Ist deine Website gehackt, etwa erkennbar an Umleitungen am Smartphone, lösche ich die Malware, stopfe die Sicherheitslücke und beantrage bei Google, Hoster und Blacklists, dass Warnungen und Sperren fallen. Betriebe aus Osnabrück unterstütze ich so bei Shopware, WordPress, TYPO3, Joomla und jedem anderen System, ganz gleich, wo die Seite gehostet ist.
In der Regel liegt deine Ersteinschätzung noch am Tag der Anfrage vor, gefolgt von einem Festpreis. Telefon, WhatsApp und Formular stehen dir offen, auch abends und am Wochenende.
Schon wenn du etwas nur vermutest, lohnt die Ersteinschätzung. Manche Angreifer zeigen ihre Inhalte bewusst nur Fremden, sodass du als Inhaber am eigenen Rechner nichts Auffälliges entdeckst.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Chrome blendet beim Aufruf eine rote Seite ein: „Gefährliche Website“. Dein Google-Eintrag trägt den Vermerk „Diese Website wurde möglicherweise gehackt“, bei anderen Funden „Diese Website kann Ihren Computer beschädigen“.
Einige Hoster scannen ihre Server, melden einen Malware-Fund oder legen die Website still. Zugleich weisen Empfänger deine Mails ab oder schieben sie in den Spamordner, etwa weil Fremde über deinen Server Spam versendet haben und er seitdem auf einer Blacklist steht.
Kunden, die übers Handy oder über einen Google-Treffer kommen, landen manchmal auf einer fremden Adresse, während am Büro-PC alles normal wirkt. Die Suche listet unter deiner Domain Seiten, die ihr nie erstellt habt. Im Backend, deiner Verwaltungsoberfläche, steht ein unbekannter Administrator, oder du kommst selbst nicht mehr hinein.
Shopware · WordPress · TYPO3 · Joomla
Welche Schritte es braucht, ergibt sich aus dem Befund.
Spuren
Bevor ich auch nur eine Zeile anfasse, entsteht ein Abbild aller Dateien und der Datenbank; dazu kommen die Logs, also die Protokolle des Servers, sofern der Hoster sie aufbewahrt. Aus ihnen lese ich ab, wie der Angreifer hineinkam und was er umgebaut hat.
Zugänge
Administratorkonten, die keiner von euch kennt, entferne ich. Backend, Datenbank und FTP-Zugang (der Weg zu den Dateien) erhalten frische Passwörter; die schicke ich dir auf getrenntem Weg. Bei WordPress erzeuge ich neue WordPress-Sicherheitsschlüssel; damit ist jede bestehende Sitzung beendet, gerade auch die des Eindringlings.
Befund
Ich lege jede Programmdatei neben ihr Herstelleroriginal. Mein Blick gilt dabei versteckten Hintertüren (Backdoors), eingeschleusten Dateien, Umleitungen in der .htaccess-Datei, fremden Cronjobs (zeitgesteuerten Serveraufgaben) und Schadcode in Datenbankeinträgen. Liegen weitere Websites im gleichen Hosting-Paket, kontrolliere ich auch sie; sie könnten den Befall sonst zurücktragen.
Bereinigung
Deine Installation bleibt, ich reinige sie: Befallene Standarddateien tausche ich gegen unveränderte Herstelleroriginale, selbst erstellte Dateien kontrolliere ich einzeln und schneide Eingeschmuggeltes heraus, die Datenbank befreie ich von fremden Einträgen. Fremde Seiten unter deiner Domain verschwinden so, dass Suchmaschinen ihren Wegfall erkennen.
Lücke
Das gefundene Einfallstor wird verschlossen: Für überholte Plugins und Themes gibt es ein Update oder Ersatz, falsch gesetzte Dateirechte stelle ich richtig, und auf eine neuere PHP-Version wechsle ich, sofern die Website damit läuft. Ein offenes Tor lädt den nächsten Angreifer schnell wieder ein.
Freigabe
Nach der Reinigung geht über die Google Search Console ein Antrag auf erneute Überprüfung raus, beim Hoster bitte ich um Freigabe. Hat eine Blacklist deine Domain oder deinen Server erfasst, beantrage ich dort die Streichung.
Bericht
Willst du es schwarz auf weiß, schreibe ich jeden Fund, jede Entfernung, meine Einschätzung zum Einfallsweg und meinen Rat für danach auf. Für ein Gerichtsverfahren ist das Papier kein Gutachten.
Wie läuft das ab?
Bis zu unserem Gespräch: Lösch nichts und spiel keine Sicherung zurück, sonst verwischst du die Spuren des Einbruchswegs. Öffne die befallene Website nicht an deinem Arbeitsrechner, damit er sich nicht ansteckt. Neue Passwörter für Postfach und Hoster-Kundenkonto vergibst du nur an einem sauberen Gerät.
Mir genügt die Adresse der Website; eine Nachricht vom Hoster oder ein Screenshot der Warnung hilft zusätzlich. Ich nehme die Seite von außen unter die Lupe und sage dir danach, welche Spuren ich entdecke und wie ich vorgehen würde.
Steht die Ersteinschätzung, bekommst du von mir einen Festpreis und eine kurze Aufstellung der nötigen Zugänge. Sobald du zusagst, vereinbaren wir den Beginn, und ein dringender Fall kommt zuerst dran. Ich arbeite per Fernzugriff.
