Wie prüfen Sie, ob eine Website Malware enthält?

Malware auf einer Website ist Code, den jemand in die Dateien oder die Datenbank Ihrer Website eingefügt hat. Sie greift nicht Ihren eigenen Computer an, wie es ein E-Mail-Anhang tun könnte. Sie wirkt auf Ihre Besucher: Sie schickt sie zu Betrugsseiten, zeigt gefälschte Warnungen, fängt ab, was sie in Formulare eingeben, oder nutzt Ihre Website zum Versand von Spam.

Die Prüfung dauert etwa eine Viertelstunde. Unten stehen vier Schritte, der einfachste zuerst, und ein Plan für den Fall, dass Sie etwas finden.

Anzeichen, die Sie ohne Werkzeuge erkennen

Bevor Sie ein Tool öffnen, überlegen Sie, ob etwas davon passiert ist:

• ein Kunde erzählt, dass er beim Öffnen Ihrer Website bei einem Gewinnspiel, einem gefälschten Shop oder einer Meldung gelandet ist, sein Telefon habe einen Virus,
• die Google-Suche nach site:ihredomain.de zeigt Seiten, die niemand in Ihrem Unternehmen angelegt hat, etwa Werbung für Pillen oder Text auf Japanisch,
• der Browser zeigt eine rote Warnung, bevor er Besucher hineinlässt,
• Ihr Hoster hat das Konto gesperrt oder Ihnen wegen schädlicher Dateien geschrieben,
• E-Mails von Ihrer Domain landen neuerdings im Spam,
• im WordPress-Adminbereich ist ein Administrator aufgetaucht, den Sie nicht kennen.

Keine Anzeichen bedeuten keine saubere Website. Schädlicher Code zeigt sich oft nur einem Teil der Besucher, zum Beispiel nur auf Telefonen und nur denen, die über Google kommen. Ein angemeldeter Administrator sieht meist nichts. Mehr zu diesen Anzeichen steht unter Anzeichen, dass Ihre Website gehackt wurde.

Schritt 1: Google Safe Browsing

Öffnen Sie die Statusseite von Google Safe Browsing und geben Sie Ihre Adresse ein. Google sagt Ihnen, ob es die Website für unsicher hält. Chrome und mehrere andere Browser nutzen dieselbe Liste: Steht Ihre Website darauf, sehen Ihre Kunden eine Warnung.

Die Grenze: Die Liste zeigt nur, was Google bereits gefunden hat. Eine frische Infektion steht dort vielleicht noch nicht.

Schritt 2: Google Search Console

Wenn Sie die Search Console nutzen, öffnen Sie den Bericht Sicherheitsprobleme. Google führt dort gehackte Inhalte auf (eingeschleuster Code, eingeschleuste Inhalte und eingeschleuste URLs), Malware und Seiten, die Besucher täuschen wollen. Meist nennt es Beispieladressen, bei denen Sie mit der Suche anfangen.

Ist das Problem behoben, beantragen Sie im selben Bericht eine Überprüfung. Wie das geht, steht im Artikel was tun, wenn Google Ihre Website als gefährlich einstuft.

Haben Sie keine Search Console, bitten Sie den, der Ihre Website betreut, Sie als Inhaber hinzuzufügen. Das erfordert einen DNS-Eintrag oder eine Datei auf dem Server und ist kostenlos.

Schritt 3: ein Scan von außen

Ein Online-Scanner sieht die Website so, wie ein Besucher sie sieht. Unter seinen mehr als 20 Prüfungen achtet ShieldWave darauf,

• ob die Domain auf Bedrohungslisten steht: Google Safe Browsing, URLhaus und DNS-Blocklisten wie Spamhaus,
• ob der Code der Startseite versteckte Frames, verdächtige Weiterleitungen in Skripten oder verschleierten Code enthält, der über eval ausgeführt wird,
• ob die Seite Skripte von bloßen IP-Adressen oder von bekannten schädlichen Hosts lädt,
• ob auf der Seite ein Kryptowährungs-Miner läuft,
• ob Formulare Daten an einen fremden Server senden,
• ob auf dem Server Dateien liegen, die jeder herunterladen kann, etwa ein Backup der Website.

Die Grenze: Ein Scanner sieht, was die Website ihm schickt. Code, der sich nur mobilen Besuchern zeigt, die über Google kommen, oder eine Hintertür in einer PHP-Datei, die auf der Seite keine Spur hinterlässt, kann unsichtbar bleiben. Dafür gibt es Schritt vier.

