Ist deine Website gehackt und meldet dein Hoster bereits Malware per Mail, entferne ich die Malware, mache das Einfallstor zu und kümmere mich um die Anträge bei Hoster, Google und Blacklists, bis Sperren und Warnungen aufgehoben sind. Ich arbeite für Betriebe in Hildesheim mit Shopware, TYPO3, WordPress, Joomla und jedem anderen System, beim Hoster ihrer Wahl.
Meist liegt die erste Einschätzung vor, bevor der Tag zu Ende ist; der Festpreis folgt. Anrufen, per WhatsApp schreiben oder das Formular nutzen geht auch abends und samstags oder sonntags.
Hast du bloß einen Verdacht, reicht das schon für die Ersteinschätzung. Es kann sogar sein, dass du selbst nichts siehst, weil der Angreifer seine Inhalte so ausliefert, dass sie dem Inhaber verborgen bleiben.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Öffnet jemand deine Website in Chrome, erscheint statt der Seite eine rote Fläche: „Gefährliche Website“. Vermutet Google Schadsoftware, steht beim Suchergebnis „Diese Website kann Ihren Computer beschädigen“, bei anderen gehackten Inhalten „Diese Website wurde möglicherweise gehackt“.
Manche Hoster durchleuchten ihre Server selbst nach Schadcode und schreiben dir, sobald sie fündig werden; mitunter ist die Website dann schon abgeschaltet. Gleichzeitig weist mancher Empfänger deine Mails zurück oder steckt sie in den Spamordner, etwa wenn dein Server Spam verschickt hat und deshalb auf einer Blacklist gelandet ist.
In der Google-Suche stehen unter deiner Domain Seiten, von denen du nichts weißt. Besucher landen mitunter auf fremden Adressen, manchmal ausschließlich, wenn sie mobil oder über Google kommen. Im Backend, also der Admin-Oberfläche deiner Website, ist ein unbekannter Administrator hinzugekommen, oder dein Login wird verweigert.
Shopware · TYPO3 · WordPress · Joomla
Der Befund zeigt, welche dieser Arbeiten dein Fall braucht.
Spuren
Bevor ich irgendetwas anrühre, entsteht eine vollständige Kopie von Dateien und Datenbank; dazu hole ich mir die Server-Logs, also die Protokolle, soweit der Hoster sie liefert. Daran lässt sich ablesen, auf welchem Weg der Angreifer hereinkam und welche Dateien er anfasste.
Befund
Abweichungen der Programmdateien von den Herstelleroriginalen zeigen mir, wo etwas faul ist. Ich suche nach Backdoors (Hintertüren), untergeschobenen Dateien, Umleitungen, die jemand in die .htaccess eingetragen hat, Cronjobs (Aufgaben nach Zeitplan), die nicht von euch stammen, und Code, der in die Datenbank eingeschleust wurde. Auch Nachbar-Websites im gleichen Hosting-Paket gehören zur Prüfung, weil der Befall sonst über sie zurückkehren könnte.
Lücke
Ich verschließe die Lücke, über die der Angriff lief: Plugins und Themes, die veraltet sind, aktualisiere oder tausche ich, falsch gesetzte Dateirechte berichtige ich, und auf eine neuere PHP-Version stelle ich um, solange die Website das mitmacht. Bleibt die Lücke, ist eine erneute Infektion wahrscheinlich.
Bereinigung
Ich reinige deine bestehende Installation, statt sie neu aufzusetzen. An die Stelle befallener Standarddateien treten saubere Herstellerversionen; eigene Dateien kontrolliere ich einzeln, entferne Eingeschleustes und säubere die Datenbank. Für Seiten, die Angreifer unter deiner Domain eingeschleust haben, melde ich Suchmaschinen über den passenden Statuscode, dass es sie nicht mehr gibt.
Zugänge
Jeder Administrator, den niemand kennt, wird gelöscht. Für Backend, FTP (also den Dateizugang) und Datenbank vergebe ich frische Passwörter und gebe sie dir auf getrenntem Weg. Läuft WordPress, tausche ich außerdem die WordPress-Sicherheitsschlüssel; jede laufende Sitzung endet damit, die des Eindringlings inklusive.
Freigabe
Ist alles gereinigt, beantrage ich die erneute Prüfung durch Google in der Search Console und hole beim Hoster die Freigabe ein; Einträge von Domain oder Server in Blacklists lasse ich streichen.
Bericht
Ein Bericht auf Anfrage fasst zusammen, was ich fand und beseitigte, was sich über den Einfallsweg sagen lässt und welche Maßnahmen ich danach empfehle. Einem Gericht dient er nicht als Gutachten.
Wie läuft das ab?
Bis wir telefonieren: Ruf die befallene Website nicht mit deinem eigenen Gerät auf, es könnte sich Schadsoftware einfangen. Rühre Dateien und Backups nicht an; ein gelöschter Ordner oder eine eingespielte Sicherung kann die Spuren tilgen, die zum Einfallsweg führen. Die Passwörter für Mailkonto und Hoster-Login erneuerst du anschließend an einem nachweislich sauberen Gerät.
Für den Anfang reicht die Webadresse; liegt die Hoster-Mail mit dem Malware-Befund vor oder hast du die Warnung als Screenshot, schick das gleich mit. Nach einem ersten Blick von außen erfährst du, welche Spuren ich entdeckt habe und was ich vorschlage.
Anschließend bekommst du den Festpreis und eine Übersicht, welche Zugänge ich benötige. Sagst du zu, starten wir je nach Dringlichkeit. Die Arbeit läuft über einen Fernzugriff.
