Ist deine Website gehackt, sodass du womöglich nicht einmal mehr ins Backend kommst, befreie ich sie von der Malware, mache die Sicherheitslücke zu und sorge mit Anträgen bei Google, Hoster und Blacklists dafür, dass Warnungen und Sperren enden. Betriebe in Göttingen bekommen diese Hilfe für WordPress, Shopware, Joomla, TYPO3 und jedes andere System, bei jedem Hoster.
Mit einer Ersteinschätzung kannst du meist noch am Tag deiner Anfrage rechnen, anschließend mit einem Festpreis. Ob Anruf, WhatsApp oder Formular: Du erreichst mich ebenso am Abend und am Wochenende.
Ob wirklich ein Hack vorliegt, musst du nicht wissen; ein Verdacht reicht mir für die Ersteinschätzung. Manchmal bemerkt der Inhaber gar nichts, denn der Schadcode erkennt mitunter, wer hinschaut, und zeigt ihm eine unauffällige Seite.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Chrome stellt deiner Website eine rote Seite voran, Titel: „Gefährliche Website“. In der Trefferliste von Google erscheint bei deinem Eintrag „Diese Website wurde möglicherweise gehackt“, bei manchen Funden lautet der Hinweis „Diese Website kann Ihren Computer beschädigen“.
Deine Mails werden abgewiesen oder verschwinden beim Empfänger im Spamordner, zum Beispiel, weil von deinem Server Spam ausging, der ihn auf eine Blacklist gebracht hat. Manche Hoster überprüfen ihre Server von sich aus auf Malware; finden sie etwas, schreiben sie dich an oder sperren die Website.
Dein Login ins Backend, also in den Verwaltungsbereich der Website, wird abgelehnt, oder dort steht plötzlich ein Administrator, den niemand von euch kennt. Gäste aus der Google-Suche oder am Handy werden auf fremde Seiten umgelenkt. In den Suchergebnissen erscheinen unter deiner Domain Seiten, die keiner von euch gebaut hat.
WordPress · Shopware · Joomla · TYPO3
Welche Etappen dein Fall braucht, zeigt der Befund.
Spuren
Damit nichts verloren geht, sichere ich als Allererstes Dateien und Datenbank, außerdem jedes Server-Log, das der Hoster aufbewahrt (Protokolle über Zugriffe und Vorgänge). Daraus lese ich ab, auf welchem Weg der Angriff kam und was danach verändert wurde.
Befund
Programmdateien, die vom Original des Herstellers abweichen, sehe ich mir genau an. Ich suche Backdoors (Hintertüren für spätere Besuche), eingeschleuste Dateien, Weiterleitungen in der .htaccess, der Konfigurationsdatei des Servers, fremde Cronjobs, die zeitgesteuert laufen, und Code, der sich in Datenbanktabellen versteckt. Teilen sich andere Websites dein Hosting-Paket, nehme ich auch sie unter die Lupe; ein übersehener Nachbar könnte alles neu infizieren.
Bereinigung
Deine Installation bleibt erhalten und wird nur gesäubert. Statt befallener Standarddateien hole ich frische Originale vom Hersteller, deine eigenen Dateien kontrolliere ich Stück um Stück auf Eingeschleustes, und in der Datenbank entferne ich, was nicht hineingehört. Die Fremdseiten unter deiner Domain nehme ich so vom Netz, dass Suchmaschinen merken: Diese Adressen gibt es nicht mehr.
Lücke
Den Weg, auf dem der Angreifer hineinkam, schließe ich: Plugins und Themes ohne aktuelle Fassung werden erneuert oder ersetzt, Dateirechte richtig gesetzt und PHP auf eine neuere Version gehoben, sofern die Website das verträgt. Sonst käme die nächste Infektion vermutlich auf demselben Weg.
