Website gehackt – und nun?!

Letzte Aktua­li­sie­rung 26. Mai 2023 

Da komme ich ent­spannt aus dem Wochen­ende, gehe als ers­tes auf meine Web­site und logge mich ein, um den Umbau des geschütz­ten Bereichs für meine Mar­ke­ting-Zau­ber-Zir­kel-Mit­glie­der fort­zu­set­zen und stelle fest:

Upsi! Da bin ich wohl gehackt worden!

Wenn Du Dich jetzt fragst, was man in so einem Fall macht, warum sich Hacker über­haupt für meine (oder auch Deine!) Web­site inter­es­sie­ren und wel­che Aus­wir­kun­gen das auf Dich und Dein Online-Busi­ness hat, dann lies ein­fach weiter.

Woran habe ich das Hacking gemerkt?

Zunächst ein­mal: Atta­cken auf Web­sites sind nicht die Aus­nahme, son­dern die Regel. Jede ein­zelne Web­site wird täg­lich meh­rere tau­send Mal ange­grif­fen.

Meine – und ja, auch Deine!

Und nicht nur WordPress-Web­sites sind gefähr­det. Auch die Bau­käs­ten Jimdo und Wix bei­spiels­weise kön­nen und wer­den ange­grif­fen, aller­dings sind die Metho­den da andere und erfolg­rei­che Hackings wohl auch sel­te­ner. Wenn Du ein unsi­che­res Pass­wort ver­wen­dest, lädst Du Hacker gera­dezu ein. Egal, womit Du Deine Web­site erstellt hast. Aber das ist ein ande­res Thema, das ich heute hier nicht wei­ter ver­fol­gen werde.

Meine Ver­wun­de­rung war zunächst groß, als ich – noch etwas müde – ver­se­hent­lich auf den Dash­board-Link in mei­nem WordPress Backend klickte. Ich wollte eigent­lich auf den Sei­ten-Link kli­cken, um an mei­nen Umbau-Arbei­ten für den Mar­ke­ting-Zau­ber-Zir­kel wei­ter zu machen. Jeden­falls war die­ser "Fehl­klick" ein Segen, denn ohne hätte ich den Hack wahr­schein­lich erst viel spä­ter bemerkt.

So lan­dete ich auf einer Web­site, die wahr­schein­lich gefälschte Medi­ka­mente anbietet.

Hä?

Ich wie­der zurück. Wor­auf habe ich gerade geklickt?

Klick auf den Dashboard-Link.

Wie­der die Pillenseite!

Halll­loooo??!!

Dann habe ich erst­mal mei­nen Tan­dem-Part­ner Jonas Tiet­gen von WP-Nin­jas kon­tak­tiert, der natür­lich auch einen Admi­nis­tra­tor-Zugang zu mei­ner Web­site hat. Hier siehst Du, wie unsere Kon­ver­sa­tion ver­lau­fen ist:

Ich hatte nun drei Optionen:

1) ich spiele ein Backup ein und hoffe, dass da noch kein Hack erfolgt war
2) ich mache mich selbst schlau und ver­su­che den Hacker raus­zu­wer­fen oder
3) ich beauf­trage einen Profi.

Und ewig grüßt das Murmeltier

Option 1 war tat­säch­lich keine. Zwar mache ich auto­ma­tisch wöchent­li­che Back­ups und habe auf mei­nem Cloud­spei­cher noch alle Ver­sio­nen bis vor unge­fähr einem Jahr gespei­chert (ja, ich bin ein Hams­ter …) aber diese Mög­lich­keit fiel aus zwei Grün­den sofort durchs Raster.

Denn ers­tens hin­ter­las­sen Hacker ja keine Nach­richt im Sys­tem, wann der Hack erfolgt ist. So im Stil von

+++++++++ Achtung - wichtige Meldung! ++++++++++++
++ Diese Website wurde von mir am 27.02.2021 gehackt! ++
++ Ich, Dein freundlicher Hacker aus der Nachbarschaft ++
+++++++++ Ende der wichtigen Meldung! ++++++++++++

Nein, so nett sind die Schur­ken nur in den Super­hel­den-Comics mei­ner Kindheit.