Erst wenn alle Spuren gesichert sind, lösche ich die Malware und dichte den Weg ab, über den der Angreifer hereinkam. Verbreitet die Website Schadsoftware, betreibt sie Phishing oder leitet sie Besucher um, rate ich, Besucher vorerst auszusperren, bis die Bereinigung abgeschlossen ist.
Steht die bereinigte Website, probiere ich Formulare, Login und Shop durch; laufen sie, schalte ich die Seite wieder frei. Einen Bericht dazu schreibe ich auf Wunsch.
Wie lange dauert das?In der Regel an einem Arbeitstag sauber
Sobald ich loslege, ist die Website meist binnen eines Arbeitstags sauber.
Googles Warnhinweis bleibt länger stehen: Er fällt erst weg, wenn die von mir beantragte Überprüfung abgeschlossen ist, also nach einigen Tagen bis mehreren Wochen.
Ist mir etwas durchgegangen und meldet sich derselbe Befall wieder, entferne ich ihn ohne erneute Kosten, auch nach Monaten. Ein Einstieg über eine andere Lücke ist dagegen ein neuer Auftrag, außer die Website steht unter meiner Wartung.
Niemand kann künftige Angriffe ausschließen; mein Job ist, gründlich zu bereinigen und so weit wie möglich abzudichten.
Was kostet das?Erst kostenlos prüfen, dann zum Festpreis bereinigen
Gratis ist die Ersteinschätzung; die Bereinigung bekommst du danach zum Festpreis angeboten.
Ersteinschätzungkostenlos
Die Zahlung wird fällig, sobald die Bereinigung erledigt ist.
BereinigungFestpreis, einmalig
Befund, Bereinigung und Lückenschluss sind inbegriffen, ebenso alle Anträge bei Google, Hoster und Blacklists, die Warnungen oder Sperren beenden sollen.
Wartung und Hosting reserviere ich für Websites, die ich selbst programmiert habe; wird eine gewartete Website trotzdem gehackt, bereinige ich ohne zusätzlichen Preis. Eine Härtung danach ist deine Entscheidung und läuft als Website-Sicherheit.
Ob du nach der Ersteinschätzung beauftragst, bleibt dir überlassen.
Ein Auftrag, der mit der Bereinigung endet; Laufzeit gibt es keine.
Was ein Hersteller ausliefert, ist meistens ersetzbar: bei WordPress der Kern sowie die Plugins (also Erweiterungen) und Themes (also Designvorlagen). Was du selbst eingepflegt, angepasst und hochgeladen hast, liegt dort aber nicht. Wurde davon etwas gelöscht und fehlt ein Backup, kann ich nur noch sichern, was vorhanden ist.
Liegt innen mehr im Argen, als die Außenprüfung erkennen ließ, kläre ich vor dem Weitermachen mit dir, ob der Festpreis angepasst werden muss; erst mit deiner Zustimmung geht es weiter.
Als sauber gilt eine Website bei mir erst ohne auffindbaren Schadcode, ohne fremde Zugänge und mit geschlossenen Lücken.
Was der Scan nicht zeigt: ob Daten bereits in fremde Hände gelangt sind. Handelt es sich um personenbezogene Daten wie Bestellungen oder Kundenkonten, kann Art. 33 DSGVO verlangen, den Vorfall „unverzüglich und möglichst binnen 72 Stunden“ zu melden. Los geht diese Frist, sobald der Verantwortliche Bescheid weiß. Ob die Meldepflicht besteht, schätze ich ein, soweit mein Wissen reicht; eine Rechtsberatung ersetzt das nicht. Die technischen Ergebnisse erhältst du komplett; zeigt sich ein Hinweis auf abgeflossene Daten, melde ich mich sofort.
Vier Aufgaben bleiben bei dir.
Ohne Nachweis, dass du oder dein Betrieb die Website besitzt, beginnt keine Arbeit; so kann sich niemand über mich Zugriff auf fremde Websites verschaffen. Das kann dein Zugang zum Hoster-Kundenkonto sein oder eine Hosting-Rechnung an dich oder deinen Betrieb; ich prüfe jeweils, ob das genügt.
Ich brauche Zugriff aufs Hosting, aufs Backend und auf die Domain, auf vorhandene Sicherungen und, wenn ihr damit arbeitet, auf die Google Search Console. Hilfreich ist außerdem: Wer hat neben dir einen Zugang? Was kam als Letztes neu dazu? Seit wann wirkt etwas merkwürdig? Lässt der Hoster auch dich nicht mehr an die Dateien, verabredest du mit ihm, wie ich trotzdem bereinigen kann; die Sperre für Besucher darf so lange bleiben.
Soll die Website offline gehen, soll ein Backup zurückgespielt werden, soll eine Funktion ohne sicheren Ersatz verschwinden? Du entscheidest, und vorher erkläre ich dir meine Empfehlung samt Konsequenzen. Ein späterer Neubau der Funktion ist ein eigener Auftrag.
Für alle Dienste neben der Website vergibst du die neuen Passwörter selbst, besonders dort, wo ein Passwort doppelt genutzt wurde. Bei einer meldepflichtigen Datenpanne richtet sich deine Meldung an den Landesbeauftragten für den Datenschutz Niedersachsen; er nimmt sie online entgegen, wegen der Frist auch zunächst vorläufig, wenn Angaben noch fehlen. Bei einem voraussichtlich hohen Risiko für die Betroffenen kommt Art. 34 DSGVO dazu: Auch ihnen schickst du dann in der Regel unverzüglich eine Benachrichtigung. Die Polizei hat für Betriebe eine erste Anlaufstelle: die Zentrale Ansprechstelle Cybercrime (ZAC) beim LKA Niedersachsen; dort erstattest du die Anzeige.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.