,
• DNS-Härtung: DNSSEC, CAA-Record, Auffälligkeiten in der Zone,
• SPF-, DKIM- und DMARC-Status der Domain,
• Blacklist-Status bei Spamhaus (per DNS) und Google Safe Browsing (manuell verifiziert),
• Formular-Spam-Exposition, Mixed Content, security.txt — und bei CMS-Websites sichtbare Versions-Fingerprints.

Zur Einordnung: Ein IT-Security-Audit kostet in der Schweiz ab rund CHF 4'400, ein Penetrationstest einer Webanwendung liegt typischerweise zwischen CHF 8'000 und CHF 25'000 (Marktrecherche Studio Erdinc, Juli 2026, auf Basis öffentlich publizierter Preise Schweizer Anbieter). Der Website-Sicherheits-Check für CHF 490 ist bewusst etwas anderes — und er ersetzt beides nicht.

Der Unterschied liegt im Prüfverfahren, nicht nur im Preis: Der Sicherheits-Check ist ein automatisierter Aussen-Scan von Website, Domain und E-Mail-Authentifizierung — er liest öffentlich sichtbare Signale aus und bewertet sie. Ein Penetrationstest ist das Gegenteil davon: ein manueller, beauftragter Angriffsversuch auf Ihre Systeme, durchgeführt von Sicherheitsspezialisten. Beides beantwortet eine andere Frage. Der Check beantwortet die erste, die sich jedes KMU stellen sollte — stimmen die Grundlagen überhaupt? — und zeigt zugleich, ob ein grösserer Test für Sie überhaupt nötig ist.

Der Check kostet CHF 490 und wird bei einem Folgeauftrag voll angerechnet. Er funktioniert für jede Website — auch wenn sie nicht von Studio Erdinc gebaut wurde. Für Kunden im Abo Zitiert ist ein jährlicher Re-Check bereits enthalten, im Abo Agent-Ready läuft das Sicherheits-Monitoring monatlich mit. Alle Preise im Überblick stehen auf Preise & Pakete.

Was wir bewusst nicht anbieten

Wir sichern Ihre Website, Ihre Domain und die E-Mail-Authentifizierung Ihrer Domain. Wir sind kein IT-Security-Auditor: Endgeräte, Postfächer und Firmen-IT prüfen wir nicht — dafür empfehlen wir spezialisierte Partner. Diese Grenze ist kein Kleingedrucktes, sondern Teil des Versprechens: Wir verkaufen nur, was wir selbst verantworten können.

Konkret heisst das: Penetrationstests, Netzwerk-Sicherheit, Endgeräte-Schutz, Schulungen gegen Social Engineering und die Absicherung Ihrer Postfächer gehören zu einem IT-Security-Spezialisten — solche Leistungen kosten im Schweizer Markt üblicherweise mehrere tausend Franken und brauchen eine andere Ausbildung als Webentwicklung. Wenn Ihr Vorhaben das braucht, sagen wir es Ihnen im Erstgespräch — und empfehlen den passenden Weg, statt etwas ausserhalb unseres Handwerks zu offerieren.

Häufige Fragen zur Website-Sicherheit

Ist meine Website bei Studio Erdinc automatisch sicher?

Die Sicherheits-Baseline ist in jedem Paket inklusive und kostet keinen Aufpreis: statische Architektur ohne CMS-Login und ohne Plugins, Security-Header ab Werk, erzwungenes HTTPS, DNS-Härtung mit DNSSEC und CAA-Record, Spam-Schutz im Formular und eine security.txt. Absolute Sicherheit kann seriös niemand versprechen — aber die Angriffsfläche einer statischen Website ist strukturell um Grössenordnungen kleiner als bei einem CMS mit Plugins, und die Basis ist bei uns ab Tag 1 eingebaut statt nachgerüstet.

Warum ist eine statische Website sicherer als ein CMS mit Plugins?

Weil die häufigsten Angriffswege schlicht fehlen: Es gibt kein Login, dessen Zugangsdaten sich stehlen lassen, keine Datenbank für Injections und keine Plugins, deren Sicherheitslücken ausgenutzt werden können. Eine statische Website besteht aus fertigen Dateien, die der Server unverändert ausliefert. Übrig bleiben Risiken auf Ebene von Hosting, DNS und Domain — genau die härten wir mit TLS, Security-Headern, DNSSEC, CAA-Record und Registrar-Lock.

Verhindert Studio Erdinc auch Phishing-Mails in meinem Namen?

Ja, dafür gibt es das Modul E-Mail-Schutz komplett für CHF 690 einmalig: SPF, DKIM und DMARC werden für Ihre Domain eingerichtet und über 90 Tage begleitet bis zur durchgesetzten Richtlinie geführt — Absender-Fälschungen werden dann von DMARC-prüfenden Empfangsservern abgewiesen oder in den Spam-Ordner verschoben. Die Basis (SPF, DKIM, DMARC im Überwachungsmodus) ist in jeder Website-Einrichtung bereits inklusive. Ehrliche Grenze: Das schützt Ihre Domain vor Missbrauch als Absender; Phishing-Mails, die von fremden Domains bei Ihnen eintreffen, filtert Ihr Mail-Anbieter.

Was kostet der Website-Sicherheits-Check?

CHF 490, bei einem Folgeauftrag voll anrechenbar. Geprüft werden 20 Punkte — unter anderem Security-Header, TLS-Konfiguration, DNS-Härtung (DNSSEC, CAA), der SPF-/DKIM-/DMARC-Status, Blacklist-Einträge bei Google Safe Browsing und Spamhaus, Formular-Spam-Exposition und security.txt. Sie erhalten einen Score von 0 bis 100 und eine priorisierte Massnahmenliste. Der Check funktioniert auch für Websites, die nicht von Studio Erdinc gebaut wurden.

Macht Studio Erdinc auch IT-Security-Audits?

Nein, bewusst nicht. Wir sichern Ihre Website, Ihre Domain und die E-Mail-Authentifizierung Ihrer Domain — das ist unser Handwerk und dort stehen wir für das Ergebnis gerade. Endgeräte, Postfächer, Netzwerke und Firmen-IT prüfen wir nicht; dafür empfehlen wir spezialisierte IT-Security-Partner. Diese klare Grenze ist Teil unseres Sicherheitsversprechens: Wir verkaufen nichts, was wir nicht selbst verantworten können.

Ersetzt der Website-Sicherheits-Check einen Penetrationstest?

Nein. Der Website-Sicherheits-Check von Studio Erdinc für CHF 490 ist ein automatisierter Aussen-Scan von Website, Domain und E-Mail-Authentifizierung — er liest öffentlich sichtbare Signale aus und bewertet sie in 20 Punkten. Ein Penetrationstest ist das Gegenteil: ein manueller, beauftragter Angriffsversuch auf Ihre Systeme, der in der Schweiz typischerweise CHF 8'000 bis 25'000 kostet; ein IT-Security-Audit beginnt bei rund CHF 4'400 (Marktrecherche Studio Erdinc, Juli 2026). Der Check beantwortet die vorgelagerte Frage, ob die Grundlagen stimmen — und zeigt, ob ein grösserer Test überhaupt nötig ist.