Warnung im Browser oder bei Google
Chrome zeigt statt deiner Seite die rote Warnung „Gefährliche Website“. In der Google-Suche steht bei deiner Seite „Diese Website wurde möglicherweise gehackt“ oder „Diese Website kann Ihren Computer beschädigen“.
Ist deine Website gehackt, entferne ich die Malware, schließe die Sicherheitslücke und beantrage die Aufhebung von Warnungen und Sperren. Das mache ich für Betriebe in Wolfsburg, bei WordPress, Joomla, TYPO3, Shopware oder jedem anderen System und bei jedem Hoster.
Die Ersteinschätzung kommt in der Regel noch am selben Tag, danach nenne ich dir einen Festpreis. Erreichbar bin ich auch abends und am Wochenende, per Telefon, WhatsApp oder Formular.
Ein Verdacht reicht für die Ersteinschätzung. Manchmal sieht der Inhaber selbst nichts, weil Hacker ihre Inhalte gezielt vor ihm verbergen.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Chrome zeigt statt deiner Seite die rote Warnung „Gefährliche Website“. In der Google-Suche steht bei deiner Seite „Diese Website wurde möglicherweise gehackt“ oder „Diese Website kann Ihren Computer beschädigen“.
Manche Hoster durchsuchen ihre Server nach Malware, schreiben dir bei einem Fund oder nehmen die Website offline. Deine Mails kommen zurück oder landen im Spam, etwa weil über deinen Server Spam verschickt wurde und er jetzt auf einer Blacklist steht.
Besucher werden auf fremde Seiten weitergeleitet, manchmal nur, wenn sie über Google oder vom Handy kommen. In den Suchergebnissen tauchen unter deiner Domain Seiten auf, die du nie angelegt hast. Im Backend, dem Verwaltungsbereich deiner Website, steht ein Administrator, den du nicht kennst, oder dein Login klappt nicht mehr.
WordPress · Joomla · TYPO3 · Shopware
Welche Arbeiten nötig sind, hängt vom Befund ab.
Spuren
Bevor ich etwas ändere, sichere ich Dateien, Datenbank und die verfügbaren Protokolle des Servers (Logs). Darin suche ich nach Spuren, wie der Angreifer hereinkam und was er verändert hat.
Befund
Ich vergleiche die Programmdateien mit den Originalen des Herstellers und suche nach Hintertüren (Backdoors), eingeschleusten Dateien, Weiterleitungen in der Server-Datei .htaccess, fremden zeitgesteuerten Aufgaben (Cronjobs) und Code in der Datenbank. Liegen im selben Hosting-Paket weitere Websites, prüfe ich sie mit, denn von dort kann der Befall zurückkommen.
Zugänge
Unbekannte Administratoren fliegen raus, die Passwörter für Backend, Dateizugang (FTP) und Datenbank setze ich neu und gebe sie dir gesondert. Bei WordPress erneuere ich die Sicherheitsschlüssel; damit werden alle bestehenden Anmeldungen ungültig, auch die des Angreifers.
Bereinigung
Ich bereinige die vorhandene Installation: Befallene Standarddateien ersetze ich durch saubere Originale, eigene Dateien prüfe ich einzeln, eingeschleuste entferne ich, die Datenbank räume ich auf. Fremde Seiten unter deiner Domain lösche ich so, dass Suchmaschinen erkennen, dass es sie nicht mehr gibt.
Lücke
Ich schließe die gefundenen Einfallstore: veraltete Plugins und Themes aktualisieren oder ersetzen, Dateirechte korrigieren, die PHP-Version anheben, soweit die Website das verträgt. Ohne diesen Schritt ist sie wahrscheinlich bald wieder infiziert.
Freigabe
Ist die Website sauber, beantrage ich bei Google über die Search Console die Überprüfung und beim Hoster die Freigabe. Steht deine Domain oder dein Server auf einer Blacklist, kümmere ich mich auch um das Austragen.
Bericht
Darin steht, was ich gefunden und entfernt habe, was sich über den Weg hinein sagen lässt und was ich dir danach empfehle. Ein Gutachten für ein Gericht ist das nicht.
Wie läuft das ab?
Bis wir sprechen: Öffne befallene Seiten nicht im eigenen Browser, das kann deinem Rechner schaden. Wechsle von einem sauberen Rechner aus die Passwörter für deine Mail und das Kundenkonto beim Hoster. Lösche nichts und spiele keine Sicherung ein, sonst verschwinden Spuren, die zeigen können, wie der Angreifer hereinkam.
Du schickst mir die Adresse der Website und, wenn vorhanden, die Mail vom Hoster oder ein Bildschirmfoto der Warnung. Ich prüfe die Website von außen und sage dir, welche Spuren des Hackerangriffs ich finde und wie wir vorgehen.
Nach der Ersteinschätzung bekommst du den Festpreis, und ich sage dir, welche Zugänge ich brauche. Sobald du zusagst, legen wir den Start fest, je nachdem, wie dringend es ist. Ich arbeite aus der Ferne oder bei dir vor Ort in Wolfsburg und Umgebung.