Zugänge
Konten mit Administratorrechten, die dir fremd sind, lösche ich. Neue Passwörter bekommen Backend, Datenbank und der FTP-Zugang, über den die Dateien erreichbar sind; ich übermittle sie dir getrennt. Bei WordPress setze ich zusätzlich neue WordPress-Sicherheitsschlüssel. Danach muss sich jeder neu anmelden, auch ein Angreifer, der noch eingeloggt war.
Freigabe
Ist alles sauber, beantrage ich bei Google per Search Console eine neue Überprüfung, beim Hoster die Freigabe. Für Blacklist-Einträge von Domain oder Server beantrage ich die Löschung.
Bericht
Ein Bericht, wenn du ihn willst, hält Funde und Entferntes fest, außerdem den wahrscheinlichen Weg des Angreifers und meinen Rat für die nächsten Schritte. Ein Gerichtsgutachten ist er ausdrücklich nicht.
Wie läuft das ab?
Bis zum Gespräch zählen drei Regeln. Lass Dateien und Sicherungen unberührt: Jede Löschung und jedes eingespielte Backup kann genau die Hinweise vernichten, an denen sich der Einbruch zurückverfolgen lässt. Neue Passwörter für E-Mail-Postfach und Hoster-Kundenkonto setzt du ausschließlich an einem unbefallenen Gerät. Und besuch die befallene Seite nicht vom eigenen Computer aus; er könnte dabei Schaden nehmen.
Zum Start genügt die Webadresse; hast du eine Hoster-Nachricht oder ein Foto der Warnung, leite sie weiter. Ein Blick von außen zeigt mir erste Spuren, anschließend erfährst du, was ich gesehen habe und welchen Weg ich vorschlage.
Mit der Einschätzung kommt ein Festpreis, dazu eine Aufzählung der Zugänge, ohne die ich nicht arbeiten kann. Stimmst du zu, richtet sich der Starttermin nach der Dringlichkeit. Ich arbeite über eine Fernverbindung.
Bevor ich etwas entferne, sind alle Spuren gesichert. Danach wird die Malware gelöscht und das Einfallstor versperrt. Werden Besucher durch Schadsoftware, Phishing oder Umleitungen gefährdet, empfehle ich eine Besuchersperre, solange die Säuberung läuft.
Zum Abschluss kommen Formulare, Login und Shop auf den Prüfstand. Klappt alles, ist die Website wieder öffentlich erreichbar. Einen schriftlichen Bericht gibt es auf Wunsch.
Wie lange dauert das?Ein Arbeitstag reicht meistens
Gezählt ab Arbeitsbeginn, brauchen die meisten Bereinigungen nicht mehr als einen Arbeitstag.
Eine Ausnahme ist Google: Der Warnhinweis verschwindet dort erst mit Abschluss der Überprüfung, die ich beantrage; darüber vergehen einige Tage, manchmal mehrere Wochen.
Kehrt derselbe Befall zurück und liegt das an etwas, das ich übersehen habe, beseitige ich ihn erneut ohne Kosten, selbst nach Monaten. Kommt ein Angreifer anders herein, ist das ein neuer Auftrag; liegt die Website in meiner Wartung, gilt das nicht.
Absolute Sicherheit vor künftigen Angriffen kann niemand zusagen; ich tue, was technisch möglich ist, um gründlich zu bereinigen und abzudichten.
Was kostet das?Kostenlos einschätzen lassen, zum Festpreis bereinigen
Die erste Einschätzung bekommst du kostenlos, die Bereinigung zu einem festen Preis.
Ersteinschätzungkostenlos
Zahlbar ist der Festpreis nach Abschluss der Bereinigung.
BereinigungFestpreis, einmalig
Der Preis umfasst Befund, Bereinigung und das Schließen der Sicherheitslücke, dazu jeden Antrag, der Warnungen und Sperren wieder aufheben soll.
