Sucuri

Sucuri ist eine verwaltete Sicherheitslösung für öffentlich erreichbare Websites. Sie verbindet in der kostenpflichtigen Website Security Platform eine vorgeschaltete Web Application Firewall (WAF), die verdächtige Aufrufe vor dem eigentlichen Server filtert, mit Sicherheitsüberwachung, einem Content Delivery Network (CDN) zur Auslieferung zwischengespeicherter Inhalte und Unterstützung bei der Bereinigung gehackter Websites. Betreiber können damit sowohl wiederkehrende Angriffsversuche abwehren als auch auf konkrete Infektionen reagieren. Die zentrale Unterscheidung: Die vollständige Plattform bietet Expertenbereinigung; ein separat erhältlicher Firewalltarif oder das kostenlose WordPress-Plugin ersetzt diesen Dienst nicht.

Die Cloud-Firewall wird vor der Website platziert. Dafür ändern Betreiber üblicherweise DNS-Einträge so, dass Aufrufe zunächst das Netzwerk von Sucuri erreichen. Dieses prüft Anfragen anhand von Schutzregeln und leitet zulässigen Verkehr an den weiterhin selbst betriebenen Ursprungsserver weiter. Nach Anbieterangaben umfasst der Schutz unter anderem Regeln gegen typische Webangriffe, schädliche Bots und Überlastungsversuche (DDoS). Virtuelles Patching kann bekannte Angriffswege vorübergehend abschirmen, solange eine Softwarelücke noch nicht geschlossen ist. Es ersetzt jedoch weder WordPress- noch Plugin-, Theme- oder Serverupdates. Wer eine stark angepasste Website betreibt, sollte Ausschlussregeln und technische Anforderungen vor dem Vertragsabschluss prüfen.

Zum gleichen Dienstportfolio gehören CDN und Zwischenspeicherung (Caching). Das CDN hält geeignete statische Inhalte an verteilten Standorten vor und kann so den Ursprungsserver entlasten; eine konkrete Beschleunigung lässt sich für eine einzelne Website ohne Messungen nicht versprechen. Besonders wichtig ist die richtige Behandlung von Login-, Warenkorb-, Checkout- und Mitgliederseiten. Für solche personalisierten Aufrufe müssen passende Cache-Ausnahmen definiert und unter realen Bedingungen geprüft werden, damit vertrauliche oder veraltete Informationen nicht aus dem falschen Zwischenspeicher erscheinen. Betreiber können Cache-Einstellungen im Dashboard verwalten und für bestimmte Vorgänge die dokumentierte Cache-Leerung per API ansteuern. Auch SSL-Zertifikate und HTTPS-Verbindungen müssen nach der DNS-Umstellung überprüft werden.

Sucuri überwacht Webseiten unter anderem auf nach außen sichtbare Malware-Anzeichen, unerwünschte Weiterleitungen, Suchmaschinen-Spam und Einträge auf Sperrlisten. Die kostenpflichtigen Plattformtarife sehen außerdem Prüfungen von DNS, SSL-Zustand und Erreichbarkeit vor. Die aktuelle Preistabelle nennt für Sicherheitsprüfungen bei Basic einen Abstand von zwölf Stunden, bei Pro von sechs Stunden und bei Business von 30 Minuten. DNS- und SSL-Prüfungen sind für diese drei Tarife jeweils mit 24 Stunden ausgewiesen. Die Prüfintervalle weiterer Überwachungen und eines serverseitigen Scanners sollten für den konkreten Vertrag gesondert kontrolliert werden. Diese Angaben beschreiben die angebotene Überwachung, nicht die Zusicherung, dass jeder Angriff sofort auffällt. Vor allem ein äußerer Scanner kann verborgene infizierte Dateien auf dem Hostingserver übersehen.

