Ist deine Website gehackt und kommen vielleicht schon deine Mails zurück, räume ich die Malware ab, schließe die Sicherheitslücke, über die der Angreifer kam, und stelle die Anträge, damit Google und Hoster ihre Warnungen und Sperren zurücknehmen. Für Betriebe in Hannover arbeite ich dabei mit Joomla, WordPress, Shopware, TYPO3 und jedem anderen System, egal bei welchem Hoster.
Die Ersteinschätzung hast du meistens am Tag deiner Meldung, im Anschluss einen Festpreis. Erreichbar bin ich auch nach Feierabend und samstags wie sonntags, per Anruf, WhatsApp oder Formular.
Ein Verdacht genügt, damit ich die Lage einschätze. Mitunter bemerkt gerade der Inhaber nichts, weil Angreifer ihre Inhalte für ihn unsichtbar halten, während Kunden sie längst sehen.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
In Chrome erscheint eine rote Seite mit dem Satz „Gefährliche Website“, wo eigentlich deine Startseite wäre. Unter deinem Google-Treffer steht „Diese Website wurde möglicherweise gehackt“; je nach Befund lautet der Hinweis stattdessen „Diese Website kann Ihren Computer beschädigen“.
Plötzlich lehnen Empfänger deine Mails ab oder sortieren sie als Spam aus, zum Beispiel, weil über deinen Server Spam lief und er nun auf einer Blacklist geführt wird. Manche Hoster prüfen ihre Server außerdem selbst auf Malware, melden einen Fund per Mail oder schalten die Website ab.
Wer über Google oder vom Handy kommt, landet manchmal auf einer fremden Seite. Unter deiner Domain finden sich in der Suche Seiten, die keiner von euch angelegt hat. Im Backend, der Verwaltung deiner Website, taucht ein Administrator auf, den niemand kennt, oder dein eigener Login funktioniert nicht mehr.
Joomla · WordPress · Shopware · TYPO3
Was genau zu tun ist, zeigt der Befund.
Spuren
Ehe ich etwas verändere, kopiere ich Dateien, Datenbank und, soweit vorhanden, die Server-Protokolle (Logs) weg. In diesen Protokollen verfolge ich den Weg des Angreifers und seine Änderungen.
Befund
Die Programmdateien gleiche ich mit den Herstellerfassungen ab. Gesucht wird nach eingeschleusten Dateien, nach Backdoors, also Hintertüren, nach fremden Cronjobs (Aufgaben, die zu festen Zeiten laufen), nach Code in der Datenbank und nach Umleitungen in der Serverdatei .htaccess. Teilt sich deine Website ein Hosting-Paket mit anderen, nehme ich die gleich mit, damit der Befall nicht von nebenan zurückkehrt.
Zugänge
Wer als Administrator eingetragen ist, ohne dass du ihn kennst, wird gelöscht. Neue Passwörter setze ich für Backend, FTP-Dateizugang und Datenbank; du erhältst sie auf einem eigenen Weg. Bei WordPress erneuere ich die WordPress-Sicherheitsschlüssel, und wer bislang angemeldet war, ob Team oder Angreifer, muss sich neu anmelden.
Bereinigung
Die Installation, die du hast, bleibt und wird gereinigt. Für befallene Standarddateien setze ich die sauberen Originale des Herstellers ein; deine eigenen Dateien gehe ich Stück für Stück durch, entferne Eingeschleustes und bringe die Datenbank in Ordnung. Fremdseiten unter deiner Domain verschwinden auf eine Weise, die auch Suchmaschinen als endgültig gelöscht verstehen.
Lücke
Am gefundenen Einfallstor setze ich an: Ich bringe veraltete Themes und Plugins auf Stand oder tausche sie aus, berichtige Dateirechte und hebe PHP auf eine neuere Version, wenn die Website damit zurechtkommt. Lasse ich das weg, steht derselbe Weg dem nächsten Angreifer offen.
Freigabe
Sobald nichts mehr zu finden ist, stelle ich in Googles Search Console den Antrag auf erneute Prüfung, und der Hoster bekommt von mir den Antrag auf Freigabe. Auch aus Blacklists, auf denen Domain oder Server gelandet sind, lasse ich sie austragen.
Bericht
Möchtest du ihn, fasst ein Bericht zusammen: meine Funde, was entfernt wurde, wie der Angreifer vermutlich hereinkam und welche nächsten Schritte ich empfehle. Vor Gericht ist er nicht als Gutachten gedacht.
Wie läuft das ab?
Bis wir sprechen: Rufe die befallenen Seiten nicht mit deinem eigenen Rechner auf, er könnte sich etwas einfangen. Lass Dateien und Backups, wie sie sind; wer löscht oder eine Sicherung einspielt, vernichtet die Spuren des Einbruchs. Und setze von einem sauberen Gerät aus neue Passwörter für dein Mailpostfach und das Kundenkonto beim Hoster.
Ich brauche nur die Webadresse; hast du eine Mail vom Hoster oder einen Screenshot der Warnung, schick sie mit. Ich prüfe die Seite von außen und erkläre dir anschließend die Spuren, die ich sehe, und den Plan.
Danach nenne ich dir den Festpreis und sage, welche Zugänge nötig sind. Wann es losgeht, legen wir nach deiner Zusage fest, und je dringender der Fall, desto früher. Gearbeitet wird über einen Fernzugang.
