Website gehackt? Was Sie in den ersten 24 Stunden tun
Website gehackt? Ruhe bewahren. Anzeichen, die ersten 24 Stunden Schritt für Schritt, Bereinigung, Suchmaschinen-Warnungen und Schutz für die Zeit danach.
rabbitclip-TeamVeröffentlicht: 7 Min. Lesezeit
Kurz gesagt
Wenn Sie vermuten, dass Ihre Website gehackt wurde, bewahren Sie Ruhe und halten Sie eine Abfolge ein: Nehmen Sie die Website notfalls aus der öffentlichen Ansicht, bewahren Sie eine Kopie ihres jetzigen Zustands und der Protokolle auf, ohne etwas zu löschen, ändern Sie Ihre Passwörter für Hosting, Verwaltungsbereich, Datenbank und E-Mail von einem sauberen Gerät aus, informieren Sie Ihren Hosting-Anbieter und stellen Sie erst dann aus einer sauberen Sicherung wieder her oder lassen Sie von einem Fachmann bereinigen. Wer in Eile alles löscht, vernichtet die Spuren, die zeigen, wie der Angreifer hineingekommen ist, und lädt denselben Einbruch durch dieselbe Lücke erneut ein.
Ein Hack sieht nicht immer wie eine entstellte Startseite aus. Oft ist er leise: Versteckte Links werden eingefügt, Besucher auf eine andere Adresse umgeleitet oder der Server zum Versand von Spam benutzt. Die Anzeichen zu kennen, ist die halbe Miete des ersten Schritts.
Unten finden Sie die Anzeichen, was in den ersten 24 Stunden der Reihe nach zu tun ist, wie die Bereinigung abläuft, wie Sie mit einer Warnung der Suchmaschine umgehen und welche Schutzmaßnahmen Sie danach brauchen.
Woran erkenne ich, dass meine Website gehackt wurde?
Das offensichtliche Zeichen ist eine veränderte Seite oder eine Lösegeldforderung. Häufiger sind jedoch leise Zeichen. Erscheint Ihr Titel in den Suchergebnissen mit fremdem Inhalt, den Sie nicht geschrieben haben, werden Besucher auf ihren Handys auf eine andere Website geworfen oder meldet der Browser, die Website könne schädlich sein, ist die Lage ernst.
Es gibt noch weitere Zeichen: ein unbekannter Benutzer im Verwaltungsbereich, ein Plugin, das Sie nie installiert haben, eine Ressourcenwarnung oder Spam-Meldung Ihres Hosters, Kunden, die Ihnen sagen, sie hätten E-Mails erhalten, die Sie nicht gesendet haben. Ein Zeichen ist kein Beweis, aber treten mehrere zusammen auf, gehen Sie vom Schlimmsten aus und handeln Sie mit Sorgfalt.
- Titel oder Beschreibungen in den Suchergebnissen, die Sie nicht geschrieben haben
- Besucher, die auf eine andere Website umgeleitet werden
- Eine Warnung vor einer schädlichen Website vom Browser oder von der Suchmaschine
- Ein unbekannter Benutzer oder ein unbekanntes Plugin im Verwaltungsbereich
- Der Server wird unerwartet langsam, oder Ihr Hoster warnt Sie
Was tun Sie in den ersten 24 Stunden, und in welcher Reihenfolge?
Das Ziel ist, zuerst den Schaden zu stoppen, dann die Beweise zu schützen und dann die Kontrolle zurückzugewinnen. Stellen Sie die Website hinter eine Wartungsseite, damit Besucher nicht schädlichem Code ausgesetzt werden. Kopieren Sie dann, ohne etwas zu verändern, den jetzigen Zustand der Dateien und der Datenbank an einen separaten Ort und bewahren Sie auch die Zugriffsprotokolle des Servers auf. Herauszufinden, wie der Angreifer hereingekommen ist, hängt von diesen Protokollen ab.