Außer­dem bin ich seit dem Jah­res­be­ginn dabei, regel­mä­ßig meine älte­ren Blog­ar­ti­kel zu über­ar­bei­ten und für Google nach mei­nen neu­es­ten Erkennt­nis­sen zu opti­mie­ren. Da wür­den sich mit dem Ein­spie­len des Back­ups viele, viele Stun­den wert­vol­ler Arbeit ein­fach so in Luft auf­lö­sen. Keine Option!

Option 2 – war tat­säch­lich auch keine. Nicht nur, dass ich gerade sowieso viel zu tun habe und ein Pro­jekt die­ser Art mich ein­fach zu viel Zeit kos­ten würde. Nein, ich habe das bereits ein­mal erlebt und versucht:

2008 war meine dama­lige WordPress-Web­site eben­falls gehackt wor­den. Ich befand mich in der Schluss­re­dak­tion für ein Buch, das ich damals im Ver­lags­auf­trag geschrie­ben habe, war also voll im Stress und in Zeit­not. Da ich kein Geld für einen Profi hatte, habe ich dann mit Unter­stüt­zung eini­ger net­ter Men­schen aus einem WordPress-Forum ver­sucht, den Hacker wie­der los­zu­wer­den. Obwohl ich viel Zeit und Ner­ven inves­tiert habe: Es gelang mir nicht. Also hab ich nach vier Wochen "Ham­pe­lei" ent­nervt alles gelöscht.

Damals waren es nur ein paar Sei­ten, deren Inhalte ich natür­lich sichern konnte und ein paar Blog­ar­ti­kel, die mir heute wahr­schein­lich sowieso pein­lich wären. Das war ver­schmerz­bar. Aber heute? Heute hängt mein gan­zes Busi­ness viel mehr an die­ser Web­site als damals, wo ich sowieso noch größ­ten­teils off­line unter­wegs war und die Web­site quasi nur ein bes­se­rer Flyer war.

Blieb also nur Option 3: Beauf­trage jeman­den, der sich damit auskennt.

Und jetzt? Ruhe bewahren!

Jetzt galt es also erst ein­mal, Ruhe zu bewah­ren. Nichts ändern, das viel­leicht einem Profi seine Arbeit erschwe­ren würde.

Als nächs­tes habe ich mir dann meine zweite Web­site ange­schaut. Diese lag auf dem­sel­ben Ser­ver und wurde natür­lich von mir eben­falls aktu­ell gehal­ten, aber seit fast vier Jah­ren inhalt­lich nicht mehr gepflegt.

Und siehe da! Zwar gab es beim Klick auf den Dash­board-Link dort keine Wei­ter­lei­tung. Aber ich fand zwei Admi­nis­tra­tor-Kon­ten in den Benut­zer-Ein­stel­lun­gen, die merk­wür­dige Namen hat­ten und die ich garan­tiert nicht selbst ange­legt hatte. So war das damals in 2008 auch gewe­sen. Ergo: Auch hier hatte sich jemand Zutritt ver­schafft, der da nicht reingehörte.

Professionelle Hilfe holen

Mein Tan­dem-Part­ner Jonas hatte dann auch glück­li­cher­weise gleich einen Tipp für mich, an wen ich mich wen­den sollte. Und mich dann auch wie­der etwas beruhigt:

"Durch­at­men 🙂 Ist nur ner­vig und kos­tet, aber es pas­siert nichts schlimmeres."

Jonas via Slack

Gut, wenn man in so einer Situa­tion jeman­den an der Seite hat, der einen wie­der etwas run­ter holt.

Also habe ich genau das getan: Einen Dienst­leis­ter beauf­tragt, der die Säu­be­rungs­ak­tion für mich über­nimmt. So konnte ich wenigs­tens an mei­nen ande­ren Pro­jek­ten wei­ter arbeiten.

