Ihre Website wurde gehackt. Was Sie in der ersten Stunde tun.

Die kurze Antwort

Eine gehackte Website ist eine Website, in die jemand ohne Ihre Erlaubnis Code, Seiten oder Benutzer eingeschleust hat. Bei kleinen Unternehmen ist es fast immer eine WordPress-Website mit einem veralteten Plugin oder Theme oder ein Passwort, das in falsche Hände geraten ist. Behoben wird das in drei Schritten: die Lücke schließen, durch die die Angreifer hereingekommen sind, alles entfernen, was sie hinterlassen haben, und Google um eine Überprüfung bitten. Wer nur löscht, was man sieht, hat das Problem bald wieder.

Woran Sie es erkennen

• Weiterleitungen auf Spam. Sie rufen Ihre Website über Google oder auf dem Handy auf und landen auf einer Seite mit Glücksspiel, Pillen oder falschen Gewinnen. Manchmal passiert das nur über Google oder nur auf dem Handy. Deshalb sehen Sie es nicht, Ihre Kunden aber schon.
• Der Hinweis von Google. In den Suchergebnissen steht neben Ihrer Website „Diese Website wurde möglicherweise gehackt“, oder Chrome zeigt vor dem Öffnen einen roten Warnbildschirm.
• Seiten, die nicht Ihre sind. Sie suchen nach „site:“, direkt gefolgt von Ihrer Domain, und es erscheinen Seiten auf Japanisch, mit gefälschten Marken oder mit Produkten, die Sie nicht verkaufen.
• Spam von Ihrer Domain. Sie bekommen Unzustellbarkeitsmeldungen zu E-Mails, die Sie nie verschickt haben, oder Kunden erzählen Ihnen, dass Sie ihnen seltsame Dinge schreiben. Manchmal ist es die Website. Manchmal ist es ein E-Mail-Konto, dessen Passwort in falsche Hände geraten ist, oder jemand, der sich als Ihre Domain ausgibt.
• Benutzer, die niemand angelegt hat. In WordPress gibt es Administratoren, die Sie nicht kennen.

Was Sie in der ersten Stunde tun

• Ändern Sie die Passwörter für den Admin-Bereich der Website, das Hosting, FTP und E-Mail, und zwar an einem Computer, von dem Sie wissen, dass er sauber ist.
• Bitten Sie Ihren Hoster um ein Backup von vor dem Angriff und fragen Sie, ob ihm etwas aufgefallen ist. Viele bewahren Backups mehrerer Tage auf.
• Richten Sie die Website in der Search Console ein, falls das noch nicht geschehen ist, und öffnen Sie den Bericht „Sicherheitsprobleme“. Dort zeigt Google, was es gefunden hat, mit Beispielen betroffener Adressen.
• Notieren Sie, was Sie sehen und seit wann: Screenshots, die Adressen, auf die weitergeleitet wird, Datum und Uhrzeit. Das hilft bei der Bereinigung und bei der Überprüfung durch Google.
• Prüfen Sie Ihre Website in 20 Sekunden auf der Startseite. Wenn die Startseite Skripte von Dritten lädt, die Sie nicht eingebaut haben, zeigt sich das bei den Prüfungen.

Was Sie besser nicht tun

• Öffnen Sie die befallenen Seiten nicht in Ihrem normalen Browser. Google rät in seiner Hilfe davon ab. Um zu sehen, was sie ausliefern, nutzt man das URL-Prüftool der Search Console.
• Löschen Sie nicht nur, was Sie sehen. Wer die Weiterleitung entfernt, ohne die Lücke zu schließen, räumt nur auf, damit die Angreifer wiederkommen. Meist bleibt irgendwo in einer Datei eine Hintertür versteckt.
• Spielen Sie nicht einfach ein Backup ein. Stammt das Backup aus einer Zeit, in der die Lücke schon bestand, kommen die Angreifer wieder herein. Das Backup wird eingespielt, danach wird alles aktualisiert und die Schwachstelle geschlossen.
• Bezahlen Sie niemanden, der verspricht, den Hinweis von Google in wenigen Stunden zu entfernen. Den Hinweis entfernt Google, wenn es die Website prüft und sie sauber ist. Misstrauen Sie auch Wunder-Plugins, die mit einem Klick „alles bereinigen“.
• Beantragen Sie die Überprüfung nicht zu früh. Google verlangt, dass alle Seiten bereinigt sind, nicht nur die Beispiele aus dem Bericht. Außerdem bittet Google darum, keinen neuen Antrag zu stellen, solange der vorherige noch läuft.

So wird eine gehackte Website repariert

Google hat einen Leitfaden für gehackte Websites (auf Englisch) und erklärt die Überprüfung in der Hilfe zum Bericht „Sicherheitsprobleme“. Was ich tue, in dieser Reihenfolge:

• Eine Kopie von allem, so wie es ist, bevor ich etwas anfasse.
• Herausfinden, wie die Angreifer hereingekommen sind: Plugin, Theme, Passwort oder Server. Ohne das ist die Website bald wieder befallen.
• Dateien, Datenbank und Benutzer bereinigen. Die Seiten entfernen, die die Angreifer angelegt haben.
• Alles aktualisieren, Überflüssiges entfernen und den Zugang zum Admin-Bereich absichern.
• Von außen prüfen, dass die Website nicht mehr weiterleitet, auf dem Handy und über Google.
• In der Search Console die Überprüfung beantragen und erklären, was passiert ist und was getan wurde.
• Eine aktive Überwachung einrichten: eine Meldung per Telegram, wenn die Website ausfällt, das Zertifikat bald abläuft oder die Domain kurz vor dem Auslaufen steht.

Wann Sie jemanden brauchen

Wenn die Website nach der Bereinigung wieder befallen wird, wenn Sie nicht herausfinden, wie die Angreifer hereingekommen sind, oder wenn Google den Hinweis schon anzeigt, sitzt das Problem tiefer, als man sieht. Jeder Tag mit dem Hinweis bedeutet Menschen, die Ihren Namen neben „gehackt“ sehen und nicht klicken.

Manchmal ist es besser ohne WordPress

Eine alte WordPress-Website mit vielen Plugins, die niemand aktualisiert, wird wieder gehackt. Wenn die Website einfach ist, lohnt es sich manchmal, sie als statische Website neu aufzubauen, ohne Admin-Bereich und ohne Datenbank, die sich angreifen lässt, und jede alte Adresse auf die neue weiterzuleiten. Das wird von Fall zu Fall entschieden, und Sie erfahren es vor Beginn. Wenn die Website außerdem Fehler zeigt oder nicht lädt oder die Kontaktformulare nicht ankommen, wird alles zusammen behoben.

Wenn Sie sich damit nicht herumschlagen wollen

Sagen Sie mir, was Sie sehen, seit wann und womit die Website gebaut ist. Ich sage Ihnen, was passiert ist und was nötig ist, um sie zu bereinigen und abzusichern, und nenne Ihnen vor Beginn einen Festpreis. Was ich nicht versprechen kann: wann Google den Hinweis entfernt. Das entscheidet Google bei der Überprüfung. Ich arbeite aus der Ferne mit Unternehmen außerhalb Spaniens, auf Deutsch. Ich konkurriere nicht über den Preis, sondern über Qualität und Tempo.

Fragen