Statische vs. Dynamische Websites: Was Ist Sicherer?

Architektur Bestimmt Sicherheit

Wenn die meisten Menschen an Website-Sicherheit denken, denken sie an Firewalls, Verschlusselung und Passworter. Diese sind wichtig, aber sie sind Oberflachen-Verteidigungen. Die wirkungsvollste Entscheidung fur die Sicherheit Ihrer Website wird lange vor der Firewall-Konfiguration getroffen: Es ist die Architekturentscheidung.

Eine dynamische Website (WordPress, Drupal, individuelle PHP/Node.js-Anwendungen) fuhrt bei jeder Anfrage serverseitigen Code aus. Sie verbindet sich mit einer Datenbank. Sie hat ein Admin-Panel. Sie verarbeitet Benutzereingaben. Jede dieser Fahigkeiten ist auch ein Angriffsvektor. Eine statische Website hat keine dieser Komponenten.

Die Angriffsflache Verstehen

Angriffsflache einer Dynamischen Website

Komponente	Angriffsvektoren	Risikostufe
PHP-Runtime	Remote Code Execution, File Inclusion, Deserialisierung	Kritisch
MySQL-Datenbank	SQL-Injection, Datenexfiltration, Privilegien-Eskalation	Kritisch
wp-admin-Panel	Brute Force, Credential Stuffing, Session Hijacking	Hoch
Plugin-Code	Alle vorherigen, plus Supply-Chain-Kompromittierung	Kritisch
Datei-Uploads	Shell-Upload, Directory Traversal	Hoch

Viele dieser Schwachstellen haben wir in unserem Artikel uber WordPress-Schwachstellen 2025 behandelt.

Angriffsflache einer Statischen Website

Komponente	Angriffsvektoren	Risikostufe
HTML/CSS/JS-Dateien	XSS (wenn nutzergenerierter Inhalt beim Build eingeschlossen wird)	Niedrig
CDN-Konfiguration	Cache Poisoning, fehlkonfigurierte Header	Niedrig
Build-Pipeline	Supply-Chain-Kompromittierung	Mittel
DNS	DNS Hijacking, Subdomain Takeover	Mittel

Durch Statische Sites Eliminierte Schwachstellenklassen

SQL-Injection: Eliminiert

Keine Datenbank = keine SQL-Injection. Die Schwachstellenklasse existiert schlicht nicht.

Remote Code Execution: Eliminiert

Keine serverseitige Runtime = keine beliebige Code-Ausfuhrung. Das CDN liefert Dateien, nichts weiter.

SSRF: Eliminiert

Kein serverseitiger Code = nichts, das zum Senden von Anfragen an interne Ressourcen getauscht werden kann.

Authentifizierungs-Bypass: Eliminiert

Kein Admin-Panel = keine Authentifizierung zum Umgehen. Siehe unseren Artikel uber exponierte Admin-Seiten.

Was Statische Sites Nicht Konnen (Und die Losungen)

Benutzer-Authentifizierung

• Drittanbieter-Auth-Dienste: Auth0, Firebase Auth, Clerk behandeln Authentifizierung sicher.
• Serverless Functions: Cloudflare Workers, AWS Lambda fugen gezielte serverseitige Endpunkte hinzu.

Dynamischer Inhalt

• Client-seitiges JavaScript: Fur kleine Datensatze Daten als JSON laden und im Browser filtern.
• Externe APIs: Dedizierte API-Dienste vom Client-JavaScript aufrufen.
• Incremental Static Regeneration: Einige Frameworks unterstutzen die Neugenerierung einzelner Seiten in definierten Intervallen.

Content-Management

• Git-basiertes CMS: Decap CMS, Tina CMS ermoglichen Anderungen uber eine Web-Oberflache mit Git-Commits.
• API-basiertes CMS: Contentful, Sanity, Strapi bieten Editing-Interfaces. Inhalt wird via API geliefert.

Die zentrale Erkenntnis: Das CMS (das Editing-Interface) ist vom Website getrennt. Selbst wenn das CMS eine Schwachstelle hat, bleibt die offentliche Website statisch und sicher.

Die Jamstack-Architektur

Jamstack (JavaScript, APIs, Markup) formalisiert den statischen Ansatz fur moderne Webentwicklung. Fur eine tiefere Betrachtung moderner Web-Architektur-Entscheidungen siehe unseren Artikel uber moderne Web-Architektur.

CDN-Distribution: Sicherheit Durch Architektur

DDoS-Resilienz

Statische Sites verteilen die Last uber Hunderte von Edge-Nodes weltweit. Grosse CDN-Anbieter haben DDoS-Mitigation auf Netzwerkebene integriert.

HTTPS als Standard

Alle grossen CDN/Hosting-Plattformen bieten kostenlose, automatisch erneuerte TLS-Zertifikate.

Kostenvergleich

Faktor	Dynamisch (WordPress)	Statisch (Jamstack)
Hosting	10-50 CHF/Monat bis 100+ CHF/Monat	0-20 CHF/Monat (oft kostenlos)
SSL-Zertifikat	0-100 CHF/Jahr	0 CHF (automatisch)
CDN	20-200 CHF/Monat	0 CHF (inklusive)
Sicherheits-Plugins/WAF	100-300 CHF/Jahr	Nicht benotigt
Wartung	2-5 Stunden/Monat	Nahezu null

Wann Dynamisch Noch Notwendig Ist

Echtzeit-Chat, komplexe E-Commerce-Checkout-Flows, Plattformen mit nutzergenerierten Inhalten im grossen Massstab. Auch in diesen Fallen ist ein hybrider Ansatz oft moglich. Fur einen Vergleich WordPress/Jamstack siehe unseren Artikel uber WordPress vs. Jamstack.

Fazit

Die Architektur Ihrer Website ist ihre wichtigste Sicherheitsentscheidung. Eine statische Website eliminiert SQL-Injection, Remote Code Execution, Authentifizierungs-Bypass, Datei-Upload-Angriffe und Session-Management-Fehler, indem sie die Komponenten, die diese Angriffe anvisieren, schlicht nicht hat.

Wenn Sie die Architektur Ihrer Website evaluieren und die Sicherheitsimplikationen verschiedener Ansatze verstehen mochten, kontaktieren Sie unser Team. Wir helfen Unternehmen in Lugano und der gesamten Schweiz, Webprasenzen zu bauen, die von Grund auf sicher sind.