Ist deine Website gehackt und melden sich womöglich schon Kunden, weil etwas nicht stimmt, entferne ich die Malware, verschließe die Sicherheitslücke und kümmere mich um die Anträge, mit denen Warnungen und Sperren fallen sollen. Für Betriebe in Celle übernehme ich das bei WordPress, TYPO3, Joomla, Shopware und jedem anderen System, unabhängig vom Hoster.
Noch am Tag deiner Meldung bekommst du in der Regel meine Ersteinschätzung, gleich danach den Festpreis. Ich bin auch nach Feierabend und am Wochenende da – ruf an, schreib per WhatsApp oder nutze das Formular.
Manchmal erfährt der Inhaber als Letzter davon, etwa weil ein Kunde anruft: Angreifer richten ihre Inhalte gezielt so ein, dass er sie nicht sieht. Gewissheit brauchst du deshalb nicht – ein Verdacht reicht, damit ich die Lage einschätze.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Chrome zeigt nicht deine Seite, sondern eine rote Fläche mit der Überschrift „Gefährliche Website“. Unter deinem Treffer bei Google steht „Diese Website wurde möglicherweise gehackt“, manchmal auch „Diese Website kann Ihren Computer beschädigen“.
Einige Hoster lassen ihre Server laufend nach Malware durchsuchen. Bei einem Treffer informieren sie dich per Mail oder nehmen die Website gleich vom Netz. Oft trifft es auch dein Postfach: Ist über deinen Server Spam rausgegangen, steht er unter Umständen auf einer Blacklist, und deine Mails werden abgewiesen oder landen beim Empfänger im Spam.
Deine Besucher werden auf andere Seiten geschickt, teils nur vom Smartphone aus oder wenn sie über Google kommen. In der Suche tauchen unter deiner Domain Seiten auf, die nie jemand aus deinem Betrieb angelegt hat. Und im Backend, wo du deine Website verwaltest, sitzt ein Admin, von dem du nichts weißt, oder du kannst dich selbst nicht mehr anmelden.
WordPress · TYPO3 · Joomla · Shopware
Was im Einzelnen zu tun ist, bestimmt der Befund.
Spuren
Ehe ich irgendetwas anfasse, sichere ich die Dateien, die Datenbank und die Protokolle des Servers (Logs), soweit sie verfügbar sind. Sie verraten mir, wo der Angreifer eingedrungen ist und welche Änderungen er vorgenommen hat.
Befund
Mit den Originalen des Herstellers vergleiche ich jede Programmdatei. Gesucht wird nach Hintertüren (Backdoors), hineingeschmuggelten Dateien, Weiterleitungen in der .htaccess, einer Steuerdatei auf dem Server, nach fremden zeitgesteuerten Aufgaben (Cronjobs) und nach Code, der in der Datenbank versteckt ist. Gibt es im gleichen Hosting-Paket weitere Websites, untersuche ich sie ebenfalls – von dort kann der Befall sonst zurückkehren.
Bereinigung
Neu aufgesetzt wird nichts; ich säubere, was da ist. Befallene Standarddateien weichen sauberen Originalen, deine eigenen Dateien kontrolliere ich einzeln, eingeschleuste entferne ich, und die Datenbank wird aufgeräumt. Was Angreifer unter deiner Domain an Seiten angelegt haben, lösche ich so, dass Suchmaschinen die Seiten als entfernt behandeln.
Lücke
Die gefundenen Einfallstore schließe ich, indem ich veraltete Plugins und Themes aktualisiere oder austausche, Dateirechte richtigstelle und die PHP-Version anhebe – so weit die Website das zulässt. Lässt man diesen Schritt weg, ist eine erneute Infektion nur eine Frage der Zeit.
Zugänge
Unbekannte Administratoren lösche ich. Für Backend, Datenbank und den Dateizugang per FTP setze ich neue Passwörter; du erhältst sie auf getrenntem Weg. Läuft die Website mit WordPress, tausche ich die WordPress-Sicherheitsschlüssel aus – damit sind alle bestehenden Anmeldungen hinfällig, auch die des Angreifers.
Freigabe
Sobald alles sauber ist, stelle ich bei Google einen Prüfantrag in der Search Console und bitte den Hoster, die Website freizugeben. Für Domain oder Server auf einer Blacklist beantrage ich die Austragung.
Bericht
Wenn du möchtest, bekommst du alles schriftlich: meine Funde, was ich entfernt habe, was sich über den Weg des Angreifers sagen lässt, und meine Empfehlungen für danach. Vor Gericht kann dieser Bericht kein Gutachten ersetzen.
Wie läuft das ab?
Bis wir miteinander sprechen: Ruf die befallenen Seiten nicht in deinem eigenen Browser auf, damit dein Rechner keinen Schaden nimmt. Lösch keine Dateien und spiel kein Backup zurück – beides vernichtet Hinweise darauf, wie der Angreifer eingedrungen ist. Ändere stattdessen von einem unbefallenen Gerät die Passwörter für dein Mailkonto und dein Hoster-Kundenkonto.
Du schickst mir die Website-Adresse und, wenn es sie gibt, die Hoster-Mail oder einen Screenshot der Warnung. Ich untersuche die Website von außen und sage dir, auf welche Spuren ich stoße und wie wir weitermachen.
Nach der Einschätzung steht der Festpreis, und du erfährst, welche Zugänge ich brauche. Hast du zugesagt, richten wir den Start nach der Dringlichkeit aus. Ich arbeite aus der Ferne.