Eine Härtung der Website im Anschluss ist freiwillig und als Website-Sicherheit separat buchbar. Wartung und Hosting übernehme ich ausschließlich für selbst entwickelte Websites; wird eine davon trotz meiner Wartung gehackt, bleibt die Bereinigung für dich ohne Aufpreis.
Die Ersteinschätzung bleibt für dich unverbindlich.
Du bindest dich nicht: einmaliger Auftrag, keine Laufzeit.
Standarddateien sind meist kein Problem, denn der Hersteller stellt sie erneut bereit; bei WordPress gehören dazu Designvorlagen (Themes), Erweiterungen (Plugins) und der Kern. Anders bei allem, was speziell für dich entstanden ist: Inhalte, Anpassungen und hochgeladene Dateien. Fehlen sie nach dem Angriff und existiert kein Backup, rette ich, was übrig geblieben ist.
Ergibt sich bei der Arbeit, dass mehr befallen ist als von außen erkennbar, kläre ich mit dir vorab, ob der Festpreis gleich bleibt; ohne deine Zustimmung arbeite ich nicht weiter.
Als sauber bezeichne ich deine Website, wenn drei Bedingungen erfüllt sind: kein Schadcode auffindbar, kein fremder Zugang mehr vorhanden, gefundene Lücken geschlossen.
Auch ein sauberer Scan sagt nichts darüber, ob vorher Daten abgeflossen sind. Betrifft das personenbezogene Daten, etwa Kundenkonten oder Bestellungen, greift unter Umständen Art. 33 DSGVO mit der Meldefrist „unverzüglich und möglichst binnen 72 Stunden“; maßgeblich ist, wann der Verantwortliche davon erfährt. Ich gebe dir dazu meine Einschätzung, soweit mein Wissen reicht; als Rechtsberatung ist sie nicht zu verstehen. Technische Befunde reiche ich dir komplett weiter; deutet etwas auf einen Abfluss hin, erfährst du es unmittelbar.
Vier Beiträge kommen von dir.
Ich lege erst los, wenn feststeht, dass die Website deinem Betrieb oder dir persönlich gehört; das schützt vor Aufträgen für fremde Websites. Als Nachweis taugen zum Beispiel ein Zugang zum Kundenkonto deines Hosters oder eine Hoster-Rechnung auf deinen Namen oder den Firmennamen; ob das ausreicht, entscheide ich je nach Fall.
Gib mir Zugriff auf Hosting, Backend, Domain, bestehende Backups und, wenn vorhanden, die Google Search Console. Wichtig für die Spurensuche: wer sich außer dir anmelden kann, welche Installation zuletzt hinzukam und seit wann dir Ungewöhnliches auffällt. Blockiert der Hoster auch den Dateizugriff, bist du es, der mit ihm klärt, wie ich zur Bereinigung an die Dateien komme; die Website darf für Besucher gesperrt bleiben.
Drei Entscheidungen nehme ich dir nicht ab: Geht die Website offline? Kommt ein Backup zurück? Opferst du eine Funktion, für die kein sicherer Nachbau möglich ist? Zu jeder Frage bekommst du meine Empfehlung samt Folgen. Einen späteren Neubau dieser Funktion beauftragst du gesondert.
Neue Passwörter für Konten außerhalb der Website legst du selbst fest, zuerst überall, wo bisher ein und dasselbe Passwort im Einsatz war. Meldepflichtige Datenpannen reichst du beim Landesbeauftragten für den Datenschutz Niedersachsen ein; online ist das auch vorläufig möglich, solange noch Angaben fehlen, damit du die Frist hältst. Bringt der Vorfall den Betroffenen voraussichtlich ein hohes Risiko, schreibt Art. 34 DSGVO meist vor, sie unverzüglich zu informieren; das ist deine Aufgabe. Eine Anzeige erstattest du zuerst bei der ZAC, der Zentralen Ansprechstelle Cybercrime im LKA Niedersachsen; sie ist bei der Polizei die erste Adresse für Betriebe.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.