Rote Fläche statt Startseite
Besucher mit Chrome sehen eine rote Warnseite: „Gefährliche Website“. Google ergänzt deinen Suchtreffer um „Diese Website kann Ihren Computer beschädigen“, alternativ um „Diese Website wurde möglicherweise gehackt“.
Ist deine Website gehackt und hat sich ein fremder Administrator eingenistet, entferne ich Malware und Eindringling, schließe die Sicherheitslücke und beantrage, dass Google, Hoster und Blacklists ihre Warnungen und Sperren aufheben. So helfe ich Betrieben in Oldenburg bei TYPO3, Shopware, Joomla, WordPress und jedem weiteren System; welcher Hoster dahintersteht, ist dabei gleich.
Die Ersteinschätzung schicke ich dir meist noch am gleichen Tag, direkt danach den Festpreis. Melde dich per Telefon, WhatsApp oder Formular; Abende und Wochenenden sind kein Hindernis.
Ein vager Verdacht ist schon Anlass genug für die Ersteinschätzung. Manche Angriffe sind so gebaut, dass ausgerechnet du als Inhaber nichts Fremdes zu sehen bekommst.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Besucher mit Chrome sehen eine rote Warnseite: „Gefährliche Website“. Google ergänzt deinen Suchtreffer um „Diese Website kann Ihren Computer beschädigen“, alternativ um „Diese Website wurde möglicherweise gehackt“.
Findet der Hoster bei einem eigenen Malware-Scan etwas, bekommst du Post oder deine Website ist plötzlich abgeschaltet; nicht jeder Hoster scannt. Hat jemand deinen Server als Spamschleuder benutzt, führt ihn womöglich eine Blacklist, und deine Mails prallen ab oder enden beim Empfänger im Spam.
Im Backend, der Oberfläche, über die du Inhalte pflegst, taucht ein unbekannter Administrator auf, oder dein eigenes Passwort funktioniert nicht mehr. Besucher geraten auf fremde Adressen, teils nur auf dem Smartphone oder beim Weg über Google. Und Google führt unter deiner Domain Seiten, die von keinem aus deinem Team stammen.
TYPO3 · Shopware · Joomla · WordPress
Der Befund legt fest, welche dieser Arbeiten anfallen.
Spuren
Erste Arbeit, noch vor jeder Änderung: Dateien und Datenbank werden gesichert, ebenso die Logs des Servers, also seine Protokolle, falls der Hoster welche bereitstellt. In diesen Daten lässt sich nachvollziehen, wo der Eindringling hereinkam und welche Änderungen von ihm stammen.
Befund
Im Abgleich mit den Herstellerdateien fällt auf, was nicht hingehört: Backdoors (Hintertüren), eingeschleuste Dateien, Umleitungen in der Serverdatei .htaccess, fremde Cronjobs (Aufgaben, die der Server nach Zeitplan startet) und Code in der Datenbank. Gehören weitere Websites zum selben Hosting-Paket, bekommen sie dieselbe Prüfung, sonst könnte der Befall über sie zurückkehren.
Bereinigung
Ein Neuaufbau ist nicht nötig; ich reinige, was du hast. Wo Standarddateien befallen sind, spiele ich das saubere Herstelleroriginal ein, eigene Dateien prüfe ich Datei für Datei und entferne fremde Zeilen, auch die Datenbank wird gesäubert. Für Fremdseiten unter deiner Domain sorge ich dafür, dass Suchmaschinen sie als gelöscht führen.
Zugänge
Ich lösche jeden Administrator, den du nicht kennst, und setze neue Passwörter für Backend, Datenbank und den FTP-Zugang zu den Dateien; du bekommst sie auf einem eigenen Kanal. Läuft WordPress, bekommt die Installation neue WordPress-Sicherheitsschlüssel. Das wirft jeden Angemeldeten hinaus, den Angreifer eingeschlossen.
