Anzeichen, dass Ihre Website Gehackt Wurde, und Was Jetzt Zu Tun Ist

Die meisten Inhaber kleiner Unternehmen erfahren nicht durch einen Sicherheitsalarm, dass ihre Website gehackt wurde. Sie erfahren es, weil Google die Seite in den Suchergebnissen als gefährlich markiert, weil ein Kunde eine E-Mail schreibt und fragt, warum die Website versucht hat, etwas auf sein Telefon herunterzuladen, oder weil der Hoster den Account ohne Vorwarnung sperrt. Bis eines davon passiert, läuft der Schaden meist schon seit Wochen. Diese Verzögerung ist das eigentliche Problem. Eine kompromittierte Website kündigt sich selten selbst an. Sie lädt weiter, die Startseite sieht normal aus, und es gibt keinen offensichtlichen Grund, nach Problemen zu suchen. Währenddessen macht der Angreifer etwas Unauffälligeres: Spam-Links in Seiten einschleusen, um die SEO von jemand anderem zu pushen, einen Teil der Besucher auf eine Betrugsseite umleiten, Formulareingaben abgreifen, oder den Server nutzen, um massenhaft Spam-Mails zu verschicken. Nichts davon fällt auf, wenn man nicht weiß, wo man hinschauen muss. Das sollte man wirklich prüfen, denn "die Seite sieht für mich okay aus" ist nicht dasselbe wie "die Seite ist okay". 1. Die eigene Domain mit "site:ihredomain.com" bei Google suchen und die Ergebnisse nach Seiten durchsehen, die man selbst nicht erstellt hat, besonders solche mit Stichworten zu Medikamenten, Glücksspiel oder gefälschten Produkten im Titel. Das ist eines der häufigsten Anzeichen für eine Kompromittierung und eines der am einfachsten zu prüfenden, in etwa dreißig Sekunden. 2. Nach Inhalten suchen, die sich je nach Betrachter ändern. Angreifer spielen den eingeschleusten Spam oft nur dem Googlebot aus, oder nur Besuchern, die über Suchergebnisse kommen, sodass die Seite für einen Inhaber, der sich über einen gewohnten Browser einloggt, völlig normal aussieht. Ein Blick in die Google Search Console auf eine Warnung zu "Sicherheitsproblemen" ist meist der schnellste Weg, das zu erkennen, oft bevor überhaupt etwas mit bloßem Auge falsch aussieht. 3. Nach neuen Administrator-Konten, unbekannten Dateien in den Plugin- oder Theme-Ordnern des CMS, oder geplanten Aufgaben suchen, die niemand im Team eingerichtet hat. Die werden meist absichtlich zurückgelassen, damit der Angreifer wieder hereinkommt, selbst nachdem das offensichtliche Problem bereinigt wurde. 4. Auf einen plötzlichen Einbruch beim Suchtraffic ohne andere Erklärung achten. Google stuft Websites, die es als kompromittiert erkennt, aktiv herunter und blockiert sie irgendwann, und das zeigt sich in den Analytics, bevor den meisten Inhabern sonst etwas auffällt. 5. Den Hosting-Anbieter direkt fragen, ob ausgehende E-Mails oder der Ressourcenverbrauch zuletzt gestiegen sind. Eine kompromittierte Website wird oft genutzt, um Spam in großen Mengen zu verschicken, und die meisten Hoster überwachen genau das, auch wenn sie den Kunden nicht proaktiv informieren, bevor der Account gesperrt wird. Fördert eines dieser Anzeichen etwas zutage, ist das die Reihenfolge, die in der ersten Stunde wirklich zählt. Kein vollständiges Notfallhandbuch, nur das, was die Blutung stoppt. Sofort alle Administrator-Passwörter ändern, einschließlich Hosting-Account und aller FTP- oder Datenbank-Zugangsdaten, nicht nur den CMS-Login. Ein anderswo wiederverwendetes Passwort ist meist der Grund, warum diese Hacks überhaupt erst passieren. Die Website offline nehmen oder in den Wartungsmodus versetzen, statt sie während der Untersuchung online zu lassen. Eine kompromittierte, weiterhin laufende Website schadet in der Zwischenzeit weiter dem Suchranking und jedem, der sie besucht. Ein Backup von vor dem Beginn der Kompromittierung wiederherstellen, falls eines existiert und tatsächlich sauber ist. Genau deshalb zählt ein Wartungsvertrag, der Backups tatsächlich testet, mehr als einer, der nur behauptet, welche zu haben. Wiederherstellen ist fast immer schneller und sicherer, als jede eingeschleuste Datei manuell aufzuspüren und zu entfernen. Beheben, wodurch der Angreifer überhaupt hereinkam, bevor die Website wieder live geht. Die meisten dieser Hacks laufen über ein veraltetes Plugin, Theme oder eine veraltete CMS-Version, nicht über einen ausgeklügelten Exploit. Wird der Einstiegspunkt nicht behoben, setzt die Wiederherstellung des Backups nur die Uhr zurück, bis dasselbe wieder passiert. Eine Überprüfung in der Google Search Console anfordern, sobald die Website tatsächlich sauber ist, damit die Warnung "gefährliche Website" aufgehoben wird, statt wochenlang still und leise Traffic zu kosten, obwohl das Problem längst behoben ist. Unternehmen, die sich davon schnell erholen, sind fast nie die mit den ausgefeiltesten Sicherheitstools. Es sind die, die bereits saubere, getestete Backups hatten, gut genug wussten, wie "normal" bei der eigenen Website aussieht, um zu merken, dass etwas nicht stimmt, und die jemanden anrufen konnten, der sofort handelt, statt ein Ticket zu öffnen und zu warten. Genau darum geht es bei laufendem Support: nicht um eine Leistung, an die niemand denkt, bis sie gebraucht wird, sondern um jemanden, der die eigene Website bereits kennt, bereits Zugriff hat, und ans Telefon geht, statt einen durch eine Warteschlange zu schicken, wenn etwas schiefläuft. Wer sich gerade nicht sicher ist, ob die eigene Website die obigen Prüfungen bestehen würde, sollte das lieber herausfinden, bevor es ein Angreifer, oder Google, an seiner Stelle tut.