Ist deine Website gehackt – schickt sie Besucher etwa auf fremde Seiten oder steht im Backend ein Admin, den du nicht kennst –, beseitige ich die Malware, dichte die Sicherheitslücke ab und beantrage, Warnungen und Sperren aufzuheben. Für Betriebe in Gifhorn mache ich das bei Joomla, Shopware, WordPress, TYPO3 oder jedem anderen System, ganz gleich bei welchem Hoster.
In der Regel bekommst du meine Einschätzung noch am Tag, an dem du dich meldest, und im Anschluss einen Festpreis. Melden kannst du dich auch abends oder am Wochenende: telefonisch, per WhatsApp oder über das Formular.
Für eine Ersteinschätzung musst du dir nicht sicher sein, ein Verdacht genügt. Es kommt sogar vor, dass ausgerechnet der Inhaber nichts bemerkt: Angreifer blenden ihre Inhalte bewusst für ihn aus.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Statt deiner Startseite blendet Chrome den roten Hinweis „Gefährliche Website“ ein. In den Google-Ergebnissen trägt dein Eintrag den Zusatz „Diese Website kann Ihren Computer beschädigen“ oder „Diese Website wurde möglicherweise gehackt“.
Mancher Hoster scannt seine Server regelmäßig nach Malware. Wird er fündig, meldet er sich bei dir oder schaltet die Website ab. Häufig hakt es dann auch bei den Mails: Hat jemand über deinen Server Spam versendet, gerät der Server auf eine Blacklist, und deine Nachrichten werden zurückgewiesen oder im Spamordner abgelegt.
Wer deine Seite aufruft, wird auf eine fremde Adresse umgeleitet – mitunter nur am Handy oder nach einem Klick in der Google-Suche. Google zeigt unter deiner Domain Seiten, die du nie erstellt hast. Im Backend, dem Bereich, in dem du die Website verwaltest, findet sich ein unbekannter Administrator, oder du kommst mit deinem Login nicht mehr hinein.
Joomla · Shopware · WordPress · TYPO3
Der Befund entscheidet, welche Arbeiten tatsächlich nötig sind.
Spuren
Bevor irgendetwas geändert wird, lege ich eine Sicherung von Dateien und Datenbank an und sichere die verfügbaren Server-Protokolle (Logs). In ihnen suche ich nach dem Einfallsweg und nach allem, was der Angreifer verändert hat.
Befund
Ich vergleiche die Programmdateien mit den Fassungen des Herstellers. Dabei suche ich nach Hintertüren (Backdoors), eingeschmuggelten Dateien, Umleitungen in der .htaccess, einer Steuerdatei des Servers, fremden Cronjobs, also zeitgesteuerten Aufgaben, und nach Code in der Datenbank. Teilen sich weitere Websites dasselbe Hosting-Paket, prüfe ich sie mit – sonst kann der Befall von dort wiederkommen.
Bereinigung
Ich setze die Website nicht neu auf, sondern reinige die bestehende Installation. Befallene Standarddateien ersetze ich durch die sauberen Originale, eigene Dateien sehe ich mir einzeln an, eingeschleuste lösche ich, und in der Datenbank räume ich auf. Seiten, die der Angreifer unter deiner Domain angelegt hat, entferne ich so, dass Suchmaschinen sie als gelöscht erkennen.
Zugänge
Administratoren, die niemand kennt, entferne ich. Backend, FTP-Zugang (der Zugang zu den Dateien) und Datenbank bekommen neue Passwörter, die ich dir getrennt übergebe. Unter WordPress erneuere ich zusätzlich die WordPress-Sicherheitsschlüssel; dadurch verfallen alle laufenden Anmeldungen, auch die des Angreifers.
Lücke
Wo der Angreifer hereinkam, mache ich zu: Veraltete Plugins und Themes werden aktualisiert oder ausgetauscht, falsche Dateirechte korrigiert, und die PHP-Version setze ich herauf, soweit die Website damit klarkommt. Fehlt dieser Schritt, steht die Tür für die nächste Infektion offen.
Freigabe
Nach der Bereinigung reiche ich über die Google Search Console einen Antrag auf Überprüfung ein und bitte den Hoster um Freigabe. Bei einem Eintrag deiner Domain oder deines Servers in einer Blacklist beantrage ich auch dort die Austragung.
Bericht
Möchtest du es schriftlich, bekommst du einen Bericht: was gefunden und entfernt wurde, was sich zum Einfallsweg sagen lässt und was ich für die Zeit danach empfehle. Als Gutachten vor Gericht eignet er sich nicht.
Wie läuft das ab?
Was du sofort tun kannst: Rühr nichts an – wer jetzt Dateien löscht oder eine Sicherung zurückspielt, verwischt die Spuren zum Einfallsweg. Halte die befallenen Seiten von deinem eigenen Rechner fern, er könnte Schaden nehmen. Und setze neue Passwörter für dein Mailkonto und den Zugang beim Hoster, aber von einem Gerät aus, das sauber ist.
Ich brauche die Adresse deiner Website und, sofern du sie hast, die Mail des Hosters oder einen Screenshot der Warnung. Dann prüfe ich die Website von außen und erkläre dir, welche Spuren ich sehe und welcher Weg sich anbietet.
Ist die Einschätzung da, nenne ich dir den Festpreis und die Zugänge, die ich benötige. Mit deiner Zusage vereinbaren wir den Beginn – je dringender, desto früher. Ich erledige das aus der Ferne.
