Gehackt: erkennen, beheben und vorbeugen

Modul 7: Sicherheit · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie einen Hack erkennen, in der richtigen Reihenfolge beheben und verhindern, dass es erneut passiert.

Kernbegriffe: Anzeichen eines Hacks, festhalten, isolieren, alle Passwörter und Salts ersetzen, Eintrittspunkt finden, Logdateien, saubere Sicherung, saubere Neuinstallation, Prüfsummen, unbekannte Administratoren, PHP in uploads, mu-plugins, Search Console, Datenschutzverletzung melden

Was ein Hack ist

Eine Website ist gehackt, wenn jemand ohne Erlaubnis die Kontrolle über (einen Teil von) Ihrer Website erlangt hat: Er kann Dateien oder die Datenbank verändern oder Code ausführen lassen. Oft bleibt er über eine Hintertür zugänglich: eine versteckte Datei oder ein Code-Schnipsel, mit dem er später zurückkehren kann, auch wenn Sie die ursprüngliche Sicherheitslücke schließen.

Das Letztere ist der Kern dieser Lektion: nur den sichtbaren Schaden zu beseitigen, reicht nicht aus. Solange die Hintertür besteht oder die Lücke, durch die er eingedrungen ist, offen ist, passiert es erneut. Oft innerhalb weniger Tage.

Erkennen

Anzeichen (einige sehen Sie, nach anderen müssen Sie suchen):

• Google meldet bei Ihrer Website „Diese Website wurde möglicherweise gehackt" oder Search Console meldet ein Sicherheitsproblem.
• In den Suchergebnissen (site:example.com) stehen Seiten, die Sie nicht kennen, oft in einer anderen Sprache oder über Medikamente, Glücksspiel oder gefälschte Shops.
• Besucher werden weitergeleitet, oft nur, wenn sie über Google kommen oder ein Smartphone nutzen. Sie selbst sehen es nicht, weil Sie eingeloggt sind oder über ein Lesezeichen kommen. Testen Sie in einem privaten Browserfenster über ein Suchergebnis.
• Bei Benutzer steht ein Administrator, den Sie nicht kennen.
• Es befinden sich PHP-Dateien in wp-content/uploads, oder Dateien mit merkwürdigen Namen im Stammverzeichnis oder in wp-content/mu-plugins.
• Ihr Hoster oder ein Malware-Scanner meldet infizierte Dateien; Ihre E-Mail wird abgelehnt oder Ihr Paket versendet Spam.
• Die Website ist plötzlich langsam oder Ihr Speicherplatz läuft voll.

Der Stufenplan

1. Ruhig bleiben und festhalten

Werfen Sie nicht sofort alles weg. Notieren Sie, was Sie sehen und seit wann, machen Sie Bildschirmfotos und erstellen Sie eine Kopie des aktuellen Zustands (Dateien und Datenbank, oder eine zusätzliche Sicherung über Ihren Hoster). Diese Kopie brauchen Sie, um den Eintrittspunkt zu finden, und als Beweis. Legen Sie sie nicht im Webverzeichnis ab.

2. Den Schaden für Besucher stoppen

Schalten Sie die Website vorübergehend ab oder hinter eine Wartungsseite, besonders wenn Besucher zu Malware oder Phishing weitergeleitet werden. Bei DirectAdmin können Sie die Domain sperren; andernorts kann ein Passwort auf der ganzen Website oder eine vorübergehende index.html mit einem Hinweis helfen.

3. Alle Passwörter und Schlüssel ersetzen

Gehen Sie davon aus, dass der Eindringling jedes Passwort kennt, das auf oder über die Website zu finden war. Ersetzen Sie, vorzugsweise von einem anderen (sauberen) Computer aus:

• das Passwort Ihres Hosting-Panels und aller FTP- und SFTP-Konten (entfernen Sie Konten, die Sie nicht nutzen);
• das Passwort des Datenbankbenutzers, und passen Sie es in wp-config.php an;
• die Passwörter aller WordPress-Administratoren, und entfernen Sie Konten, die Sie nicht kennen;
• die Schlüssel und Salts in wp-config.php (Lektion 1.3). Damit werden alle Login-Cookies ungültig, auch die des Eindringlings;
• Anwendungspasswörter (Lektion 3.3) und API-Schlüssel von Verbindungen;
• E-Mail-Passwörter, wenn Spam über ein Postfach verschickt wurde.

