Sie trinken morgens Ihren Kaffee, da ruft ein Kunde an: „Ich war auf Ihrer Seite, und da kam etwas Merkwürdiges. Ich wurde auf eine andere Seite weitergeleitet.“ Sie schauen nach, und tatsächlich: Da sind Seiten, die Sie nie gesehen haben, fremdsprachige Werbung oder eine völlig andere Startseite. Es fühlt sich an wie ein Schlag in die Magengegend.
Vorweg: Es ist nicht Ihre Schuld, und es trifft viel mehr Betriebe, als man denkt. In einen Laden mit schwachem Schloss wird eingebrochen, und das sagt nichts über den Inhaber. Wer „Website gehackt“ denkt oder in die Suche tippt, braucht zuerst Ruhe und eine feste Reihenfolge. In diesem Beitrag erkläre ich, was Sie in den ersten 24 Stunden tun, was Sie einer Fachperson überlassen und worauf Sie achten, damit es nicht wieder passiert.
Wurde Ihre Seite wirklich angegriffen? Die Anzeichen
Nicht jede seltsame Darstellung ist ein Angriff. Seien Sie misstrauisch, wenn mehrere dieser Punkte zutreffen:
- Auf Ihrer Seite stehen Unterseiten, Beiträge oder Links, die Sie nicht geschrieben haben.
- Besucher werden auf eine andere Seite umgeleitet, vor allem auf dem Handy.
- Ihr Browser oder Google zeigt eine Warnung wie „Diese Website könnte schädlich sein“.
- Ihre Startseite wurde durch etwas anderes ersetzt, manchmal mit fremdsprachigen Texten.
- Die Seite wird plötzlich sehr langsam, oder Ihr Hoster (die Firma, bei der Sie den Platz für Ihre Website mieten) meldet auffällige Aktivität.
- Ihr Passwort für den Verwaltungsbereich funktioniert nicht mehr, obwohl Sie nichts geändert haben.
- Bei der Suche nach Ihrem Firmennamen erscheinen in der Beschreibung fremde, unpassende Wörter.
Auch wenn Sie unsicher sind, schaden die folgenden Schritte nicht. Ein Fehlalarm ist besser als ein übersehener Angriff.
Die erste Stunde: Ruhe bewahren, Beweise sichern
Viele wollen sofort alles löschen. Halten Sie sich zurück, denn die Fachperson braucht die Spuren, um zu verstehen, was passiert ist.
- Machen Sie Screenshots. Halten Sie die seltsamen Seiten, Warnungen und Weiterleitungen mit Datum fest.
- Probieren Sie nicht selbst an der Seite herum. Dateien zu löschen oder unbekannte Einstellungen zu ändern kann alles verschlimmern.
- Informieren Sie die Person, die Ihre Seite gebaut hat oder betreut. Ist diese Person seit einem Jahr nicht mehr erreichbar, lesen Sie den Schlussabschnitt.
- Prüfen Sie auch Ihren eigenen Rechner. Manchmal liegt das Problem nicht bei der Seite, sondern bei dem Gerät, auf dem das Passwort gestohlen wurde. Ein Virenscan ist sinnvoll.
Ändern Sie die Passwörter
Angreifer kommen oft mit einem schwachen oder bereits gestohlenen Passwort hinein. Erneuern Sie deshalb:
- das Passwort für den Verwaltungsbereich der Seite und das aller Personen mit Zugang,
- den Zugang bei Ihrem Hoster und bei der Firma, bei der Sie Ihre Domain registriert haben,
- alle E-Mail-Konten, die mit der Seite verbunden sind.
Neue Passwörter sollten lang sein, für jeden Dienst anders lauten und den alten nicht ähneln. Ein Passwort-Manager ist deutlich sicherer, als sich alles zu merken. Achten Sie darauf, dass der Rechner, mit dem Sie die Passwörter ändern, sauber ist, sonst werden auch die neuen abgegriffen.
Rufen Sie Ihren Hoster an
Die Firma, bei der Ihre Seite liegt, ist hier Ihr wichtigster Partner. Fragen Sie:
- Haben Sie auf meiner Seite etwas Schädliches gefunden?
- Wann scheint der Angriff begonnen zu haben?
- Gibt es eine saubere Sicherung, und von welchem Datum?
- Soll die Seite vorübergehend offline genommen oder hinter eine Wartungsseite gestellt werden?
Eine kurze Wartungsseite schützt Besucher vor schädlichen Inhalten. Ein knappes „Wir führen Wartungsarbeiten durch“ ist viel besser, als Kunden auf eine infizierte Seite zu schicken.
Was heißt „Sicherung einspielen“?
