Webseite gehackt – Was nun?
Es gibt zwei weit verbreitete Einfallstore, wie sich Hacker und Internetkriminelle Zugriff zu einer Webseite verschaffen können: Gestohlene Zugangsdaten oder veraltete Content Management Systeme (CMS). Die Anleitungen des BACS geben Ihnen einen kurzen Überblick, wie Sie Ihre Webseite bereinigen und absichern können.
Einfallstore
Gestohlene Zugangsdaten
Die Zugangsdaten für die Webseitenadministration (z.B. FTP-Zugangsdaten) wurden durch Kriminelle gestohlen. Um an die Zugangsdaten zu gelangen, platzieren Internetkriminelle üblicherweise eine Schadsoftware (einen sogenannten Trojaner) auf dem Computer einer Person, welche die Webseite administriert. Greift diese Person, nachfolgend Webmaster genannt, das nächste Mal via FTP oder Web-Interface auf die zu administrierende Webseite zu, werden die dazu verwendeten Login-Informationen (Benutzername und Passwort) kopiert und an die Internetkriminellen gesendet. Damit haben sie nun uneingeschränkten Zugriff auf die Webseite und es ist ihnen möglich, beliebige Inhalte auf der Webseite zu verändern und neue, schädliche Inhalte hinzuzufügen.
Veraltetes CMS
Content Management Systeme (CMS), wie z.B. WordPress, Joomla oder Typo3, und CMS- Erweiterungen (Plug-Ins) sind weit verbreitet und daher ein beliebtes Angriffsziel für Hacker und Internetkriminelle. Diese finden regelmässig Sicherheitslücken im Programm-Code und nützen diese aus, um auf Webseiten Schadcode (Malware) oder Phishingseiten zu platzieren, welche veraltete CMS-Versionen oder Plug-Ins einsetzen.
Diese Anleitung gibt Ihnen einen kurzen Überblick, wie Sie Ihre Webseite bereinigen und absichern können. Die Anleitung gilt für alle Betriebssysteme.
Lokalisierung des Schadcodes auf der betroffenen Webseite
Eine genaue Überprüfung der betroffenen Seiten und Verzeichnisse ist notwendig. Es ist gut möglich, dass derselbe Schadcode auf mehreren Unterseiten platziert ist oder dass im selben Web-Verzeichnis noch anderer Schadcode abgelegt wurde. Dabei ist es auch möglich, dass Schadcode platziert wird, mit dem andere Computer infiziert werden soll. Dies sind oft ausführbare Dateien, wie z.B. .exe, .bat, .ps1 und weitere. Ist es nicht möglich den Schadcode zu lokalisieren, empfiehlt das BACS, den Web Hosting Provider zu kontaktieren.
Entfernung des Schadcodes
Nachdem der Schadcode lokalisiert wurde, muss dieser entfernt werden. Unter Umständen hilft dabei das Zurückspielen eines früheren Backups.
Aktuelle Version des Content Management System (CMS) einspielen
Falls ein Content Management System (CMS) wie z.B. WordPress, Joomla oder Typo3 verwendet wird, stellen Sie sicher, dass Sie die aktuellste Version installiert haben und verwenden. Damit verhindern Sie, dass Kriminelle durch dieselbe Sicherheitslücke im CMS erneut Schadcode auf der Webseite platzieren können. Die aktuellste Version des CMS ist jeweils auf der Herstellerwebseite angegeben.
Achtung: Allfällig installierte Erweiterungen (Plug-Ins) müssen ebenfalls aktualisiert werden. Sicherheitslücken in Plug-Ins werden ebenso regelmässig von Kriminellen als Einfallstor missbraucht.
Überprüfung aller Computer der Webmaster nach Schadsoftware
Bevor FTP und CMS Zugangsdaten geändert werden, müssen alle Computer, über welche die Webseite administriert, nach Schadsoftware durchsucht werden (das heisst: alle Computer, auf denen Benutzername, Passwort usw. für den Login ins CMS eingegeben worden sind).
Ändern der Zugangspasswörter
Nachdem der Computer auf Schadsoftware überprüft und allfällige Schadsoftware entfernt wurde, müssen die FTP- und CMS-Zugangsdaten geändert werden. Damit verhindern Sie, dass Internetkriminelle mit Hilfe zuvor gestohlener Zugangsdaten (Benutzername / Passwort) erneut Schadcode auf der Webseite platzieren können. Wurden auf dem betroffenen Computer auch Passwörter für andere Internetdienstleistungen verwendet (Webmail, Paypal, usw.) müssen diese ebenfalls geändert werden.
Werden diese Punkte nicht beachtet, besteht ein hohes Risiko, dass Internetkriminelle erneut Zugang zu Ihrer Webseite erhalten und erneut Schadcode platzieren können.