Es fängt oft harmlos an. Ein Kunde ruft an und sagt, Ihre Website leite auf eine Seite mit Glücksspielwerbung weiter. Oder Google zeigt neben Ihrem Eintrag den Hinweis, die Website sei möglicherweise gehackt. Oder der Hoster sperrt Ihr Paket, weil von dort Spam verschickt wird.
In diesem Moment ist der Impuls groß, sofort etwas zu tun: Dateien löschen, Plugins entfernen, alles neu installieren. Das ist verständlich, aber oft der falsche Anfang. Wer überstürzt aufräumt, vernichtet Spuren, übersieht die eigentliche Lücke und ist eine Woche später wieder betroffen.
Die folgende Reihenfolge hat sich bewährt. Sie ersetzt keine Fachleute, hilft Ihnen aber, in den ersten Stunden das Richtige zu tun.
1. Ruhe bewahren und den Schaden eingrenzen
Zuerst geht es darum, dass niemand weiteren Schaden nimmt. Besucher sollen keine Schadsoftware laden, Kunden keine gefälschten Zahlungsseiten sehen. Schalten Sie die Website vorübergehend in einen Wartungsmodus oder bitten Sie Ihren Hoster, sie vom Netz zu nehmen. Eine Seite „Wir sind bald wieder da“ ist besser als eine, die Ihre Besucher gefährdet.
Informieren Sie Ihren Hoster in jedem Fall. Er sieht Zugriffe und Auffälligkeiten, die Sie nicht sehen, und kann oft sagen, ob auch andere Bereiche Ihres Pakets betroffen sind.
2. Zugänge von einem sauberen Gerät aus ändern
Ändern Sie alle Passwörter, die mit der Website zu tun haben. Und zwar von einem Gerät, das sicher nicht befallen ist. Wurde das Passwort über einen infizierten Rechner abgegriffen, hilft ein neues Passwort auf demselben Rechner wenig.
Diese Zugänge gehören auf die Liste:
- Kundenbereich des Hosters
- SFTP oder FTP und SSH
- Datenbank
- alle Administratorkonten im Redaktionssystem
- E-Mail-Postfächer, die mit der Domain verbunden sind
- Zugänge zu Zahlungsdiensten und Schnittstellen, falls vorhanden
Wo möglich, schalten Sie zusätzlich die Zwei-Faktor-Anmeldung ein. Prüfen Sie außerdem, ob im Redaktionssystem Konten existieren, die niemand kennt. Angreifer legen gern ein unauffälliges Administratorkonto an, um später wiederzukommen.
3. Spuren sichern, bevor Sie aufräumen
Das klingt widersprüchlich, ist aber wichtig. Erstellen Sie eine vollständige Kopie des befallenen Zustands, also Dateien und Datenbank. Bitten Sie den Hoster um die Server-Protokolle der letzten Wochen. Notieren Sie, wann Sie was bemerkt haben.
Diese Kopie spielen Sie nie wieder ein. Sie dient dazu, später herauszufinden, wie der Angreifer hineingekommen ist und was er verändert hat. Ohne diese Spuren raten Sie.
4. Das Ausmaß feststellen
Jetzt wird es detektivisch. Wichtige Fragen sind:
- Was wurde verändert? Neue oder geänderte Dateien, fremder Code in Vorlagen, unbekannte Seiten in der Datenbank.
- Seit wann? Das Änderungsdatum verdächtiger Dateien und die Protokolle geben Hinweise.
- Was meldet Google? In der Search Console zeigt der Bericht „Sicherheitsprobleme“, ob Google gehackte Inhalte, Schadsoftware oder Phishing gefunden hat, mit Beispieladressen.
- Waren personenbezogene Daten erreichbar? Kundenkonten, Bestellungen, Formulareingaben, Newsletter-Listen.
5. An den Datenschutz denken
Wenn Angreifer Zugriff auf personenbezogene Daten hatten oder gehabt haben könnten, wird es ernst. Nach Art. 33 DSGVO muss eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Die Frist läuft auch am Wochenende. Dokumentieren Sie den Vorfall und Ihre Entscheidung in jedem Fall.
