Ist deine Website gehackt, hole ich die Malware heraus, mache die Sicherheitslücke dicht und beantrage, dass Warnungen und Sperren wieder aufgehoben werden. Betrieben in Braunschweig helfe ich dabei unabhängig von Hoster und System: TYPO3, WordPress, Shopware, Joomla oder jedes andere.
Meist schätze ich die Lage noch am Tag deiner Meldung ein, anschließend bekommst du einen Festpreis. Du erreichst mich auch nach Feierabend und am Wochenende – per Telefon, WhatsApp oder über das Formular.
Manchmal kommt der erste Hinweis gar nicht von dir selbst, sondern vom Hoster oder von einem Kunden. Angreifer tarnen ihre Inhalte mitunter gezielt so, dass gerade der Inhaber sie nicht zu sehen bekommt. Deshalb gilt: Schon ein Verdacht ist Grund genug für die Ersteinschätzung.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Wer deine Adresse in Chrome aufruft, sieht statt der Startseite eine rote Fläche mit „Gefährliche Website“. Bei Google steht unter deinem Treffer „Diese Website wurde möglicherweise gehackt“, in anderen Fällen „Diese Website kann Ihren Computer beschädigen“.
Einige Hoster prüfen ihre Server selbst auf Malware. Finden sie etwas, bekommst du eine Mail, oder die Website ist plötzlich offline. Auch deine eigenen Mails können betroffen sein: Wurde über deinen Server Spam verschickt, steht er womöglich auf einer Blacklist, und Nachrichten werden abgelehnt oder als Spam aussortiert.
Besucher landen auf fremden Seiten – teils nur, wenn sie per Smartphone oder aus der Google-Suche kommen. Unter deiner Domain erscheinen in den Suchergebnissen Seiten, die nie jemand von euch angelegt hat. Und im Backend, also dem Verwaltungsbereich der Website, ist ein Administrator aufgetaucht, den keiner kennt, oder deine eigene Anmeldung schlägt fehl.
TYPO3 · WordPress · Shopware · Joomla
Was davon anfällt, zeigt erst der Befund.
Spuren
Noch bevor ich etwas verändere, ziehe ich eine Sicherung von Dateien und Datenbank und hole mir die Protokolle des Servers (Logs), soweit es sie gibt. Darin suche ich, auf welchem Weg der Angreifer kam und was er angefasst hat.
Befund
Ich gleiche die Programmdateien mit den Originalen des Herstellers ab und suche nach Hintertüren (Backdoors), untergeschobenen Dateien, Umleitungen in der Steuerdatei .htaccess, fremden zeitgesteuerten Aufgaben (Cronjobs) und Code, der in der Datenbank steckt. Weitere Websites im selben Hosting-Paket schaue ich mir ebenfalls an, weil der Befall sonst von dort zurückkehren kann.
Zugänge
Administratoren, die keiner kennt, lösche ich. Für Backend, Dateizugang (FTP) und Datenbank vergebe ich neue Passwörter und übergebe sie dir auf separatem Weg. Bei WordPress erneuere ich außerdem die WordPress-Sicherheitsschlüssel – das beendet sämtliche offenen Sitzungen, die des Angreifers eingeschlossen.
Bereinigung
Deine bestehende Installation wird gereinigt, nicht ersetzt: Standarddateien mit Befall tausche ich gegen saubere Originale, deine eigenen Dateien prüfe ich Stück für Stück, Eingeschleustes kommt weg, und die Datenbank bringe ich in Ordnung. Fremdseiten, die unter deiner Domain hinzugekommen sind, nehme ich so heraus, dass auch Suchmaschinen sie als gelöscht registrieren.
Lücke
Die Stelle, über die der Angreifer hereinkam, mache ich dicht: Veraltete Plugins und Themes bringe ich auf den neuesten Stand oder ersetze sie, Dateirechte korrigiere ich, und die PHP-Version hebe ich an, soweit deine Website das mitmacht. Bleibt dieser Schritt aus, droht schon bald der nächste Befall.
Freigabe
Nach der Bereinigung stelle ich in der Google Search Console den Antrag auf Überprüfung und bitte den Hoster um Freigabe. Wurde deine Domain oder der Server auf eine Blacklist gesetzt, beantrage ich auch dort die Austragung.
Bericht
Auf Wunsch fasse ich zusammen, welche Funde ich gemacht und beseitigt habe, was über den Einfallsweg bekannt ist und welche Schritte ich dir danach rate. Als Gerichtsgutachten ist er nicht gedacht.
Wie läuft das ab?
Bis wir telefonieren, drei Dinge: Ändere die Passwörter für dein E-Mail-Postfach und dein Kundenkonto beim Hoster, und zwar an einem Gerät, das nicht befallen ist. Lass alles, wie es ist – kein Löschen, kein Zurückspielen einer Sicherung, denn damit gehen Hinweise auf den Einfallsweg verloren. Und ruf die befallenen Seiten nicht selbst im Browser auf, damit sich dein eigener Rechner nichts einfängt.
Schick mir die Adresse deiner Website, dazu – falls vorhanden – die Nachricht des Hosters oder ein Bildschirmfoto der Warnung. Von außen sehe ich nach, welche Spuren eines Angriffs sich zeigen, und sage dir, wie es weitergeht.
Auf die Einschätzung folgt der Festpreis zusammen mit einer Liste der Zugänge, die ich brauche. Sagst du zu, legen wir den Beginn danach fest, wie eilig es ist. Gearbeitet wird aus der Ferne.
