Wurde deine Website gehackt und stehen bei Google plötzlich fremde Seiten unter deiner Domain, bringe ich das in Ordnung: Malware entfernen, Sicherheitslücke schließen, Aufhebung von Warnungen und Sperren beantragen. Für Betriebe aus Wittingen gilt das bei TYPO3, Joomla, WordPress und Shopware genauso wie bei jedem anderen System – der Hoster spielt keine Rolle.
Meine Ersteinschätzung bekommst du in aller Regel noch am selben Tag, danach einen Festpreis. Du kannst dich auch abends und am Wochenende melden, telefonisch, über WhatsApp oder mit dem Formular.
Manchmal fällt ein Hack erst über die Google-Suche auf, weil dort Seiten unter deiner Domain stehen, die du nie gesehen hast. Manche Angreifer gestalten ihre Inhalte bewusst so, dass ausgerechnet der Inhaber sie nicht zu Gesicht bekommt. Deshalb reicht ein Verdacht, um die Ersteinschätzung anzufragen.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Ruft jemand deine Website in Chrome auf, erscheint die rote Warnung „Gefährliche Website“. Bei Google trägt dein Treffer einen von zwei Hinweisen: „Diese Website kann Ihren Computer beschädigen“ bzw. „Diese Website wurde möglicherweise gehackt“.
Manche Hoster suchen auf ihren Servern nach Malware. Haben sie etwas gefunden, schreiben sie dir oder stellen die Website offline. Möglich ist auch, dass deine Mails abgelehnt werden oder im Spamordner landen – etwa weil jemand deinen Server für Spam missbraucht hat und er nun auf einer Blacklist steht.
Unter deiner Domain tauchen in den Suchergebnissen Seiten auf, die nie jemand angelegt hat. Besucher werden auf fremde Adressen geleitet, oft nur, wenn sie vom Handy oder aus der Google-Suche kommen. Im Backend, also dort, wo du deine Website verwaltest, ist ein fremder Administrator eingetragen – oder du kommst gar nicht mehr hinein.
TYPO3 · Joomla · WordPress · Shopware
Nicht jede Arbeit ist in jedem Fall nötig – das entscheidet der Befund.
Spuren
Als Erstes lege ich Sicherungen der Dateien, der Datenbank und der verfügbaren Server-Protokolle (Logs) an – noch bevor ich etwas ändere. Anhand dieser Spuren suche ich nach dem Weg, auf dem der Angreifer hineingelangt ist, und nach dem, was er verändert hat.
Befund
Die Programmdateien vergleiche ich mit den Originaldateien des Herstellers. Gesucht wird nach Hintertüren, auch Backdoors genannt, nach eingeschleusten Dateien, nach Weiterleitungen in der .htaccess – einer Konfigurationsdatei des Servers –, nach fremden Cronjobs (zeitgesteuerten Aufgaben) sowie nach Schadcode, den der Angreifer in der Datenbank versteckt hat. Weitere Websites im selben Hosting-Paket prüfe ich mit; andernfalls könnte der Befall von dort zurückkommen.
Zugänge
Admins, die keiner kennt, entferne ich. Für Backend, FTP (den Dateizugang) und Datenbank setze ich neue Passwörter und übergebe sie dir gesondert. Auf WordPress-Websites erneuere ich die WordPress-Sicherheitsschlüssel, sodass alle aktiven Anmeldungen ungültig werden – auch die des Angreifers.
Bereinigung
Statt die Website neu aufzusetzen, reinige ich die bestehende Installation. Befallene Standarddateien tausche ich gegen saubere Originale, eigene Dateien prüfe ich einzeln, Eingeschleustes lösche ich, die Datenbank bringe ich in Ordnung. Fremde Seiten unter deiner Domain entferne ich so, dass Suchmaschinen erkennen, dass sie nicht mehr existieren.
Lücke
Damit die gefundene Lücke zugeht, aktualisiere oder ersetze ich veraltete Plugins und Themes, korrigiere Dateirechte und hebe die PHP-Version an, soweit die Website es verträgt. Bliebe die Lücke offen, wäre eine neue Infektion wohl bald da.
Freigabe
Ist die Bereinigung abgeschlossen, reiche ich den Antrag auf Überprüfung in der Google Search Console ein und fordere beim Hoster die Freigabe an. Taucht deine Domain oder dein Server in einer Blacklist auf, beantrage ich auch die Austragung.
Bericht
Auf Wunsch bekommst du einen Bericht mit allem, was ich gefunden und entfernt habe, mit dem, was sich zum Einfallsweg sagen lässt, und mit meinen Empfehlungen für die Zeit danach. Gedacht ist er für dich, nicht als Gutachten für ein Gericht.
Wie läuft das ab?
Bis wir sprechen, kannst du Folgendes tun: an einem sauberen Gerät die Passwörter für deine E-Mail und für das Kundenkonto beim Hoster ändern. Die befallene Website nicht im eigenen Browser aufrufen – das kann Schadsoftware auf deinen Rechner bringen. Und weder löschen noch eine Sicherung einspielen, damit die Spuren erhalten bleiben, die den Weg des Angreifers zeigen können.
Du nennst mir die Adresse deiner Website und schickst – falls vorhanden – die Hoster-Mail oder ein Bildschirmfoto der Warnung mit. Ich prüfe von außen, welche Spuren des Angriffs sichtbar sind, und sage dir, wie wir vorgehen.
Auf Basis der Ersteinschätzung nenne ich dir den Festpreis und schreibe auf, welche Zugänge ich brauche. Wann wir starten, richtet sich nach der Dringlichkeit und steht nach deiner Zusage fest. Ich arbeite per Fernzugriff.