Unabhängig davon können Sie Anzeige erstatten. Die Polizeien der Länder haben dafür Zentrale Ansprechstellen Cybercrime für Unternehmen. Dieser Abschnitt ist ein allgemeiner Hinweis und keine Rechtsberatung. Bei Unsicherheit sprechen Sie mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.
6. Bereinigen oder neu aufsetzen
Für die eigentliche Reparatur gibt es zwei Wege.
Sauberes Backup einspielen. Das ist der schnellste Weg, wenn Sie ein Backup haben, das sicher vor dem Angriff entstanden ist. Die Schwierigkeit liegt im Wort „sicher“. Viele Angriffe bleiben wochenlang unbemerkt. Ein Backup von letzter Woche kann bereits befallen sein. Gleichen Sie den Zeitpunkt mit dem ab, was Sie in Schritt 4 herausgefunden haben. Wie Sie Sicherungen so aufbauen, dass auch ältere Stände vorhanden sind, beschreibt unser Beitrag zur 3-2-1-Regel.
Gezielt bereinigen. Ist kein sauberes Backup vorhanden, müssen befallene Dateien ersetzt und Datenbankeinträge gesäubert werden. Bei Systemen wie WordPress lädt man Kern, Themes und Erweiterungen frisch aus der Originalquelle und übernimmt nur die eigenen Inhalte und Uploads nach sorgfältiger Prüfung. Das ist Arbeit für jemanden, der weiß, wo sich Schadcode gern versteckt.
Ein typisches Beispiel: Ein Angreifer hinterlegt eine kleine Datei mit unauffälligem Namen im Upload-Ordner. Wer nur das sichtbare Problem beseitigt, etwa die Weiterleitung, übersieht diese Hintertür.
7. Die Lücke schließen
Der wichtigste Schritt wird am häufigsten vergessen. Irgendwie ist der Angreifer hineingekommen. Solange diese Tür offen ist, kommt er wieder.
Häufige Ursachen sind veraltete Erweiterungen, ein schwaches oder mehrfach verwendetes Passwort, ein vergessenes Testsystem auf demselben Server oder ein Konto eines ehemaligen Dienstleisters. Aktualisieren Sie alles, entfernen Sie Unbenutztes und prüfen Sie, wer überhaupt Zugriff haben muss. Eine feste monatliche WordPress-Wartung schließt viele dieser Türen, bevor jemand sie findet.
8. Google um Überprüfung bitten
Hat Google Ihre Website markiert, verschwindet die Warnung nicht von selbst. Wenn alle Probleme behoben sind, beantragen Sie im Bericht „Sicherheitsprobleme“ eine Überprüfung. Beschreiben Sie darin, was das Problem war und was Sie getan haben. Laut Google dauert eine Prüfung meist einige Tage bis wenige Wochen. Stellen Sie keinen zweiten Antrag, solange der erste läuft.
9. Nachsorge
Beobachten Sie die Website in den Wochen danach genau. Kommen wieder unbekannte Dateien hinzu? Tauchen fremde Seiten in der Search Console auf? Melden sich Kunden mit seltsamen E-Mails?
Nutzen Sie den Vorfall auch für einen kurzen Rückblick. Was hätte den Angriff verhindert? Wo hat im Notfall eine Telefonnummer, ein Zugang oder eine Kopie gefehlt? Halten Sie die Antworten schriftlich fest. Beim nächsten Mal sind Sie schneller.
Die Reihenfolge auf einen Blick
- Website vom Netz nehmen oder in den Wartungsmodus schalten, Hoster informieren
- Alle Passwörter von einem sauberen Gerät ändern, unbekannte Konten entfernen
- Befallenen Zustand und Protokolle sichern
- Ausmaß und Zeitraum klären, Search Console prüfen
- Datenschutz prüfen, gegebenenfalls fristgerecht melden
- Sauberes Backup einspielen oder gezielt bereinigen
- Ursache finden und Lücke schließen
- Überprüfung bei Google beantragen
- Einige Wochen genau beobachten
Wenn Sie gerade betroffen sind oder sich auf den Ernstfall vorbereiten möchten, helfen wir Ihnen. Mehr zu laufender Pflege, Updates und Notfallhilfe finden Sie unter Hosting und Wartung.