Der Satz fällt fast in jedem zweiten Erstgespräch, meistens freundlich und ohne Trotz. Wir sind ein Zweimannbetrieb aus dem Mittelland. Wir verkaufen nichts online. Wir sind doch kein Ziel, bei uns gibt es nichts zu holen.
Der Satz stimmt. Niemand hat es auf dich abgesehen.
Und genau das ist der Grund, warum du gefunden wirst.
Was wir gemessen haben
Wir schreiben auf unseren eigenen Seiten und denen unserer Kunden mit, was der Server tatsächlich sieht, vor dem Cookie-Banner und vor JavaScript. Elf Hosts, 30 Tage, vom 11. August bis zum 10. September 2026, zusammen 751’386 Zugriffe.
Die Verteilung sieht anders aus, als die meisten erwarten.
| Wer zugreift | Zugriffe | Anteil |
|---|---|---|
| Menschen | 269’524 | 36 % |
| Scanner auf Schwachstellensuche | 263’067 | 35 % |
| Werkzeuge und Dienste | 142’513 | 19 % |
| KI-Crawler | 17’290 | 2,3 % |
| Suchbots | 7’976 | 1,1 % |
Gut ein Drittel des gesamten Verkehrs sind Programme, die nach Schwachstellen suchen. Mehr als KI-Crawler und Suchmaschinen zusammen, um das Fünfzehnfache.
Der Teil, der dem Gefühl widerspricht
Der Durchschnitt ist nicht die interessante Zahl. Die Spreizung ist es.
| Seite | Scanner | Menschen | Verhältnis |
|---|---|---|---|
| Lokaler IT-Service | 46’593 | 1’851 | 25 zu 1 |
| Persönliche Seite einer Selbständigen | 29’359 | 1’464 | 20 zu 1 |
| Online-Lebenslauf | 17’460 | 1’568 | 11 zu 1 |
| Unsere eigene Firmenseite | 80’929 | 24’526 | 3 zu 1 |
Je kleiner und ruhiger die Seite, desto klarer überwiegen die automatisierten Zugriffe. Auf der kleinsten dieser Seiten kommen fünfundzwanzig davon auf jeden Menschen.
Das ist kein Angriff auf diese Seiten. Es ist der Grundpegel. Bekanntheit schützt nicht, und Unbekanntheit erst recht nicht: sie sorgt nur dafür, dass im Nenner keine Menschen stehen, die das Verhältnis freundlicher aussehen lassen.
Wonach gesucht wird
Auf einer unserer Seiten liegt eine Web Application Firewall davor, die jede Anfrage protokolliert. 30 Tage, bis zum 11. September 2026. Die Seite ist eine serverlose Anwendung und läuft nicht auf WordPress.
Trotzdem:
- Rund 1’900 Anfragen nach WordPress-Pfaden. Allein
/wp-admin/install.phpwurde 776 Mal abgefragt. Das ist die Installationsseite, die nur bei einer frisch aufgesetzten, noch nicht konfigurierten Installation antwortet. Wer sie erwischt, übernimmt die Seite in einer Minute. - 426 Anfragen nach Umgebungsdateien, in fünf Schreibweisen:
.env,.env.local,.env.backup,.env.old,.env.production. Wer eine solche Datei ausliefert, liefert in aller Regel Zugangsdaten mit. - 237 Anfragen nach Git-Metadaten,
/.git/configund/.git/HEAD. Damit lässt sich unter Umständen der gesamte Quellcode rekonstruieren.
Der WordPress-Teil ist der lehrreiche. Die Seite hat kein WordPress, nie gehabt, und wird trotzdem 776 Mal nach dessen Installationsseite gefragt. Die Programme prüfen nicht erst, ob sich der Versuch lohnt. Ein Versuch kostet ein paar Millisekunden, Nachsehen kostet mehr.
Warum das Gefühl trotzdem entsteht
Weil nichts passiert. Die Zugriffe stehen im Log, nicht im Posteingang. Niemand meldet sich, um mitzuteilen, dass er gerade deine .env abgefragt hat. Die Statistik im Browser zeigt sie nicht, weil diese Programme kein JavaScript ausführen und nie in Google Analytics erscheinen.
Wer nur auf Analytics schaut, sieht die Hälfte der Menschen und keinen einzigen dieser Zugriffe. Das Bild ist nicht falsch, es ist unvollständig, und die fehlende Hälfte ist genau die, um die es hier geht.
