Müssen Sicherheitsfunktionen beim SaaS-Website-Baukasten extra bezahlt werden?

Nicht alle Sicherheitsfunktionen beim SaaS-Websitebau müssen unbedingt zusätzlich bezahlt werden. Das Basispaket kann bereits HTTPS für die Website, grundlegende Backups und einen gewissen Netzwerkschutz umfassen. Für separate Zertifikate, langfristige Backups, bedarfsgerechte Wiederherstellungen, erweiterten Schutz vor Angriffen und Sicherheitsaudits können jedoch je nach Tarifstufe oder Nutzung zusätzliche Gebühren anfallen. Bei der Kalkulation der Sicherheitskosten für den SaaS-Websitebau sollten daher der Funktionsumfang, Nutzungslimits, Wiederherstellungskosten und Verlängerungsbedingungen gemeinsam berücksichtigt werden.

SSL-Zertifikate: „aktivierbar“ und „enthalten“ unterscheiden

Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen Browser und Website. Wenn in einem Angebot „SSL unterstützt“ steht, bedeutet das nicht automatisch, dass die Zertifikatskosten enthalten sind: Möglicherweise kann das System lediglich für die Konfiguration eines Zertifikats verwendet werden, während das Zertifikat selbst separat erworben werden muss. Bei der Angabe „kostenloses SSL“ sollte ebenfalls geprüft werden, ob dies für eine vom System bereitgestellte Domain oder für eine eigene angebundene Domain gilt.

Mehrsprachige Websites verwenden häufig mehrere Domains oder Subdomains. Der Geltungsbereich des Zertifikats, die Art der automatischen Verlängerung und die Kosten für eine Neukonfiguration nach einer Domainänderung wirken sich alle auf die tatsächlichen Ausgaben aus. Wenn das Paket ein Basiszertifikat umfasst, das Projekt jedoch einen bestimmten Zertifikatstyp erfordert oder das Zertifikat selbst verwaltet werden soll, ist außerdem zu klären, ob das System den Import unterstützt und ob Konfigurationsgebühren anfallen.

HTTPS schützt nur die Verbindung während der Übertragung und ersetzt weder die Verwaltung von Kontoberechtigungen noch Datensicherungen oder den Schutz vor Angriffen. Ein kostenloses Zertifikat bedeutet nicht, dass die Sicherheitskosten für die gesamte Website abgedeckt sind.

Bei den Kosten für Backups kommt es oft auf die Wiederherstellungsbedingungen an

Die Aussage „Datensicherungen werden bereitgestellt“ enthält nur wenige konkrete Informationen. Für die Kosten sind entscheidend, welche Inhalte gesichert werden, wie häufig die Sicherung erfolgt, wie lange die Daten aufbewahrt werden und ob eine Wiederherstellung bei Bedarf selbst durchgeführt werden kann. Seiten, Bilder, Produktinformationen, Bestellungen und Formularanfragen im Website-System fallen nicht zwangsläufig alle in denselben Sicherungsumfang.

Ein Paket kann beispielsweise regelmäßige Backups enthalten, aber nur eine begrenzte Anzahl älterer Versionen aufbewahren. Wird ein versehentlich gelöschter Inhalt erst spät bemerkt, ist die benötigte Version möglicherweise nicht mehr in den vorhandenen Backups enthalten. Eine längere Aufbewahrungsdauer, eine höhere Sicherungsfrequenz oder separate Datenbanksicherungen können zusätzliche Kosten verursachen.

Auch für die Wiederherstellung sollte ein separates Angebot eingeholt werden: Wird die gesamte Website wiederhergestellt oder lassen sich auch einzelne Seiten, Bestellungen oder Dateien wiederherstellen? Wie werden neu hinzugekommene Daten behandelt, wenn auf eine ältere Version zurückgesetzt wird? Manche Anbieter schließen den Speicherplatz für Backups in das Paket ein, berechnen aber für manuelle Wiederherstellungen, Wiederherstellungen zu einem bestimmten Zeitpunkt oder dringende Bearbeitung separate Gebühren. Diese Bedingungen sollten möglichst im Angebot aufgeführt sein, damit sich im Problemfall nicht herausstellt, dass zwischen „es gibt ein Backup“ und „eine Wiederherstellung nach Bedarf ist möglich“ ein Unterschied besteht.

Bei Schutzdiensten auf den Umfang und die Auslöser für Gebühren achten

Ein grundlegender Sicherheitsschutz kann über die Cloud-Infrastruktur oder das Website-Paket bereitgestellt werden. Erweiterter Schutz ist dagegen häufig an eine bestimmte Tarifstufe, das Datenverkehrsvolumen oder einen separaten Dienst gebunden. Beim Vergleich können die folgenden Kostenarten berücksichtigt werden:

