Website gehackt: Anzeichen und Lösung

01Woran erkenne ich, dass meine Website gehackt wurde?

Manche Angriffe machen sich sofort bemerkbar: Auf der Startseite erscheint die Nachricht des Angreifers, oder die Website lässt sich gar nicht mehr öffnen. Die meisten Angriffe verlaufen jedoch still. Der Angreifer will die Website nicht zerstören, sondern unbemerkt nutzen; er platziert Spam-Links, leitet Besucher auf andere Seiten um oder verwendet den Server zum Versand von E-Mails.

Deshalb ist es wichtig, die Anzeichen zu kennen. Schon eines der folgenden Anzeichen ist ein ernster Verdacht; treten mehrere zusammen auf, hat sehr wahrscheinlich ein Einbruch stattgefunden.

• Eine Sicherheitswarnung im Browser oder in den Suchergebnissen
• Besucher werden, besonders auf dem Smartphone oder wenn sie von Google kommen, auf andere Seiten umgeleitet
• In den Suchergebnissen erscheinen unter dem Namen Ihrer Website fremde Produkt-, Glücksspiel- oder Medikamentenseiten
• Unbekannte Benutzer oder geänderte Passwörter im Admin-Panel
• Neue Dateien auf dem Server, die Sie nicht kennen, und alte Dateien mit neuem Änderungsdatum
• Spam-Mails oder Warnungen zur Ressourcennutzung vom Hosting-Anbieter
• Die Website wird deutlich langsamer oder zeigt häufig Fehler

02Was in der ersten Stunde zu tun ist

In dem Moment, in dem Sie den Hack bemerken, geht es darum, den Schaden zu begrenzen und die für die Untersuchung nötigen Spuren zu sichern. Dateien in Eile zu löschen, erschwert das Verständnis des Angriffs und lässt dieselbe Lücke offen.

1. Schalten Sie die Website in den Wartungsmodus oder sperren Sie sie vorübergehend für Besucher
2. Erstellen Sie eine Kopie der Dateien und der Datenbank im aktuellen Zustand und bewahren Sie sie getrennt auf
3. Informieren Sie Ihren Hosting-Anbieter; fordern Sie die Serverprotokolle (Logs) an
4. Ändern Sie die Passwörter für Admin-Panel, FTP/SFTP, Datenbank, Hosting und Domain-Konto von einem sauberen Gerät aus
5. Deaktivieren Sie Administratorkonten, die Sie nicht kennen
6. Wenn Kunden- oder Kartendaten betroffen sein könnten, klären Sie mit Ihrem Rechtsberater die Meldepflichten

03Woher kam der Angriff?

Vor der Bereinigung müssen Sie den Einstiegsweg finden, sonst kommt der Angreifer innerhalb weniger Tage durch dieselbe Tür zurück. Serverzugriffsprotokolle, der Anmeldeverlauf des Admin-Panels und die Änderungsdaten der Dateien liefern die Antwort darauf.

Die häufigsten Einstiegswege sind: bekannte Lücken in nicht aktualisierter Software und Komponenten, schwache oder anderswo geleakte Administratorpasswörter, unsichere Datei-Upload-Bereiche, alte und vergessene Testseiten sowie FTP-Zugangsdaten, die von einem kompromittierten Rechner gestohlen wurden.

find /var/www/site -type f -name '*.php' -mtime -7 -ls

grep -rnE 'eval\(|base64_decode|gzinflate' /var/www/site --include='*.php'

04Schadcode entfernen

Für das Entfernen von Schadcode gibt es zwei Wege: infizierte Dateien einzeln herauszufiltern oder die Website aus einer sauberen Quelle neu aufzubauen. Letzteres ist fast immer sicherer, denn Angreifer hinterlassen meist mehrere Hintertüren, und alle von Hand zu finden ist schwierig.

Rückkehr zu einem sauberen Backup

Gibt es ein Backup aus der Zeit vor dem Angriff, bei dem Sie sicher sind, dass es sauber ist, ist das die schnellste Lösung. Wird der Einstiegsweg nach der Wiederherstellung jedoch nicht geschlossen, wird die Website erneut gehackt; die Wiederherstellung muss deshalb zusammen mit Updates und Passwortwechsel erfolgen. Wie Sie regelmäßige, getestete Backups erstellen, haben wir in der Anleitung Backups richtig erstellen beschrieben.

Was, wenn es kein Backup gibt?

Gibt es kein sauberes Backup, wird der Code der Website aus einer vertrauenswürdigen Quelle neu bezogen, und Inhalte und Bilder werden einzeln geprüft und übernommen. Auch in der Datenbank muss nach vom Angreifer hinzugefügten Benutzern, versteckten Links und in Seiteninhalte eingebetteten Skripten gesucht werden. Dieser Prozess ist mühsam, aber deutlich günstiger als eine halbe Bereinigung.

