Firmenwebsite gehackt: Was du jetzt sofort tun musst

Woran du einen Hack erkennst

Ein Hack ist nicht immer sichtbar. Google weist darauf hin, dass gehackte Inhalte für Besucher oft unsichtbar sind und trotzdem schaden. WordPress.org nennt typische Anzeichen, die auch für andere Systeme gelten:

• Google, Bing oder Virenscanner warnen vor deiner Website
• Dein Hoster hat die Website gesperrt
• Kunden melden seltsame Weiterleitungen oder Werbung
• Es gibt neue Benutzerkonten, die niemand angelegt hat
• Deine Website verschickt Spam oder deine E-Mails landen plötzlich auf Sperrlisten
• In der Google-Suche erscheinen fremde Seiten unter deiner Domain

Die ersten Stunden: Schaden begrenzen

Bleib ruhig und handle nicht übereilt. Das empfehlen sowohl die WKO als auch WordPress.org. Hektisches Löschen zerstört Spuren, die du später für die Ursachensuche und eine mögliche Anzeige brauchst.

Dokumentiere zuerst, was du siehst: Uhrzeit, Screenshots, Fehlermeldungen, letzte Änderungen an der Website. Dann nimm die Website vom Netz. Google rät, den Webserver zu stoppen oder die Domain auf eine statische Seite auf einem anderen Server zu zeigen, die den Statuscode 503 liefert. Ein Eintrag in der robots.txt reicht nicht, weil Besucher die schädlichen Inhalte trotzdem sehen.

Informiere sofort deinen Hoster. Gerade bei geteiltem Hosting kann der Angriff mehr als deine Website betreffen, und der Hoster kann oft Logdateien und Backups bereitstellen.

Zugänge sperren und neu vergeben

Ändere die Passwörter aller Zugänge: CMS-Administratoren, FTP oder SFTP, Datenbank, Hosting-Kundenbereich und die E-Mail-Konten, über die Passwörter zurückgesetzt werden. Prüf die Benutzerliste im CMS und lösche Konten, die du nicht selbst angelegt hast und nicht kennst. Notiere ihre Namen vorher für die Dokumentation.

WordPress.org rät zusätzlich, die Sicherheitsschlüssel in der wp-config.php zu erneuern. Damit werden alle noch angemeldeten Personen abgemeldet. Lass auch deinen eigenen Computer mit einem Virenscanner prüfen. Laut WordPress.org beginnt ein Angriff oft auf dem Rechner, über den du dich einloggst.

Wichtig: Ändere die Passwörter nach der Bereinigung noch einmal. Wenn noch Schadcode auf dem Server lag, könnten die ersten neuen Passwörter mitgelesen worden sein.

Meldepflichten: Datenschutzbehörde, CERT.at, Polizei

Wenn der Angreifer Zugriff auf personenbezogene Daten hatte, etwa Anfragen aus dem Kontaktformular, Kundenkonten, Bestellungen oder Bewerbungen, liegt meist eine Verletzung des Schutzes personenbezogener Daten vor. Nach Art. 33 DSGVO meldest du sie unverzüglich und möglichst binnen 72 Stunden ab Kenntnis an die Datenschutzbehörde. Ausnahme: Die Verletzung führt voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Betroffenen. Meldest du später als nach 72 Stunden, musst du die Verzögerung begründen.

Die Datenschutzbehörde nimmt Meldungen über ein Online-Formular, ein PDF-Formular, per E-Mail an dsb@dsb.gv.at oder per Post an. Die Meldung beschreibt Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, die Kontaktdaten der Ansprechperson, die wahrscheinlichen Folgen und die getroffenen Maßnahmen. Bei hohem Risiko musst du nach Art. 34 DSGVO auch die betroffenen Personen unverzüglich informieren.

CERT.at, das österreichische Computer-Notfallteam, nimmt Meldungen über Sicherheitsvorfälle per E-Mail an reports@cert.at entgegen. CERT.at ist laut eigener Aussage kein allgemeiner IT-Helpdesk und bereinigt deine Website nicht. Die WKO empfiehlt außerdem bei strafbaren Handlungen eine Anzeige bei der Polizei und nennt die Meldestelle against-cybercrime@bmi.gv.at.

