Website gehackt: was jetzt zu tun ist
Ihre Seite leitet Besucher auf eine fremde Seite um, Google warnt vor ihr, oder der Hoster hat sie gesperrt. Das ist ein Schreck, aber kein Grund für hektische Klicks. Wer nach dem Satz „Meine Website gehackt, was nun?“ als Erstes alle Dateien löscht, vernichtet Spuren. Genau diese Spuren zeigen, wie der Angreifer hineingekommen ist. Ohne diese Spur ist er in ein paar Wochen wieder da.
Der folgende Plan ist nach Zeit geordnet: was in der ersten Stunde passieren muss, was am ersten Tag, und was in der ersten Woche. Er gilt für WordPress genauso wie für andere Systeme.
Woran Sie erkennen, dass die Website gehackt wurde
Nicht jeder Einbruch ist sofort sichtbar. Viele Angreifer wollen gar nicht auffallen, sondern den Server unbemerkt für Spam oder versteckte Links nutzen.
Ein Klassiker ist die Weiterleitung, die nur Besucher von Google trifft. Sie selbst rufen die Seite direkt auf und sehen nichts Auffälliges. Ein Kunde kommt über die Suche und landet auf einer Werbeseite. Testen Sie deshalb auch über die Google-Suche und auf dem Handy. Ein weiteres Zeichen sind plötzlich viele Mails, die als unzustellbar zurückkommen, obwohl Sie sie nie geschrieben haben.
Die erste Stunde: Schaden begrenzen
Jetzt geht es nur darum, dass nicht noch mehr passiert. Aufräumen kommt später.
- Seite vom Netz nehmen oder in den Wartungsmodus schalten. So landen keine weiteren Besucher auf Schadcode. Viele Hoster können die Seite auch für Sie sperren.
- Den Hoster informieren. Er sieht in den Logfiles, den Protokollen des Servers, was dort passiert ist. Außerdem kann er prüfen, ob andere Seiten im selben Konto betroffen sind. Liegen mehrere Seiten im selben Konto und ist nur eine Website gehackt, prüfen Sie trotzdem jede davon. Angreifer springen gern von einer Installation zur nächsten.
- Einen Abzug des jetzigen Zustands sichern. Kopieren Sie Dateien und Datenbank so, wie sie sind, in einen eigenen Ordner. Diese Kopie spielen Sie nie wieder ein. Sie dient nur dazu, später nachzuvollziehen, was verändert wurde.
- Vom sauberen Gerät aus arbeiten. Ist der eigene Rechner mit Schadsoftware befallen, landen die neuen Passwörter gleich beim Angreifer. Im Zweifel ändern Sie die Zugänge von einem anderen Gerät aus.
Der erste Tag: Zugänge sperren, Ursache suchen
Ist die Website gehackt, gilt jedes Passwort als bekannt, das irgendwo auf dem Server oder im CMS gespeichert war.
Alle Passwörter ändern
Ändern Sie die Zugänge in dieser Reihenfolge:
- Kundenkonto beim Hoster
- SFTP- und FTP-Zugänge
- Datenbank-Passwort, danach auch in der Einstellungsdatei des CMS
- alle Administrator-Konten im CMS
- die Postfächer der Domain
Löschen Sie Benutzerkonten, die Sie nicht kennen. Schalten Sie, wo es geht, die Anmeldung mit zweitem Faktor ein. Bei WordPress gehört auch ein neuer Satz Sicherheitsschlüssel in die Datei wp-config.php, die zentrale Einstellungsdatei im Hauptordner von WordPress. Dadurch werden alle bestehenden Anmeldungen ungültig.
Das Einfallstor finden
Ohne die Ursache ist jede Reinigung nur eine Pause. Die meisten Einbrüche bei kleinen Seiten laufen über wenige bekannte Wege.
Hinweise liefern die Logfiles des Servers, das Änderungsdatum von Dateien und die Liste der Plugins mit ihren Versionsständen. Eine Datei, die vor drei Tagen geändert wurde, obwohl niemand etwas gemacht hat, ist eine Spur.
Per SSH listet find . -type f -mtime -7 alle Dateien auf, die in den letzten sieben Tagen geändert wurden. Bei WordPress vergleichen wp core verify-checksums und wp plugin verify-checksums --all die Dateien mit den Originalen aus dem offiziellen Verzeichnis.
Schauen Sie sich auch die Datei .htaccess an, denn dort verstecken Angreifer gern Weiterleitungen. Dasselbe gilt für die Liste der Cronjobs im Kundenmenü. Haben Sie SSH-Schlüssel hinterlegt, prüfen Sie die Datei ~/.ssh/authorized_keys auf Einträge, die Sie nicht kennen.
Das richtige Backup finden
Das neueste Backup ist oft nicht das richtige. Wenn der Einbruch drei Wochen zurückliegt, enthält jede Sicherung der letzten drei Wochen den Schadcode schon. Sie brauchen eine Sicherung von davor. Genau deshalb zählt, wie weit Backups zurückreichen. Wie man das plant, steht unter Website Backup.
Die erste Woche: sauber neu aufsetzen
Ist das Einfallstor gefunden, gibt es zwei Wege zum Aufräumen. Welcher passt, hängt davon ab, ob Sie ein sauberes Backup haben.
Mit sauberem Backup: Spielen Sie die Sicherung von vor dem Einbruch zurück und aktualisieren Sie danach sofort alles: Kernsystem, Plugins, Themes, PHP-Version. Erst dann geht die Seite wieder online. Neue Inhalte seit der Sicherung übernehmen Sie von Hand aus der Kopie der ersten Stunde. Nur Texte und Bilder, nie Programmdateien.