Am Anfang steht das Sichern der Spuren, danach kommt die Malware weg, und das Einfallstor wird geschlossen. Sind Besucher gefährdet – durch Schadsoftware, Phishing oder Umleitungen –, rate ich dazu, die Website für sie zu sperren, bis die Bereinigung fertig ist.
Bevor die Seite wieder online geht, kontrolliere ich, ob Formulare, Login und Shop arbeiten. Einen Bericht schreibe ich dir, wenn du einen möchtest.
Wie lange dauert das?Oft an einem Arbeitstag erledigt
Meist ist die Bereinigung an einem Arbeitstag nach dem Start abgeschlossen.
Googles Warnung bleibt sichtbar, bis Google die beantragte Überprüfung beendet hat – auch wenn die Website längst sauber ist. Diese Prüfung braucht zwischen einigen Tagen und mehreren Wochen.
Ist es derselbe Befall und habe ich etwas übersehen, mache ich ihn ohne neuen Preis weg, selbst Monate danach. Ein Angriff, der einen anderen Weg nimmt, gilt als neuer Auftrag – es sei denn, ich warte die Website.
Gegen künftige Angriffe gibt es keine Garantie. Was ich tun kann: gründlich bereinigen und so weit abdichten wie möglich.
Was kostet das?Erst Einschätzung ohne Kosten, dann ein fester Preis
Du zahlst nichts für die Ersteinschätzung. Den Festpreis bekommst du, sobald ich die Lage kenne.
Ersteinschätzungkostenlos
Zu zahlen ist erst, wenn die Bereinigung fertig ist.
BereinigungFestpreis, einmalig
Im Preis enthalten: der Befund, die Bereinigung, das Abdichten der Sicherheitslücke und jeder Antrag, mit dem Warnungen und Sperren aufgehoben werden sollen.
Eine Härtung im Anschluss ist kein Muss; du kannst sie getrennt als Website-Sicherheit buchen. Wartung und Hosting gibt es bei mir nur für Websites, die von mir stammen – und wird eine von mir gewartete Website gehackt, bereinige ich sie ohne zusätzlichen Preis.
Aus der Ersteinschätzung entsteht für dich keine Verpflichtung.
Es bleibt bei einem einmaligen Auftrag; eine Laufzeit gibt es nicht.
Standarddateien – bei WordPress zum Beispiel der Kern sowie Erweiterungen (Plugins) und Designvorlagen (Themes) – stellt der Hersteller meist zum erneuten Download bereit. Für das, was du selbst angelegt, angepasst oder hochgeladen hast, gilt das nicht. Hat der Angreifer davon etwas gelöscht und existiert keine Sicherung, kann ich nur bewahren, was übrig ist.
Steckt mehr Befall in der Website, als von außen sichtbar war, erfährst du von mir vorab, ob das den Festpreis verändert – und ich mache erst weiter, wenn du einverstanden bist.
„Sauber“ heißt für mich: Es ist kein Schadcode mehr aufzufinden, es gibt keine fremden Zugänge, und die gefundenen Lücken sind dicht.
Ein sauberer Scan beweist nicht, dass keine Daten abgeflossen sind. Betrifft es personenbezogene Daten wie Kundenkonten oder Bestellungen, verlangt Art. 33 DSGVO womöglich eine Meldung: „unverzüglich und möglichst binnen 72 Stunden“, gerechnet ab dem Zeitpunkt, zu dem der Verantwortliche von der Verletzung weiß. Ob das bei dir zutrifft, beurteile ich nur im Rahmen meines Wissens; Rechtsberatung leiste ich nicht. Die technischen Befunde gebe ich dir, und deutet etwas auf abgeflossene Daten hin, sage ich es dir sofort.
Bei dir liegen vier Dinge.
Erst wenn feststeht, dass die Website dir gehört, fange ich an. Das schützt davor, dass jemand an einer fremden Website arbeiten lässt. Als Nachweis kommen etwa dein Hoster-Kundenkonto oder eine Hostingrechnung mit deinem Namen bzw. dem deines Betriebs infrage; ich prüfe im Einzelfall, ob es reicht.
Zugriff brauche ich auf das Hosting, das Backend und die Domain, außerdem auf vorhandene Backups und, wenn du sie verwendest, auf die Google Search Console. Dazu: Wer hat außer dir Zugriff? Was wurde zuletzt installiert? Seit wann fällt dir etwas auf? Ist beim Hoster sogar der Dateizugang gesperrt, regelst du mit ihm, wie ich zum Bereinigen hineinkomme – für Besucher darf die Seite gesperrt bleiben.
Du legst fest, ob die Seite vom Netz geht, ob du eine Sicherung zurückspielen lässt und ob eine Funktion wegfällt, für die es keinen sicheren Ersatz gibt. Von mir hörst du, was ich empfehle und welche Folgen das hat. Diese Funktion neu zu bauen, wäre ein eigener Auftrag.
Um Passwörter außerhalb der Website kümmerst du dich selbst, auch bei allen Diensten, für die du dasselbe Passwort nutzt. Eine meldepflichtige Datenpanne geht online an den Landesbeauftragten für den Datenschutz in Niedersachsen – bei fehlenden Angaben auch vorläufig, damit die Frist gewahrt bleibt. Besteht für die Betroffenen voraussichtlich ein hohes Risiko, sind laut Art. 34 DSGVO in aller Regel auch sie unverzüglich zu benachrichtigen; das übernimmst du. Möchtest du Anzeige erstatten, wendest du dich als Betrieb zuerst an die ZAC – die Zentrale Ansprechstelle Cybercrime des LKA Niedersachsen.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.