Gehackt — und dann?

Der gefährlichste Reflex nach einem Angriff ist der sofortige Griff zur letzten Sicherung. Wer den befallenen Stand überschreibt, vernichtet Spuren und spielt womöglich eine Version zurück, in der dieselbe Lücke offen steht.

Ein gehackter Webauftritt stellt drei Fragen: Wie kam jemand herein, was wurde verändert, und was ist möglicherweise abgeflossen? Solange der Einstiegsweg offen ist, bleibt jede Reparatur vorläufig.

Der gefährlichste Reflex nach einem Angriff ist der sofortige Griff zur letzten Sicherung. Wer den befallenen Stand überschreibt, vernichtet Spuren und spielt womöglich eine Version zurück, in der dieselbe Lücke offen steht.

Ein gehackter Webauftritt stellt drei Fragen: Wie kam jemand herein, was wurde verändert, und was ist möglicherweise abgeflossen? Solange der Einstiegsweg offen ist, bleibt jede Reparatur vorläufig.

Ein Befall zeigt sich oft an den Rändern, weil verborgener Schadcode länger unentdeckt arbeiten kann. Diese Anzeichen fallen in der Praxis zuerst auf:

• Google zeigt zu Ihrer Domain Suchergebnisse mit fremden Texten — häufig Medikamente, Glücksspiel oder Markenfälschungen.
• Besucher vom Smartphone landen auf einer fremden Seite, während der Auftritt am Schreibtischrechner völlig normal aussieht.
• Der Browser oder die Google-Suche warnt vor der Adresse.
• E-Mails von Ihrer Domain kommen nicht mehr an oder landen im Spam, weil der Server im Hintergrund Werbemails verschickt.
• Im Backend existiert ein Benutzerkonto mit Administratorrechten, das niemand im Haus angelegt hat.
• Der Hoster meldet ungewöhnliche Last oder sperrt das Postfach für ausgehende Mails.
• Dateien tragen ein Änderungsdatum aus einer Nacht, in der niemand gearbeitet hat.

Nach einem bestätigten Angriff sollten die nächsten Schritte mit dem Hoster oder einem IT-Sicherheitsfachbetrieb abgestimmt werden. Typischerweise werden Zugriffe begrenzt, der befallene Stand forensisch möglichst unverändert gesichert, Zugänge gesperrt und alle Maßnahmen dokumentiert, bevor die eigentliche Bereinigung beginnt:

• Zugriff auf die betroffene Website begrenzen. Je nach Vorfall kann eine getrennt bereitgestellte Wartungsseite den befallenen Auftritt ersetzen und so weitere schädliche Ausgaben oder Weiterleitungen verhindern.
• Den befallenen Stand vollständig sichern — Dateien, Datenbank und, wenn erreichbar, die Zugriffs- und Fehlerprotokolle des Servers. Diese Kopie wird nicht bereinigt, sondern beiseitegelegt.
• Zugänge sperren statt nur Passwörter zu ändern: FTP- und SSH-Konten, Datenbankbenutzer, Backend-Konten, API-Schlüssel. Unbekannte Administratorkonten werden deaktiviert, nicht gelöscht.
• Den Zeitpunkt festhalten, an dem das Problem zuerst auffiel, und was in den Tagen davor passiert ist — ein Update, ein Serverumzug, eine neu installierte Erweiterung, ein Wechsel im Team.
• Den Hoster informieren. Serverprotokolle können Hinweise darauf liefern, von welcher Adresse und über welches Skript ein Zugriff erfolgte.

Einige gut gemeinte Handgriffe verschlimmern einen Befall regelmäßig. Sie sind naheliegend, weil sie nach Handeln aussehen, und kosten anschließend mehr Zeit, als sie sparen — vor allem in der Phase, in der die Ursache noch nicht feststeht:

• Eine Sicherung einspielen, bevor der Einstiegsweg bekannt ist. Die Lücke kommt mit zurück, die Spuren sind weg.
• Verdächtige Dateien einzeln löschen. Bei einem Befall können mehrere manipulierte Dateien oder Zugänge vorhanden sein; eine rein punktuelle Bereinigung lässt möglicherweise einen dauerhaften Zugriff bestehen.
• Alle Updates gleichzeitig einspielen. Ein Sprung über mehrere Hauptversionen auf einem befallenen System endet oft mit einer Seite, die weder sauber noch funktionsfähig ist.
• Passwörter ändern und es dabei belassen. Solange Schadcode oder ein kompromittiertes Gerät aktiv ist, können auch neue Zugangsdaten erneut gefährdet sein.
• Den Vorfall aussitzen. Warnungen in Browsern oder Suchmaschinen können bestehen bleiben, und eine verzögerte Reaktion kann den Schaden vergrößern.

Der typische Angriff gilt nicht Ihrer Firma, sondern einer Softwareversion. Automatisierte Skripte prüfen viele Adressen auf bekannte Schwachstellen und nutzen offene Lücken ohne persönliche Auswahl aus.

Häufige Einstiegswege sind ungepflegte Erweiterungen, nicht mehr unterstützte PHP-Versionen und nie zurückgezogene Zugänge früherer Mitarbeitender oder Dienstleister.

Oft übersehen wird eine vergessene Installation auf demselben Webspace: ein altes WordPress, ein Testsystem oder ein nie abgeschalteter Prototyp. Wer nur den Hauptauftritt bereinigt, kann sich den Befall aus dem Nachbarordner zurückholen.