Ändern Sie als Nächstes die Passwörter, aber von einem sauberen Gerät aus. Der Angriff könnte von Ihrem eigenen Computer ausgegangen sein, prüfen Sie also auch diesen. Wählen Sie nicht erratbare Werte, für jedes Konto einen anderen; der Passwortgenerator auf unserer Website kann dabei helfen. Schreiben Sie schließlich Ihrem Hosting-Anbieter; er kann prüfen, ob andere Konten auf dem Server betroffen waren.
- Die Website hinter eine vorübergehende Wartungsseite stellen
- Eine Kopie der Dateien, der Datenbank und der Zugriffsprotokolle so aufbewahren, wie sie sind
- Passwörter für Hosting, Verwaltungsbereich, Datenbank, FTP und E-Mail von einem sauberen Gerät aus ändern
- Unbekannte Administratoren und Plugins notieren und deaktivieren
- Den Hosting-Anbieter informieren
- Den eigenen Computer auf Malware prüfen
Genügt es, ein Backup einzuspielen, und wie läuft die Bereinigung ab?
Ein Backup hilft nur, wenn es aus der Zeit vor dem Hack stammt. Hat sich schädlicher Code schon vor Monaten eingenistet, ist das Backup selbst infiziert, Sie müssen also vor der Wiederherstellung wissen, welches Backup sauber ist. Auch die Wiederherstellung allein genügt nicht: Bleibt die vom Angreifer genutzte Lücke offen, kommt er auf demselben Weg zurück.
Eine ordentliche Bereinigung verläuft in dieser Reihenfolge: Die Inhalte werden auf ein sauberes Backup oder eine frische Installation der Software übertragen, die Software, das Theme und die Plugins werden aktualisiert, nicht genutzte entfernt, die Administratorkonten überprüft, und erst dann öffnen Sie die Website wieder. Sind Sie an irgendeiner Stelle unsicher, ist es sicherer, zuerst eine Kopie an anderer Stelle zu prüfen und sie dann live zu schalten.
Wie wird eine Warnung der Suchmaschine oder des Browsers entfernt?
Nach der Bereinigung verschwindet die Warnung möglicherweise nicht von selbst. Die Webmaster-Werkzeuge der Suchmaschinen melden Ihnen, wenn ein Sicherheitsproblem erkannt wurde, und ist es behoben, müssen Sie eine neue Überprüfung beantragen. Der Antrag wird mit einer kurzen Erklärung gestellt, was das Problem war und wie Sie es behoben haben. Die Bearbeitungszeiten schwanken, daher kann kein Zeitrahmen versprochen werden.
Räumen Sie in der Zwischenzeit alle fremden Seiten auf, die in den Suchergebnissen geblieben sind: Adressen, die Sie nicht angelegt haben, sollten verschwinden, und die Sitemap sollte sauber sein. Sind die schädlichen Seiten entfernt, dauert es eine Weile, bis sie nicht mehr in der Suche erscheinen.
Welche Fehler passieren in der Panik am häufigsten?
Der erste ist, alles ohne Kopie zu löschen, womit die Spur des Angreifers verloren geht. Der zweite ist, nur die Startseite zu reparieren und die Hintertür zu lassen, sodass der Angreifer eine Woche später zurückkehrt. Der dritte ist, Passwörter von demselben Computer aus zu ändern, der selbst kompromittiert sein könnte.
Der vierte ist, den Vorfall zu verschweigen. Waren möglicherweise Kundendaten betroffen, kann eine Meldepflicht entstehen; das ist eine Rechtsfrage, und Sie sollten eine Juristin fragen. Bei einer Website, die personenbezogene Daten verwaltet, sollten Sie das vom ersten Tag an einplanen.
- Löschen, bevor kopiert wurde
- Das sichtbare Symptom beheben, ohne die Lücke zu schließen
- Passwörter von einem möglicherweise kompromittierten Gerät aus ändern
- Die Möglichkeit, dass Kundendaten offengelegt wurden, nicht mit einer Juristin abwägen
Wann ist es die falsche Wahl, selbst zu bereinigen?