Lücke
Genau dort, wo der Angreifer durchkam, wird abgedichtet. Dazu gehören je nach Fall ein Update oder Austausch alter Plugins und Themes, korrigierte Dateirechte und eine aktuellere PHP-Version, sofern die Website sie verträgt. Ohne Abdichtung wäre die nächste Infektion absehbar.
Freigabe
Ist die Bereinigung durch, bitte ich Google über die Search Console um eine erneute Prüfung und den Hoster um Freigabe; landeten Domain oder Server auf einer Sperrliste (Blacklist), lasse ich sie dort streichen.
Bericht
Möchtest du einen Bericht, steht darin jeder Fund samt Beseitigung, die wahrscheinliche Einbruchsstelle und mein Rat, wie es weitergeht. Ein Gerichtsgutachten ersetzt er nicht.
Wie läuft das ab?
Drei Dinge helfen schon vor unserem Gespräch. Erstens: Nimm ein sicher sauberes Gerät und ändere dort die Passwörter von Mailpostfach und Hoster-Kundenkonto. Zweitens: Ruf die befallene Website nicht auf deinem eigenen Rechner auf, sonst gelangt womöglich Schadsoftware darauf. Drittens: Lösch nichts und spiel kein Backup ein; beides tilgt die Spuren, an denen ich den Einfallsweg erkenne.
Die Adresse deiner Website reicht für den Anfang. Gibt es schon eine Nachricht deines Hosters oder hast du die Warnung abfotografiert, schick beides mit. Nach einer Prüfung von außen erkläre ich dir, welche Spuren auf einen Angriff deuten und wie ich vorgehen würde.
Im Anschluss an die Ersteinschätzung erhältst du den Festpreis samt einer Liste meiner benötigten Zugänge. Nach deinem Ja planen wir den Start, und je eiliger die Lage, desto eher geht es los. Die Arbeit erledige ich aus der Ferne.
Bevor irgendetwas verschwindet, landen alle Spuren in einer Sicherung; erst dann geht es der Malware an den Kragen, und das Einfallstor wird dicht gemacht. Gefährdet die Seite ihre Besucher mit Schadsoftware, Phishing oder Umleitungen, halte ich es für richtig, sie bis zum Ende der Arbeiten für Besucher zu schließen.
Formulare, Login und Shop müssen wieder fehlerfrei laufen; erst danach geht die Website wieder ans Netz. Auf Wunsch fasse ich alles in einem Bericht zusammen.
Wie lange dauert das?Bereinigt meist binnen eines Arbeitstags
Gerechnet ab dem Start, ist die Website in den meisten Fällen nach einem Arbeitstag bereinigt.
Die Google-Warnung hat ihren eigenen Takt. Sie bleibt stehen, bis die von mir beantragte Prüfung durch ist; das zieht sich über einige Tage bis mehrere Wochen.
Übersehe ich etwas und derselbe Befall kehrt zurück, beseitige ich ihn kostenlos, auch nach Monaten noch. Wer dagegen auf einem neuen Weg eindringt, löst einen neuen Auftrag aus; für von mir gewartete Websites gilt das nicht.
Versprechen kann ich nicht, dass nie wieder jemand einbricht. Ich räume so gründlich auf und dichte so weit ab, wie es möglich ist.
Was kostet das?Prüfung gratis, Preis vorab, Zahlung danach
Die Ersteinschätzung gibt es kostenlos, danach mache ich dir einen Festpreis.
Ersteinschätzungkostenlos
Den Betrag zahlst du, nachdem die Bereinigung beendet ist.
BereinigungFestpreis, einmalig
Vom Befund über Bereinigung und Lückenschluss bis zum letzten Antrag, der Warnungen oder Sperren beendet, deckt der Festpreis alles ab.
Wer danach zusätzlich härten möchte, kann das als Website-Sicherheit beauftragen; Pflicht ist es nicht. Meine Wartung und Hosting gibt es nur für Websites, die ich gebaut habe, und trifft es eine davon, fällt für die Bereinigung kein neuer Preis an.