Bei einer tatsächlich kompromittierten Website können Kunden der Security Platform eine Malware Removal Request über ein Supportticket eröffnen. Die Spezialisten benötigen dazu je nach Umgebung zeitweise Zugriff auf Website-Dateien, Datenbanken und Hostingwerkzeuge. Sucuri beschreibt eine Mischung aus automatisierten Prüfungen und manueller Bereinigung, etwa von Schadcode, Hintertüren, manipulierten Weiterleitungen und SEO-Spam. Dazu gehört eine grundlegende Dokumentation der bearbeiteten Inhalte. Für die dauerhafte Wiederherstellung müssen Betreiber trotzdem die Ursache beheben, Software aktualisieren, Passwörter ändern und eigene geprüfte Backups bereithalten. Eine vor der Bearbeitung erstellte Sicherung betroffener Dateien ersetzt kein vollständiges, unabhängig nutzbares Wiederherstellungsbackup.

Die Wahl des Plattformtarifs beeinflusst insbesondere die erwartete erste Reaktion des Supportteams. Laut offizieller Preistabelle kostet Basic Platform 229 US-Dollar je Jahr für eine Website und nennt etwa 30 Stunden bis zur ersten Ticketreaktion. Pro Platform wird mit 339 US-Dollar pro Jahr und etwa zwölf Stunden ausgewiesen, Business Platform mit 549 US-Dollar pro Jahr und etwa sechs Stunden. Diese Zeitangaben sind Schätzungen für die erste Antwort und ausdrücklich keine garantierten Fertigstellungstermine der Bereinigung. Der Junior-Dev-Tarif für fünf Websites wird mit 999,98 US-Dollar jährlich angegeben. Für größere Agenturen und individuelle Mehrseitenpakete nennt Sucuri Preise auf Anfrage. Alle Angaben beziehen sich auf die vom Anbieter veröffentlichte internationale USD-Preisansicht; mögliche Steuern und der genaue Checkout für Deutschland sind gesondert zu prüfen.

Neben der Komplettplattform gibt es die eigenständig vermarktete Sucuri Website Firewall. Deren sichtbare Einstiegspreise lauten 9,99 US-Dollar pro Monat für Firewall Basic und 19,98 US-Dollar pro Monat für Firewall Pro. Das sind Monats-Anzeigepreise, aus denen sich ohne Prüfung des Checkouts weder eine monatliche Abbuchung noch eine monatliche Kündigung ableiten lässt. Vor allem ist bei diesen Firewall-Only-Angeboten die umfassende, von Sicherheitsexperten durchgeführte Malwarebereinigung nicht enthalten. Wer bereits gehackt wurde und ausdrücklich Unterstützung bei der Säuberung möchte, sollte deshalb die Plattform- oder eine gesonderte Bereinigungsleistung auswählen statt bloß den günstigeren Firewalltarif. Vertrag, Verlängerung, Mehrseitenregeln und mögliche Sonderleistungen sind vor Kauf zu vergleichen.

Für einen kostenlosen Einstieg stellt Sucuri den öffentlichen SiteCheck und ein offizielles WordPress-Plugin bereit. SiteCheck untersucht aus der Ferne, was von einer Website öffentlich erreichbar ist, und kann auf auffällige Dateien, Sperrlisteneinträge und Weiterleitungen hinweisen. Ein Ergebnis ohne Warnung beweist keine vollständige Infektionsfreiheit. Das WordPress-Plugin bietet unter anderem Sicherheitsprotokolle, Prüfung von WordPress-Dateien, Hinweise zur Härtung und weitere administrative Schutzmaßnahmen. Laut Plugin-Änderungsübersicht gehören auch Funktionen rund um Zwei-Faktor-Authentifizierung und ein CSV-Export von Auditlogs dazu. Das Plugin führt jedoch keine vollständige professionelle Malwareentfernung durch; auch eine Cloud-WAF mit CDN wird nicht allein durch dessen Installation kostenlos aktiviert. Eine echte zeitlich begrenzte Testphase der bezahlten Plattform wurde nicht bestätigt.