Viele Angriffe gelten nicht gezielt einer einzelnen Firma, sondern einer verwundbaren Softwareversion. Automatisierte Skripte prüfen zahlreiche Adressen auf bekannte Schwachstellen und nutzen offene Lücken ohne persönliche Auswahl aus.

Häufige Einstiegswege sind ungepflegte Erweiterungen, nicht mehr unterstützte PHP-Versionen und nicht deaktivierte Zugänge früherer Mitarbeitender oder Dienstleister.

Oft übersehen wird eine vergessene Installation auf demselben Webspace: ein altes WordPress, ein Testsystem oder ein nie abgeschalteter Prototyp. Wer nur den Hauptauftritt bereinigt, kann sich den Befall aus dem Nachbarordner zurückholen.

Das Entfernen des Schadcodes ist nur ein Teil des Vorfalls. Auch nach der technischen Bereinigung müssen Suchmaschinenwarnungen und Mail-Sperrlisten geprüft sowie möglicherweise kompromittierte Passwörter und API-Schlüssel ersetzt werden.

Hinzu kommt die Frage, was vor der Entdeckung passiert ist. Alle Formulareingaben, Bestellungen und Anmeldungen im betroffenen Zeitraum müssen bewertet werden. Genau dafür wird der befallene Stand gesichert — ohne Protokolle lässt sich der Zeitraum kaum eingrenzen.

Eine Verletzung des Schutzes personenbezogener Daten muss der datenschutzrechtlich Verantwortliche unverzüglich und, soweit möglich, binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei einem voraussichtlich hohen Risiko müssen grundsätzlich auch die betroffenen Personen unverzüglich benachrichtigt werden; die DSGVO sieht hierfür Ausnahmen vor. Betroffen sein können bereits Kontaktformular-Eingänge, Newsletter-Adressen oder Kundenkonten in einem Shop.

Entscheidend ist dabei, dass Unsicherheit über den Datenabfluss keine Entwarnung bedeutet. Wer nach dem Bereinigen nicht mehr feststellen kann, worauf zugegriffen wurde, hat die Bewertung nicht vereinfacht, sondern unmöglich gemacht. Die technische Dokumentation eines Vorfalls — Zeitraum, Einstiegsweg, betroffene Verzeichnisse und Tabellen — ist deshalb Teil der Bereinigung und nicht ein Extra danach.

Die rechtliche Bewertung des Einzelfalls gehört in die Hände einer Anwältin, eines Anwalts oder Ihrer oder Ihres Datenschutzbeauftragten. code dimension ist eRecht24-Partner und stellt die technisch ermittelbaren Fakten zusammen: eine dokumentierte Chronologie und eine nachvollziehbare Beschreibung dessen, was auf dem Server festgestellt wurde.

Eine bereinigte Website ist nicht dasselbe wie eine dauerhaft abgesicherte Website. Wenn nach dem Vorfall dieselbe Pflegepraxis weiterläuft wie davor, bleibt das Risiko eines erneuten Vorfalls bestehen.

Fünf Punkte entscheiden darüber, ob es beim einen Mal bleibt:

• Updates in festen Abständen statt bei Gelegenheit, vorher auf einer Kopie geprüft.
• Sicherungen auf getrenntem Speicher außerhalb des Webservers, mit mehreren Wochen Aufbewahrung — eine Kopie neben der Website ist bei einem Serverschaden mit weg.
• Mindestens eine geprüfte Wiederherstellung pro Jahr. Erst ein Rückspielen auf ein Testsystem zeigt, ob die Sicherung vollständig ist und wie lange sie braucht.
• Eigene Konten statt Sammel-Login, Zwei-Faktor-Anmeldung im Backend, Rechte nur so weit wie nötig, ausgeschiedene Zugänge unmittelbar deaktiviert und nach dem Berechtigungs- und Aufbewahrungskonzept bereinigt.
• Überwachung, die Erreichbarkeit, Zertifikatslaufzeit und auffällige Dateiänderungen meldet — damit ein Ausfall möglichst früh erkannt wird.

Bei einem laufenden Vorfall zählen eine abgestimmte Reihenfolge und zügiges Handeln. Zugriffe begrenzen, den befallenen Stand möglichst unverändert sichern, Zugänge sperren, den Zeitpunkt notieren — und frühzeitig jemanden dazuholen, der IT-Sicherheitsvorfälle fachlich einordnen kann.

code dimension arbeitet seit 2005 von Löhne in Ostwestfalen-Lippe aus mit TYPO3, WordPress und Shopware und ist werktags von 9 bis 17 Uhr unter 05732 68 69 260 erreichbar. Auch dann, wenn die betroffene Website nicht von code dimension stammt und kein Wartungsvertrag besteht. Wer außerhalb dieser Zeiten meldet, schildert den Fall am besten schriftlich mit Adresse der Website, Zeitpunkt und dem, was zuletzt verändert wurde.

Ein Angriff kann über eine offene Schwachstelle, kompromittierte Zugangsdaten oder andere Wege erfolgen. Eine möglichst unveränderte Sicherung und sorgfältige Dokumentation schaffen die Grundlage für die entscheidenden Fragen: Was könnte abgeflossen sein, wer muss informiert werden, welche Zugänge sind kompromittiert? Gepflegte Systeme, getrennte Sicherungen und erprobte Wiederherstellungen können Ausmaß und Ausfallzeit eines Vorfalls reduzieren.

• Was regelmäßig passieren muss, damit es gar nicht so weit kommt — Updates, Zugänge, Härtung, Sicherung, Überwachung
• Bei einem laufenden Vorfall: Erstkontakt, typische Fehlerbilder und was Sie vor dem Anruf bereitlegen sollten