Ein Kunde ruft an: „Die Website leitet auf irgendwelche Pillen-Seiten weiter“ oder „Google zeigt eine Warnung, dass die Website gefährlich ist“. Fast immer folgt dieselbe Frage: „Warum ausgerechnet wir?“ Die Antwort ist unangenehm: Niemand hat Sie ausgesucht. Bots durchsuchen das Internet rund um die Uhr und probieren bekannte Sicherheitslücken aus. So beugen Sie vor und das ist zu tun, wenn es schon passiert ist.
Wie Angreifer tatsächlich hineinkommen
Wird eine gewöhnliche Firmenwebsite gehackt, steckt selten ein gezielter Angriff dahinter. In den allermeisten Fällen ist das Einfallstor eines von dreien:
Eine nicht aktualisierte Komponente. Ein Plugin oder Theme mit einer bekannten Sicherheitslücke, für die es längst einen Fix gibt - aber die Website wurde seit einem Jahr nicht aktualisiert. Genau danach suchen die Bots. Ein schwaches oder geleaktes Passwort. Ein Admin-Konto mit einem einfachen Passwort oder ein Passwort, das beim Datenleck einer ganz anderen Website bekannt wurde, auf der Sie dasselbe verwendet haben. Ein verwaistes Konto. Ein ehemaliger Mitarbeiter, ein alter Dienstleister, ein Testbenutzer mit Admin-Rechten, an den niemand mehr denkt.
Allen dreien ist gemeinsam: Man verhindert sie mit Routine, nicht mit teuren Tools.
Vorbeugung: sechs Maßnahmen, die wirken
Regelmäßige Updates
Core, Theme und Plugins - mit einem Backup vor jeder Änderung. Die langweiligste und zugleich wirksamste Maßnahme auf der ganzen Liste.
Starke Passwörter und 2FA
Ein eigenes Passwort für jedes Konto plus Zwei-Faktor-Authentifizierung für Administratoren. Das stoppt alle Angriffe mit bekannten Passwörtern.
Aufgeräumte Benutzerkonten
Admin-Rechte nur für die, die sie wirklich brauchen. Ein Redakteur braucht keine vollen Rechte, ausgeschiedene Mitarbeiter gar keine.
Weniger Plugins
Jedes ungenutzte Plugin ist eine zusätzliche Tür. Deaktivierte auch - löschen Sie sie, statt sie „für alle Fälle“ zu behalten.
Externe Backups
Täglich und außerhalb des Website-Servers gespeichert. Bei einem ernsten Einbruch ist ein Backup auf demselben Server nutzlos.
Firewall und begrenzte Anmeldeversuche
Eine Begrenzung fehlgeschlagener Anmeldungen und eine einfache WAF stoppen automatisierte Angriffe schon an der Tür.
Alles hier Genannte gehört zur Website-Wartung im Abo - nicht weil es im Angebot gut klingt, sondern weil genau diese Arbeit den Anruf am Sonntag verhindert.
Woran Sie erkennen, dass Ihre Website kompromittiert ist
Nicht jeder Einbruch ist offensichtlich. Manchmal sieht die Website für Sie normal aus, zeigt Besuchern von Google aber etwas anderes. Diese Symptome sollten Sie alarmieren:
Weiterleitungen auf fremde Websites (oft nur, wenn man über eine Suchmaschine kommt, oder nur auf dem Smartphone). Seltsame neue Seiten, die Sie nicht angelegt haben - meist in einer fremden Sprache und zu fremden Themen. Eine Warnung im Browser oder eine E-Mail der Search Console wegen „verdächtiger Inhalte“. Ein unbekanntes Admin-Konto. Ein starker Traffic-Einbruch ohne andere Erklärung. Eine Website, die plötzlich sehr langsam geworden ist. Ausgehender Spam von Ihrer Domain.
Wenn es schon passiert ist: die ersten Schritte
Die Reihenfolge ist wichtig - Panik macht die Sache meist schlimmer.