Bevor ich lösche, sichere ich alle Spuren; anschließend lösche ich die Malware und dichte das Einfallstor ab. Sind Besucher in Gefahr, weil die Seite Schadsoftware verteilt, Daten abfischt (Phishing) oder umleitet, empfehle ich eine Sperre für Besucher, bis alles sauber ist.
Ist die Bereinigung fertig, teste ich Formulare, Login und Shop und schalte die Website dann wieder frei. Auf Wunsch bekommst du einen Bericht.
Wie lange dauert das?Meist nach einem Arbeitstag sauber
Die meisten Fälle sind einen Arbeitstag nach Beginn bereinigt.
Bei Google dauert es länger: Den Warnhinweis nimmt Google erst nach der beantragten Prüfung zurück, und bis dahin vergehen einige Tage bis mehrere Wochen.
Bleibt mir etwas verborgen und genau dieser Befall taucht wieder auf, ist die erneute Entfernung kostenlos, auch nach Monaten. Ein Angriff auf neuem Weg zählt als neuer Auftrag, ausgenommen Websites in meiner Wartung.
Garantieren kann ich nicht, dass künftig nichts mehr passiert; ich bereinige und dichte ab, so gut es geht.
Was kostet das?Einschätzung gratis, Bereinigung zum Festpreis
Die erste Einschätzung ist gratis; im Anschluss nenne ich einen Festpreis.
Ersteinschätzungkostenlos
Gezahlt wird erst, wenn die Bereinigung abgeschlossen ist.
BereinigungFestpreis, einmalig
Bezahlt ist damit alles vom Befund über die Bereinigung und den Lückenschluss bis zu jedem Antrag bei Google, Hoster oder Blacklist auf Aufhebung von Warnung und Sperre.
Ob du die Website anschließend härten lässt, ist deine Entscheidung; dafür gibt es Website-Sicherheit als eigenen Auftrag. Mit Wartung und Hosting betreue ich ausschließlich Websites aus meiner Entwicklung; wird eine gewartete Website gehackt, berechne ich für die Bereinigung keinen neuen Preis.
Die Ersteinschätzung ist unverbindlich.
Einmal beauftragt, ohne Vertrag mit Laufzeit.
Was vom Hersteller kommt, bei WordPress also Kern, Plugins (Erweiterungen) und Themes (Designvorlagen), lässt sich meist frisch herunterladen. Deine eigenen Inhalte, Anpassungen und Uploads nicht: Fehlen sie und existiert keine Sicherung, ist nur noch der vorhandene Rest zu retten.
Steckt innen mehr Befall, als die Prüfung von außen zeigte, erfährst du, ob sich der Festpreis ändert, bevor ich weitermache; ohne dein Okay passiert nichts.
Sauber ist eine Website für mich, wenn kein Schadcode mehr auftaucht, kein unbekanntes Konto mehr existiert und jede gefundene Lücke zu ist.
Ob Daten abgeflossen sind, verrät ein unauffälliger Scan nicht. Sind personenbezogene Daten betroffen, etwa Bestellungen oder Kundenkonten, kann nach Art. 33 DSGVO eine Meldung nötig sein: „unverzüglich und möglichst binnen 72 Stunden“, und zwar ab dem Zeitpunkt, an dem der Verantwortliche davon erfährt. Ich schätze ein, ob die Pflicht greift, soweit mein Wissen reicht; als Rechtsberatung gilt das nicht. Technische Befunde bekommst du vollständig, jeden Hinweis auf einen Datenabfluss ohne Aufschub.
Um diese vier Dinge kümmerst du dich.
Erst wenn klar ist, dass die Website dir oder deinem Betrieb gehört, lege ich los. Das verhindert, dass jemand die Website eines anderen verändern lässt. Belegen kannst du das zum Beispiel mit deinem Hoster-Kundenkonto oder mit einer Rechnung des Hosters an dich oder deinen Betrieb; ob das genügt, kläre ich von Fall zu Fall.
Nötig sind Zugänge zu Hosting, Backend und Domain, zu bestehenden Sicherungen und zur Google Search Console, sofern du sie verwendest. Hilfreich sind drei Angaben: Wer kann sich außer dir anmelden, was wurde zuletzt neu installiert, und seit welchem Tag wirkt etwas seltsam? Sperrt der Hoster auch den Zugriff auf die Dateien, klärst du mit ihm einen Weg, über den ich trotzdem an die Dateien komme; Besucher dürfen dabei weiter ausgesperrt sein.
Drei Fragen beantwortest du: Geht die Website vom Netz? Spielen wir ein Backup ein? Verzichten wir auf eine Funktion, die sich nicht sicher ersetzen lässt? Was ich jeweils empfehle und welche Folgen das hat, erkläre ich dir. Ein Neubau dieser Funktion wäre ein Auftrag für sich.
Neue Passwörter für alles jenseits der Website setzt du selbst, gerade dort, wo bisher dasselbe Passwort im Einsatz war. Ist die Datenpanne meldepflichtig, nimmt der Landesbeauftragte für den Datenschutz Niedersachsen die Meldung online an, zur Fristwahrung auch vorläufig mit Lücken. Tragen die Betroffenen voraussichtlich ein hohes Risiko, gilt Art. 34 DSGVO: Dann sind in der Regel auch sie unverzüglich zu benachrichtigen, und das übernimmst du. Für eine Strafanzeige gehst du als Betrieb am besten zuerst zur Zentralen Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts Niedersachsen; sie ist die erste Anlaufstelle der Polizei.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.