• Schutz vor schädlichem Datenverkehr und Angriffen: Prüfen Sie den im Paket enthaltenen Schutzumfang, die Traffic-Limits und das Vorgehen bei deren Überschreitung. Eine Überschreitung kann zusätzliche Kosten verursachen oder eine Drosselung beziehungsweise Aussetzung des Dienstes auslösen. Es reicht daher nicht aus, lediglich zu vergleichen, ob „Schutz vor Angriffen“ angegeben ist.
• Schutz von Webanwendungen: Regeln zum Blockieren schädlicher Anfragen können in Basisregeln und konfigurierbare Regeln unterteilt sein. Wenn Regeln separat angepasst oder Fehlblockierungen bearbeitet werden müssen, sollte geprüft werden, ob der manuelle Service enthalten ist.
• Erkennung und Beseitigung schädlichen Codes: Regelmäßige Scans, Warnmeldungen, Bereinigung und Wiederherstellung sind unterschiedliche Leistungen. Ein enthaltener Scan bedeutet nicht, dass auch die Bereinigung enthalten ist. Reaktionszeit und Leistungsumfang im Fall einer Auffälligkeit sollten ebenfalls vertraglich festgehalten werden.
• Protokolle und Audits: Zugriffsrechte für Login-, Vorgangs- und Sicherheitsereignisprotokolle sowie deren Aufbewahrungsdauer und Exportmöglichkeiten können durch den Tarif begrenzt sein.

Nach dem Start einer Werbekampagne oder einer Aktion kann das Besuchsaufkommen vorübergehend stark ansteigen. Wenn der Schutzdienst nach Datenverkehr oder Anfragevolumen abgerechnet wird, sollte geklärt werden, ob normaler Werbeverkehr auf das Limit angerechnet wird und wie Mehrkosten berechnet werden. Bei Anfrageformularen sollte auch der Spamschutz berücksichtigt werden: Häufige Blockierungen können potenzielle Kunden von der Übermittlung abhalten, während fehlende Beschränkungen die Kosten für die Bearbeitung von Spam erhöhen können.

Kontoberechtigungen und Anbindungen an Drittanbieter können die Kosten ebenfalls beeinflussen

Wenn mehrere Personen eine Website betreuen, wirken sich die Anzahl der Backend-Konten, Rollenberechtigungen und Anmeldeschutzfunktionen auf die Sicherheitskonfiguration aus. Ein Basispaket bietet möglicherweise nur eine begrenzte Anzahl von Konten. Eine differenzierte Vergabe von Berechtigungen für die Bearbeitung von Inhalten, die Bestellverwaltung und die Systemeinstellungen oder eine strengere Anmeldeverifizierung kann ein Upgrade erfordern. Es sollte geklärt werden, ob sich Berechtigungen nach Aufgabenbereichen vergeben lassen und ob Konten nach dem Ausscheiden von Mitarbeitenden umgehend deaktiviert werden können.

Wenn die Website mit Zahlungs-, Kundenmanagement- oder Marketingtools verbunden wird, sollte außerdem geklärt werden, zwischen welchen Systemen Daten übertragen werden, wer die Schnittstellenberechtigungen verwaltet und ob für die Anbindung separate Kosten anfallen. Die im Website-Paket enthaltenen Sicherheitsdienste decken Drittanbietersysteme möglicherweise nicht ab. Auch die Zuständigkeiten für die Fehleranalyse, Neukonfiguration und Datenwiederherstellung bei fehlgeschlagener Formularsynchronisierung oder einem offengelegten Schnittstellenschlüssel sollten vorab vereinbart werden.

Sicherheitskosten im Gesamtangebot vergleichen

Zwei Angebote, die beide „Sicherheitsdienste inklusive“ ausweisen, lassen sich möglicherweise nicht direkt vergleichen, weil sie sich etwa bei der Anzahl der Domains, der Aufbewahrungsdauer von Backups und den Schutzlimits unterscheiden. Es empfiehlt sich, die Anfangskosten, Verlängerungspreise, im Paket enthaltenen Kontingente und Gebühren bei Überschreitung getrennt aufzuführen und für jede Position den jeweiligen Leistungszeitraum anzugeben. Funktionen, die erst nach einem Tarif-Upgrade verfügbar sind, sollten ebenfalls zum tatsächlichen Preis des Pakets gerechnet werden, in dem diese Funktionen enthalten sind.

Im Vertrag oder in den Servicebedingungen sollten außerdem die Benachrichtigung bei Störungen, das Verfahren für Wiederherstellungsanträge und die Verantwortlichkeiten festgelegt werden. Bei versehentlichem Löschen von Daten ist es aussagekräftiger, zu klären, ob die Wiederherstellung zusätzliche Kosten verursacht, ob eine Reaktion innerhalb der vereinbarten Zeit zugesichert wird und von welchen Bedingungen das Wiederherstellungsziel abhängt, als lediglich „kostenloses Backup“ anzugeben.

Abschließend sollten Umfang und Kosten des Datenexports bei Ablauf des Dienstes oder einem Systemwechsel geklärt werden. Dass Seiteninhalte exportiert werden können, bedeutet nicht, dass Bestellungen, Anfragen, Bilder und historische Protokolle ebenfalls in einem nutzbaren Format verfügbar sind. Eine frühzeitige Klärung der Exportberechtigungen und des Supportzeitraums trägt dazu bei, dass Sicherheits- und Migrationskosten nicht erst bei der Vertragsverlängerung gebündelt anfallen.