Nach der Ersteinschätzung entscheidest du frei, ob du beauftragst.
Kein Abo, keine Laufzeit: ein einzelner Auftrag.
Herstellerdateien sind meist ersetzbar: Bei WordPress lassen sich Kern, Themes (Designvorlagen) und Plugins (Erweiterungen) in der Regel frisch laden. Was du selbst geschrieben, verändert oder hochgeladen hast, gibt es dagegen nirgends ein zweites Mal. Hat der Angreifer es gelöscht und fehlt eine Sicherung, bleibt nur der Rest, der noch auf dem Server liegt.
Entdecke ich bei der Arbeit tiefer sitzenden Befall, als der Blick von außen zeigte, hörst du vorab, ob sich am Festpreis etwas ändert, und ich mache erst mit deinem Ja weiter.
Eine Website gilt bei mir als sauber, wenn ich keinen Schadcode mehr aufspüre, kein unbekannter Zugang übrig ist und alle entdeckten Lücken zu sind.
Bleibt der Scan stumm, kann trotzdem etwas abgeflossen sein. Bei personenbezogenen Daten, zum Beispiel Bestellungen und Kundenkonten, schreibt Art. 33 DSGVO unter Umständen eine Meldung vor, „unverzüglich und möglichst binnen 72 Stunden“, wobei die Frist mit der Kenntnis des Verantwortlichen startet. Ich sage dir, soweit mein Wissen reicht, ob die Pflicht greift; eine rechtliche Beratung ersetzt das nicht. Von mir erhältst du die vollständigen technischen Befunde, Hinweise auf einen Abfluss sofort.
Vier Aufgaben fallen auf dich.
Ich beginne erst, wenn belegt ist, wem die Website gehört: dir oder deinem Betrieb. Das schützt Websites davor, auf Zuruf Unbefugter verändert zu werden. Belegen lässt sich das etwa mit einer Hostingrechnung, die an dich oder an deinen Betrieb adressiert ist, oder mit dem Zugriff auf dein Hoster-Kundenkonto. Was davon genügt, entscheidet der Einzelfall.
Ich brauche Zugang zu Hosting, Backend, Domain und vorhandenen Backups, außerdem zur Google Search Console, wenn ihr sie nutzt. Sag mir dazu, welche Personen noch Zugriff haben, welche Software zuletzt dazukam und ab welchem Tag dir Merkwürdiges aufgefallen ist. Kommt wegen einer Hoster-Sperre niemand mehr an die Dateien, vereinbarst du mit dem Hoster einen Zugang nur für mich, damit ich bereinigen kann. Besucher bleiben dabei ruhig ausgesperrt.
Ob die Website vorerst offline geht, ob wir eine Sicherung zurückspielen und ob eine Funktion gestrichen wird, weil sich kein sicherer Ersatz findet, entscheidest du; von mir bekommst du eine Empfehlung und die Folgen jeder Option. Neu programmieren lassen kannst du sie anschließend als eigenen Auftrag.
Konten außerhalb der Website sicherst du selbst mit neuen Passwörtern, vor allem überall dort, wo ein Passwort mehrfach verwendet wurde. Für meldepflichtige Datenpannen bietet der Landesbeauftragte für den Datenschutz Niedersachsen eine Online-Meldung an; zur Fristwahrung darf sie auch vorläufig und unvollständig sein. Ist für die Betroffenen voraussichtlich mit einem hohen Risiko zu rechnen, verpflichtet dich Art. 34 DSGVO meist, sie ebenfalls unverzüglich zu benachrichtigen. Die Strafanzeige richtest du als Betrieb an die Zentrale Ansprechstelle Cybercrime (ZAC) des LKA Niedersachsen, die erste polizeiliche Anlaufstelle für Unternehmen.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.