Start Website-Sicherheit Website gehackt
Ihre Website wurde gehackt. Das Wichtigste zuerst: nichts löschen.
Der erste Reflex ist, die auffällige Datei wegzuwerfen und die Seite wieder freizuschalten. Genau das macht es schlimmer: Es vernichtet die Spur zum Einstiegspunkt und lässt die übrigen Hintertüren offen. Unten stehen die sieben Schritte für die nächste halbe Stunde und die vier Fehler, die am meisten kosten. Sie können das selbst machen. Und wenn Sie es lieber jemandem geben: Wir machen das, zum Festpreis, für die ganze Schweiz, für WordPress, Joomla, TYPO3 und von Hand gebaute Seiten.
Jetzt anrufen: +41 78 311 21 92 Notfall schriftlich melden: kostenlose Ersteinschätzung
Die nächsten dreissig Minuten.
In dieser Reihenfolge. Die ersten drei Schritte sind die wichtigen: Sie entscheiden darüber, ob der Fall überhaupt noch sauber aufzuklären ist. Das kostet Sie nichts und Sie brauchen uns dafür nicht.
Sichern, bevor Sie irgendetwas anfassen
Ziehen Sie eine vollständige Kopie des Ist-Zustands (alle Dateien und die Datenbank) und legen Sie sie getrennt ab, nicht auf demselben Webspace. Ja, auch den Schadcode. Diese Kopie ist die einzige Spur, die später zum Einstiegspunkt führt. Wer zuerst putzt und dann sucht, sucht umsonst.
Passwörter ändern, von einem sauberen Gerät aus
Hosting-Verwaltung, Verwaltungssystem, FTP und SFTP, Datenbankbenutzer, und die Mailkonten der Domain. Alle, nicht nur das eine, das Ihnen einfällt. Falls der Verdacht besteht, dass Ihr eigener Rechner betroffen ist, machen Sie es von einem anderen Gerät aus, sonst tippen Sie die neuen Passwörter in dieselbe offene Tür.
Den Hoster anrufen und nach den Protokollen fragen
Fragen Sie konkret: Ab wann sehen Sie auffälligen Verkehr? Gibt es weitere Websites auf demselben Konto? Wie weit reichen Ihre Sicherungen zurück, und liegen sie getrennt vom Webspace? Der Hoster sieht Dinge, die man von aussen nicht sieht. Wichtig zu wissen: Was er meldet, ist ein Hinweis, keine vollständige Liste.
Entscheiden, ob die Seite vom Netz muss
Vom Netz, wenn Besucher gefährdet werden: Weiterleitungen auf fremde Seiten, untergeschobene Downloads, gefälschte Anmeldeformulare. Dann ist eine Wartungsseite besser als eine Seite, die Ihren Kunden schadet. Läuft der Missbrauch unsichtbar im Hintergrund, meist als Werbemailversand, reicht es in der Regel, den Mailversand zu stoppen und die Seite online zu lassen.
Mailversand stoppen, bevor die Domain verbrannt ist
Wird über Ihre Domain Werbemail verschickt, landet sie auf Sperrlisten, und danach kommt auch Ihre normale Geschäftspost bei Kunden nicht mehr an. Das ist der Schaden, der am längsten nachwirkt und am wenigsten auffällt. Der Hoster kann den Versand sofort abstellen.
Nachsehen, wer Zugang hat
Im Verwaltungssystem die Benutzerliste durchgehen: neue Verwalterkonten, die niemand angelegt hat, sind ein häufiger Befund. Ebenso alte Konten von Leuten, die längst weg sind. Löschen Sie fremde Konten nicht sofort, sondern notieren Sie zuerst Name, Mailadresse und Anlagedatum: Das gehört zur Spur.
Aufschreiben, was Sie bemerkt haben
Wann ist es Ihnen aufgefallen, woran, was haben Sie seither gemacht. Zwei Sätze reichen. Wer immer den Fall danach bearbeitet (Sie selbst, wir oder jemand anderes), spart damit eine halbe Stunde Rückfragen, und Sie erinnern sich in drei Tagen nicht mehr an die Reihenfolge.
Die vier Fehler, die am meisten kosten.
Alle vier sind naheliegend, und alle vier verlängern den Fall, oft von einem Tag auf eine Woche.
Die eine gefundene Datei löschen
Hintertüren werden gewöhnlich mehrfach angelegt und über verschiedene Ordner verstreut, mit Dateinamen, die nach normalem Systeminhalt aussehen. Wer eine davon entfernt und die Seite wieder freischaltet, hat eine Tür geschlossen und den Rest offen gelassen, und erfährt das zwei Wochen später, wenn alles wieder da ist. Es wird flächendeckend gesucht, nicht punktuell gelöscht.
Die Sicherung von gestern zurückspielen
Zwei Probleme auf einmal. Erstens weiss meist niemand, seit wann der Befall läuft. Bei einem Einbruch vor drei Wochen steckt der Schadcode bereits in jeder verfügbaren Sicherung. Zweitens stellt das Zurückspielen auch die Lücke wieder her, durch die eingebrochen wurde. Eine Sicherung zurückzuspielen ist ein Schritt in der Bereinigung, nicht die Bereinigung.
