Ein Angriff kann sich durch fremde Inhalte, Werbung für Onlinecasinos oder unerwartete Weiterleitungen zeigen. Er kann aber auch weitgehend unauffällig bleiben: etwa wenn im Hintergrund Dateien hinzugefügt oder Zugänge verändert werden, während die Website für Besucher wie gewohnt aussieht.
Aus sichtbaren Veränderungen lässt sich das Ausmaß eines Angriffs nicht verlässlich ableiten. Auch eine kleine Auffälligkeit kann auf einen erheblichen Eingriff hinweisen. Was tatsächlich passiert ist und welche Bereiche betroffen sind, klärt die technische Untersuchung. Unser Fallbeispiel zeigt, wie ein unscheinbarer Hinweis zur Aufdeckung eines Befalls führte.
Ein Fall aus unserer Arbeit: ein unbekannter Search-Console-Nutzer
Ein Kunde meldete uns einen Nutzer in der Google Search Console, den er nicht zuordnen konnte. Bei der Prüfung fanden wir eine unerwartete Google-Datei im Stammverzeichnis der Website. Weitere Untersuchungen zeigten, dass zusätzliche Dateien angelegt worden waren. Die Website war kompromittiert.
Wir informierten den Kunden. Er bezog seinen Datenschutzbeauftragten und die Versicherung ein. Die kompromittierte Website wurde abgeriegelt; für die weitere Untersuchung arbeiteten wir mit einer Kopie des Auftritts auf einem unserer Server.
Der erste Hinweis war also eine Auffälligkeit außerhalb der sichtbaren Website. Die weiteren Untersuchungen machten den Befall deutlich.
Untersuchung und Bereinigung an einer Kopie
Wir untersuchten, was passiert war, scannten und bereinigten die Website. Zur Arbeit gehörten auch das Löschen und Neuinstallieren von Plugins. Die Kopie erlaubte uns, an dem betroffenen Bestand zu arbeiten, während die kompromittierte Live-Website gesperrt war.
Das Vorgehen richtet sich nach dem Befund. Welche Bereiche wir untersuchen können und welche Wiederherstellung möglich ist, hängt unter anderem von den verfügbaren Zugängen, dem Zustand der Website und vorhandenen Sicherungen ab.
Zusätzliche Schutzmaßnahmen und Rückkehr ins Live-System
In diesem Projekt haben wir die eingesetzte Firewall geändert und Cloudflare eingebunden. Anschließend wurde die bereinigte Website wieder auf dem Live-System installiert.
Welche Schutzmaßnahmen zu einer anderen Website passen, entscheiden wir anhand der jeweiligen Untersuchung. Auch nach einer Bereinigung braucht die Website Wartung und technische Pflege.
Abstimmung mit allen Beteiligten
Während des Einsatzes arbeiteten wir eng mit dem Kunden, dem Datenschutzbeauftragten und dem Versicherer zusammen. Wir übernahmen die technische Untersuchung und Umsetzung; die weiteren Beteiligten brachten ihre jeweiligen Zuständigkeiten ein.
Wenn solche Ansprechpartner in Ihrem Fall beteiligt sind, stimmen wir die technische Arbeit mit ihnen ab. Datenschutzrechtliche Bewertungen oder Zusagen zur Versicherungsdeckung gehören in deren Zuständigkeitsbereich.
Aufwand und Erreichbarkeit
Solche Einsätze werden nach Aufwand abgerechnet. Welche Arbeit nötig ist, ergibt sich aus dem Befund und den gemeinsam abgestimmten Schritten.
Sie erreichen uns montags bis freitags von 9 bis 17 Uhr, außer an Feiertagen. Während der Schulferien in Schleswig-Holstein können wir zeitweise nicht erreichbar sein. Wir helfen im Rahmen unserer Möglichkeiten; einen 24/7-Notdienst bieten wir nicht an.
Beschreiben Sie uns die Auffälligkeiten
Für die erste Anfrage helfen uns:
- die Adresse Ihrer Website und die beobachteten Probleme;
- vorhandene Meldungen Ihres Hosters oder anderer Dienste;
- ein Hinweis, ob ein Shop betroffen ist und Sicherungen vorhanden sind.
