WEBSITE KOMPROMITTIERT · ERSTE HILFE
Ihre Website wurde gehackt: was jetzt zu tun ist
Die sechs Schritte unten sind die, auf die es in den ersten Stunden ankommt, in der Reihenfolge, in der es auf sie ankommt. Sie kosten nichts und funktionieren unabhängig davon, ob Sie je mit uns sprechen. Lesen Sie zuerst die. Was wir machen, steht weiter unten und ist erst relevant, wenn der Notfall eingedämmt ist.
Die ersten sechs Schritte
Die Seite hinter einer Wartungsseite vom Netz nehmen
Eine kompromittierte Seite arbeitet weiter, und zwar für denjenigen, der sie kompromittiert hat: Sie liefert Schadsoftware an Ihre Besucher aus, verschickt Spam über Ihre Domain oder hostet unter Ihrem Namen eine Phishing-Seite. Sie durch eine statische Wartungsseite zu ersetzen, stoppt den wachsenden Schaden, während Sie klären, was passiert ist, und schützt die Besucher, die dieser Adresse vertraut haben.
Alle Passwörter ändern, auch die, an die niemand denkt
Das Administratorkonto des CMS ist das offensichtliche. Vergessen werden meist die Hosting-Verwaltung, FTP- und SFTP-Zugänge, der Datenbankbenutzer, der Domain-Registrar sowie Deploy-Keys und API-Tokens, die die Seite nutzt. Wenn der Angreifer einmal drin war und nur das CMS-Passwort wechselt, steht der Weg zurück weiterhin offen.
Den Hoster informieren
Die meisten Hoster haben ein Abuse-Team, das denselben Einbruch schon oft gesehen hat, serverseitige Protokolle einsehen kann, an die Sie nicht herankommen, und den Zugang häufig isoliert, bevor der Schaden auf andere Kunden übergreift. Dort früh anzurufen kostet nichts und ist oft der schnellste Weg zu der Frage, wie der Angreifer hereingekommen ist.
Ein Backup von vor dem Vorfall suchen, nicht das neueste
Das jüngste Backup ist meistens schon kompromittiert, denn ein Einbruch fällt typischerweise erst Tage oder Wochen später auf. Entscheidend ist das letzte Backup vor dem ersten Anzeichen des Angriffs. Deshalb zählen die Daten in den Protokollen mehr als die Daten der Backups. Wer das neueste einspielt, spielt den Angreifer mit ein.
Prüfen, ob personenbezogene Daten betroffen sein können
Wenn durch die Verletzung personenbezogene Daten gefährdet sein können, verlangt Art. 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem der Verantwortliche davon Kenntnis erlangt hat. In Hessen ist das Der Hessische Beauftragte für Datenschutz und Informationsfreiheit. Kontaktformulare, Kundenkonten und Shop-Bestellungen sind personenbezogene Daten. Die Frist beginnt mit der Kenntnis, nicht mit dem Abschluss der Untersuchung.
Ehrlich zwischen Bereinigung und Neuaufbau entscheiden
Eine Bereinigung entfernt das Symptom. War der Weg hinein ein veraltetes Plugin, ein nicht gepatchter Core oder ein schwaches Hoster-Passwort, ist diese Tür danach immer noch da. Deshalb werden befallene Seiten so häufig innerhalb weniger Wochen erneut infiziert. Ein Neuaufbau auf einem System ohne Plugin-Oberfläche entfernt die Art des Einstiegs statt der einzelnen Infektion. Was richtig ist, hängt davon ab, wie der Angreifer hereinkam, und das ist die Frage, die sich zu beantworten lohnt, bevor Geld in eines von beidem fließt.
Was Coday macht, und was nicht
Coday macht keine Malware-Forensik und keine Incident Response. Im akuten Notfall sind das Abuse-Team Ihres Hosters die richtigen Ansprechpartner und, falls personenbezogene Daten betroffen sein können, jemand, der Sie zur Meldepflicht beraten kann. Zu sagen, wir kümmerten uns um den Einbruch, wäre der Anspruch auf eine Fähigkeit, die wir nicht haben.
Was Coday macht, ist der Schritt danach: die Seite so neu aufbauen, dass dasselbe nicht auf demselben Weg wieder passieren kann. Die neue Seite entsteht als statische Dateien, ausgeliefert über ein Edge-Netz, ohne PHP-Ausführung auf dem Webserver, ohne Plugin-Ökosystem, das gepatcht werden muss, und ohne aus dem öffentlichen Internet erreichbare Datenbank. Das macht eine Website nicht unangreifbar, denn das tut nichts, aber es entfernt die Einstiegspunkte, die automatisierte Angriffe tatsächlich nutzen.