Wochenlang offline bleiben
Eine Seite abzuschalten fühlt sich nach Handeln an, ändert aber nichts daran, dass der Angreifer weiter Zugang zum Webspace hat. Sie verlieren Sichtbarkeit und Anfragen, ohne das Problem zu lösen. Offline gehört zum Werkzeugkasten, wenn Besucher gefährdet sind, nicht als Dauerzustand, während man überlegt.
Nur die Website ansehen, nicht das Konto
Auf einem gemeinsam genutzten Webspace liegen oft mehrere Websites nebeneinander: die alte Seite, die Testinstallation von 2019, das Projekt eines Bekannten. Wer nur die Hauptseite säubert und die Nachbarn stehen lässt, wird von dort aus in derselben Woche wieder infiziert. Geprüft wird das ganze Konto, nicht nur der eine Ordner.
Danach das Naheliegende: eine Sicherung ausserhalb des Webservers und ein Auge darauf. Website-Wache ab CHF 49 pro Monat ↗
Wenn Sie es abgeben wollen.
Der Ablauf bei uns, in vier Schritten. Endpreise, wir sind nicht im Mehrwertsteuerregister eingetragen.
Anruf, zehn Minuten
Sie schildern, was Sie sehen. Wir sagen Ihnen, ob es eilt, was Sie sofort selbst tun sollten und ob es überhaupt ein Fall für uns ist. Das kostet nichts. Kommt es vor, dass wir abwinken? Ja: Wenn ein Fall grösser ist als die Website oder klar zu Ihrem Hoster gehört, sagen wir das, statt eine Offerte zu schreiben.
Kostenlose Ersteinschätzung, innert eines Arbeitstags
Dafür brauchen wir keinen Zugang zu Ihrem System. Wir sehen uns die Seite von aussen an, so wie jeder Besucher und jede Suchmaschine sie sieht: Warnungen bei Google, Einträge auf Sperrlisten, Weiterleitungen, Schadcode im ausgelieferten Quelltext, dazu die Meldung Ihres Hosters, falls es eine gibt. Sie erfahren, was es wahrscheinlich ist, wie dringend es ist und in welchem Preisrahmen die Bereinigung liegt. Das kostet nichts und verpflichtet Sie zu nichts.
Bereinigung, CHF 800 bis 2’900 zum vorher vereinbarten Festpreis
Sie beginnt mit einer Sichtung mit Zugang zu Webspace und Verwaltungssystem; danach steht der Festpreis. Wollen Sie nach der Sichtung nicht weiter, kostet sie CHF 290, und der schriftliche Befund gehört Ihnen. Damit kann auch jemand anderes weiterarbeiten. Spuren sichern, Einstiegspunkt finden, alle Hintertüren aufspüren statt der erstgefundenen, Schadcode aus Dateien und Datenbank entfernen, Zugänge, Schlüssel und Sitzungen erneuern, aktualisieren, was die Lücke geöffnet hat, Mailversand prüfen und die Aufhebung einer Google-Warnung einreichen. Am Schluss ein Bericht: was war, was gemacht wurde, was offen bleibt. Wenn der Befall so tief geht, dass eine Neuinstallation der ehrlichere Weg ist, sagen wir das, auch wenn es unbequemer ist als weiterputzen.
Danach: dass es nicht wieder passiert
Absicherung und Aktualisierung ab CHF 690, und die laufende Website-Wache ab CHF 49 pro Monat mit täglicher Sicherung ausserhalb des Webservers. Das ist kein Nachverkauf um seiner selbst willen: Eine einmal bereinigte Website, um die sich danach niemand kümmert, steht in einem bis zwei Jahren wieder genau hier.
Eine Bearbeitung ausserhalb der Bürozeit (Abend, Wochenende, Feiertag) kostet die Hälfte mehr. In den meisten Fällen ist sie nicht nötig, und wir sagen es Ihnen vorher, wenn sie es doch ist. Alle Preise rund um Website-Sicherheit ↗
Was wir dabei nicht versprechen.
Der Vollständigkeit halber, damit Sie es vorher wissen und nicht hinterher.
Eine Bereinigung entfernt, was mit den eingesetzten Mitteln zu finden ist. Bei einem tief sitzenden Befall bleibt ein Restrisiko, und dann ist eine Neuinstallation auf sauberer Grundlage der ehrlichere Weg. Wir sagen das, statt eine saubere Seite zu behaupten, die wir nicht garantieren können. Hundertprozentige Sicherheit gibt es nicht, weder vorher noch nachher.
Wie lange eine Google-Warnung nach der Einreichung stehen bleibt, liegt bei Google, üblicherweise ein bis drei Tage. Und wenn ein Fall grösser ist als die Website (Verschlüsselungstrojaner im Firmennetz, abgeflossene Kundendaten mit Meldepflicht, ein laufendes Strafverfahren), übergeben wir, statt es an uns zu ziehen. Ausführlich dazu auf der Hauptseite ↗
Häufige Fragen im akuten Fall.