Eine Sicherung (Backup) ist ein gesunder Schnappschuss Ihrer Seite von einem bestimmten Tag. Gibt es eine saubere Sicherung von vor dem Angriff, kann die Seite auf diesen Tag zurückgesetzt werden. Es gibt aber zwei Fallen:
- Auch die Sicherung kann befallen sein. War der Angreifer schon wochenlang drin, sind die neueren Sicherungen verseucht. Die Fachperson entscheidet, welches Datum sauber ist.
- Bleibt die Tür offen, passiert es wieder. Eine Sicherung schließt den Weg nicht, über den der Angreifer kam. Ohne Updates und neue Passwörter kann die Seite binnen Tagen erneut befallen werden.
Diesen Schritt sollte jemand mit technischem Wissen übernehmen. Sie müssen nur fragen: Gibt es eine saubere Sicherung, von welchem Datum, und wer schließt nach dem Einspielen die Lücke?
Google-Warnung und Information Ihrer Kunden
Während eines Angriffs kann Google Ihre Seite als schädlich markieren. Nach der Bereinigung wird die Warnung entfernt, indem Google um eine erneute Prüfung gebeten wird. Das sollte eine Fachperson tun, und die Dauer hängt von Google ab; einen Tag kann ich nicht versprechen. Gehen Sie in der Zwischenzeit davon aus, dass Besucher mit Warnung Ihre Seite nicht betreten, und bleiben Sie über andere Kanäle mit Ihren Kunden in Kontakt.
Auch was Sie Kunden sagen, ist wichtig. Bleiben Sie schlicht und ehrlich:
- Auf unserer Website gab es ein technisches Problem, wir arbeiten an der Lösung.
- In dieser Zeit erreichen Sie uns telefonisch oder über unsere Social-Media-Konten.
- Bitte klicken Sie keine Links von seltsamen Seiten auf unserer Website an.
Speichert Ihre Seite Kundendaten, Formulare oder Termindaten, ist die Frage, ob personenbezogene Daten abgeflossen sind, ein eigenes Thema. Ihre Pflichten klären Sie in diesem Fall mit einer Rechtsanwältin oder einem Rechtsanwalt oder mit der zuständigen Datenschutzbehörde; ich kann dazu keine verbindliche Aussage machen.
Damit es nicht wieder passiert
Wenn es einmal passiert ist, passiert es wieder, solange die Lücke offen bleibt. Gehen Sie mit Ihrer Fachperson diese Punkte durch:
| Maßnahme | Warum sie wichtig ist |
|---|---|
| Regelmäßige Updates | Schließt bekannte Schwachstellen alter Software |
| Starke, unterschiedliche Passwörter | Erschwert das Erraten |
| Regelmäßige Sicherungen an einem anderen Ort | Bietet einen sauberen Rückkehrpunkt |
| Ungenutzte Erweiterungen entfernen | Weniger Türen, durch die man eindringen kann |
| Weniger Administratoren | Weniger Konten, die gestohlen werden können |
| Sicherheitsscans | Probleme fallen auf, bevor sie groß werden |
Keine Maßnahme bietet vollständige Sicherheit. Ziel ist, dass Sie kein leichtes Ziel mehr sind.
Häufige Fragen
Kann ich die Seite selbst bereinigen?
Bei einer kleinen Seite ist das verlockend, aber Reste bleiben sehr leicht zurück. Versteckt sich schädlicher Code in einer Ecke, wird die Seite erneut befallen. Ich empfehle, Hilfe von einer Fachperson zu holen.
Schadet ein Hack meinem Google-Ranking?
Das kann passieren. Schädliche Inhalte oder eine Warnung können Ihre Sichtbarkeit senken. Nach Bereinigung und neuer Prüfung ist eine Erholung möglich, aber wie lange das dauert und mit welchem Ergebnis, kann ich nicht vorhersagen.
Soll ich den Angreifer suchen und anzeigen?
Bewahren Sie die Beweise auf. Ob Sie rechtliche Schritte einleiten, entscheiden Sie mit einer Anwältin oder einem Anwalt; dazu wäre eine pauschale Aussage von mir nicht richtig.
Wie oft sollte eine Sicherung gemacht werden?
Das hängt davon ab, wie oft sich Ihre Seite ändert. Eine Seite mit häufigen Änderungen braucht häufige Sicherungen. Sie sollten getrennt von der Seite an einem anderen Ort liegen.
Fazit
Ein Angriff ist ein schlechter Morgen, aber wenn Sie Schritt für Schritt vorgehen, kommen Sie wieder auf die Beine: Beweise sichern, Passwörter erneuern, mit dem Hoster sprechen, nach der sauberen Sicherung fragen und den Kunden gegenüber ehrlich sein. Die technische Bereinigung gehört in Fachhände. Ist das Fundament Ihrer Seite alt und haben Sie immer wieder Ärger, kann ein Neuaufbau auf sicherer Basis sinnvoller sein als ständiges Flicken. Wenn Sie das gemeinsam prüfen möchten, schreiben Sie mir über die Seite Website-Relaunch.