Die kurze Antwort: Wenn Ihre Website gehackt wurde, gilt zuerst: nichts löschen. Ändern Sie die Passwörter für WordPress, Hosting und FTP, sichern Sie eine Kopie der Website im jetzigen Zustand und informieren Sie, wer die Website betreut. Danach muss man herausfinden, wie der Angriff hereingekommen ist: Wer die Malware entfernt, ohne die Lücke zu schließen, ist nach ein paar Tagen ziemlich sicher wieder gehackt.
Wir schreiben das aus der Praxis mit mehr als 200 betreuten Websites. Die Beispiele beziehen sich auf WordPress, das Vorgehen gilt aber für jede Website.
Woran erkenne ich, dass meine Website gehackt wurde?
Eine gehackte Website sieht man nicht immer auf der Startseite. Wer sie angreift, will sie meist unbemerkt nutzen: um Besucher umzuleiten, Spam-Seiten zu veröffentlichen oder E-Mails zu verschicken. Die häufigsten Anzeichen:
- seltsame Weiterleitungen: Wer von Google kommt, landet auf Seiten mit Glücksspiel, Medikamenten oder falschen Gewinnspielen, während Sie selbst, wenn Sie die Adresse eintippen, die normale Website sehen;
- Seiten in Sprachen, die Sie gar nicht anbieten, in den Google-Ergebnissen (suchen Sie nach „site:ihredomain.de“ und sehen Sie nach, was erscheint);
- die Warnung im Browser „Achtung: Betrügerische Website“ oder „Die aufgerufene Website enthält Malware“;
- eine E-Mail der Google Search Console, die Sicherheitsprobleme meldet;
- das Hosting sperrt die Website oder blockiert den E-Mail-Versand wegen verdächtigen Datenverkehrs;
- Administratoren, die Sie nicht kennen, Plugins, die Sie nicht installiert haben, Dateien mit seltsamen Namen im Ordner der Website.
Schon eines dieser Anzeichen reicht, um die Website als kompromittiert zu behandeln, bis das Gegenteil bewiesen ist.
Was in den ersten Stunden zu tun ist
Die ersten Schritte entscheiden, wie leicht sich die Website bereinigen lässt. Der Reihe nach:
- Passwörter ändern: WordPress-Administratoren, Hosting-Panel, FTP oder SFTP, wenn möglich auch die Datenbank. Nutzen Sie dasselbe Passwort anderswo, ändern Sie es auch dort.
- Eine Kopie der Website im jetzigen Zustand sichern, Dateien und Datenbank, auch wenn sie infiziert ist. Sie dient dazu, zu verstehen, was passiert ist, nicht dazu, sie wieder online zu stellen.
- Backups prüfen: wie viele es gibt, von wann sie sind, wo sie liegen. Ein Backup auf demselben Server kann ebenfalls infiziert sein.
- Das Hosting informieren: Oft hat es in den Logs schon etwas gesehen und kann sagen, ob auch andere Websites auf demselben Speicherplatz betroffen sind.
- Die Google Search Console öffnen und den Bericht Sicherheitsprobleme ansehen: Dort steht, was Google gefunden hat und auf welchen Seiten.
Verkauft die Website etwas, kann es sinnvoll sein, sie während der Arbeiten in den Wartungsmodus zu setzen: lieber einen Tag offline als Kunden, die auf eine Betrugsseite geschickt werden.
Was Sie nicht tun sollten
|
Besser nicht |
Warum |
|---|---|
|
Wahllos Dateien löschen |
Damit gehen die Spuren verloren, über die man den Einstiegspunkt findet |
|
Nur WordPress neu installieren |
Der Schadcode steckt oft in der Datenbank und im Upload-Ordner, und die Lücke bleibt offen |
|
Das letzte Backup ungeprüft zurückspielen |
Ist der Angriff älter, kann auch das Backup infiziert sein |
|
Fünf Sicherheits-Plugins auf einmal installieren |
Die Website wird langsamer und die Diagnose schwieriger, entfernt wird nichts |
|
Google sofort um eine Überprüfung bitten |
Ist die Bereinigung unvollständig, wird der Antrag abgelehnt, und man fängt von vorn an |
Wie man Malware aus einer WordPress-Website entfernt
Eine saubere Bereinigung hat vier Schritte, und der erste ist der wichtigste.