Ohne sauberes Backup: Setzen Sie das System frisch auf, mit neu heruntergeladenen Dateien vom Hersteller. Übernehmen Sie aus der alten Installation nur die Inhalte: die Datenbank nach einer gründlichen Prüfung und die hochgeladenen Bilder. Dateien mit Programmcode im Upload-Ordner haben dort nichts zu suchen. Ist Ihnen das zu heikel, ist das der Moment für einen Dienstleister.
Löschen Sie bei der Gelegenheit alles, was niemand braucht: alte Testinstallationen, deaktivierte Plugins, ungenutzte Themes. Jede davon ist ein Einfallstor, auch wenn sie abgeschaltet ist.
Wenn Sie einen Dienstleister beauftragen
Ist die Website gehackt, fehlt vielen die Zeit oder die Erfahrung, selbst aufzuräumen. Ein Dienstleister ist dann gut investiertes Geld, wenn er mehr tut als Dateien löschen.
Stellen Sie ihm vorher drei Fragen:
- Sucht er das Einfallstor und nennt es Ihnen?
- Setzt er die Seite aus sauberen Quellen neu auf, oder entfernt er nur Schadcode?
- Bekommen Sie am Ende einen kurzen Bericht?
Vereinbaren Sie einen Festpreis oder eine Obergrenze für die Stunden, bevor er anfängt. Geben Sie ihm einen eigenen Zugang, nicht Ihr Hauptpasswort, und entziehen Sie ihn nach Abschluss wieder. Die Kopie aus der ersten Stunde ist für ihn das wichtigste Material.
Google und Besucher wieder überzeugen
Wurde die Website gehackt und von Google als gefährlich markiert, verschwindet die Warnung nicht von selbst. In der Google Search Console finden Sie unter Sicherheitsprobleme, was Google gefunden hat. Ist alles bereinigt, beantragen Sie dort eine Überprüfung. Ohne Search-Console-Zugang geht das nicht, deshalb lohnt es sich, ihn schon vorher einzurichten.
Hat der Hoster die Seite gesperrt, schreiben Sie ihm, was Sie gefunden und behoben haben. Je genauer die Beschreibung, desto schneller die Freischaltung.
Was die DSGVO verlangt
Ist die Website gehackt worden, kann das eine Datenschutzverletzung sein, etwa wenn der Angreifer an Kundendaten, Kontaktanfragen oder Benutzerkonten gekommen ist.
Dann gilt Artikel 33 DSGVO: Der Betreiber meldet die Verletzung binnen 72 Stunden, nachdem er davon erfahren hat, bei der zuständigen Datenschutz-Aufsichtsbehörde. Das ist in der Regel die Behörde des Bundeslandes, in dem Ihr Verein oder Unternehmen seinen Sitz hat. Die meisten bieten für die Meldung ein Formular auf ihrer Website an.
Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Ist das Risiko hoch, etwa bei gestohlenen Passwörtern oder Zahlungsdaten, müssen nach Artikel 34 auch die Betroffenen selbst informiert werden. Praxen sollten hier besonders vorsichtig sein: Enthielten Anfragen Angaben zur Gesundheit, ist das Risiko meist hoch.
Unabhängig von einer Meldung muss jede Verletzung dokumentiert werden. Im Zweifel holen Sie sich rechtlichen Rat, und zwar schnell, denn die Frist läuft.
Häufige Fragen nach einem Hack
Bei allen vier Antworten gilt dieselbe Reihenfolge: erst das Einfallstor schließen, dann aufräumen.
Reicht ein Sicherheits-Plugin, um die Seite zu säubern?
Es hilft beim Finden, aber nicht immer beim Entfernen. Viele Schadprogramme verstecken sich in Dateien, die ein Plugin nicht als verdächtig erkennt, oder in der Datenbank. Ohne geschlossenes Einfallstor kommt der Angreifer außerdem wieder.
Soll ich Anzeige erstatten?
Das ist möglich und bei größerem Schaden sinnvoll. Für Unternehmen haben die Landeskriminalämter eigene Ansprechstellen für Cybercrime. Rechnen Sie aber nicht damit, dass die Ermittlung Ihre Seite schneller wieder online bringt.
Kann mein Hoster die Seite für mich reinigen?
Manche Anbieter bieten das als kostenpflichtige Leistung an, viele nicht. Fragen Sie nach, aber verlassen Sie sich nicht darauf. Ein Shared-Hosting-Tarif enthält in der Regel keine Reinigung.
Wie verhindere ich, dass es wieder passiert?
Regelmäßige Updates, ein eigenes Passwort für jeden Zugang, Anmeldung mit zweitem Faktor, keine verwaisten Installationen und Backups, die weit genug zurückreichen. Das verhindert die große Mehrheit der Einbrüche bei kleinen Seiten.
Nach dem Aufräumen: das Protokoll
Ist die Seite wieder online, schreiben Sie auf, wie und wann die Website gehackt wurde. Das klingt nach Bürokratie, ist aber das wertvollste Ergebnis des ganzen Ärgers.
In das Protokoll gehören das Datum, an dem der Einbruch bemerkt wurde, und, soweit bekannt, wann er stattfand. Dazu kommen der Weg hinein, die betroffenen Daten und alle geänderten Zugänge. Halten Sie auch fest, ob eine Meldung an die Behörde nötig war, und warum. Für die DSGVO brauchen Sie diese Dokumentation ohnehin. Für Sie selbst ist sie die Liste, mit der Sie beim nächsten Mal in Minuten statt Stunden handeln.
Der wichtigste Punkt darin ist fast immer derselbe: Gab es ein Backup, das weit genug zurückreichte? Wenn nicht, fangen Sie dort an. Sicherungsplan jetzt einrichten.