Schritt 4: eine Prüfung von innen

Die Dateien auf dem Server können Sie auf zwei Wegen prüfen. Viele Hoster haben im Kundenbereich einen Dateiscanner, meist unter den Sicherheitseinstellungen. Bei WordPress installieren Sie ein Sicherheits-Plugin, das Ihre Dateien mit den offiziellen Prüfsummen von WordPress.org abgleicht und nach PHP-Dateien im Upload-Ordner, neuen Administratoren und in Beiträge eingeschleustem Spam sucht.

Wie Sie eines auswählen, steht unter kostenloses WordPress-Sicherheits-Plugin: was es prüfen sollte.

Wie Malware auf eine Website kommt

Das zu wissen hilft bei der Bereinigung, denn derselbe Weg hinein muss danach verschlossen werden. Bei den Websites kleiner Unternehmen tauchen immer wieder vier Wege auf:

• Ein veraltetes Plugin oder Theme mit einer bekannten Sicherheitslücke. Bots prüfen sehr viele Websites auf bestimmte Versionen und kommen überall hinein, wo niemand aktualisiert hat.
• Ein gestohlenes oder erratenes Passwort. Für den WordPress-Adminbereich, FTP oder das Hosting, oft ein Passwort, das auch bei einem anderen Dienst verwendet wird.
• Ein Plugin oder Theme aus einer Raubkopie-Quelle. Bezahlte Erweiterungen, die auf zufälligen Seiten „kostenlos“ angeboten werden, haben manchmal eine Hintertür gleich eingebaut.
• Ein Nachbar auf demselben Server. Auf billigem Shared Hosting kann die infizierte Website eines anderen Kunden Ihre Dateien erreichen, wenn der Server schlecht konfiguriert ist.

Wer die Symptome beseitigt, ohne den Weg hinein zu schließen, hat meist ein paar Tage später dasselbe Problem.

Was Sie zuerst tun, wenn Sie etwas finden

1. Löschen Sie nicht blind. Bitten Sie zuerst Ihren Hoster oder Entwickler um eine Kopie der Website im jetzigen Zustand. Sie hilft herauszufinden, was passiert ist und seit wann.
2. Ändern Sie die Passwörter. Für den WordPress-Adminbereich, das Hosting, FTP, die Datenbank und die Postfächer Ihrer Domain. Entfernen Sie Administratorkonten, die Sie nicht kennen.
3. Halten Sie fest, was Sie sehen. Screenshots, Daten, Adressen verdächtiger Seiten, den Wortlaut von Kunden-E-Mails.
4. Informieren Sie Ihren Hoster. Er hat oft Werkzeuge und Logs, an die Sie nicht herankommen.
5. Denken Sie an das Datenschutzrecht. Wenn die Website personenbezogene Daten erhebt, etwa über ein Formular oder einen Shop, und diese Daten abgeflossen sein könnten, haben Sie nach der DSGVO (Artikel 33) 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde, um Ihre Aufsichtsbehörde zu benachrichtigen. Andere Länder haben eigene Regeln, prüfen Sie also, welche für Sie gilt.

Wann Sie einen Entwickler holen

Sofort, wenn eines davon zutrifft:

• die Website nimmt Zahlungen an oder erhebt Kundendaten,
• Google oder ein Browser warnt die Besucher,
• Ihr Hoster hat das Konto gesperrt,
• der schädliche Code kommt zurück, nachdem Sie ihn gelöscht haben, was meist auf eine Hintertür hinweist, die noch niemand gefunden hat,
• Sie wissen nicht, welche Dateien geändert wurden.

Eine einzelne Datei zu löschen reicht selten. Eine typische Bereinigung bedeutet: die Website aus einem sauberen Backup von vor der Infektion wiederherstellen, alles aktualisieren, Passwörter ändern und herausfinden, wie der Angreifer hineingekommen ist. Geben Sie Ihrem Entwickler die Liste der Anzeichen, die Daten und die Scanergebnisse. Der vollständige Bericht von ShieldWave enthält eine Aufgabenbeschreibung, die er sofort kalkulieren kann.

Prüfen Sie Ihre Website. Geben Sie Ihre Adresse auf shieldwave.io ein. Das dauert etwa 90 Sekunden und braucht weder Passwort noch Konto.