Woran erkenne ich, dass meine Website gehackt wurde?

Die typischen Anzeichen

Ein besonders unauffälliger Fall: Die Seite sieht für Sie normal aus, zeigt aber Besuchern aus der Google-Suche etwas anderes. Prüfen Sie deshalb nicht nur die Seite selbst, sondern auch, wie sie in den Suchergebnissen erscheint.

So prüfen Sie in zehn Minuten

• Google Search Console öffnen → „Sicherheitsprobleme“. Google meldet Befall in der Regel dort zuerst.
• Bei Google „site:ihre-domain.de“ suchen. Erscheinen Seiten, die Sie nicht kennen?
• Die eigene Seite in einem privaten Fenster aufrufen, ohne angemeldet zu sein.
• Über ein Suchergebnis auf die Seite gehen statt die Adresse einzutippen, denn manche Schadsoftware wird nur so aktiv.
• Auf dem Handy prüfen, denn manche Umleitungen zielen nur auf Mobilgeräte.
• Benutzerkonten im Verwaltungsbereich durchsehen.
• Dateidatum auf dem Server prüfen: kürzlich geänderte Dateien, an denen niemand gearbeitet hat.

Was in den ersten Stunden zu tun ist

Die Reihenfolge ist wichtig. Vor allem: erst sichern, dann aufräumen. Sonst vernichten Sie Spuren und wissen hinterher nicht, wie der Zugriff zustande kam.

• 1. Sicherung des aktuellen Zustands anlegen, auch wenn er befallen ist.
• 2. Hoster informieren. Viele helfen und haben Protokolle, die zeigen, wann und worüber der Zugriff erfolgte.
• 3. Alle Passwörter ändern: Hosting, Datenbank, FTP, Verwaltungsbereich, verknüpfte E-Mail-Konten.
• 4. Seite vorübergehend abschalten oder eine Wartungsseite zeigen, damit keine Besucher gefährdet werden.
• 5. Unbekannte Benutzerkonten löschen.
• 6. Aus einer sauberen Sicherung wiederherstellen, die nachweislich vor dem Befall liegt.
• 7. Alles aktualisieren, bevor die Seite wieder online geht.
• 8. In der Search Console eine Überprüfung beantragen, damit die Warnung verschwindet.

Warum eine Sicherung allein nicht reicht

Der häufigste Fehler: die Seite aus einer Sicherung wiederherstellen und weitermachen. Zwei Wochen später ist sie wieder befallen.

Der Grund: Die Sicherheitslücke, über die der Zugriff erfolgte, ist noch da. Wenn Sie eine Sicherung von letzter Woche einspielen, spielen Sie die Lücke gleich mit ein, und oft auch die Hintertür, die dabei hinterlassen wurde.

Deshalb gehört zur Wiederherstellung immer: alle Erweiterungen und das System aktualisieren, alle Zugangsdaten ändern, und prüfen, ob eine veraltete Erweiterung die Ursache war.

Wie Websites überhaupt befallen werden

• Veraltete Erweiterungen. Mit Abstand die häufigste Ursache, denn bekannte Lücken werden automatisiert ausgenutzt.
• Veraltetes System. Ein Jahr ohne Updates reicht oft aus.
• Schwache Passwörter. „admin“ mit einem erratbaren Passwort ist nach wie vor verbreitet.
• Kein zweiter Faktor beim Verwaltungszugang.
• Erweiterungen aus zweifelhaften Quellen: Kostenlose Fassungen kostenpflichtiger Vorlagen enthalten oft Beigaben.
• Befallener Rechner, von dem aus die Zugangsdaten abgegriffen wurden.

Auffällig daran: Fast alles betrifft Systeme mit Erweiterungen. Eine individuell entwickelte Website ohne Redaktionssystem und ohne Fremdcode bietet deutlich weniger Angriffsfläche. Das ist einer der Gründe, warum wir so arbeiten.

Was es kostet und wie lange es dauert

Der teuerste Posten ist selten die Technik, sondern der Vertrauensverlust: Eine Google-Warnung vor Ihrer Seite sehen auch Ihre Kunden.

Vorbeugen

• Updates zeitnah einspielen, bei einem Redaktionssystem monatlich
• Automatische Sicherungen, täglich, und getrennt vom Server gespeichert
• Wiederherstellung einmal testen. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Hoffnung, kein Plan.
• Starke, einmalige Passwörter und ein zweiter Faktor beim Verwaltungszugang
• Nicht genutzte Erweiterungen entfernen, nicht nur deaktivieren
• Search Console eingerichtet lassen, denn Google meldet Sicherheitsprobleme dort zuerst

Wie oft welche Pflege ansteht, steht in Wie oft muss ich meine Website aktualisieren?

Häufige Fragen

Woran merke ich, dass meine Website gehackt wurde?

Am deutlichsten an einer Google-Warnung, an fremden Texten in den Suchergebnissen unter Ihrer Adresse oder an Weiterleitungen auf fremde Seiten. Prüfen Sie zuerst die Google Search Console unter „Sicherheitsprobleme“, denn dort meldet Google einen Befall in der Regel zuerst.

Was mache ich als Erstes, wenn meine Website gehackt wurde?

Sicherung des aktuellen Zustands anlegen, Hoster informieren, alle Passwörter ändern und die Seite vorübergehend abschalten, damit keine Besucher gefährdet werden. Erst danach aufräumen: Wer sofort löscht, vernichtet die Spuren, die zeigen, wie der Zugriff zustande kam.

Reicht es, die Website aus einer Sicherung wiederherzustellen?

Nein. Die Lücke, über die der Zugriff erfolgte, ist danach immer noch da, oft spielen Sie sie mit der Sicherung sogar wieder ein. Zur Wiederherstellung gehören immer: alle Updates einspielen, alle Zugangsdaten ändern und die Ursache suchen.

Wie lange dauert es, bis die Google-Warnung verschwindet?

Nach der Bereinigung beantragen Sie in der Search Console eine erneute Überprüfung. Google braucht dafür meist einen bis vierzehn Tage. Solange die Warnung steht, sehen Ihre Besucher sie ebenfalls. Deshalb ist schnelles Handeln wichtig.

Wie kann ich einen Hack verhindern?

Updates zeitnah einspielen, automatische Sicherungen getrennt vom Server aufbewahren, starke Passwörter mit zweitem Faktor verwenden und nicht genutzte Erweiterungen vollständig entfernen. Die häufigste Ursache sind veraltete Erweiterungen, nicht ausgeklügelte Angriffe.