Website gehackt, Besucher werden weitergeleitet – was tun in der ersten Stunde?

Zieht euch als allererstes per FTP die Webserver-Konfigurationsdatei auf den Rechner und schaut rein. Meistens schleusen sie Weiterleitungsregeln mit wirren Zeichenketten direkt dort ein. Wenn ihr wisst wie die Datei im Original aussieht, löscht die fremden Zeilen raus und speichert sie neu ab – das stoppt zumindest temporär den Redirect.

Dass die Weiterleitung nur mobil und über Suchmaschinen greift, ist der klassische Referrer- und User-Agent-Check. Der Schadcode sitzt oft nicht nur in den Core-Dateien, sondern kann auch direkt in den Optionstabellen der Datenbank abgelegt sein. Wenn ihr SSH-Zugriff habt, lasst euch per Befehl sofort alle Dateien ausgeben, die in den letzten 48 Stunden geändert wurden – so findet ihr verdächtige Skripte im Handumdrehen.

Wenn ihr ein Ticket beim Hoster aufmacht, gebt direkt diese drei Infos mit: 1) Über welches Gerät und welche Quelle der Redirect reproduziert werden kann, 2) Wann der Vorfall auf die Minute genau bemerkt wurde, 3) Ob unbefugt erstellte, unbekannte Dateien im Verzeichnis liegen. Dann landet das Ticket direkt beim Security-Team statt in der Warteschleife für Standard-Antworten.

Letztes Jahr ist uns bei unserer Großhandels-Website in Frankfurt genau dasselbe passiert. Aus Panik haben wir das Backup von gestern eingespielt zwei Stunden später war sie wieder gehackt, weil ein veraltetes Formular-Plugin eine Sicherheitslücke hatte. Wir hatten einen Verlust von 2.000 Euro am Tag. Ohne die Lücke zu schließen, ist ein reines Backup definitiv keine dauerhafte Lösung.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Hattet ihr auf der Seite irgendein externes Theme oder Plugin, das schon ewig nicht mehr aktualisiert wurde? Und was für ein Hosting-Paket nutzt ihr – Shared Hosting oder einen eigenen vServer? Bei Shared Hosting ist die Wahrscheinlichkeit ziemlich hoch, dass es von einer anderen Seite auf demselben Server rübergesprungen ist.

wenn der hoster automatische backups hat bloß nicht direkt drüberspielen. sichert erst mal den aktuellen infizierten staand irgendwo weg. manchmal ist das backup von gestern das man für sauber hält, nämlich auch schon verseucht, da muss man oft mindestens eine woche zurückgehen.

Da Sie auf dem deutschen Markt tätig sind, ist es im Hinblick auf Ihre rechtlichen Verpflichtungen unerlässlich zu prüfen, ob Nutzerdaten abgeflossen sind. Sollte die Möglichkeit bestehen, dass auf Kundendaten oder Bezahlseiten zugegriffen wurde, sind Sie unter Umständen verpflichtet, den Vorfall der Datenschutzbehörde des jeweiligen Bundeslandes zu melden.

Checkt sofort die Search Console: Wenn unter Sicherheitsprobleme eine Warnung aufgetaucht ist, müsst ihr direkt nach der Bereinigung eine Überprüfung beantragen.

Gut gemacht. Das allein zu versuchen ist der teuerste Weg.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Lasst uns die Begriffe trennen sie werden oft verwechselt. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen die man nicht sieht.

Wenn du das nicht von Anfang an schriftlich festhältst gibt es später Streit. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Bei uns war es so. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Ich hoffe das hilft dir weiter.

Bleibe dran.

bei uns war es so aber übrigens dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

wenn es jemand anders macht würde mich das auch interessieren.

Kurzfassung für Neueinsteiger: Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich möchte etwas fragen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Korrigiert mich, falls ich falsch liege.

Wenn du so vorgehst, kläre das vorher. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.