Sieben Fragen, die am Telefon fast immer als Erstes kommen.
/01Meine Website wurde gehackt: Was soll ich als Erstes tun?
Nicht löschen. Als Erstes eine vollständige Sicherung des Ist-Zustands ziehen, Dateien und Datenbank, und getrennt ablegen. Sie ist die einzige Spur zum Einstiegspunkt. Danach alle Passwörter ändern, von einem Gerät aus, dem Sie vertrauen: Hosting-Verwaltung, Verwaltungssystem, FTP und SFTP, Datenbank, Mailkonten der Domain. Dann den Hoster informieren und fragen, was er in seinen Protokollen sieht. Erst danach beginnt das Aufräumen. Die sieben Schritte im Einzelnen.
/02Soll ich die Website vom Netz nehmen?
Wenn Besucher gefährdet werden, ja: bei Weiterleitungen auf fremde Seiten, untergeschobenen Downloads oder gefälschten Anmeldeformularen. Dann ist eine Wartungsseite besser als eine Seite, die Ihren Kunden schadet. Läuft der Missbrauch unsichtbar im Hintergrund, etwa als Werbemailversand, reicht es meist, den Mailversand zu stoppen und die Seite online zu lassen. Wochenlang offline zu bleiben kostet Sichtbarkeit und löst nichts, solange der Zugang des Angreifers besteht.
/03Reicht es, die Sicherung von gestern zurückzuspielen?
Oft nicht, und das ist der häufigste Fehler. Erstens weiss meist niemand, seit wann der Befall läuft. Bei einem Einbruch vor drei Wochen steckt der Schadcode schon in jeder verfügbaren Sicherung. Zweitens stellt das Zurückspielen auch die Lücke wieder her, durch die eingebrochen wurde; derselbe Weg steht sofort wieder offen. Eine Sicherung zurückzuspielen ist ein Schritt in der Bereinigung, nicht die Bereinigung.
/04Was kostet die Bereinigung?
CHF 800 bis 2’900. Ab CHF 800 für den einfachen Fall: eine Website, Befall nur in Dateien, Datenbank sauber. Mehr kostet es, je nachdem, wie tief der Befall geht und wie viele Websites auf dem Webspace betroffen sind. Weil das vorher niemand seriös wissen kann, beginnt es mit einer kostenlosen Ersteinschätzung innert eines Arbeitstags: Wir sehen uns die Seite von aussen an, ohne Zugriff auf Ihr System, und nennen Ihnen, was es wahrscheinlich ist, wie dringend es ist und in welchem Preisrahmen die Bereinigung liegt. Den Festpreis legen wir fest, sobald wir mit Zugang gesichtet haben; diese Sichtung ist Teil der Bereinigung. Wollen Sie danach nicht weiter, kostet sie CHF 290, und der schriftliche Befund gehört Ihnen. Endpreise, es kommt keine Mehrwertsteuer dazu.
/05Wie lange dauert es, bis die Website wieder sauber ist?
Ein üblicher Fall auf einem gemeinsam genutzten Webspace ist an einem Arbeitstag erledigt, gerechnet ab dem Moment, an dem die Zugänge vorliegen. Aufwendiger wird es, wenn mehrere Websites auf demselben Konto betroffen sind, wenn der Befall Wochen zurückliegt oder wenn kein brauchbarer Ausgangsstand existiert. Bis eine Google-Warnung nach der Einreichung verschwindet, vergehen meist ein bis drei Tage. Das liegt bei Google, nicht bei uns.
/06Der Hoster hat mir eine betroffene Datei gemeldet. Reicht es, die zu löschen?
Nein. Eine Meldung des Hosters ist ein Hinweis, keine vollständige Liste. Hoster erkennen, was ihre automatische Prüfung erkennt, und manchmal melden sie gar nichts. Hintertüren werden gewöhnlich mehrfach angelegt und über verschiedene Ordner verstreut, mit Dateinamen, die nach normalem Systeminhalt aussehen. Wer eine davon entfernt und wieder freischaltet, hat eine Tür geschlossen und den Rest offen gelassen.
/07Wie schnell sind Sie erreichbar?
Montag bis Freitag von 8 bis 18 Uhr telefonisch unter +41 78 311 21 92, ausserdem über WhatsApp. Die kostenlose Ersteinschätzung liegt innert eines Arbeitstags vor. Ausserhalb der Bürozeit ist eine Bearbeitung möglich und kostet die Hälfte mehr; meistens ist das nicht nötig, und wir sagen es vorher, wenn es das doch ist.
Website-Sicherheit: Prüfung, Absicherung und laufende Überwachung ↗
Rufen Sie an, bevor Sie etwas löschen.
Zehn Minuten am Telefon kosten nichts und entscheiden oft darüber, ob der Fall ein Tag oder eine Woche wird. Wenn es nichts für uns ist, sagen wir Ihnen das auch.