Wie kann man sich vor einem Hacking schützen?

Stellt sich aber die Frage, wie kann man sich eigent­lich davor schützen?

Die wich­tigs­ten Schutz­maß­nah­men habe ich pein­lich befolgt:

Ich ver­wende fürs Login ein lan­ges und wirk­lich siche­res Pass­wort. Die PHP-Ver­sion halte ich regel­mä­ßig aktu­ell. Tem­p­late und Plug­ins wer­den von mir fast jeden Tag auf den neu­es­ten Stand gebracht, wenn Updates vor­lie­gen. Sicher­heits­up­dates von WordPress erfol­gen automatisch.

Was habe ich also falsch gemacht oder versäumt?

Was war denn das Einfallstor?

Natür­lich wollte ich vom Dienst­leis­ter wis­sen, was denn das Ein­falls­tor gewe­sen sein könnte. Aber ebenso wie mit dem Zeit­punkt des Hackings gilt auch hier: Hacker hin­ter­las­sen keine Log­files und schrei­ben irgendwo ein vir­tu­el­les Zet­tel­chen, wo genau steht, wie sie ein­ge­drun­gen sind.

Darum kön­nen wir nur Ver­mu­tun­gen anstellen.

Ver­mut­lich war eines die­ser teils aus dem Plugin-Repo­si­tory ent­fern­ten und nicht mehr aktua­li­sier­ten Plug­ins die Lücke im System:

• Captcha
• Disable Emo­jis
• Ele­men­tor Addons & Tem­pla­tes – Siz­zify Lite
• Remove Com­ment IPs
• Exter­nal Links
• Pop­Box For Elementor

Viel­leicht hilft Dir das ja – wenn Du eines davon nutzt, löschst Du es bes­ser und ersetzt es durch eines, das wei­ter gepflegt wird.

Das Pro­blem war also, dass ich im Grunde alles rich­tig gemacht habe, aber eben nicht dar­auf geach­tet habe, dass die Plug­ins auch regel­mä­ßig Aktua­li­sie­run­gen anbieten.

Für jeman­den, der kein Pro­gram­mie­rer ist, ist es tat­säch­lich auch schwer ein­zu­schät­zen, warum ein Plugin oder Theme nicht aktua­li­siert wird.

Gibt es tat­säch­lich nichts zu ver­bes­sern, keine Lücken zu stop­fen? Oder hat der Pro­gram­mie­rer ein­fach nur die Lust an sei­nem Pro­jekt ver­lo­ren? Ist er krank oder gar schlim­me­res? Wir kön­nen es nicht wissen.

Bin ich also hilflos ausgeliefert?

Naja, nicht ganz. 

Zum einen hat mir der Dienst­leis­ter nun ein Sicher­heits­plugin instal­liert und ent­spre­chend kon­fi­gu­riert, mit dem es Hackern sehr viel schwe­rer gemacht wird, mein Sys­tem zu kom­pro­mit­tie­ren (auf Deutsch, sich Zugang zu ver­schaf­fen). Die­ses Plugin führt auch eine Log-Datei über die Zugriffs­ver­su­che auf meine Web­site. Hier im Screen­shot siehst Du, dass in den letz­ten zwei Tagen schon wie­der etli­che Ver­su­che unter­nom­men wur­den, sich Zutritt zur Web­site zu ver­schaf­fen. Und auch meine drei feh­ler­haf­ten Pass­wort-Ein­ga­ben (ich hatte noch das alte ver­wen­det), kannst Du ganz oben erkennen. 

Die IP-Adresse dar­un­ter stammt übri­gens aus Korea! Hacker sind glo­bal unterwegs!

Ich habe mir jetzt zusätz­lich vor­ge­nom­men, zu pro­to­kol­lie­ren, wann wel­ches Plugin aktua­li­siert wurde – und vier­tel­jähr­lich zu schauen, ob da viel­leicht eines auf­fällt, das keine Liebe sei­nes Pro­gram­mie­rers mehr erfah­ren hat. Dann werde ich danach goog­len und es gege­be­nen­falls durch ein ande­res erset­zen. Erfor­dert etwas Mehr­ar­beit und Umsicht, ist aber machbar.

