Website gehackt? Erste Schritte und Sofortmaßnahmen

Solltest du festgestellt haben, dass deine Website infiziert ist, hilft dir dein innerer Panikknopf auf keinen Fall weiter. Das Kind ist hier bereits in den Brunnen gefallen.

Es gilt: Wer Ruhe bewahrt, trifft ausgewogenere Entscheidungen.

Sowohl das Kundencenter als auch das mStudio bieten dir die Möglichkeit, einen Verzeichnisschutz (.htaccess-Schutz / Passwortschutz) für eine Seite anzulegen. Damit sperrst du die Seite für sämtliche Webzugriffe. Infolgedessen erreichst du deine Website nur noch über den neuen Benutzernamen und das neue Passwort. Verwende kein Passwort, das du an anderer Stelle bereits nutzt.

Als Zielverzeichnis solltest du das Root-Verzeichnis `/` der Domain auswählen.

Kundencenter: (Dein Server) -> Dein Projekt -> Tools -> Verzeichnisschutz

mStudio Extension: Passwortschutz

Der Verzeichnisschutz schützt nur vor Webzugriffen. Er hilft nicht, wenn jemand an deinen Login für das mittwald Kundencenter oder mStudio oder an deinen SSH- oder SFTP-Zugang gelangt ist. Für diesen Fall folge dem 3. Schritt.

Nutzt du für den Login auf deiner Website ein Passwort, das du z. B. auch für das Kundencenter oder mStudio verwendest? Dann setze die Passwörter in der jeweiligen Oberfläche schnellstmöglich zurück. Gleiches gilt, wenn jemand an deine Zugangsdaten für Kundencenter oder mStudio gelangt ist.

Kundencenter:

https://login.mittwald.de/contracts/security

mStudio:

https://studio.mittwald.de/profile/security

Die Zugangsdaten für SFTP und SSH kannst du im jeweiligen Projekt anpassen.

Bitte ändere an dieser Stelle noch nicht die Zugänge deiner Website selbst. Solange sich Schadcode in der Seite befindet, musst du jedes neue Passwort als kompromittiert betrachten. Einen weiteren Grund, das nicht zu tun, findest du im nächsten Schritt.

Wenn dich jetzt der Ehrgeiz packt und du anfängst, Dateien zu löschen und vom Schadcode zu befreien, raubst du dir selbst und uns eine wichtige Möglichkeit: den exakten Zeitpunkt des Hacks und damit das Einfallstor zu finden. Spiel deshalb auch noch kein Backup ein.

Der Zeitstempel von Dateien, Ordnern und Logs ist ausschlaggebend, damit wir das Kernproblem finden und beheben können. Den Tatortreiniger zu bestellen, bevor die Kripo da war, ist oft nicht der richtige Weg.

Beobachte die Situation, fertige gerne Screenshots an und notiere dir Offensichtliches. Aber lass alles so, wie es ist, und greif zum Hörer.

Ruf uns an oder schreib uns ein Ticket mit dem Hinweis, dass deine Website gehackt wurde. Wir helfen dir gerne dabei einzuschätzen, ob es sich wirklich um einen Hack bzw. um Schadcode handelt. So kannst du die Situation besser handhaben. Alles, was du uns mitteilen kannst, hilft uns bei einer späteren Analyse, falls du eine wünschst. Dazu gehören:

• Um welche Website geht es?
• In welchem Projekt findest du sie?
• Wann hast du den Hack bemerkt?
• Woran hast du den Hack erkannt und wie äußert er sich?
• Was ist in der Zwischenzeit passiert?

Du bist dir unsicher, wie du diese Fragen beantworten kannst? Kein Problem, wirf einen Blick in den folgenden Abschnitt „Woran erkennst du einen Hack?“.

Ob deine Seite wirklich gehackt wurde, können wir dir meist schon am Telefon sagen. Eine tiefergehende Analyse braucht dagegen Zeit. Dabei befassen sich unsere Profis mit deiner Website, prüfen die Dateien auf Schadcode, suchen nach dem Einfallstor und bereiten dir die Informationen auf.

Das ist genau das, was du brauchst? Unser Support hilft dir gerne weiter.

Oft sind die Auswirkungen eines Hacks relativ gut sichtbar, das muss aber nicht immer so sein. Wenn du auf die folgenden Punkte achtest, erhöht das deine Chance, Gewissheit zu erlangen.

Das ist sicherlich einer der deutlichsten Indikatoren dafür, dass etwas nicht stimmt. Ignoriere diese Meldung nicht. Oft zeigen solche Scanner direkt an, um welche Art Bedrohung es sich handelt. Eine kurze Suche im Internet liefert dir meist weiterführende Informationen dazu.

Du rufst deine Website auf, klickst einen Link oder Button an oder loggst dich z. B. ein – und landest auf einer fremden Seite, meist mit expliziten Inhalten. Das ist ein sehr deutlicher Hinweis darauf, dass jetzt Vorsicht angebracht ist. Gib danach niemals persönliche Daten ein (Angaben zu deiner Person, Passwörter, Kreditkartendaten, ...).

Jemand sucht nach deiner Website, einem Artikel oder einem Produkt. Die Treffer führen zwar zu deiner Adresse, zeigen aber völlig fremde Inhalte. Ein Fehler ist nicht auszuschließen, ein Hack aber auch nicht.

Der Klassiker: In deinem Shop sind die Zahlungsarten Vorkasse, Rechnung und ein mobiler Bezahldienst konfiguriert, aber keine Kreditkarte. Trotzdem taucht im Bezahlvorgang genau diese Zahlungsart auf. Meist geht es nach der Eingabe der Daten nicht weiter oder dein Kunde erhält eine Fehlermeldung.

Sei hier gewarnt: Jemand könnte versuchen, die Daten deiner Kunden abzugreifen.

Nicht zuletzt macht sich Schadcode dadurch bemerkbar, dass neue Dateien mit ähnlich klingenden oder kryptischen Dateinamen auftauchen. Manchmal auch massenhaft. Entscheidend ist dabei der Inhalt der Dateien. Arbeitest du via SSH auf dem Server, kannst du dir mit `cat datei.endung` den Inhalt ungefiltert auf der Konsole ausgeben lassen und bewerten.

Hinweis: `cat` verpasst der Datei einen neuen Zeitstempel für den Zugriff (`Access`), lässt aber die anderen Zeitstempel (`Modify`, `Change`, `Birth`) unangetastet. Meist ist das kein Problem, sei dir dessen jedoch bewusst.

Ein Hack ist unangenehm, aber kein Weltuntergang – solange du besonnen reagierst und uns frühzeitig einbindest. Du bist dir unsicher, ob deine Seite betroffen ist, oder brauchst akut Unterstützung? Unser Support ist für dich da. Wie du uns am schnellsten erreichst, findest du hier: https://www.mittwald.de/darum-mittwald/kundenservice