Als Erstes halte ich die Spuren fest, danach entferne ich die Malware und verschließe das Einfallstor. Bringt die Website Besucher in Gefahr – durch Schadsoftware, Phishing oder Umleitungen –, empfehle ich, sie bis zum Abschluss der Bereinigung für Besucher zu sperren.
Bevor die Seite wieder erreichbar ist, teste ich Formulare, Anmeldung und Shop. Läuft alles, schalte ich sie frei. Wenn du willst, schreibe ich dir einen Bericht dazu.
Wie lange dauert das?In der Regel ein Arbeitstag
Ab dem Start ist eine Bereinigung meist binnen eines Arbeitstags erledigt.
Auch wenn die Malware weg ist, bleibt Googles Warnhinweis stehen, bis die beantragte Überprüfung durch ist. Das kann wenige Tage, aber auch mehrere Wochen dauern.
Taucht derselbe Befall wieder auf, weil mir etwas entgangen ist, entferne ich ihn erneut, ohne einen neuen Preis zu verlangen – auch nach Monaten. Dringt jemand über eine andere Lücke ein, ist das ein neuer Auftrag; ausgenommen sind Websites, die ich warte.
Eine Garantie, dass künftig kein Angriff mehr gelingt, gibt es nicht. Ich bereinige und dichte ab, so weit es möglich ist.
Was kostet das?Erst kostenlos einschätzen, dann Festpreis
Für die Ersteinschätzung zahlst du nichts; was die Bereinigung kostet, sage ich dir danach als Festpreis.
Ersteinschätzungkostenlos
Die Rechnung kommt erst, wenn die Bereinigung abgeschlossen ist.
BereinigungFestpreis, einmalig
Darin stecken der Befund, die Bereinigung selbst, das Schließen der Lücke und die Anträge, damit Warnungen und Sperren aufgehoben werden.
Willst du die Website danach zusätzlich härten lassen, ist das freiwillig und läuft als eigener Auftrag unter Website-Sicherheit. Wartung und Hosting übernehme ich nur für Websites, die ich selbst gebaut habe; trifft ein Hack eine von mir gewartete Website, bereinige ich sie ohne neuen Preis.
Unverbindlich bleibt die Ersteinschätzung in jedem Fall.
Einmal beauftragt, einmal erledigt – ohne Vertragslaufzeit.
Was vom Hersteller stammt – bei WordPress etwa der Kern, die Erweiterungen (Plugins) und die Designvorlagen (Themes) –, kann ich meist frisch herunterladen. Bei deinen eigenen Inhalten, Anpassungen und hochgeladenen Dateien geht das nicht: Hat der Angreifer sie gelöscht und fehlt eine Sicherung, lässt sich nur retten, was noch da ist.
Findet sich bei der Bereinigung mehr Befall, als von außen erkennbar war, kündige ich an, ob sich der Festpreis dadurch ändert. Weiter geht es erst, wenn du zugestimmt hast.
Als sauber gilt sie, wenn sich kein Schadcode mehr findet, kein fremder Zugang mehr besteht und die entdeckten Lücken dicht sind.
Auch wenn der Scan nichts findet, können Daten abgeflossen sein. Sind personenbezogene Daten im Spiel, zum Beispiel Kundenkonten oder Bestellungen, ist unter Umständen eine Meldung nach Art. 33 DSGVO Pflicht, und zwar „unverzüglich und möglichst binnen 72 Stunden“ ab dem Moment, in dem der Verantwortliche von der Verletzung erfährt. Ob diese Pflicht greift, schätze ich ein, soweit ich es beurteilen kann; eine Rechtsberatung ist das nicht. Du bekommst von mir alle technischen Befunde, Anzeichen für einen Datenabfluss ohne jede Verzögerung.
Bei vier Punkten bist du gefragt.
Ohne einen solchen Nachweis lege ich nicht los – so kann niemand die Website eines anderen verändern lassen. Geeignet ist zum Beispiel eine Rechnung fürs Hosting, ausgestellt auf dich oder deinen Betrieb, oder dein Kundenkonto beim Hoster; ob das genügt, entscheide ich im Einzelfall.
Ich brauche Zugang zu Hosting, Backend und Domain, zu vorhandenen Backups und – falls du sie nutzt – zur Google Search Console. Erzähl mir außerdem, wer sonst noch Zugriff hat, was du oder andere zuletzt installiert haben und ab wann dir etwas komisch vorkam. Hat der Hoster auch den Dateizugang gesperrt, sprichst du mit ihm ab, wie ich zum Bereinigen hineinkomme; Besucher können dabei ausgesperrt bleiben.
Ob die Website vom Netz geht, ob ein Backup eingespielt wird und ob eine Funktion ohne sichere Alternative entfällt, bestimmst du. Ich sage dir, wozu ich rate und was daraus folgt. Soll eine solche Funktion neu gebaut werden, ist das ein eigener Auftrag.
Alle Passwörter, die nicht zur Website gehören, änderst du selbst – auch dort, wo du dasselbe Passwort sonst noch nutzt. Eine meldepflichtige Datenpanne meldest du online beim Landesbeauftragten für den Datenschutz Niedersachsen; fehlen noch Angaben, geht das zur Fristwahrung auch vorläufig. Droht den Betroffenen voraussichtlich ein hohes Risiko, verlangt Art. 34 DSGVO in der Regel, sie ebenfalls unverzüglich zu informieren – das liegt bei dir. Für eine Strafanzeige ist bei der Polizei die Zentrale Ansprechstelle Cybercrime (ZAC) beim Landeskriminalamt Niedersachsen der erste Kontakt für Betriebe.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.