Benötigte Zugänge stimmen wir direkt mit Ihnen ab. Bitte senden Sie in der ersten Nachricht keine Passwörter oder sensiblen Kundendaten.
Häufige Fragen
Was sollte ich bei einem vermuteten Angriff zuerst tun?
Notieren Sie die beobachteten Auffälligkeiten und deren Zeitpunkt. Halten Sie Meldungen Ihres Hosters oder anderer Dienste bereit. Stimmen Sie nötige Sperrmaßnahmen mit Ihrem Hostinganbieter ab und vermeiden Sie unkoordinierte Löschungen oder Wiederherstellungsversuche. Melden Sie sich mit der Website-Adresse und einer kurzen Beschreibung bei uns; benötigte Zugänge klären wir gesondert.
Was kostet die Hilfe bei einer gehackten Website?
Solche Einsätze rechnen wir nach Aufwand ab. Wie viel Arbeit nötig ist, hängt unter anderem vom Befall, den verfügbaren Zugängen und Sicherungen sowie den Anpassungen Ihrer Website ab. Wir besprechen das Vorgehen anhand des Befunds. Einen pauschalen Preis oder eine feste Dauer nennen wir deshalb nicht vor der Untersuchung.
Wann sind Sie erreichbar? Gibt es einen 24/7-Notdienst?
Wir sind montags bis freitags von 9 bis 17 Uhr erreichbar, außer an Feiertagen. Während der Schulferien in Schleswig-Holstein können wir zeitweise nicht erreichbar sein. Einen 24/7-Notdienst bieten wir nicht an. Wir helfen im Rahmen unserer Erreichbarkeit und Kapazitäten; eine bestimmte Reaktionszeit oder einen sofortigen Beginn sagen wir nicht pauschal zu.
Welche Angaben brauchen Sie beim ersten Kontakt?
Nennen Sie die Website-Adresse, die beobachteten Probleme und gegebenenfalls die Meldung Ihres Hosters. Wichtig ist auch, ob ein Shop betroffen ist und ob Sicherungen vorhanden sind. Senden Sie in dieser ersten Nachricht keine Passwörter, Zugangsschlüssel oder sensiblen Kundendaten. Wie Sie notwendige Zugänge bereitstellen, stimmen wir direkt mit Ihnen ab.
Reicht es, ein Backup einzuspielen?
Eine Sicherung kann bei der Wiederherstellung helfen. Sie kann allerdings bereits kompromittiert sein; eine weiterhin offene Schwachstelle kann einen erneuten Angriff ermöglichen. Deshalb müssen Zustand und Zeitpunkt des Backups sowie die nötigen Schutzmaßnahmen geprüft werden. Der passende Weg ergibt sich aus der Untersuchung Ihrer Website.
Arbeiten Sie mit Datenschutzbeauftragten und Versicherern zusammen?
Ja. Bei diesem Einsatz haben wir eng mit dem Kunden, seinem Datenschutzbeauftragten und dem Versicherer zusammengearbeitet. Wenn diese Ansprechpartner beteiligt sind, stimmen wir die technische Arbeit mit ihnen ab. Datenschutzrechtliche Bewertungen und Entscheidungen zur Versicherungsdeckung gehören zu den jeweiligen Fachleuten.
Was ist bei einem betroffenen Onlineshop zu beachten?
Bei einer Wiederherstellung kann ein älterer Datenbankstand neuere Bestellungen und andere Änderungen überschreiben. Der Datenstand und laufende Änderungen müssen deshalb vorab geklärt werden. Teilen Sie uns schon beim ersten Kontakt mit, dass ein Shop betroffen ist und welche Einschränkungen gerade bestehen.
Ist die Website nach der Bereinigung dauerhaft sicher?
Dauerhafte Angriffsfreiheit kann niemand garantieren. Eine Bereinigung und zusätzliche Schutzmaßnahmen sollen die Risiken verringern. Welche Maßnahmen nötig sind und welche Ursachen sich klären lassen, hängt vom konkreten Befund ab. Laufende Pflege, aktuelle Komponenten und ein passendes Sicherungskonzept bleiben auch danach wichtig.