Warum machen die das überhaupt?

Ja, das ist eine gute Frage. Jeden­falls ist der Grund nicht, wie jemand auf mei­nem pri­va­ten Face­book-Pro­fil ver­mu­tete und schrieb: "… da steckt Sys­tem dahin­ter, um es erfolg­rei­chen Mar­ket­ern schwer zu machen und sie zu schä­di­gen." Hack­ing ist ein glo­ba­les Pro­blem und die meis­ten Atta­cken stam­men aus ganz ande­ren Ecken die­ser Erde. 

Was immer noch die Frage offen lässt: Was erhof­fen die sich?

Bei mir ist doch nichts zu holen! Das den­ken viele, bis der Ein­bre­cher dann da war und die Woh­nung aus­ge­raubt hat. (auch das musste ich mal erle­ben, damals lebte ich noch bei mei­nen Eltern – aber das ist eine Story für ein ande­res Mal).

So ähn­lich ver­hält es sich auch mit Dei­ner Website.

Ich habe in mei­nem Face­book-Pro­fil über das Hack­ing berich­tet – und klar, es kamen jede Menge Fra­gen dazu. Unter ande­rem auch die, warum sich Hacker über­haupt für unsere Web­sites inter­es­sie­ren. Da ist doch nichts zu holen …

Lei­der doch – und zwar jede Menge!

Bei­spiels­weise wird Schad­code auf der Web­site hin­ter­legt und die Besu­cher fan­gen sich ein­fach im Besu­chen der Web­site einen Virus oder Tro­ja­ner ein. Mit die­sem wird dann wie­derum der PC des Besu­chers fern­ge­steu­ert – nicht, um da Daten aus­zu­le­sen, son­dern um die­sen Rech­ner und seine Leis­tung als fern­ge­steu­er­ten Zom­bie bei Angrif­fen bei­spiels­weise auf Regie­rungs­ser­ver oder Ser­ver von Kre­dit­kar­ten­un­ter­neh­men oder auch Face­book und Co. zu nutzen.

Die Hacks pas­sie­ren auch nicht "plötz­lich", son­dern über einen län­ge­ren Zeit­raum. Zunächst pas­siert (lei­der) erst ein­mal gar nichts. Je län­ger die Ein­dring­linge war­ten, bevor sie aktiv wer­den, desto siche­rer kön­nen sie sein, dass man sie nicht ohne wei­te­res wie­der los wird. Da wer­den – wie auf mei­ner zwei­ten Web­site – viel­leicht erst mal nur wei­tere Admin-Accounts ange­legt und wenn der Admi­nis­tra­tor die nicht bemerkt, pas­sie­ren erst spä­ter wei­tere Ver­än­de­run­gen im System.

Oder wie bei der Mar­ke­ting-Zau­ber-Site wer­den zunächst nur unauf­fäl­lig Ver­lin­kun­gen in den PHP-Code ein­ge­baut, die auf Sei­ten füh­ren, auf denen bei­spiels­weise gefälschte Medi­ka­mente ver­kauft wer­den. Spä­ter wäre dann viel­leicht sogar ein gan­zer Medi­ka­men­ten-Shop unter mei­ner Domain ein­ge­baut wor­den – ohne, dass es mir oder Dir direkt auf­ge­fal­len wäre. Oder viel­leicht wäre dort eine Seite erstellt wor­den, die vor­gibt, eine Ser­vice-Seite eines Logis­tik-Unter­neh­mens wie DHL, DPD oder UPS zu sein. Mit sol­chen Phis­hing-Sei­ten wer­den ja gerade mit den aktu­ell mas­sen­haft ver­sen­de­ten SMS mas­siv Daten abgefischt.

Welche Auswirkungen hatte der Hack auf mein Business und was hätte sein können?

Aktu­ell sage ich mal: Ich bin mit einem blauen Auge und ein paar Hun­dert Euro Ver­lust davon gekommen.