Sucuri ist nicht auf WordPress als Website-Technologie begrenzt. Da der Schutz im Netzverkehr vor dem Server ansetzt, kommen grundsätzlich auch andere Content-Management-Systeme, Shops und individuelle Websites in Betracht. Gleichwohl sind spezielle Anwendungen, Subdomains, mehrere Installationen, API-Endpunkte und die dafür erforderlichen Ausnahmen gesondert zu konfigurieren. Agenturen mit zahlreichen Kundenseiten sollten die Lizenzierung pro Website und die verfügbaren Mehrseitenmodelle klären. Die online belegte API deckt unter anderem das Leeren des Firewall-Caches ab; daraus folgt keine frei nutzbare Vollzugriffs-API für sämtliche Sicherheits- und Kontofunktionen. Ein Cloud-Dashboard und das separate WordPress-Plugin sind belegt. Eine vollständige lokal selbst gehostete Variante der Sucuri-WAF ist damit nicht gemeint.

Für den Einsatz in Deutschland sind die Datenströme eine eigene Kaufentscheidung. Durch die vorgeschaltete WAF verarbeitet Sucuri potenziell IP-Adressen und Informationen zu Website-Aufrufen. Bei einer Bereinigung können zeitweise Serverzugänge sowie Inhalte aus Dateien oder Datenbanken hinzukommen. Die offiziellen Unterlagen umfassen Nutzungsbedingungen, Datenschutzhinweise und ein Data Processing Addendum (DPA), das auch internationale Datenverarbeitung behandelt. Ob der konkrete Einsatz datenschutzrechtlich passt, hängt dennoch von Verträgen, Unterauftragsverarbeitern, möglichen Drittlandübermittlungen, Logaufbewahrung und der eigenen Website ab. Betreiber sollten diese Punkte im Voraus dokumentieren und den Zugang des externen Supportteams technisch und zeitlich begrenzen. Eine pauschale DSGVO-Garantie lässt sich aus der Existenz eines DPA nicht ableiten.

Bei der Einordnung von Sucuri Erfahrungen lohnt der Blick auf unterschiedliche externe Bewertungsprofile. Das offizielle WordPress-Plugin wird auf WordPress.org mit 4,2 von 5 Punkten aus 385 Bewertungen geführt; diese Zahl bezieht sich nicht auf die kostenpflichtige Website Security Platform. Für die Website Firewall zeigt Gartner Peer Insights 4,4 von 5 bei 268 Bewertungen. Das Unternehmensprofil auf Trustpilot liegt dagegen bei 1,6 von 5 aus 173 Bewertungen, und G2 führt den Dienst mit 3,3 von 5 aus 48 Bewertungen. Weitere Profile stehen etwa auf Capterra, PeerSpot, OMR Reviews und SourceForge. Nutzer nennen je nach Plattform Schutzfunktionen und hilfreiche Analysewerkzeuge, berichten teils aber auch kritisch über Einrichtung, Supportreaktionen und Vertragsfragen. Diese Aussagen stammen aus fremden Bewertungen; ein eigener Produkttest wurde nicht durchgeführt. Bewertungen verschiedener Komponenten und Plattformen dürfen nicht zusammengerechnet werden.

Für Betreiber, die eine breite Lösung aus vorgelagertem Schutz, Monitoring und fallbezogener Expertenhilfe suchen, ist die kostenpflichtige Plattform ein prüfenswerter Ansatz. Wer dagegen nur WordPress-spezifische Schutzfunktionen will, kann Wordfence oder Solid Security vergleichen. MalCare ist als WordPress-orientiertes Angebot mit Malwarebereinigung interessant; Cloudflare liegt näher am Schwerpunkt CDN, DNS und Edge-WAF. Patchstack eignet sich besonders zur Betrachtung von Schwachstellen und virtuellen Schutzregeln für WordPress. Diese Alternativen ersetzen je nach Tarif unterschiedliche Teilaufgaben, nicht automatisch die vollständige Sucuri-Bereinigung. Entscheidende Fragen vor der Buchung sind daher: Ist Expertenbereinigung nötig, welche Reaktionsstufe ist akzeptabel, wie viele Websites fallen an und welche Daten- und Cacheanforderungen bestehen?