Bei einer gehackten Website denken die meisten an eine entstellte Startseite. Das ist die seltene Variante. Der Regelfall ist unauffällig: Die Seite funktioniert weiter, sieht unverändert aus und verteilt im Hintergrund Spam-Links, leitet Besucher aus Suchmaschinen um oder versendet Nachrichten über den eigenen Server. Genau diese Unauffälligkeit macht den Schaden groß, weil er über Wochen unbemerkt bleibt.
Die typischen Anzeichen
Weil der Befall die normale Ansicht meist nicht verändert, hilft ein Blick auf andere Signale. Besonders aussagekräftig sind:
- Fremde Seiten im Index: Eine Suche auf die eigene Domain beschränkt zeigt Unterseiten, die niemand angelegt hat.
- Selektive Weiterleitungen: Die Seite leitet nur weiter, wenn sie über ein Suchergebnis oder von einem Mobilgerät aufgerufen wird.
- Veränderte Suchergebnisse: Titel und Beschreibungen in der Suche stimmen nicht mit der Seite überein.
- Auffällige Serverlast: Datenverkehr oder Rechenlast steigen ohne erkennbaren Grund.
- Neue Benutzerkonten: Im Redaktionssystem existieren Konten mit erweiterten Rechten, die niemand angelegt hat.
- Zustellprobleme bei E-Mails: Nachrichten landen plötzlich im Spam, weil der Server für Massenversand missbraucht wurde.
Ein einzelnes dieser Anzeichen kann harmlos sein. Treten zwei gemeinsam auf, lohnt die gründliche Prüfung sofort.
Reihenfolge der Sanierung
Der häufigste Fehler ist, sofort zu löschen. Damit verschwinden die Spuren, die für die Ursachensuche gebraucht werden — und ohne Ursache wiederholt sich der Vorfall. Sinnvoll ist eine feste Reihenfolge:
- Zustand sichern: vollständige Kopie von Dateien, Datenbank und Protokollen, bevor irgendetwas verändert wird.
- Zugänge sperren und alle Zugangsdaten erneuern, einschließlich Datenbank- und Übertragungszugänge.
- Eintrittspunkt suchen: veraltete Erweiterung, schwaches Passwort, offener Zugang, verwundbare Bibliothek.
- Sauber wiederherstellen: System und Erweiterungen aus vertrauenswürdigen Quellen neu aufsetzen, Inhalte gezielt zurückspielen.
- Lücke schließen und erst danach wieder öffentlich schalten.
- Nachkontrolle über mehrere Tage, weil viele Angriffe eine zweite Hintertür hinterlassen.
Der vorletzte Punkt ist der entscheidende. Wer säubert und die Lücke offen lässt, hat nur Zeit gekauft.
Backups schützen nur, wenn zwei Bedingungen erfüllt sind: Sie liegen getrennt vom Webserver, und sie reichen weit genug zurück. Ein Befall bleibt oft wochenlang unbemerkt — wer nur die letzten Tage vorhält, spielt im Ernstfall eine bereits infizierte Version zurück.
Sichtbarkeit zurückholen
Nach der Bereinigung folgt der zweite Teil. Wurde die Seite für Spam missbraucht, sind meist fremde Unterseiten im Index. Diese gehören entfernt und die betroffenen Adressen so ausgeliefert, dass sie eindeutig als nicht mehr vorhanden erkennbar sind. Anschließend wird die Sitemap aktualisiert und neu eingereicht.
Liegt eine manuelle Maßnahme der Suchmaschine vor, ist eine Überprüfung zu beantragen. Dafür braucht es eine nachvollziehbare Beschreibung dessen, was gefunden, was behoben und was künftig verhindert wurde. Der technische Rahmen dafür — Steuerung über robots-Datei, Sitemap und kanonische Adressen — ist in Indexierung steuern beschrieben.
Kommunikation während des Vorfalls
Zur Sanierung gehört die Frage, was nach außen gesagt wird. Wurde die Seite lediglich für fremde Inhalte missbraucht, betrifft das die Besucher meist nicht unmittelbar. Bestand dagegen die Möglichkeit, dass eingegebene Daten aus Formularen oder Kundenkonten abgeflossen sind, ist die Lage eine andere: Dann sind Meldepflichten und Informationspflichten zu prüfen, und zwar zeitnah. Diese Bewertung gehört fachkundig begleitet und nicht aus dem Bauch entschieden. Für den Fall lohnt es sich, vorab festzulegen, wer im Betrieb entscheidet und welche Unterlagen dafür bereitliegen müssen.
Was den nächsten Vorfall verhindert
Fast alle Angriffe auf kleinere Unternehmensseiten nutzen bekannte Schwachstellen in veralteten Komponenten oder schwache Zugangsdaten. Beides ist beherrschbar, wenn es Routine wird: regelmäßige Aktualisierung von System und Erweiterungen, Entfernen ungenutzter Komponenten, individuelle Zugänge je Person statt eines gemeinsamen Kontos, Zwei-Faktor-Anmeldung für administrative Zugänge und getrennt gelagerte Sicherungen.
Dazu kommt die stille Voraussetzung, an der es am häufigsten scheitert: Jemand muss zuständig sein. Eine Website ohne benannte Verantwortung wird nicht aktualisiert, und ein Vorfall fällt erst auf, wenn ein Kunde anruft. Wartung ist deshalb kein Zusatzposten, sondern der günstigste Teil des Betriebs.