Gehackt? Die ersten Schritte

Anzeichen dafür, dass sich jemand anderes auf Ihrem Server befindet: unbekannte Prozesse mit hoher Prozessorlast, ein Benutzer oder SSH-Schlüssel, den Sie nicht kennen, geänderte Dateien oder eine Meldung, dass Ihr Server Spam oder Angriffe versendet. Bewahren Sie Ruhe und gehen Sie in dieser Reihenfolge vor.

1. Den Zustand festhalten

Erstellen Sie einen Snapshot (siehe Snapshots: ein Sicherheitsnetz für jede größere Änderung). Damit sichern Sie die Beweise und können später herausfinden, wie der Angreifer eingedrungen ist. Räumen Sie nicht zuerst auf.

2. Den Server isolieren

Schalten Sie den Server mit Herunterfahren im VPS-Bildschirm aus, oder stellen Sie die Firewall so ein, dass nur noch Ihre IP-Adresse auf SSH zugreifen kann. Kommen Sie nicht mehr hinein, verwenden Sie die Konsole.

3. Neu installieren

Einen gehackten Server bereinigt man nicht: Sie können nie sicher sein, dass Sie alles gefunden haben. Installieren Sie neu (siehe Neu installieren oder eine ISO einbinden) und stellen Sie Ihre Daten aus einem Backup von vor dem Einbruch wieder her. Stellen Sie keine Programme oder Skripte wieder her, die den Einbruch ermöglicht haben.

4. Alle Geheimnisse ersetzen

• Erstellen Sie neue SSH-Schlüssel, wenn Sie vermuten, dass ein privater Schlüssel kompromittiert wurde, und entfernen Sie die alten von allen Ihren Servern.
• Ersetzen Sie die Passwörter von Datenbanken, Apps und Verwaltungsoberflächen sowie die Tokens in .env.
• Ersetzen Sie die Passwörter von Postfächern und Diensten, deren Zugangsdaten auf dem Server gespeichert waren.

5. Die Lücke schließen

Finden Sie heraus, wie es dazu kommen konnte: ein Passwort statt eines Schlüssels, eine offene Datenbank oder Verwaltungsoberfläche, ein veraltetes Plugin, ein Port, den Docker an Ihrer Firewall vorbei veröffentlicht hat. Gehen Sie Kapitel 3 und Docker und die Firewall: Ports sicher veröffentlichen erneut durch, bevor Sie den Server wieder freigeben.

6. Melden

Befanden sich personenbezogene Daten auf dem Server, etwa Kundendaten oder E-Mail-Adressen? Dann müssen Sie eine Datenpanne möglicherweise innerhalb von 72 Stunden bei der Datenschutz-Aufsichtsbehörde Ihres Bundeslandes melden (eine Übersicht hat der BfDI) und manchmal auch die Betroffenen informieren. Weitere Informationen finden Sie auf bfdi.bund.de.