Zuerst sichere ich die Spuren, dann entferne ich die Malware und schließe die Lücke, über die der Angreifer hereinkam. Gefährdet die Website Besucher, etwa durch Schadsoftware, Phishing oder Weiterleitungen, rate ich, sie für Besucher zu sperren, bis sie sauber ist.
Ist die Website sauber, prüfe ich, ob Formulare, Login und Shop noch funktionieren. Dann geht sie wieder online. Einen Bericht bekommst du auf Wunsch.
Wie lange dauert das?Meist ein Arbeitstag
Die meisten Bereinigungen sind innerhalb eines Arbeitstags nach dem Start erledigt.
Die Google-Warnung verschwindet nicht mit der Malware, sondern erst nach der beantragten Überprüfung, und die dauert einige Tage bis mehrere Wochen.
Kommt derselbe Befall zurück, weil ich etwas übersehen habe, entferne ich ihn ohne neuen Preis, auch Monate später; ein neuer Angriff auf anderem Weg ist ein neuer Auftrag, außer bei einer Website, die ich warte.
Dass nie wieder etwas passiert, kann niemand garantieren. Ich bereinige und schließe die Lücke so weit, wie es geht.
Was kostet das?Kostenlose Einschätzung, dann Festpreis
Die Ersteinschätzung ist kostenlos, den Festpreis nenne ich dir danach.
Ersteinschätzungkostenlos
Bezahlt wird erst nach Abschluss der Bereinigung.
BereinigungFestpreis, einmalig
Enthalten sind Befund, Bereinigung, das Schließen der Sicherheitslücke und die Anträge auf Aufhebung von Warnungen und Sperren.
Eine Härtung danach ist freiwillig, du kannst sie als Website-Sicherheit beauftragen. Wartung und Hosting biete ich für Websites an, die ich selbst gebaut habe. Wird eine Website gehackt, die ich warte, bereinige ich sie ohne neuen Preis.
Die Ersteinschätzung verpflichtet dich zu nichts.
Ein einmaliger Auftrag, kein Vertrag mit Laufzeit.
Standarddateien, bei WordPress etwa Kern, Erweiterungen (Plugins) und Designvorlagen (Themes), lassen sich in der Regel beim Hersteller neu herunterladen. Eigene Inhalte, Anpassungen und hochgeladene Dateien nicht: Hat der Angreifer sie gelöscht und gibt es kein Backup, bleibt nur, was noch vorhanden ist.
Findet sich mehr Befall, als von außen zu sehen war, sage ich dir vorher, ob sich der Festpreis ändert, und arbeite erst mit deiner Zustimmung weiter.
Sauber heißt: kein Schadcode mehr auffindbar, keine unbekannten Zugänge, und die gefundenen Lücken sind geschlossen.
Ein unauffälliger Scan schließt nicht aus, dass Daten abgeflossen sind. Können personenbezogene Daten betroffen sein, etwa Kundenkonten oder Bestellungen, kann eine Meldepflicht nach Art. 33 DSGVO bestehen: „unverzüglich und möglichst binnen 72 Stunden“, nachdem dem Verantwortlichen die Verletzung bekannt wurde. Ob sie besteht, prüfe ich, soweit mein Wissen reicht; eine Rechtsberatung ist das nicht. Die technischen Befunde liefere ich dir, Hinweise auf abgeflossene Daten sofort.
Vier Dinge liegen bei dir.
Ohne diesen Nachweis fange ich nicht an, damit niemand fremde Websites verändern lassen kann. Infrage kommen zum Beispiel das Kundenkonto beim Hoster oder eine Hostingrechnung auf deinen Namen oder deinen Betrieb; ob das reicht, prüfe ich im Einzelfall.
Ich brauche Zugang zum Hosting, zum Backend, zur Domain, zu vorhandenen Backups und, wenn du sie nutzt, zur Google Search Console. Dazu sagst du mir, wer außer dir Zugang hat, was zuletzt installiert wurde und seit wann dir etwas auffällt. Hat der Hoster auch den Zugang zu den Dateien gesperrt, klärst du mit ihm, wie ich für die Bereinigung hineinkomme; für Besucher kann die Website dabei gesperrt bleiben.
Ob die Website offline geht, ob ein Backup zurückgespielt wird und ob eine Funktion ohne sicheren Ersatz wegfällt, entscheidest du. Ich sage dir, was ich empfehle und was es bedeutet. Ein Neubau dieser Funktion ist ein eigener Auftrag.
Passwörter außerhalb der Website wechselst du selbst, auch dort, wo du ein Passwort mehrfach benutzt. Muss eine Datenpanne gemeldet werden, geht das in Niedersachsen online beim Landesbeauftragten für den Datenschutz, zur Fristwahrung auch vorläufig, wenn noch Angaben fehlen. Bringt die Panne voraussichtlich ein hohes Risiko für die Betroffenen, musst du nach Art. 34 DSGVO in der Regel auch sie unverzüglich benachrichtigen. Willst du Anzeige erstatten, ist die erste Anlaufstelle der Polizei für Betriebe die Zentrale Ansprechstelle Cybercrime des LKA Niedersachsen.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.