Schalten Sie danach bei allem die Zwei-Faktor-Authentifizierung (2FA) ein (Lektion 7.3).

4. Den Eintrittspunkt finden

Ohne den Eintrittspunkt zu kennen, können Sie nicht sicher sein, dass er geschlossen ist. Die häufigsten Ursachen (Lektion 7.1) und wo Sie nachsehen:

• Ein veraltetes Plugin oder Theme: Welche Komponenten hinkten hinterher? Suchen Sie die Namen in einer Datenbank für Sicherheitslücken (Lektion 5.3).
• Ein durchgesickertes Passwort: Prüfen Sie die Anmeldehistorie Ihres Hosting-Panels und von FTP.
• Die Logdateien des Webservers: Suchen Sie um den Zeitpunkt, an dem die ersten verdächtigen Dateien auftauchten, nach POST-Anfragen an unbekannte Dateien oder an Plugin-Dateien, oft von derselben IP-Adresse.
• Dateien nach Datum: Sortieren Sie im Dateimanager oder über SFTP nach Änderungsdatum. Dateien, die gleichzeitig geändert wurden, besonders außerhalb eines Updates, verdienen Aufmerksamkeit.

5. Bereinigen

Zwei Wege, oft auch eine Kombination:

A. Ein sauberes Backup wiederherstellen von vor dem Hack (Lektion 8.2). Wählen Sie ein Backup von sicher vor den ersten Anzeichen, denn Eindringlinge warten manchmal wochenlang. Stellen Sie vollständig wieder her, damit auch hinzugefügte Dateien verschwinden. Aktualisieren Sie danach sofort alles (sonst ist die Lücke wieder da). Nachteil: Alles nach dem Backup (Beiträge, Bestellungen) ist weg.

B. Sauber neu aufbauen mit dem bestehenden Inhalt:

1. Ersetzen Sie WordPress selbst durch eine frische Kopie von wordpress.org (wp-admin, wp-includes und die einzelnen Dateien; nicht wp-content und wp-config.php). Mit WP-CLI können Sie zunächst prüfen, was sich geändert hat:

wp core verify-checksums
wp plugin verify-checksums --all

Diese vergleichen Ihre Dateien mit den offiziellen Versionen und melden jede geänderte oder zusätzliche Datei (das Zweite nur für Plugins aus dem Plugin-Verzeichnis von wordpress.org).

2. Entfernen Sie alle Plugins und Themes und installieren Sie sie neu aus der Quelle, in der neuesten Version. Was Sie nicht brauchen, kommt nicht zurück.
3. Prüfen Sie wp-content/uploads auf PHP-Dateien und andere Dateien, die keine Medien sind, sowie wp-content/mu-plugins.
4. Prüfen Sie .htaccess auf merkwürdige Weiterleitungsregeln und wp-config.php auf Zeilen, die Sie nicht kennen.
5. Prüfen Sie die Datenbank: unbekannte Administratoren, die Optionen siteurl, home und active_plugins in wp_options, und suchen Sie in Beiträgen nach eingefügten Skripten (<script mit merkwürdigen Adressen).
6. Sehen Sie sich geplante Aufgaben an: Cronjobs in Ihrem Hosting-Panel und WP-Cron (mit einem Plugin oder wp cron event list).

Ein Malware-Scanner (von Ihrem Hoster oder ein Plugin) hilft beim Finden, aber verlassen Sie sich nicht blind darauf: Was er nicht findet, kann trotzdem noch da sein.

6. Abschließen und kontrollieren

• Aktualisieren Sie alles, härten Sie ab (Lektion 7.4) und schalten Sie die Website wieder ein.
• Ist Ihre Website bei Google als unsicher markiert? Fragen Sie in Search Console unter Sicherheitsprobleme um eine erneute Überprüfung, aber erst, wenn alles sauber ist.
• Behalten Sie die folgenden Wochen im Blick: neue Dateien, neue Administratoren, Meldungen Ihres Scanners. Kommt es zurück, wurde der Eintrittspunkt oder eine Hintertür noch nicht gefunden.