Zuerst dokumentiere ich jede Spur, erst danach beseitige ich die Malware und verschließe den Weg, den der Angreifer genommen hat. Liefert die Website Schadsoftware aus, greift sie Zugangsdaten ab (Phishing) oder leitet sie weiter, sind Besucher in Gefahr; dann rate ich, die Website für Besucher zu sperren, solange ich reinige.
Nach der Bereinigung probiere ich Formulare, Anmeldung und Shop aus; funktionieren sie, geht die Seite zurück ins Netz. Einen Bericht gibt es obendrein, wenn du magst.
Wie lange dauert das?Ein Arbeitstag im Normalfall
Die meisten Websites sind am Ende des ersten Arbeitstags nach Start wieder sauber.
Mit der Malware ist die Google-Warnung noch nicht weg. Sie fällt erst, wenn Googles Überprüfung, die ich beantragt habe, durch ist; rechne dafür mit einigen Tagen bis mehreren Wochen.
Habe ich etwas übersehen und taucht deshalb derselbe Befall wieder auf, entferne ich ihn ohne Aufpreis, selbst Monate danach. Kommt jemand auf anderem Weg herein, ist das ein neuer Auftrag, außer bei Websites, die ich warte.
Eine Garantie, dass dich nie wieder ein Angriff trifft, kann dir niemand geben. Mein Teil ist, so gründlich zu reinigen und abzudichten, wie es technisch geht.
Was kostet das?Einschätzung gratis · Festpreis · Zahlung am Ende
Für die Ersteinschätzung fällt nichts an, für die Bereinigung ein Festpreis.
Ersteinschätzungkostenlos
Du zahlst am Schluss, wenn die Bereinigung erledigt ist.
BereinigungFestpreis, einmalig
Abgedeckt sind Befund, Bereinigung und Lückenschluss sowie sämtliche Anträge an Google, Hoster und Blacklist-Betreiber, damit Warnungen verschwinden und Sperren enden.
Härten musst du danach nichts; möchtest du es, buchst du das gesondert als Website-Sicherheit. Wartung und Hosting nehme ich ausschließlich für Websites an, die aus meiner Hand stammen. Erwischt es eine davon, kostet dich die Bereinigung nichts extra.
Sagst du nach der Ersteinschätzung ab, entstehen dir keine Kosten.
Ein Auftrag, eine Rechnung, keine Laufzeit.
Standarddateien lädt man meist frisch beim Hersteller: bei WordPress den Kern, jede Erweiterung (Plugin) und jede Designvorlage (Theme). Für alles, was du selbst beigesteuert hast, also Inhalte, Anpassungen und hochgeladene Dateien, hält kein Hersteller eine Kopie bereit. Sind sie gelöscht und fehlt die Sicherung, rette ich nur, was übrig ist.
Stoße ich drinnen auf mehr Befall, als sich von außen abzeichnete, sage ich dir vorher, ob der Festpreis bleibt; weiter geht es nur mit deinem Einverständnis.
Sauber nenne ich deine Website erst, wenn drei Dinge gelten: kein Schadcode mehr auffindbar, fremde Zugänge gelöscht, entdeckte Lücken verschlossen.
Ein Scan ohne Fund ist kein Beleg dafür, dass keine Daten nach draußen gelangt sind. Stammen sie etwa aus Kundenkonten oder Bestellungen und sind damit personenbezogen, verlangt Art. 33 DSGVO unter Umständen, den Vorfall zu melden: „unverzüglich und möglichst binnen 72 Stunden“. Die Uhr läuft, sobald dir als Verantwortlichem die Verletzung bekannt ist. Ob das zutrifft, beurteile ich, soweit mein Wissen reicht; Rechtsberatung ist das nicht. Alle technischen Befunde bekommst du, Hinweise auf einen Abfluss sofort.
Vier Dinge erledigst du selbst.
Ich starte erst mit einem Beleg, dass dir oder deinem Betrieb die Website gehört; sonst könnte jeder fremde Websites verändern lassen. Taugen kann dafür dein Login ins Hoster-Kundenkonto oder eine Rechnung des Hosters mit deinem Namen oder dem der Firma; ob das genügt, sehe ich mir jeweils an.
Freischalten musst du mir Hosting, Backend und Domain, die vorhandenen Sicherungen und die Google Search Console, sofern ihr damit arbeitet. Nenn mir dazu alle, die sonst noch einen Login haben, die letzte Installation und den Tag, an dem dir zuerst etwas auffiel. Sperrt der Hoster auch die Dateien, findest du mit ihm einen Weg, auf dem ich zur Bereinigung trotzdem hineinkomme; Besucher dürfen ausgesperrt bleiben.
Bei dir liegen drei Entscheidungen: ob die Seite online bleibt, ob ein Backup zurückkommt und ob du eine Funktion streichst, für die kein sicherer Ersatz existiert. Ich gebe dir meine Empfehlung und erkläre, was jede Wahl nach sich zieht. Ihr Neubau liefe als eigenständiger Auftrag.
Passwörter jenseits der Website erneuerst du selbst, zuerst bei Diensten, die dasselbe Passwort teilen. Meldestelle für Datenpannen ist der Landesbeauftragte für den Datenschutz Niedersachsen. Melden kannst du online; damit die Frist hält, darf die erste Fassung vorläufig sein und Angaben offenlassen. Droht den Menschen, deren Daten betroffen sind, voraussichtlich ein hohes Risiko, müssen sie nach Art. 34 DSGVO meist ebenfalls unverzüglich Bescheid bekommen; das erledigst du. Die Anzeige gehört als Erstes zur Zentralen Ansprechstelle Cybercrime (ZAC) des LKA Niedersachsen, der polizeilichen Anlaufstelle für Betriebe.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.