05Google-Sicherheitswarnung aufheben

Google kann Websites, auf denen es schädliche Inhalte feststellt, in den Suchergebnissen und im Browser mit einer Warnung kennzeichnen. Diese Warnung hält einen Großteil der Besucher ab, die Website überhaupt zu betreten, weshalb sie nach Abschluss der Bereinigung schnell entfernt werden muss.

Den Status Ihrer Website können Sie auf der Statusseite für Safe Browsing von Google prüfen. Ist Ihre Website in der Search Console verifiziert, erleichtert das den Ablauf.

1. Öffnen Sie in der Search Console den Bericht Sicherheitsprobleme und sehen Sie sich die festgestellten Probleme an
2. Prüfen Sie, ob die im Bericht als Beispiel genannten Adressen bereinigt sind
3. Senden Sie einen Überprüfungsantrag mit einer kurzen Beschreibung Ihrer Korrekturen
4. Warten Sie das Ergebnis ab; die Dauer der Überprüfung hängt von der Art des Problems ab
5. Wurden Spam-Seiten erzeugt, stellen Sie sicher, dass diese Adressen den Statuscode 404 oder 410 zurückgeben

06SEO-Schäden beheben

Angreifer fügen Ihrer Website häufig Tausende Spam-Seiten hinzu oder platzieren versteckte Links auf bestehenden Seiten. Nach der Bereinigung können diese Spuren noch eine Weile in den Suchergebnissen sichtbar bleiben. Wenn Sie die Indexberichte in der Search Console verfolgen, sehen Sie, wann unerwünschte Adressen aus dem Index verschwinden.

Senden Sie die Sitemap erneut ein, prüfen Sie, ob wichtige Seiten korrekt erscheinen, und beobachten Sie die Veränderung des organischen Traffics einige Wochen lang. Sehen Sie einen dauerhaften Rückgang, ist eine Prüfung der technischen Struktur durch einen Experten sinnvoll; SEO & Analyse konzentriert sich dann darauf, die in dieser Zeit verlorene Sichtbarkeit zurückzugewinnen.

07Damit es nicht wieder passiert

Eine bereinigte Website wird wieder zum Ziel, wenn sich die Gewohnheiten nicht ändern. Die folgenden Maßnahmen machen dem Angreifer die Arbeit spürbar schwerer.

• Regelmäßige Updates für Website-Software, Server und alle Komponenten
• Einzigartiges Passwort und Zwei-Faktor-Authentifizierung im Admin-Panel
• Für jeden Nutzer ein eigenes Konto und nur die nötigen Berechtigungen
• SFTP statt FTP, ungenutzte Zugänge schließen
• Prüfung von Dateityp und Dateigröße in Upload-Bereichen
• Tägliche, außerhalb der Website gespeicherte und getestete Backups
• Ein einfaches Warnsystem, das Dateiänderungen und Erreichbarkeit überwacht

Muss die Infrastruktur gewechselt werden?

Ging der Angriff von einer Schwachstelle der Hosting-Umgebung selbst aus oder bietet der Anbieter keine aktuellen Sicherheitsmaßnahmen, kann ein Umzug der Website auf eine robustere Infrastruktur sinnvoll sein. Für einen Wechsel ohne Ausfall lesen Sie unsere Anleitung zum Hosting-Umzug. Dass ähnliche Maßnahmen auch gegen Angriffe helfen, die Dateien verschlüsseln, haben wir im Beitrag Ransomware erklärt.

08Wann sollten Sie Experten hinzuziehen?

Einen einfachen Spam-Link zu entfernen, kann Sache des Websitebetreibers sein. Bei einer Website, die Kunden- oder Zahlungsdaten verarbeitet, bei einem System, das mehrfach gehackt wurde, oder wenn Sie den Einstiegsweg nicht finden, verringert Expertenhilfe den Verlust an Zeit und Ansehen.

Besonders in einem Shopsystem, das Bestellungen annimmt, bedeutet ein Sicherheitsvorfall direkt Umsatz- und Vertrauensverlust. Bei individuellen Softwarelösungen für ein Unternehmen lassen sich Prüfung und dauerhafte Korrektur schneller durchführen, weil der gesamte Code bekannt ist. Für bereits online befindliche Websites lassen sich Updates, Backup-Überwachung und Performance-Kontrolle im Rahmen der Speed- und Performance-Optimierung in eine regelmäßige Wartungsroutine einbinden.