Die Reihenfolge steht fest: Spuren sichern, Malware entfernen, Einfallstor schließen. Gefährdet die Website ihre Besucher, etwa mit Schadsoftware, Phishing oder Weiterleitungen, empfehle ich, sie bis zur fertigen Bereinigung für Besucher zu sperren.
Ist alles bereinigt, kontrolliere ich Formulare, Login und Shop, dann ist die Website wieder online. Einen Bericht gibt es, wenn du ihn möchtest.
Wie lange dauert das?In aller Regel ein Arbeitstag
Für die Bereinigung genügt nach dem Start in den meisten Fällen ein Arbeitstag.
Länger braucht die Warnung bei Google: Sie bleibt, bis die beantragte Überprüfung abgeschlossen ist, und das dauert einige Tage bis mehrere Wochen – egal, wie schnell die Malware entfernt war.
Liegt es an etwas, das ich übersehen habe, und derselbe Befall ist zurück, übernehme ich die erneute Entfernung ohne neuen Preis, auch wenn seitdem Monate vergangen sind. Kommt ein Angreifer über einen anderen Weg herein, beauftragst du mich neu – es sei denn, ich warte die Website.
Dass es künftig keinen Angriff mehr gibt, kann ich nicht zusagen. Ich bereinige und schließe Lücken, so weit es möglich ist.
Was kostet das?Kostenfreie Einschätzung vorab, Festpreis für die Arbeit
Ich schätze die Lage kostenlos ein und nenne dir anschließend einen Festpreis.
Ersteinschätzungkostenlos
Bezahlen musst du erst, wenn die Bereinigung abgeschlossen ist.
BereinigungFestpreis, einmalig
Mit dabei sind der Befund, die Bereinigung, das Schließen der Sicherheitslücke sowie die Anträge, mit denen Warnungen und Sperren aufgehoben werden sollen.
Härten kannst du die Website danach freiwillig lassen – als eigenen Auftrag unter Website-Sicherheit. Für Wartung und Hosting kommen nur Websites infrage, die ich selbst gebaut habe; wird eine davon gehackt, während ich sie warte, bereinige ich sie, ohne einen neuen Preis zu berechnen.
Mit der Ersteinschätzung gehst du keinerlei Bindung ein.
Abgerechnet wird einmalig, eine Vertragslaufzeit gibt es nicht.
Standarddateien – bei WordPress der Kern, Erweiterungen (Plugins) und Designvorlagen (Themes) – bekommst du meist beim Hersteller ein zweites Mal. Deine eigenen Inhalte, Anpassungen und hochgeladenen Dateien dagegen nicht: Wurden sie gelöscht und es gibt keine Sicherung, lässt sich nur noch das Vorhandene retten.
Sollte innen mehr Befall stecken, als sich von außen gezeigt hat, erfährst du vor dem Weiterarbeiten, ob sich der Festpreis ändert. Ohne deine Zustimmung mache ich nicht weiter.
Sauber heißt bei mir dreierlei: kein auffindbarer Schadcode, keine fremden Zugänge, dicht gemachte Lücken.
Selbst ein Scan ohne Befund schließt nicht aus, dass Daten abgeflossen sind. Wenn personenbezogene Daten betroffen sein können, etwa Kundenkonten oder Bestellungen, kann die DSGVO in Art. 33 eine Meldung vorschreiben, und zwar durch den Verantwortlichen „unverzüglich und möglichst binnen 72 Stunden“ nach Kenntnis der Verletzung. Soweit mein Wissen reicht, schätze ich ein, ob das zutrifft; eine Rechtsberatung ist das nicht. Von mir bekommst du die technischen Befunde – und jeden Hinweis auf abgeflossene Daten sofort.
Für vier Dinge bist du zuständig.
Ohne Nachweis, dass dir die Website gehört, starte ich nicht – sonst könnte jeder eine fremde Website von mir verändern lassen. Das kann eine Hostingrechnung sein, die auf deinen Namen oder deinen Betrieb ausgestellt ist, oder der Zugang zu deinem Kundenkonto beim Hoster; im Einzelfall prüfe ich, ob das ausreicht.
Ich brauche Zugriff auf Hosting, Backend, Domain, vorhandene Backups und – sofern du sie nutzt – die Google Search Console. Außerdem wichtig: Wer kann sich neben dir anmelden, was ist zuletzt installiert worden, und seit wann begegnen dir Auffälligkeiten? Hat der Hoster den Dateizugang ebenfalls gesperrt, klärst du mit ihm, auf welchem Weg ich zur Bereinigung hineinkomme. Für Besucher darf die Website währenddessen gesperrt bleiben.
Ob die Website vom Netz geht, ein Backup zurückkommt oder eine Funktion ohne sichere Alternative gestrichen wird, entscheidest du. Meine Empfehlung bekommst du dazu, samt dem, was sie für dich bedeutet. Eine solche Funktion neu zu bauen, beauftragst du gesondert.
Passwörter außerhalb der Website änderst du selbst – auch bei jedem anderen Dienst, bei dem du dasselbe Passwort nutzt. Ist eine Datenpanne meldepflichtig, kannst du sie beim Landesbeauftragten für den Datenschutz Niedersachsen online melden; damit die Frist gewahrt ist, geht das auch vorläufig mit fehlenden Angaben. Ist damit voraussichtlich ein hohes Risiko verbunden, musst du die Betroffenen nach Art. 34 DSGVO in der Regel ebenfalls unverzüglich informieren. Willst du als Betrieb Anzeige erstatten, ist die ZAC des LKA Niedersachsen – die Zentrale Ansprechstelle Cybercrime – die erste Anlaufstelle bei der Polizei.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.