Inhaltsverzeichnis
- Warum eine kompromittierte Website normal aussieht
- 1. Seiten, die Sie nie geschrieben haben, erscheinen bei Google
- 2. Der Verkehr verändert grundlos seine Form
- 3. Geschäftliche E-Mails landen im Spam
- 4. Browser oder Search Console zeigen eine Warnung
- 5. Die Website wurde langsam, ohne dass sich etwas geändert hat
- 6. Dateien mit unstimmigen Änderungsdaten
- 7. Administratorkonten, die Sie nie angelegt haben
- 8. Unterschiedliches Verhalten auf Rechner und Telefon
- Was tun, wenn ein Anzeichen zutrifft
- Vorbeugen kostet weniger als reparieren
Warum eine kompromittierte Website normal aussieht
Über den Begriff «gehackte Website» besteht ein verbreitetes Missverständnis. Man denkt an Defacement: die Startseite durch eine Botschaft ersetzt, die Website nicht erreichbar, der Schaden offensichtlich. Das kommt vor, ist aber die Minderheit der Fälle.
Wer eine Unternehmenswebsite angreift, will sie meist nicht zerstören, sondern nutzen. Eine funktionierende, scheinbar normale Website ist wertvoller als eine abgeschaltete: Sie kann Spam-Seiten beherbergen, betrügerische E-Mails über die Reputation der Domain versenden oder einen Teil des Verkehrs umleiten. Alles Aktivitäten, die sich umso mehr lohnen, je länger sie unsichtbar bleiben.
Das ändert die Art, wie man nach Anzeichen sucht. Es genügt nicht zu prüfen, ob die Website «sich öffnet»: Man muss dort hinsehen, wo niemand hinsieht.
1. Seiten, die Sie nie geschrieben haben, erscheinen bei Google
Das ist das zuverlässigste Anzeichen überhaupt, und es dauert dreißig Sekunden. Suchen Sie bei Google nach:
site:ihredomain.de
Google listet alle indexierten Seiten Ihrer Website auf. Scrollen Sie durch: Erscheinen Seiten in Sprachen, die Sie nie verwendet haben, Titel über Medikamente, Schuhe, Casinos oder Kredite, oder Adressen, die Sie nicht kennen, beherbergt Ihre Website fremde Inhalte.
Es lohnt sich, über die erste Ergebnisseite hinauszuschauen. Eingeschleuste Seiten landen meist weit hinten, gerade weil nichts auf der Website auf sie verlinkt.
2. Der Verkehr verändert grundlos seine Form
Öffnen Sie Google Analytics und betrachten Sie die letzten drei Monate. Nicht die Summe, sondern die Zusammensetzung.
Auffällig sind: ein plötzlicher Anstieg von Besuchen aus Ländern, mit denen Sie nicht arbeiten; unbekannte Seiten unter den meistbesuchten; eine Absprungrate, die auf einzelnen Seiten auf 95% springt; ungewöhnlich viele Besuche mit null Sekunden Dauer.
Eine kompromittierte Website erzeugt Verkehr, der Ihrem nicht ähnelt. Kamen Ihre Besuche bislang aus der Region und stammen plötzlich 40% von anderswo auf Seiten, die Sie nicht kennen, ist das kein Marketingerfolg.
3. Geschäftliche E-Mails landen im Spam
Dieses Anzeichen überrascht, weil es wie ein separates Problem wirkt. Das ist es nicht.
Wird Ihre Website zum Versand unerwünschter Nachrichten genutzt, landet die Domain auf den Sperrlisten, die Provider abfragen. Die Folge: Auch Ihre legitimen E-Mails — Angebote, Bestellbestätigungen, Antworten an Kunden — gelten als verdächtig.
Das Alarmsignal ist, wenn mehrere Kunden innerhalb weniger Wochen berichten, Ihre E-Mail nie erhalten zu haben, und sie im Spam-Ordner finden. Haben Sie SPF, DKIM und DMARC korrekt eingerichtet und das Problem besteht dennoch, lohnt der Blick auf die Website.
Eine Prüfung, die nichts kostet und die fast niemand aktiviert: die aggregierten DMARC-Berichte. Enthält Ihr DMARC-Eintrag rua=mailto:, erhalten Sie regelmäßig die Liste der IP-Adressen, die in Ihrem Namen E-Mails versenden. Taucht darunter der Server der Website auf — der normalerweise nichts versendet —, haben Sie ein Anzeichen für eine Kompromittierung, Wochen bevor ein Kunde Ihnen sagt, Ihre E-Mail sei im Spam gelandet.
4. Browser oder Search Console zeigen eine Warnung
Erkennt Google gefährliche Inhalte, schickt es keine höfliche E-Mail: Es stellt eine rote Warnung vor die Website, sichtbar für jeden, der sie öffnen will. Dann ist der Schaden bereits da, und der Verkehr bricht binnen Stunden ein.
