Woran Sie erkennen, dass Ihre Website gehackt wurde, und was Sie in der ersten Stunde tun

Eine gehackte Website sieht selten gehackt aus. Auf der Startseite ist kein Totenkopf, und es gibt keine Nachricht des Angreifers. Die Website funktioniert, das Kontaktformular verschickt E-Mails, und wenn Sie ab und zu hineinschauen, fällt Ihnen nichts auf.

Das ist Absicht. Wer die Website übernommen hat, will sie so lange wie möglich nutzen: um Spam zu verschicken, um andere Websites bei Google nach oben zu bringen oder um Ihre Kunden auf Betrugsseiten zu schicken. Je später Sie es bemerken, desto besser für ihn.

Im Folgenden die Anzeichen, die Sie selbst erkennen können, und ein Plan für die erste Stunde, nachdem Sie etwas beunruhigt hat.

Weiterleitungen, die nur andere sehen

Ein Kunde erzählt Ihnen, dass er beim Aufrufen Ihrer Website auf einem Gewinnspiel gelandet ist, in einem gefälschten Shop oder auf einer Seite, die behauptet, sein Handy habe einen Virus. Sie prüfen es an Ihrem Computer, und alles sieht normal aus.

Das ist ein sehr typisches Muster. Schadcode leitet oft nur einen Teil der Besucher um: nur auf Handys, nur Besucher, die über die Google-Suchergebnisse kommen, und nur ab und zu, damit es schwerer nachzustellen ist. Ein angemeldeter Administrator sieht meist gar nichts.

So prüfen Sie es: Nehmen Sie Ihr Handy, schalten Sie das WLAN aus, damit Sie über mobile Daten surfen, öffnen Sie einen privaten Tab, suchen Sie bei Google nach Ihrem Unternehmen und tippen Sie auf das Ergebnis. Tippen Sie die Adresse nicht selbst ein. Und wenn ein Kunde eine Weiterleitung meldet, nehmen Sie das ernst, auch wenn Sie sie selbst nicht auslösen können.

Fremde Seiten bei Google

Suchen Sie bei Google nach site:ihredomain.de und scrollen Sie durch die Ergebnisse. Sie suchen nach Seiten, die niemand in Ihrem Unternehmen angelegt hat: Texte auf Japanisch, Werbung für Pillen, Casinos, gefälschte Designer-Sneaker. Manchmal ändern sich in den Suchergebnissen Titel oder Beschreibung Ihrer Startseite, während die Seite selbst aussieht wie immer.

Google kann Ihrem Eintrag außerdem den Hinweis hinzufügen, dass die Website möglicherweise gehackt wurde, und Chrome kann Besuchern vor dem Aufruf einen roten Warnbildschirm zeigen. Wenn Sie die Google Search Console nutzen, öffnen Sie den Bericht Sicherheitsprobleme. Google beschreibt dort, was gefunden wurde, und nennt oft Beispieladressen. Die Search Console schickt den Inhabern der Website in diesem Fall auch eine E-Mail, prüfen Sie also, ob nichts im Spam-Ordner gelandet ist.

Anzeichen im Backend, vom Hoster und in Ihrem Postfach

Öffnen Sie im WordPress-Backend Benutzer und filtern Sie die Liste nach der Rolle Administrator. Ein neues Konto mit einem Namen, den Sie nicht kennen, ist ein ernstes Zeichen. Schadcode versteckt ein solches Konto manchmal auch in der Liste. Dann stimmt die Zahl neben „Administrator“ über der Tabelle nicht mit der Zahl der Personen überein, die Sie darunter sehen.

Weitere Anzeichen, bei denen Sie handeln sollten:

• eine E-Mail Ihres Hosters über ein gesperrtes Konto, gefundene Schaddateien oder ungewöhnlich hohe Last auf dem Server,
• Ihre E-Mails kommen mit einem Hinweis auf eine Blacklist zurück, oder Kunden finden Ihre Nachrichten im Spam, weil jemand von Ihrem Server aus Spam verschickt,
• ein Plugin im Backend, das niemand installiert hat,
• Google Ads lehnt Ihre Anzeigen wegen Malware oder einer kompromittierten Zielseite ab,
• die Website wird plötzlich langsam, obwohl niemand etwas geändert hat.

Ein einzelnes Anzeichen entscheidet nichts. Zwei auf einmal sind ein Grund, sich heute darum zu kümmern.

