Mit dieser Checkliste begleite ich Sie durch die ersten 24 Stunden nach einem Angriff. Ich zeige Ihnen, wie Sie Informationen sichern und die Meldefrist mit Ihrem Datenschutzbeauftragten oder Anwalt klären.
Ihre Website zeigt fremde Inhalte oder leitet Besucher auf eine andere Seite weiter. Vielleicht meldet sich der Hoster, vielleicht ein Kunde. Das ist unangenehm, aber Sie müssen jetzt nicht alles gleichzeitig lösen. Ich rate Ihnen, zuerst den Schaden zu begrenzen und die Informationen zu sichern, die für die Aufklärung nötig sind.
In diesen 24 Stunden würde ich mich an den folgenden Schritten orientieren und Ihren technischen Ansprechpartner früh dazuholen. Wenn Sie sofort Hilfe brauchen, finden Sie auf der Seite Website gehackt den direkten Weg zu uns. Notieren Sie ab jetzt jede Beobachtung und jede Änderung mit Uhrzeit, denn das hilft bei der Wiederherstellung und bei der Klärung, welche Daten betroffen sein könnten.
Anzeichen ernst nehmen
Ein Angriff kann durch fremde Texte oder veränderte Bilder offen sichtbar sein. Manchmal betrifft eine Weiterleitung aber nur Besucher, die über Google kommen. Auch Spam-Mails, die über Ihre Website verschickt werden, können ein Hinweis sein. Eine Warnung des Hosters oder von Google würde ich ebenfalls sofort prüfen.
Melden Sie sich beim Anbieter nur über die Webadresse an, die Sie selbst eingeben. Weil eine Warnung selbst ein Täuschungsversuch sein kann, sollten Sie keinem Anmeldelink aus einer verdächtigen E-Mail folgen. Bitten Sie den Hoster, seine Beobachtungen zu bestätigen und vorhandene Protokolle zu sichern.
Alle Zugänge erneuern
Ändern Sie sofort von einem sauberen Gerät aus die Passwörter für Hosting, Domainverwaltung und E-Mail. Beginnen Sie mit den Konten, über die andere Zugänge zurückgesetzt werden können, und verwenden Sie für jeden Zugang ein eigenes Passwort.
- Erneuern Sie die Zugänge für CMS, Dateiübertragung und Datenbank.
- Widerrufen Sie alte API-Schlüssel und richten Sie Ersatzschlüssel ein.
- Beenden Sie aktive Sitzungen und aktivieren Sie Zwei-Faktor-Authentifizierung.
Prüfen Sie im Konto beim Hoster auch Benutzer und Wiederherstellungsadressen. Unbekannte Zugänge sollten Sie dokumentieren und sperren. Kontrollieren Sie Weiterleitungen und Änderungen an der Domainkonfiguration. Ändern Sie nach der Bereinigung die Passwörter für CMS und Datenbank sowie die API-Schlüssel erneut.
Zugriff stoppen und den Zustand sichern
Sperren Sie den öffentlichen Zugriff beim Hoster oder lassen Sie eine unabhängige Wartungsseite anzeigen. Ein Wartungsmodus im angegriffenen CMS allein hält einen Angreifer nicht zuverlässig auf, deshalb sollten Sie die Isolierung des betroffenen Systems mit dem Hoster abstimmen. Besucher sollten keine schädlichen Inhalte mehr erhalten.
Vor der Bereinigung würde ich eine Kopie des kompromittierten Zustands anlegen lassen. Dazu gehören Dateien, die Datenbank und vorhandene Zugriffsprotokolle. Bewahren Sie die Kopie getrennt und vor fremdem Zugriff geschützt auf. Kennzeichnen Sie sie als kompromittiert, damit sie später niemand versehentlich wieder einspielt. Diese Sicherung dokumentiert den Vorfall und ist kein sauberes Backup für die spätere Veröffentlichung.
Löschen Sie verdächtige Dateien nicht auf eigene Faust. Halten Sie veränderte Seiten mit Screenshots fest und notieren Sie, wann die Website zuletzt unauffällig war.