1. Analyse
Man beginnt mit der Kopie der Website: Scan von Dateien und Datenbank, Abgleich von WordPress-Core, Themes und Plugins mit den Originalversionen, Prüfung der Benutzer und der Server-Logs. Ziel ist, den Einstiegspunkt zu finden: meist ein altes Plugin mit einer bekannten Schwachstelle, ein schwaches oder gestohlenes Passwort oder eine andere gehackte Website auf demselben Hosting.
2. Bereinigung
Entfernt werden die Dateien, die der Angriff hinzugefügt hat, der Code, der in bestehende Dateien eingeschleust wurde, und der, der in der Datenbank versteckt ist (in den Optionen, in Beiträgen, bei den Benutzern). Core, Theme und Plugins werden aus den Originalquellen neu eingespielt, statt sie von Hand zu korrigieren. Gibt es ein sauberes Backup von vor dem Angriff, prüft man, ob man von dort neu startet und die später eingegangenen Inhalte und Bestellungen separat zurückholt.
3. Die Lücke schließen
Das verwundbare Plugin wird aktualisiert oder ersetzt, Passwörter und WordPress-Sicherheitsschlüssel werden noch einmal geändert, überflüssige Zugänge gelöscht, Dateirechte und PHP-Version in Ordnung gebracht. Ohne diesen Schritt hält die Bereinigung nicht lange.
4. Google und Hosting
Ist die Website sauber, bittet man Google in der Search Console über die Schaltfläche Überprüfung beantragen um eine erneute Prüfung und erklärt, was gefunden und was getan wurde. Google selbst gibt an, dass die Überprüfung einige Tage bis einige Wochen dauern kann; ist sie bestanden, verschwindet die Warnung „gefährliche Website“. Spam-Seiten, die noch in den Ergebnissen stehen, entfernt man separat. Hatte das Hosting die Website oder den E-Mail-Versand gesperrt, zeigt man ihm, dass das Problem gelöst ist.
Nicht immer lässt sich alles retten. Eine stark kompromittierte Website ohne Backup und mit einem über Jahre von Hand veränderten Theme baut man manchmal besser ausgehend von den Inhalten neu auf. Das zeigt sich nach der Analyse, nicht vorher.
Wie man verhindert, dass es wieder passiert
Die meisten Websites, die wir zweimal gehackt sehen, haben dasselbe Problem: Sie wurden bereinigt, aber danach hat sich niemand darum gekümmert. Was wirklich zählt, ist überschaubar:
- regelmäßige Updates von WordPress, Themes und Plugins, vorher auf einer Kopie der Website (Staging) getestet;
- weniger Plugins, und nur gepflegte: Ein aufgegebenes Plugin ist eine Tür, die offen bleibt;
- eigene Passwörter und Zwei-Faktor-Authentifizierung für alle, die die Website verwalten;
- ein System, das Einbruchsversuche blockiert, bevor sie WordPress erreichen;
- automatische Backups außerhalb des Servers, mit getesteten Wiederherstellungen: Sie bringen Sie auf den Stand vor dem Angriff zurück;
- Monitoring mit Warnungen, wenn sich die Website verändert oder ausfällt.
Diese Arbeit beschreiben wir in der Notiz zur WordPress-Wartung, und wir machen sie in der WordPress-Wartung und -Betreuung.
Was Sie fragen sollten, wer Ihre Website bereinigt
- Sagen Sie mir, wie der Angriff hereingekommen ist, oder nur, was Sie entfernt haben?
- Haben Sie die Lücke geschlossen oder nur die Dateien bereinigt?
- Haben Sie auch die Datenbank und die anderen Websites auf demselben Hosting geprüft?
- Wer beantragt die Überprüfung bei Google, und wer verfolgt die Antwort?
- Nennen Sie mir den Preis vor Beginn, nachdem Sie sich die Website angesehen haben?
Bei uns läuft es so: zuerst eine Analyse, dann sagen wir Ihnen, was wir gefunden haben und was die Bereinigung kostet, bevor wir anfangen. Betreuen wir die Website schon in der Wartung, entfernen wir leicht erkennbare Malware im Rahmen der Pauschale; komplexe Fälle oder Websites, die wir nicht betreuen, laufen nach Angebot. Die Details stehen auf der Seite zur gehackten WordPress-Seite.
Ortica sind zwei Personen, Riccardo und Davide, seit 2016 im Web: Wer Ihnen antwortet, arbeitet auch an Ihrer Website, ohne Zwischenstellen.
