Hat der Hoster deine Website wegen Malware gesperrt oder ist sie anderweitig gehackt, entferne ich die Malware, schließe die Lücke im System und stelle die Anträge, damit Warnungen und Sperren wieder aufgehoben werden. Betriebe in Salzgitter unterstütze ich dabei bei jedem Hoster und jedem System – ob Shopware, Joomla, TYPO3, WordPress oder etwas anderes.
Die Ersteinschätzung liefere ich meist am selben Tag, anschließend steht ein Festpreis. Auch am Abend oder am Wochenende kannst du mich erreichen – per Anruf, WhatsApp-Nachricht oder Formular.
Nicht immer merkt man einen Hack sofort – mitunter erst, wenn der Hoster sperrt oder Mails zurückkommen. Angreifer verstecken ihre Inhalte manchmal gezielt vor dem Inhaber, sodass er selbst nichts bemerkt. Für die Ersteinschätzung genügt dir deshalb ein bloßer Verdacht.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Im Chrome-Browser bekommen Besucher anstelle deiner Seite einen roten Warnbildschirm mit „Gefährliche Website“ zu sehen. Bei der Google-Suche ist dein Eintrag mit „Diese Website wurde möglicherweise gehackt“ oder mit „Diese Website kann Ihren Computer beschädigen“ versehen.
Manche Hoster durchsuchen ihre Server selbstständig nach Malware; finden sie welche, kommt eine Mail, oder die Website wird abgeschaltet. Auch der Mailverkehr leidet: Ging Spam über deinen Server hinaus und steht dieser deshalb auf einer Blacklist, werden deine Mails abgewiesen oder als Spam einsortiert.
Besucher werden auf fremde Seiten umgeleitet, unter Umständen nur, wenn sie mit dem Handy oder über Google kommen. Suchergebnisse zeigen unter deiner Domain Seiten, die niemand von euch angelegt hat. Und im Backend – so heißt der Verwaltungsbereich deiner Website – gibt es einen Administrator, den du nicht kennst, oder deine Anmeldung klappt nicht mehr.
Shopware · Joomla · TYPO3 · WordPress
Welche Schritte es im Einzelfall braucht, ergibt der Befund.
Spuren
Vor jedem Eingriff sichere ich Dateien und Datenbank sowie die verfügbaren Server-Protokolle (Logs). Darin verfolge ich, wie der Angreifer eingedrungen ist und welche Änderungen auf ihn zurückgehen.
Zugänge
Als Nächstes sperre ich den Angreifer aus: Unbekannte Administratoren werden gelöscht, für Backend, FTP-Dateizugang und Datenbank vergebe ich neue Passwörter, die du gesondert von mir bekommst. Bei WordPress setze ich neue WordPress-Sicherheitsschlüssel; alle offenen Anmeldungen enden damit, auch die des Angreifers.
Befund
Jede Programmdatei gleiche ich mit dem Original des Herstellers ab. Ich fahnde nach fremden Cronjobs (zeitgesteuerten Aufgaben), nach Code in der Datenbank, nach Weiterleitungen in der .htaccess-Datei des Servers, nach eingeschleusten Dateien und nach Hintertüren, sogenannten Backdoors. Liegen im selben Paket beim Hoster noch andere Websites, nehme ich sie mit unter die Lupe – über sie kann sich der Befall erneut einschleichen.
Bereinigung
Die vorhandene Installation bleibt und wird gesäubert: saubere Originale statt befallener Standarddateien, Einzelprüfung deiner eigenen Dateien, Eingeschleustes raus, die Datenbank aufgeräumt. Seiten unter deiner Domain, die nicht von dir stammen, lösche ich so, dass Suchmaschinen sie als entfernt erkennen.
Lücke
Damit derselbe Weg nicht wieder offensteht, schließe ich das gefundene Einfallstor: Themes und Plugins mit altem Stand bringe ich auf den neuesten oder tausche sie aus, berichtige die Dateirechte und stelle eine neuere PHP-Version ein, soweit die Website es verkraftet. Ohne diesen Schritt kehrt die Infektion voraussichtlich bald zurück.
Freigabe
Nach der Bereinigung beantrage ich die Überprüfung über die Google Search Console und die Freigabe beim Hoster. Ist die Domain oder der Server auf einer Blacklist gelistet, stelle ich den Antrag auf Austragung.
Bericht
Auf Wunsch schreibe ich auf, was ich gefunden und beseitigt habe, was sich zum Weg des Angreifers sagen lässt und was ich dir für die Zeit danach rate. Er dient nicht als Gutachten für ein Gerichtsverfahren.
Wie läuft das ab?
Wichtig bis zu unserem Gespräch: Lass Dateien und Sicherungen unangetastet. Wer jetzt löscht oder ein Backup einspielt, zerstört Hinweise auf den Einfallsweg. Wechsle die Passwörter für E-Mail und Hoster-Kundenkonto, aber nur an einem Gerät, das nicht befallen ist. Und lass die befallenen Seiten auf deinem eigenen Gerät geschlossen; sie könnten es mit Schadsoftware anstecken.
Schick mir die Webadresse und, wenn du sie hast, die Nachricht des Hosters oder ein Foto des Bildschirms mit der Warnung. Ich schaue mir die Website von außen an und sage dir, welche Spuren ich entdecke und welches Vorgehen ich vorschlage.
Mit der Ersteinschätzung bekommst du auch den Festpreis und eine Liste der Zugänge, die ich brauche. Nach deiner Zusage bestimmen wir den Starttermin, abhängig davon, wie eilig es ist. Ich arbeite aus der Ferne.