Das Einfallstor finden
Häufige Ansatzpunkte sind ein veraltetes CMS oder nicht aktualisierte Plugins. Auch schwache Passwörter und offengelegte Zugangsdaten kommen infrage. Lassen Sie prüfen, welche Softwareversionen liefen und was die Protokolle zeigen, denn ein einzelner auffälliger Dateiname erklärt noch nicht, wie der Zugriff möglich wurde.
Ich würde auch andere Websites im selben Hostingkonto prüfen, weil der sichtbare Schaden nicht am ursprünglichen Einfallstor liegen muss. Lassen Sie nach zusätzlichen Benutzerkonten und versteckten Zugriffsmöglichkeiten suchen. Solange die Ursache offen ist, kann der Angreifer auch eine neu veröffentlichte Website wieder angreifen.
Bereinigen oder sauber wiederherstellen
Ein Backup aus der Zeit vor dem Angriff kann die Wiederherstellung erleichtern, wenn es nachweislich sauber ist. Das jüngste Backup würde ich dafür nicht automatisch verwenden, sondern Zeitpunkt und Inhalt prüfen. Schließen Sie die ausgenutzte Lücke, bevor die wiederhergestellte Website öffentlich erreichbar wird.
Ohne sauberes Backup muss jemand mit Erfahrung den betroffenen Bestand untersuchen und bereinigen oder die Website neu aufsetzen. Zur Bereinigung gehört mehr, als die sichtbare Veränderung zu entfernen. Prüfen Sie vor der Freigabe auch Formulare und Weiterleitungen. Läuft Ihre Website mit WordPress, erläutern die Hinweise von WordPress zu gehackten Websites weitere Schritte.
Personenbezogene Daten und die Meldefrist
Wenn personenbezogene Daten betroffen sein könnten, kontaktieren Sie sofort Ihren Datenschutzbeauftragten oder Anwalt, auch wenn die technischen Arbeiten noch laufen. Zu diesen Daten können Nachrichten aus Kontaktformularen gehören. Klären Sie gemeinsam, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welche Risiken für Betroffene bestehen.
Bei einer solchen Verletzung verlangt Artikel 33 DSGVO, sie der zuständigen Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu melden. Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Betroffenen führt. Prüfen Sie die Meldepflicht mit Ihrem Datenschutzbeauftragten oder Anwalt. Dokumentieren Sie den Vorfall und die Entscheidung auch dann, wenn keine Meldung erfolgt.
Einer Wiederholung vorbeugen
Legen Sie Zuständigkeiten für Updates und Sicherheitsmeldungen fest. Ich rate Ihnen außerdem zu Zwei-Faktor-Authentifizierung und dazu, die Wiederherstellung aus Backups zu testen. Eine Web Application Firewall kann schädliche Anfragen filtern und ergänzt damit die Pflege der Website. Sicherheitslücken müssen Sie weiterhin schließen.
Außerdem würde ich prüfen, ob eine statische Website Ihre Aufgaben erfüllt. Ohne öffentlich laufendes CMS entfallen bestimmte Angriffsmöglichkeiten, doch Konten und angebundene Dienste brauchen weiterhin Schutz.
Checkliste für die ersten 24 Stunden
- Notieren Sie jede Beobachtung und jede Änderung mit Uhrzeit.
- Prüfen Sie Warnungen und melden Sie sich beim Anbieter nur über die Webadresse an, die Sie selbst eingeben.
- Ändern Sie von einem sauberen Gerät aus die Passwörter für Hosting, Domainverwaltung und E-Mail.
- Sperren Sie den öffentlichen Zugriff beim Hoster und lassen Sie den kompromittierten Zustand sichern.
- Schalten Sie sofort Ihren Datenschutzbeauftragten oder Anwalt ein, wenn personenbezogene Daten betroffen sein könnten, und klären Sie die Meldefrist.
- Lassen Sie das Einfallstor suchen und die Lücke schließen, bevor die Website wieder öffentlich erreichbar wird.
- Stellen Sie die Website aus einem nachweislich sauberen Backup wieder her oder lassen Sie sie bereinigen.
Wenn Sie Unterstützung bei Eindämmung und Wiederherstellung benötigen, finden Sie auf der Seite Website gehackt den Ablauf mit Ruxiom. Wie wir Zugänge und Anwendungen vorbeugend schützen, steht auf der Seite Website absichern.