Was daraus folgt
Nicht Panik. Die meisten dieser Zugriffe laufen ins Leere, und das ist der Normalfall.
Die nützliche Frage ist nicht, ob geklopft wird. Das ist gemessen und beantwortet. Die Frage ist, was passiert, wenn eine Tür aufgeht.
Darauf gibt es zwei Antworten, und sie unterscheiden sich grundsätzlich.
Die eine ist Pflege. Updates zeitnah einspielen, Plugins entfernen statt deaktivieren, Anmeldeversuche begrenzen, Sicherungen testen. Das funktioniert, solange es jemand tut, jede Woche, auch im Sommer und auch dann, wenn gerade Wichtigeres ansteht.
Die andere ist, die gesuchten Türen gar nicht erst zu haben. Eine statisch ausgelieferte Seite ohne laufenden Server, ohne Datenbank und ohne Admin-Login im Hintergrund kennt weder /wp-admin/install.php noch .env. Das Durchprobieren läuft weiter, es findet nur nichts mehr, wonach es sucht. Diese Variante braucht keine Disziplin, weil sie nichts zu pflegen gibt.
Wir bauen die zweite Variante, nicht weil Pflege falsch wäre, sondern weil sie an einem Menschen hängt, der irgendwann in den Ferien ist.
Was in denselben Logs noch steht
Dieselbe Aufzeichnung beantwortet eine zweite Frage, die gerade häufiger gestellt wird als die nach Sicherheit: kommen die KI-Systeme auf meine Seite?
Über dieselben elf Hosts kamen im selben Zeitraum 17’290 verifizierte Zugriffe von KI-Crawlern, gegenüber 7’976 von klassischen Suchbots. Die Antwortmaschinen kommen also inzwischen mehr als doppelt so oft wie Google und Bing. Auch das steht in keinem Browser-Zähler.
Ein Logfile, zwei Antworten. Das ist der eigentliche Grund, warum wir serverseitig messen.
So schaust du selbst nach
Du brauchst keinen Dienstleister dafür. Wenn du an deine Zugriffslogs kommst, such nach drei Zeichenfolgen:
/wp-admin
/.env
/.git/configStehen dort dreistellige Zahlen, und kennt deine Seite diese Pfade gar nicht, dann hast du den Grundpegel vor dir. Danach weisst du, dass geklopft wird, und die Frage verschiebt sich auf das, was dahinter liegt.
Kommst du nicht an die Logs, ist das selbst ein Befund.
Häufige Fragen
Werden kleine Firmenwebseiten überhaupt angegriffen?
Ja, und gemessen an den Zugriffszahlen härter als grosse. Über elf Seiten hinweg stammen 35 Prozent aller Zugriffe von Programmen, die Schwachstellen suchen. Auf einer kleinen Seite mit wenigen Dutzend Besuchern am Tag kommen zwanzig bis fünfundzwanzig solcher Zugriffe auf jeden menschlichen. Der Grund ist, dass es niemand gezielt auf dich abgesehen hat: Adressbereiche werden flächendeckend durchprobiert, und eine kleine Seite ist dabei keine kleinere Zielscheibe, sondern nur eine Adresse unter vielen.
Wonach suchen diese automatisierten Zugriffe?
Nach bekannten offenen Türen. In 30 Tagen auf einer unserer Seiten: rund 1’900 Anfragen nach WordPress-Pfaden, allein 776 Mal nach /wp-admin/install.php, dazu 426 Anfragen nach Umgebungsdateien in fünf Schreibweisen von .env bis .env.production und 237 nach Git-Metadaten. Die Seite läuft nicht auf WordPress und hat nie darauf gelaufen. Geprüft wird trotzdem, weil Probieren billiger ist als Nachsehen.
Was hilft dagegen, ausser laufend zu patchen?
Die Tür entfernen statt sie zu verschliessen. Eine Seite ohne laufenden Server, ohne Datenbank und ohne Admin-Login im Hintergrund hat die gesuchten Pfade nicht, also läuft das Durchprobieren ins Leere. Pflege hält die Türen zu, solange jemand sie pflegt. Eine Architektur ohne diese Türen braucht diese Disziplin nicht.
Quellen
- Eigene Messung über elf Hosts, Munot-Tageswürfel, 11. August bis 10. September 2026
- Eigene Messung, WAF-Logs von scmc.ch, 30 Tage bis 11. September 2026, CloudWatch Logs Insights
- Begriffe zum Thema: Scanner, KI-Crawler, Verifizierter Crawl