Ich sichere zunächst die Spuren, entferne dann die Malware und mache das Einfallstor zu. Droht Besuchern Gefahr durch Schadsoftware, Phishing oder Weiterleitungen, empfehle ich, die Website bis zum Ende der Bereinigung für sie zu sperren.
Nach der Bereinigung teste ich Formulare, Login und Shop auf ihre Funktion; erst dann schalte ich die Website wieder frei. Auf Wunsch gibt es einen Bericht.
Wie lange dauert das?Meist an einem Arbeitstag
Ab Arbeitsbeginn dauert eine Bereinigung in den meisten Fällen nicht länger als einen Arbeitstag.
Googles Warnhinweis hängt an der beantragten Überprüfung: Erst wenn Google sie abgeschlossen hat, verschwindet er. Das dauert einige Tage bis mehrere Wochen.
Habe ich etwas übersehen und der gleiche Befall kehrt zurück, entferne ich ihn kostenlos, selbst wenn Monate vergangen sind. Nutzt ein Angreifer dagegen einen anderen Weg, ist das ein neuer Auftrag – außer, die Website wird von mir gewartet.
Eine Garantie gegen neue Angriffe gebe ich nicht; Bereinigung und Abdichten treibe ich so weit, wie es möglich ist.
Was kostet das?Einschätzung ohne Kosten, danach Festpreis
Die Ersteinschätzung kostet dich nichts. Danach steht der Festpreis.
Ersteinschätzungkostenlos
Fällig wird die Zahlung erst nach abgeschlossener Bereinigung.
BereinigungFestpreis, einmalig
Der Festpreis umfasst den Befund, die Bereinigung, den Verschluss der Sicherheitslücke und die Anträge, Warnungen und Sperren aufzuheben.
Ob du die Website danach härten lässt, entscheidest du – dafür gibt es die Leistung Website-Sicherheit. Für Websites aus meiner eigenen Hand biete ich Wartung und Hosting an, für andere nicht. Erwischt es eine Website, die ich warte, ist die Bereinigung ohne neuen Preis.
Die Ersteinschätzung bindet dich an nichts.
Du beauftragst einmalig – ein Vertrag mit Laufzeit entsteht nicht.
Beim Hersteller lassen sich Standarddateien meist neu beziehen, bei WordPress zum Beispiel der Kern, die Plugins (Erweiterungen) und die Themes (Designvorlagen). Anders bei deinen eigenen Inhalten, Anpassungen und Uploads: Sind sie gelöscht und gibt es keine Sicherung, bleibt nur der Teil, der noch vorhanden ist.
Zeigt sich bei der Arbeit mehr Befall als von außen erkennbar, sage ich dir Bescheid, ob sich der Festpreis dadurch ändert. Erst mit deinem Okay geht es weiter.
Von sauber spreche ich, wenn kein Schadcode mehr zu finden ist, keine fremden Zugänge bestehen und die entdeckten Lücken geschlossen sind.
Findet der Scan nichts, heißt das nicht, dass keine Daten abgeflossen sind. Geht es um personenbezogene Daten, beispielsweise Kundenkonten oder Bestellungen, kann Art. 33 DSGVO zur Meldung verpflichten – „unverzüglich und möglichst binnen 72 Stunden“, sobald dem Verantwortlichen die Verletzung bekannt ist. Ob die Pflicht greift, prüfe ich, so weit meine Kenntnisse gehen; um Rechtsberatung handelt es sich dabei nicht. Die technischen Befunde übergebe ich dir; sehe ich Hinweise, dass Daten abgeflossen sind, erfährst du es sofort.
Vier Punkte übernimmst du.
Ich beginne erst, wenn du nachweist, dass die Website dir gehört. Sonst könnte jemand eine fremde Website verändern lassen. Das kann zum Beispiel dein Kundenkonto beim Hoster sein oder eine Hostingrechnung, die auf dich oder deinen Betrieb lautet; ob das ausreicht, schaue ich mir im Einzelfall an.
Gib mir Zugang zur Domain, zum Hosting und zum Backend, zu den vorhandenen Backups und gegebenenfalls zur Google Search Console. Wichtig sind auch drei Angaben: wer noch Zugang hat, welche Installation zuletzt dazukam und wann dir zum ersten Mal etwas auffiel. Ist beim Hoster auch der Zugriff auf die Dateien blockiert, klärst du mit ihm den Weg, auf dem ich zum Bereinigen an die Dateien komme; die Sperre für Besucher kann dabei bleiben.
Geht die Website offline? Wird ein Backup eingespielt? Fällt eine Funktion weg, für die es keinen sicheren Ersatz gibt? Das entscheidest du; ich nenne dir meine Empfehlung und was sie bedeutet. Diese Funktion neu zu entwickeln, ist ein separater Auftrag.
Passwörter für alles außerhalb der Website änderst du selbst, auch überall, wo du dasselbe verwendest. Zuständig für die Meldung einer Datenpanne ist in Niedersachsen der Landesbeauftragte für den Datenschutz; er nimmt sie online an, zur Wahrung der Frist auch vorläufig mit noch fehlenden Angaben. Ist für die Betroffenen voraussichtlich ein hohes Risiko zu erwarten, schreibt Art. 34 DSGVO in der Regel vor, dass du auch sie unverzüglich benachrichtigst. Betriebe, die Anzeige erstatten wollen, finden bei der Polizei die erste Anlaufstelle in der Zentralen Ansprechstelle Cybercrime im Landeskriminalamt Niedersachsen (ZAC).
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.