Die Search Console meldet das Problem jedoch früher, im Bereich «Sicherheitsprobleme und manuelle Maßnahmen». Das ist einer der Gründe, sie eingerichtet zu haben und gelegentlich zu prüfen, auch wenn alles in Ordnung scheint.
Falls Sie sie nie aktiviert haben: Sie ist kostenlos und in wenigen Minuten eingerichtet — das Werkzeug, mit dem Google Ihnen zeigt, was es von Ihrer Website sieht.
5. Die Website wurde langsam, ohne dass sich etwas geändert hat
Eine plötzliche Verlangsamung ohne neue Inhalte oder Änderungen kann bedeuten, dass der Server mehr tut, als Ihre Seiten auszuliefern: Massennachrichten versenden, Operationen für Dritte ausführen, automatisierte Anfragen beantworten.
Langsamkeit allein beweist nichts — die gewöhnlichen Ursachen sind zahlreich, wir haben sie im Beitrag über langsame Websites aufgeführt. Aber eine plötzliche und unerklärliche Verlangsamung, besonders zusammen mit einem weiteren Anzeichen dieser Liste, verdient eine Prüfung.
6. Dateien mit unstimmigen Änderungsdaten
Haben Sie FTP- oder Hosting-Zugang, sortieren Sie die Dateien nach Änderungsdatum. Das dauert eine Minute.
Worauf Sie achten: Systemdateien, geändert an Tagen, an denen niemand die Website angefasst hat, besonders nachts oder am Wochenende. Dateien mit zufällig wirkenden Namen. Neue Ordner an Stellen, wo nichts sein sollte, etwa im Upload-Verzeichnis.
Bei WordPress sind die klassischen Stellen der Plugin-Ordner, der Theme-Ordner und die Konfigurationsdateien im Stammverzeichnis.
7. Administratorkonten, die Sie nie angelegt haben
Prüfen Sie im Verwaltungsbereich die Benutzerliste. Jedes Konto mit Administratorrechten, das Sie nicht kennen, gehört entfernt — notieren Sie aber zuvor das Erstellungsdatum, denn es zeigt, wann das Problem begann.
Achten Sie auch auf plausibel klingende Namen: «admin», «backup», «support», «wpuser». Wer bleiben will, wählt keine auffälligen Namen.
8. Unterschiedliches Verhalten auf Rechner und Telefon
Manche Kompromittierungen arbeiten selektiv: Sie zeigen Besuchern vom Bürorechner die normale Website und leiten alle um, die vom Smartphone oder aus einem Suchergebnis kommen. So verzögert sich die Entdeckung, denn der Inhaber prüft immer vom eigenen Rechner.
Der Test: Öffnen Sie die Website vom Telefon über Mobilfunk statt Büro-WLAN, und gelangen Sie über eine Google-Suche statt über die eingetippte Adresse dorthin. Verhält sie sich anders, haben Sie etwas gefunden.
Was tun, wenn ein Anzeichen zutrifft
Ein einzelnes Anzeichen ist kein Urteil: Langsamkeit kann banale Gründe haben, ein Verkehrsanstieg kann echt sein. Aber zwei oder mehr zusammen machen eine Kompromittierung wahrscheinlich.
Der erste Schritt ist nicht, wahllos Dateien zu löschen — und das ist wichtig: Ohne zu wissen, wie der Angreifer hereinkam, bringt Aufräumen wenig, weil er durch dieselbe Tür zurückkehrt. Erst den Einstiegspunkt finden, dann bereinigen.
Sind Sie bereits über die Anzeichen hinaus und das Problem ist bestätigt, erklärt der Beitrag Website gehackt: was jetzt zu tun ist die Schritte in der richtigen Reihenfolge, samt der Fehler, die alles verschlimmern.
Für eine schnelle Prüfung des Allgemeinzustands — Zertifikat, Sicherheits-Header, Geschwindigkeit — können Sie unser kostenloses Analysewerkzeug nutzen: Es ersetzt keine Dateiprüfung, gibt aber in dreißig Sekunden ein Bild.
Vorbeugen kostet weniger als reparieren
Fast alle Kompromittierungen, die wir sehen, nutzen drei Dinge: ein seit Monaten nicht aktualisiertes Plugin, ein schwaches Passwort auf einem Administratorkonto, eine nach der Übergabe ohne Wartung gelassene Installation.
Es braucht keine ausgefeilten Maßnahmen. Regelmäßige Updates, unterschiedliche Passwörter je Zugang, Zwei-Faktor-Authentifizierung für Administratorkonten, automatische Backups außerhalb des Servers und eine regelmäßige Kontrolle decken die große Mehrheit der realen Fälle ab.
Das ist der Inhalt unseres Ratgebers zur Website-Sicherheit, wenn Sie tiefer einsteigen wollen, ohne technisch zu werden.