Personenbezogene Daten: eine Datenschutzverletzung melden

Konnten Eindringlinge auf personenbezogene Daten zugreifen (Kundendaten eines Webshops, Formulareinsendungen, Mitgliederlisten, die Benutzer Ihrer Website), dann handelt es sich um eine Datenschutzverletzung im Sinne der DSGVO. Sie müssen dies dann innerhalb von 72 Stunden, nachdem Sie es entdeckt haben, bei der zuständigen Aufsichtsbehörde melden, es sei denn, es ist unwahrscheinlich, dass ein Risiko für die betroffenen Personen besteht (Artikel 33 DSGVO). Ist das Risiko hoch, müssen Sie auch diese Personen selbst informieren (Artikel 34). Halten Sie in jedem Fall fest, was passiert ist und was Sie unternommen haben, auch wenn Sie keine Meldung machen. Im Zweifel: Informationen finden Sie bei der für Datenschutz zuständigen Aufsichtsbehörde (Lektion 9.3). In den Niederlanden ist dies die Autoriteit Persoonsgegevens.

Hilfe anfordern

Einen Hack zu bereinigen erfordert Zeit und Erfahrung. Sind Sie sich nicht sicher, ob Sie alles erfasst haben, bitten Sie um Hilfe: Ihren Website-Entwickler, ein spezialisiertes Unternehmen oder Ihren Hoster (manche Hoster, auch WebOké, bieten das an, meist gegen Bezahlung). Geben Sie ihnen die Kopie aus Schritt 1, was Sie gesehen haben und wann, sowie was Sie bereits unternommen haben.

Zusammenfassung

• Ein Hack hinterlässt oft eine Hintertür; nur den sichtbaren Schaden zu beseitigen, reicht nicht aus.
• Reihenfolge: festhalten, Besucher schützen, alle Passwörter und Salts ersetzen, Eintrittspunkt finden, bereinigen, abschließen und kontrollieren.
• Bereinigen kann mit einem sauberen Backup von deutlich vor dem Hack erfolgen, oder indem WordPress, Plugins und Themes frisch installiert werden und uploads, mu-plugins, .htaccess und die Datenbank überprüft werden.
• wp core verify-checksums zeigt, welche Dateien von WordPress verändert wurden.
• Ging es um personenbezogene Daten, melden Sie die Datenschutzverletzung innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde, es sei denn, ein Risiko ist unwahrscheinlich.

Quiz

Aufgabe

Aufgabe D7.5: Ihr Notfallplan für einen Hack. Füllen Sie den Notfallplan für Ihre eigene Website aus, damit Sie ihn nicht erst im Ernstfall erarbeiten müssen: Wo liegen Ihre Backups und wie weit reichen sie zurück, wer hat welche Passwörter und wie ersetzen Sie sie alle (Liste), wo finden Sie die Logdateien Ihres Hostings, wen rufen Sie um Hilfe an, und welche personenbezogenen Daten befinden sich auf Ihrer Website (für die Frage, ob Sie eine Datenschutzverletzung melden müssen). Machen Sie danach die Übung: Welche fünf Schritte unternehmen Sie in der ersten Stunde, wenn Sie die Meldung „Diese Website wurde möglicherweise gehackt" erhalten, in welcher Reihenfolge, und warum diese Reihenfolge?

Weiterführende Informationen

Diese Artikel beschreiben die Schritte in den Panels von WebOké; in anderen Panels funktionieren sie ähnlich.

• DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• DirectAdmin Anleitung 15.11: Imunify360: Ihre Website auf Malware scannen
• DirectAdmin Anleitung 17.2: Website-Übersicht und Protokolle: das Fehler-Protokoll und das Zugriffsprotokoll
• DirectAdmin Anleitung 3.4: Anmeldeverlauf: Wer hat sich wann angemeldet?
• Datenschutzverletzungen (Autoriteit Persoonsgegevens, Niederlande): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• FAQ: Meine Website wurde gehackt (wordpress.org, Englisch): https://wordpress.org/documentation/article/faq-my-site-was-hacked/