Erst halte ich die Spuren fest, dann beseitige ich die Malware und schließe die Lücke, durch die der Angreifer kam. Wenn die Website Besucher gefährdet – mit Schadsoftware, Phishing oder Weiterleitungen –, rate ich, Besuchern bis zum Ende der Bereinigung den Zugang zu sperren.
Nach der Bereinigung prüfe ich, ob Formulare, Login und Shop funktionieren, und bringe die Website zurück ins Netz. Auf Wunsch bekommst du einen Bericht.
Wie lange dauert das?Meist in einem Arbeitstag bereinigt
In der Regel ist die Bereinigung innerhalb eines Arbeitstags nach Beginn erledigt.
Für die Google-Warnung gilt ein eigener Zeitplan: Sie verschwindet erst, wenn Google die beantragte Überprüfung beendet hat, und das kann einige Tage bis mehrere Wochen dauern.
Kommt derselbe Befall wieder, weil mir etwas durchgerutscht ist, beseitige ich ihn ohne neuen Preis – selbst Monate später. Ein Angriff über einen anderen Weg bedeutet einen neuen Auftrag; eine Ausnahme sind Websites, die ich warte.
Schutz vor jedem künftigen Angriff kann ich nicht garantieren. Ich bereinige gründlich und schließe die Lücken so weit, wie es geht.
Was kostet das?Einschätzung kostenlos, Bereinigung zum Festpreis
Was die Bereinigung kostet, erfährst du nach der Ersteinschätzung als Festpreis; die Einschätzung selbst ist kostenlos.
Ersteinschätzungkostenlos
Du bezahlst erst, wenn die Bereinigung abgeschlossen ist.
BereinigungFestpreis, einmalig
Enthalten sind Befund und Bereinigung, das Abdichten der Sicherheitslücke und jeder nötige Antrag auf Freigabe bei Google, Hoster und Blacklists, damit Warnungen und Sperren aufgehoben werden.
Möchtest du die Website im Anschluss härten lassen, kannst du das freiwillig als Website-Sicherheit beauftragen. Wartung und Hosting sind Websites vorbehalten, die ich selbst gebaut habe. Ist eine von mir gewartete Website betroffen, bereinige ich sie ohne neuen Preis.
Eine Verpflichtung gehst du mit der Ersteinschätzung nicht ein.
Der Auftrag ist einmalig und hat keine Laufzeit.
Standardbestandteile lassen sich in der Regel erneut beim Hersteller herunterladen; bei WordPress sind das der Kern samt Plugins (Erweiterungen) und Themes (Designvorlagen). Eigene Inhalte, Anpassungen und hochgeladene Dateien bekommst du dort nicht. Hat der Angreifer sie gelöscht und liegt keine Sicherung vor, rette ich, was noch vorhanden ist – mehr geht dann nicht.
Ist innen mehr befallen, als von außen zu erkennen war, kündige ich dir an, ob der Festpreis sich ändert. Weiter arbeite ich nur mit deiner Zustimmung.
Eine Website ist für mich sauber, wenn sich kein Schadcode mehr finden lässt, niemand Fremdes mehr Zugang hat und die gefundenen Lücken dicht sind.
Bleibt der Scan unauffällig, sind abgeflossene Daten trotzdem nicht ausgeschlossen. Betrifft der Angriff personenbezogene Daten – Kundenkonten oder Bestellungen etwa –, droht womöglich eine Meldepflicht aus Art. 33 DSGVO. Die Frist dafür lautet „unverzüglich und möglichst binnen 72 Stunden“ nach Bekanntwerden der Verletzung beim Verantwortlichen. Ob das zutrifft, prüfe ich im Rahmen meines Wissens; rechtlich beraten kann ich dich nicht. Meine technischen Befunde gebe ich dir, Hinweise auf einen Datenabfluss ohne Verzögerung.
Vier Punkte liegen in deiner Hand.
Bevor ich loslege, brauche ich einen Nachweis, dass die Website dir gehört – damit niemand Hand an eine fremde Website legen lassen kann. Infrage kommen der Zugang zu deinem Kundenkonto beim Hoster oder Hostingrechnungen, die deinen Namen oder den deines Betriebs tragen; ob es genügt, prüfe ich im Einzelfall.
Hosting, Backend, Domain, vorhandene Backups und – falls genutzt – die Google Search Console: Auf all das brauche ich Zugriff. Außerdem hilft mir: Wer außer dir kann sich anmelden? Was wurde zuletzt installiert? Ab wann ist dir etwas aufgefallen? Blockiert der Hoster auch den Dateizugang, vereinbarst du mit ihm, wie ich zur Bereinigung Zugriff bekomme; die Sperre für Besucher kann bestehen bleiben.
Offline nehmen oder nicht, Backup zurückspielen oder nicht, eine Funktion ohne sichere Alternative streichen oder behalten – das entscheidest du. Ich erkläre dir, was ich empfehle und was es nach sich zieht. Soll die Funktion neu entstehen, beauftragst du das separat.
Wechsle die Passwörter außerhalb der Website selbst, auch dort, wo du dasselbe Passwort mehrfach verwendest. Für Niedersachsen nimmt der Landesbeauftragte für den Datenschutz Meldungen von Datenpannen online entgegen – auch vorläufig, wenn noch Angaben fehlen, damit die Frist eingehalten wird. Bei voraussichtlich hohem Risiko für die Betroffenen gilt nach Art. 34 DSGVO: In der Regel musst du auch sie unverzüglich informieren. Für eine Anzeige meldest du dich als Betrieb zuerst bei der Zentralen Ansprechstelle Cybercrime des Landeskriminalamts Niedersachsen, kurz ZAC.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.