Bei einer kleinen Website mit einer einzigen Installation und einem sauberen Backup ist die Aufgabe oft machbar. Bei einer Website mit Kundendaten, einem Zahlungsablauf oder einem Mitgliederbereich, oder wenn Sie nicht finden, wo der schädliche Code sitzt, ist es eine riskante Wahl, allein vorzugehen. Eine mangelhafte Bereinigung hinterlässt Reste, und derselbe Vorfall geschieht erneut.
Wenden Sie sich in diesen Fällen an den Sicherheitssupport Ihres Hosting-Anbieters oder an das Team, das die Website gebaut hat. Den Weg zu finden, den der Angreifer benutzt hat, gehört ebenso zur Arbeit wie das Säubern. Jede Reparatur, die vorher erfolgt, ist nur vorläufig.
Welche Schutzmaßnahmen verhindern eine Wiederholung?
Die Schutzmaßnahmen sind unscheinbar, aber wirksam. Halten Sie Software, Themes und Plugins aktuell und löschen Sie die, die Sie nicht nutzen. Verwenden Sie starke, einmalige Passwörter und eine Zwei-Faktor-Bestätigung für Administratorkonten, und geben Sie jeder Person nur den Zugriff, den sie braucht. Bewahren Sie Backups außerhalb des Servers an einem getrennten Ort auf und erstellen Sie sie regelmäßig.
Es hilft auch, die Website ab und zu mit Scans von außen zu prüfen. Sicherheits-Header und eine Firewall-Schicht verkleinern die Angriffsfläche. Keine bringt null Risiko; das Ziel ist, einen Angriff zu erschweren und sich bei einem Vorfall schnell zu erholen.
- Regelmäßige Updates und Entfernen nicht genutzter Plugins
- Starke, einmalige Passwörter und Zwei-Faktor-Bestätigung
- Minimale Rechte: Jede Person erhält nur den Zugriff, den sie braucht
- Regelmäßige, getestete Backups außerhalb des Servers
- Eine Firewall und Sicherheits-Header
Die Regel für die ersten 24 Stunden nach einem Hack ist einfach: stoppen, sichern, Passwörter ändern, melden, mit einer sauberen Kopie zurückkehren und die Lücke schließen. Eine übereilte Bereinigung lässt die Lücke offen. Der nächste Schritt ist, regelmäßige Updates und eine Backup-Routine außerhalb des Servers einzurichten. Wenn Sie möchten, dass wir die Sicherheit Ihrer Website gemeinsam ansehen, freuen wir uns auf ein Kennenlerngespräch mit rabbitclip.
Häufige Fragen
Sollte ich meine Website sofort offline nehmen, wenn sie gehackt wurde?
Werden Besucher schädlichem Code oder Umleitungen ausgesetzt, ist eine vorübergehende Wartungsseite vernünftig. Löschen Sie aber keine Dateien, bevor Sie eine Kopie angelegt haben.
Bereinigt mein Hosting-Anbieter die Website für mich?
Das hängt vom Anbieter und von Ihrem Tarif ab. Manche bieten Support oder eine kostenpflichtige Leistung, andere prüfen nur die Serverseite. Fragen Sie schriftlich, was sie tun und was nicht.
Ich habe die Website bereinigt, aber die Warnung steht noch in den Suchergebnissen. Was nun?
Melden Sie in den Website-Werkzeugen der Suchmaschine, dass das Sicherheitsproblem behoben ist, und beantragen Sie eine neue Überprüfung. Eine genaue Dauer bis zur Entfernung kann nicht versprochen werden.
Was, wenn Kundendaten gestohlen wurden?
Es kann eine Meldepflicht für personenbezogene Daten bestehen; das ist eine Rechtsfrage, ziehen Sie also sofort eine Juristin hinzu. Es ist auch vernünftig, betroffenen Nutzern zu raten, ihre Passwörter zu ändern.
Ist der Hack erledigt, wenn ich ein Backup habe?
Nein. Ein Backup bringt nur die Inhalte zurück. Bleibt die vom Angreifer genutzte Lücke offen, kann die Website erneut übernommen werden, daher sind auch Updates und Passwortwechsel nötig.