Ein Neuaufbau nach einer Kompromittierung läuft wie jeder andere Relaunch: Jede bestehende Adresse bekommt ihr Gegenstück, damit die Seiten, für die Sie ranken, eine Adresse behalten, die tragenden Inhalte ziehen zuerst um, und der Preis steht vor dem Start fest. Die eingeschleusten Spam-Adressen sind die eine Ergänzung: Die müssen aufhören zu funktionieren, statt irgendwohin weitergeleitet zu werden.
Fragen nach einem Hack
Wie wurde meine Website gehackt?
Die üblichen Einstiegspunkte in ein Plugin-basiertes CMS sind eine veraltete Erweiterung, ein Core, der ein Sicherheitsupdate verpasst hat, ein wiederverwendetes oder schwaches Passwort im Hosting-Zugang und ein gestohlener FTP-Zugang von einem infizierten Arbeitsrechner. In Sucuris Website Threat Research Report, der die vom Unternehmen bereinigten infizierten Seiten zählt, laufen rund 90 Prozent auf WordPress. Nicht weil WordPress schlecht gebaut wäre, sondern weil Angriffe automatisiert laufen und das treffen, was am weitesten verbreitet ist.
Kann ich die Seite nicht einfach bereinigen lassen?
Manchmal ja, und der Versuch lohnt sich, wenn der Einstiegspunkt bekannt und geschlossen ist. Er scheitert, wenn der Einstiegspunkt unbekannt ist, denn die Bereinigung entfernt die Dateien, die der Angreifer hinterlassen hat, und nicht das Loch, durch das er kam. Eine erneute Infektion innerhalb weniger Wochen ist dann der Normalfall. Die entscheidende Frage lautet nicht „ist die Seite jetzt sauber", sondern „wissen wir, wie sie hereingekommen sind".
Entfernt Coday Schadsoftware von einer gehackten Website?
Nein. Coday macht keine Malware-Forensik und keine Incident Response, und etwas anderes zu behaupten wäre der Anspruch auf eine Fähigkeit, die nicht besteht. Für den akuten Notfall sind das Abuse-Team Ihres Hosters und ein spezialisierter Incident Responder die richtigen Ansprechpartner. Was Coday macht, ist der Schritt danach: die Seite auf einem Stack ohne Plugin-Oberfläche und ohne Datenbank am Webserver neu aufbauen, damit die Art des Einstiegs verschwindet und nicht nur die einzelne Infektion.
Muss eine gehackte Website den Behörden gemeldet werden?
Eine Meldung ist erforderlich, wenn durch die Verletzung personenbezogene Daten gefährdet waren. Art. 33 DSGVO gibt dafür 72 Stunden ab Kenntnis zur Meldung an die zuständige Aufsichtsbehörde, und Art. 34 verlangt zusätzlich die Benachrichtigung der Betroffenen selbst, wenn für sie ein hohes Risiko besteht. Eine Seite mit reinen Firmeninformationen und ohne Formulare kann außerhalb liegen; eine Seite mit Kontaktformular, Kundenkonten oder Bestellungen fast sicher nicht. Wenn Sie unsicher sind, ist genau diese Unsicherheit ein Grund, schnell rechtlichen Rat einzuholen, statt abzuwarten.
Erholen sich unsere Google-Rankings nach einem Hack wieder?
In der Regel ja, aber nicht von allein und nicht sofort. Eine kompromittierte Seite kann in der Search Console als schädlich markiert und in den Ergebnissen mit einem Warnhinweis angezeigt werden, und die Spam-Seiten, die ein Angreifer einschleust, können unter Ihrer Domain indexiert werden. Erholung heißt: eingeschleuste Inhalte entfernen, in der Search Console eine Überprüfung beantragen und dafür sorgen, dass die eingeschleusten URLs einen eindeutigen Nicht-mehr-vorhanden-Status liefern, statt weiter zu funktionieren.
Ihre neue Website : fester Preis, persönlich vom Entwickler
Eine Website für Handwerksbetriebe, Praxen und Dienstleister , die in unter einer halben Sekunde lädt, auf jedem Handy gut aussieht und Anfragen bringt. Sagen Sie mir in einem Satz, worum es geht. Ich melde mich innerhalb von 24 Stunden.
- 1
Kurz anfragen
Name, Telefon oder E-Mail, ein Satz. Mehr braucht es nicht.
- 2
Kostenloses Gespräch binnen 24 Stunden
Etwa 15 Minuten: Was soll die Seite erreichen, wer sind Ihre Kunden, was gibt es schon?
- 3
Festpreis-Angebot
Verbindlich, ohne versteckte Kosten. Sie zahlen erst, wenn Sie es annehmen. In 10 bis 14 Werktagen online.
- Festpreis-Garantie
- 50 % bei Start, 50 % nach Freigabe
- Die Website gehört zu 100 % Ihnen
Kurz anfragen
Drei Felder genügen. Ich melde mich innerhalb von 24 Stunden persönlich bei Ihnen.