1. Löschen Sie nichts sofort. Erstellen Sie eine vollständige Kopie der Website und der Datenbank im aktuellen Zustand. Sie wird gebraucht, um nachzuvollziehen, wie der Angreifer hineingekommen ist - sonst riskieren Sie, die Folgen zu beseitigen und die Ursache stehen zu lassen.
2. Isolieren Sie die Website. Schalten Sie sie in den Wartungsmodus oder nehmen Sie sie vorübergehend vom Netz. Jede Stunde online mit kompromittierten Inhalten vergrößert den Schaden für Ihren Ruf bei Google.
3. Ändern Sie alle Zugangsdaten. Passwörter für Hosting, FTP/SSH, Datenbank und alle Admin-Konten. Bei WordPress werden auch die Sicherheitsschlüssel in der Konfiguration geändert - so werden alle offenen Sitzungen beendet, auch die des Angreifers.
4. Finden Sie das Einfallstor. Die Server-Logs und die Änderungsdaten der Dateien verraten viel. Ohne diesen Schritt ist die Bereinigung nur vorübergehend - die Angreifer kommen durch dieselbe Tür zurück.
5. Bereinigen und aktualisieren Sie. Core und Plugins werden aus sauberen Quellen neu installiert, nicht „geflickt“. Geprüft werden auch die Stellen, an denen sich Schadcode versteckt: hochgeladene Dateien, Themes, geplante Aufgaben, Benutzer.
6. Beantragen Sie eine Überprüfung bei Google. Wurde die Website markiert, beantragen Sie nach der Bereinigung über die Search Console eine Überprüfung. Bis das Vertrauen wiederhergestellt ist, vergehen Tage, manchmal Wochen.
Die Wiederherstellung nach einem Einbruch kostet ein Vielfaches der jährlichen Wartung, die ihn verhindert hätte. Und das ist nur die Rechnung in Geld - der Ruf bei den Kunden erholt sich langsamer.
Wann die Wiederherstellung aus einem Backup die Lösung ist - und wann nicht
Ein sauberes Backup einzuspielen ist der schnellste Weg - vorausgesetzt, Sie wissen, welcher Stand noch sauber ist. Liegt der Einbruch einen Monat zurück und reichen Ihre Backups nur eine Woche zurück, spielen Sie eine infizierte Version ein. Deshalb sind ältere Wiederherstellungspunkte ebenso wichtig wie die Logs, die zeigen, wann es angefangen hat.
Der zweite Vorbehalt: Die Wiederherstellung bringt die Website zurück, schließt aber nicht die Lücke. Ohne Update der verwundbaren Komponente und neue Zugangsdaten stehen Sie in wenigen Tagen wieder am selben Punkt.
Die Rolle des Hostings
Gutes Hosting macht eine Website nicht unverwundbar, ändert aber viel: Isolation zwischen den Konten (bei Shared Hosting darf Sie ein gehackter Nachbar nicht betreffen), tägliche Backups mit Verlauf, Zugriff auf Logs, Scans auf Serverebene und ein Support, der reagiert. Wenn Sie ein neues wählen, lesen Sie, worauf Sie achten sollten - Sicherheit gehört zu den Punkten, die wegen des Preises übergangen werden.
Fazit
Fast alle Einbrüche bei kleinen Unternehmen laufen über eine nicht aktualisierte Komponente, ein schwaches Passwort oder ein vergessenes Konto. Regelmäßige Updates mit Backup, 2FA, aufgeräumte Benutzerkonten und externe Kopien - das sind 90 % des Schutzes. Und wenn es schon passiert ist: Kopie, Isolation, neue Zugangsdaten, Einfallstor finden, sauber neu installieren, Überprüfung bei Google beantragen.
Haben Sie den Verdacht, dass etwas nicht stimmt? Fragen Sie uns nach einem schnellen Check des technischen Zustands Ihrer Website - und wenn sich ein Mensch die Sache gründlich ansehen soll, schreiben Sie uns. Wir hatten genug solcher Fälle, um zu wissen, wo man suchen muss.