Die erste Stunde: Schritt für Schritt, ohne Panik

Wenn Sie einen Einbruch sicher wissen oder stark vermuten, ist das Wichtigste, nichts zu überstürzen. Der meiste Schaden entsteht in dieser Phase aus guten Absichten: die Hälfte der Dateien löschen, alles neu installieren und die Sache für erledigt halten. Eine Woche später kommt der Angreifer auf demselben Weg zurück, weil niemand herausgefunden hat, wie er hereingekommen ist.

1. Schreiben Sie auf, was Sie sehen. Machen Sie Screenshots, notieren Sie die Adresse, auf die die Website umleitet, die Uhrzeit und wer was gemeldet hat. Bewahren Sie die E-Mails Ihres Hosters und der Search Console auf.
2. Löschen Sie nichts. Lassen Sie verdächtige Dateien und Konten, wo sie sind, bis jemand sie angesehen hat. Sie sind die Belege dafür, wie der Einbruch passiert ist.
3. Ändern Sie die Passwörter. Für das Hosting-Panel, die WordPress-Administratorkonten, FTP und die E-Mail-Konten Ihrer Domain. Tun Sie das an einem Computer, dem Sie vertrauen, und schalten Sie überall, wo es geht, die Zwei-Faktor-Anmeldung ein. Das Datenbankpasswort überlassen Sie Ihrem Entwickler, weil es auch in der Konfiguration der Website geändert werden muss.
4. Melden Sie sich bei Ihrem Entwickler und Ihrem Hoster. Bitten Sie den Hoster, die Serverprotokolle zu sichern und eine Kopie der Website im jetzigen Zustand anzulegen, bevor die Bereinigung beginnt. Protokolle werden oft nur kurz aufbewahrt, und ohne sie lässt sich schwer klären, was passiert ist.
5. Denken Sie an Ihre Besucher. Schickt die Website Menschen auf Betrugsseiten, lassen Sie sie vorübergehend vom Netz nehmen oder durch eine Wartungsseite ersetzen. Einen Tag offline zu sein ist besser, als Kunden zu Betrügern zu schicken.

Wiederherstellen aus einer sauberen Sicherung

Der schnellste Weg zu einer sauberen Website ist meist eine Sicherung von vor dem Einbruch. Der Haken steckt im Wort „vor“. Eine Infektion sitzt oft wochenlang auf einer Website, bevor es jemand bemerkt, und die Sicherung von gestern kann bereits infiziert sein. Ihr Entwickler muss herausfinden, wann die ersten fremden Dateien aufgetaucht sind, und auf eine ältere Kopie zurückgehen. Genau hier zahlen sich Sicherungen aus, die in mehreren älteren Versionen und außerhalb des Servers aufbewahrt werden.

Direkt nach der Wiederherstellung:

• aktualisieren Sie WordPress, das Theme und jedes Plugin, denn die wiederhergestellte Website hat dieselbe Lücke wie vor dem Einbruch (mehr dazu im Beitrag über veraltete Plugins),
• entfernen Sie alle Administratorkonten, die Sie nicht kennen, und ändern Sie die Passwörter noch einmal,
• beantragen Sie in der Search Console eine Überprüfung, damit Google die Warnung entfernt.

Gibt es keine Sicherung oder ist jede Kopie infiziert, bleibt die Bereinigung von Hand. Das ist eine Aufgabe für jemanden, der das regelmäßig macht, und sie dauert meist länger.

DSGVO und die 72 Stunden

Hat die Website personenbezogene Daten gespeichert, etwa Bestellungen, Kundenkonten oder Nachrichten aus einem Kontaktformular, kann der Einbruch als Verletzung des Schutzes personenbezogener Daten gelten. Nach Artikel 33 DSGVO melden Sie diese innerhalb von 72 Stunden, nachdem Sie davon erfahren haben, an Ihre Datenschutzaufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. In Großbritannien ist diese Behörde die ICO, in Polen das UODO. Ob Sie melden oder nicht: Sie müssen dokumentieren, was passiert ist und was Sie dagegen unternommen haben.

Hier zahlen sich Ihre Notizen aus der ersten Stunde aus. Uhrzeit, Screenshots und die Liste der Schritte sind genau das, wonach jeder fragen wird, der Ihnen bei der Meldung hilft.