Heute ist der 1. April, aber das hier ist leider kein Scherz: Immer wieder rufen uns Unternehmen an, deren Website plötzlich Werbung für dubiose Potenzmittel zeigt, Besucher auf Betrugsseiten umleitet oder von Google mit einer roten Warnung versehen wird. Der erste Impuls ist fast immer derselbe: schnell aufräumen, Backup einspielen, vergessen. Genau das ist oft der größte Fehler. Denn wer sofort löscht, vernichtet die Spuren, die zeigen, wie der Angreifer hereingekommen ist und was er mitgenommen hat. In diesem Beitrag geht es um Website-Hack-Forensik: wie Sie nach einem Sicherheitsvorfall Beweise sichern, die Ursache finden und Ihre Pflichten erfüllen.
Woran Sie einen Hack erkennen
- Fremde Inhalte, Spam-Links oder unbekannte Unterseiten, oft nur für Suchmaschinen sichtbar
- Weiterleitungen auf andere Websites, manchmal nur für mobile Besucher oder nur beim ersten Aufruf
- Warnungen im Browser oder in der Google Search Console
- Unbekannte Administratorkonten im Content-Management-System
- Ungewöhnlich hohe Serverlast, Spam-Mails vom eigenen Server oder Sperren durch den Hoster
- Kunden melden sich, weil Formulare merkwürdig reagieren oder Zahlungsseiten anders aussehen
Die ersten Stunden: Was Sie tun und was Sie lassen sollten
| Tun | Lassen |
|---|---|
| Website in den Wartungsmodus nehmen oder vom Netz trennen | Dateien löschen oder überschreiben, bevor eine Kopie existiert |
| Vollständige Kopie von Dateien und Datenbank anfertigen | Sofort ein altes Backup einspielen |
| Server-, Zugriffs- und Fehlerprotokolle sichern | Den Hoster wechseln, bevor Protokolle gesichert sind |
| Zeitpunkt der Entdeckung und alle Schritte notieren | Auf eigene Faust „herumprobieren“ ohne Notizen |
| Passwörter von einem sauberen Gerät aus ändern | Passwörter am möglicherweise betroffenen Rechner ändern |
Website-Hack-Forensik: Beweise richtig sichern
Forensik klingt nach Fernsehkrimi, ist im Kern aber sorgfältige Dokumentation. Ziel ist, den Zustand zum Zeitpunkt der Entdeckung so festzuhalten, dass man ihn später nachvollziehen und gegebenenfalls vor Gericht oder gegenüber einer Versicherung belegen kann.
1. Kopie des Ist-Zustands
Sichern Sie das gesamte Webverzeichnis und einen Export der Datenbank, bevor Sie irgendetwas verändern. Bei eigenen Servern ist ein Abbild des kompletten Systems noch besser. Berechnen Sie für die gesicherten Dateien Prüfsummen, damit später nachweisbar ist, dass die Kopie unverändert ist.
2. Protokolle sichern
Die Zugriffsprotokolle des Webservers sind die wichtigste Quelle. Sie zeigen, welche Adressen wann welche Seiten aufgerufen haben, etwa wiederholte Anmeldeversuche oder Zugriffe auf verdächtige Dateien. Viele Hoster speichern diese Protokolle nur wenige Tage. Fordern Sie sie deshalb sofort an. Dazu gehören auch FTP-, SSH- und Anmeldeprotokolle des Hosting-Kontos.
3. Zeitstrahl erstellen
Wann wurden welche Dateien zuletzt geändert? Wann wurde der fremde Administrator angelegt? Wann tauchten die ersten verdächtigen Zugriffe auf? Aus diesen Puzzleteilen entsteht ein Zeitstrahl, der meist recht klar zeigt, wo der Angriff begann.
4. Einfallstor finden
Die häufigsten Ursachen, die wir sehen: veraltete Erweiterungen oder Themes im Content-Management-System, schwache oder mehrfach verwendete Passwörter, gestohlene Zugangsdaten zum Hosting-Konto, vergessene Test- oder Altinstallationen auf demselben Server und unsichere Upload-Funktionen in Formularen. Solange das Einfallstor nicht geschlossen ist, nützt die schönste Bereinigung nichts, der Angreifer kommt einfach wieder.
5. Hintertüren suchen
Angreifer hinterlassen fast immer mehrere Wege zurück: versteckte Skripte in Upload-Ordnern, manipulierte Kerndateien, geplante Aufgaben, zusätzliche Benutzerkonten. Der Vergleich mit einer sauberen Originalversion des Systems und der Abgleich mit einem älteren Backup helfen, Veränderungen zu finden.
Meldepflichten nicht übersehen
- Datenschutz: Wurden möglicherweise personenbezogene Daten abgegriffen, etwa aus Kontaktformularen, Kundenkonten oder Bestellungen, müssen Sie den Vorfall in der Regel innerhalb von 72 Stunden der Datenschutzaufsichtsbehörde melden. Bei hohem Risiko sind auch die Betroffenen zu informieren.
- Informationssicherheit: Fällt Ihr Unternehmen unter das NIS2-Umsetzungsgesetz, können zusätzlich Meldepflichten gegenüber dem BSI mit eigenen, kurzen Fristen bestehen.
- Strafanzeige: Für Unternehmen gibt es bei den Landeskriminalämtern spezielle Ansprechstellen für Cybercrime, in Rheinland-Pfalz beim LKA in Mainz.
- Versicherung: Haben Sie eine Cyberversicherung, melden Sie den Schaden sofort. Viele Policen verlangen eine Abstimmung, bevor externe Dienstleister beauftragt werden.
Bereinigen und wiederherstellen
Erst wenn die Beweise gesichert sind und das Einfallstor bekannt ist, geht es ans Aufräumen. Bei kleinen Websites ist eine Neuinstallation mit sauberem Kern, aktuellen Erweiterungen und geprüften Inhalten oft schneller und sicherer als das Suchen jeder einzelnen manipulierten Datei. Danach:
- Alle Passwörter ändern: CMS, Datenbank, Hosting, FTP, E-Mail-Konten der Domain
- Zwei-Faktor-Anmeldung für alle Administratoren einrichten
- Nicht genutzte Erweiterungen, Themes und Altinstallationen löschen
- Automatische Updates oder einen festen Wartungsrhythmus einführen
- Bei Google eine Überprüfung beantragen, damit Warnungen verschwinden
- Backups so einrichten, dass mehrere ältere Versionen erhalten bleiben
Vorbereitung ist die halbe Forensik
Der beste Zeitpunkt, sich auf einen Hack vorzubereiten, ist bevor er passiert. Klären Sie mit Ihrem Hoster, wie lange Protokolle aufbewahrt werden, legen Sie eine Liste mit Notfallkontakten an und halten Sie Ihre Website aktuell. Eine einfache Überwachung, die Änderungen an Dateien meldet, verkürzt die Zeit zwischen Angriff und Entdeckung oft von Wochen auf Stunden.
Wir helfen Ihnen gerne
Ihre Website wurde gehackt, oder Sie wollen sich auf den Ernstfall vorbereiten? Das IT-Team der Mittelstandsoptimierer sichert Beweise, findet die Ursache, bereinigt Ihre Website und unterstützt Sie bei Meldungen an Aufsichtsbehörde und Versicherung. Auf Wunsch übernehmen wir danach Wartung und Überwachung. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