Bereinigen, wieder online gehen, Google informieren

Ein sauberes Backup von vor dem Angriff ist der schnellste Weg zurück. Spiel es ein, aktualisiere danach sofort alle Software und schließ die Lücke, über die der Angreifer hereingekommen ist. Sonst bist du nach kurzer Zeit wieder betroffen. Mach vor der Bereinigung noch eine Kopie des befallenen Zustands. WordPress.org empfiehlt das, damit du im Notfall darauf zurückgreifen kannst.

Hat Google deine Website markiert, siehst du das in der Search Console im Bericht „Sicherheitsprobleme“. Wenn alle Probleme auf der ganzen Website behoben sind, beantragst du dort eine Überprüfung. Beschreib das Problem, die Maßnahmen und das Ergebnis. Laut Google dauert die Prüfung mehrere Tage oder Wochen. Stell den Antrag nicht mehrfach, das kann die Bearbeitung verlängern. Prüf in der Search Console auch, ob unbekannte Nutzer hinzugefügt wurden.

Ist die Website alt und schlecht dokumentiert, kann ein Neuaufbau mit frischen Zugängen günstiger und sicherer sein als eine lange Spurensuche.

Damit es nicht wieder passiert

• Updates für CMS, Plugins und Themes laufend einspielen
• Nicht genutzte Plugins, Themes und Benutzerkonten löschen
• Lange, einzigartige Passwörter und Zwei-Faktor-Anmeldung für alle Admin-Zugänge
• Automatische Backups, mit einer Kopie außerhalb des Servers, und regelmäßige Test-Wiederherstellung
• Search Console einrichten, damit Google dich bei Sicherheitsproblemen benachrichtigt
• Notfallplan mit Telefonnummern von Hoster, IT-Dienstleister, WKO-Hotline und Datenschutzbehörde

Schritt für Schritt

1. Ruhe bewahren und dokumentieren

   Notiere Uhrzeit, was du siehst und was zuletzt geändert wurde. Mach Screenshots. Diese Notizen brauchst du für Hoster, Fachleute, Meldungen und eine mögliche Anzeige.

2. Website vom Netz nehmen

   Zeig eine Wartungsseite mit Statuscode 503, die nicht vom befallenen Server kommt, oder lass den Hoster die Website stoppen. So schützt du Besucher vor Schadcode.

3. Hoster informieren

   Ruf deinen Hoster an. Frag nach Logdateien, verfügbaren Backups und ob andere Dienste wie E-Mail betroffen sind.

4. Alle Zugänge sperren

   Ändere die Passwörter für CMS, FTP oder SFTP, Datenbank, Hosting und E-Mail. Lösche fremde Admin-Konten. Prüf deinen eigenen Computer auf Schadsoftware.

5. Hilfe holen

   Als WKO-Mitglied erreichst du die Cyber-Security-Hotline unter 0800 888 133 rund um die Uhr. Das Erstgespräch mit einer IT-Security-Firma ist kostenlos, weitere Leistungen zahlst du selbst.

6. 72-Stunden-Frist prüfen

   Kläre, ob personenbezogene Daten betroffen sein können. Wenn ja und ein Risiko nicht ausgeschlossen ist, melde die Panne binnen 72 Stunden bei der Datenschutzbehörde. Halte die Entscheidung schriftlich fest.

7. Vorfall an CERT.at melden

   Schick eine kurze Meldung an reports@cert.at. Bei strafbaren Handlungen erstatte Anzeige bei der Polizei.

8. Bereinigen und absichern

   Spiel ein sauberes Backup ein oder lass neu aufbauen. Aktualisiere alles, schließ die Lücke und ändere danach die Passwörter ein zweites Mal.

9. Google-Prüfung beantragen

   Wenn Google die Website markiert hat, beantrage im Bericht „Sicherheitsprobleme“ der Search Console eine Überprüfung, sobald alles bereinigt ist.

Typische Fehler

• Die Website sofort löschen oder überschreiben. Damit gehen Spuren verloren, die für Ursache, Meldung und Anzeige wichtig sind.
• Nur das CMS-Passwort ändern. FTP, Datenbank, Hosting und E-Mail bleiben dann offen.
• Ein Backup einspielen, ohne die Lücke zu schließen. Der Angreifer kommt auf demselben Weg wieder.
• Die 72-Stunden-Frist verstreichen lassen, weil noch nicht alles geklärt ist. Meldest du später, musst du die Verzögerung begründen.
• Die Website nur per robots.txt sperren. Besucher sehen die schädlichen Inhalte trotzdem.
• Den Überprüfungsantrag bei Google mehrfach schicken. Das kann die Bearbeitung verzögern.

Häufige Fragen