Natür­lich ist es ärger­lich, dass sich meine Arbei­ten am Mar­ke­ting-Zau­ber-Zir­kel-Bereich jetzt wie­der ver­schie­ben – ich hatte mir extra diese Woche für die Umbau-Arbei­ten reser­viert – jetzt muss ich schauen, wann ich wie­der Zeit dafür finde. 

Klar hätte ich das Geld für den Dienst­leis­ter lie­ber ander­wei­tig inves­tiert (in hilf­rei­che Tools bei­spiels­weise, oder in Facebook-Ads).

Aber wenn ich bedenke, was noch alles hätte pas­sie­ren kön­nen, habe ich ziem­li­ches Glück gehabt. Wahr­schein­lich lag der Zeit­punkt des Hackings noch nicht so lange zurück, so dass noch nicht all­zu­viel pas­siert ist.

Was hätte auf meiner Website noch passieren können?

Der oder die Hacker hät­ten alle Inhalte löschen kön­nen. Da auch die Back­ups ver­seucht sein dürf­ten, hätte es viel Arbeit bedeu­tet, alles wie­der herzustellen.

Der oder die Hacker hät­ten einen soge­nann­ten "Drive by Virus" ein­bauen kön­nen, mit dem die Rech­ner Leser mei­ner Web­site mit einem Virus infi­ziert wor­den wären. 

Die Inhalte mei­ner Web­site hät­ten kom­plett mit ande­ren getauscht wer­den kön­nen – oder bei­spiels­weise Wer­bung und Ver­lin­kun­gen zu Pro­duk­ten, mit denen ich nicht in Ver­bin­dung gebracht wer­den möchte, hät­ten in meine Texte ein­ge­baut wer­den können.

Egal, was im Detail wei­ter pas­siert wäre – der Repu­ta­ti­ons­ver­lust wäre sicher sehr schmerz­haft gewesen.

Hackings sind übri­gens gar nicht so sel­ten. Nur reden nicht alle so offen dar­über wie ich.

Noch ein Wort zur DSGVO

Weil durch den Hack auch per­so­nen­be­zo­gene Daten für die Hacker ver­füg­bar wur­den, musste ich mich auch mit der DSGVO beschäf­ti­gen. Als ers­tes habe ich einen "Bericht zur Erstel­lung von IT-Sicher­heits­vor­fäl­len" erstellt. Gehol­fen hat mir dabei ein For­mu­lar, das mir meine Netz­werk-Kol­le­gin und zer­ti­fi­zierte externe Daten­schutz­be­auf­tragte Karen Fal­ken­berg von Com­pu­ter-Zau­ber zur Ver­fü­gung gestellt hat. 

Ich habe ver­sucht ein­zu­schät­zen, wie hoch das Risiko für die betrof­fe­nen Per­so­nen ist, deren Daten auf mei­ner Web­site gespei­chert waren. Nach Lek­türe die­ses Doku­ments von der Lan­des­da­ten­schutz­be­hörde NRW, die für mich zustän­dig ist, bin ich zur Ein­schät­zung gekom­men, dass das Risiko gering und nicht mel­de­pflich­tig ist.

Meine Kun­den und Abon­nen­ten der Web­site infor­miere ich über die Social Media, die­sen Arti­kel und mei­nen News­let­ter. Auf Face­book habe ich das Thema ver­sucht, humor­voll anzugehen: 

Du siehst, so eine gehackte Web­site kann einen ganz schön beschäf­ti­gen und in Atem hal­ten, auch wenn man jeman­den damit beauf­tragt, die Hacker wie­der vor die Tür zu set­zen und hof­fent­lich dau­er­haft auszusperren. 

Schreib mir also gern einen Kom­men­tar, ob Du auch schon mal ein Web­site-Hack­ing hat­test und wie es Dir dabei ergan­gen ist. Oder schreib mir ein­fach, wie Dir die­ser Blog­bei­trag gefal­len hat und ob Du ihn hilf­reich findest.