Wie erkenne ich, dass die Website gehackt oder mit Malware verseucht wurde?
Den meisten fällt das garnicht selbst auf. Meistens schreibt der Webhoster nach einem monatlichen Anti-Virus Scan die Betroffene Person an. Und dann sind die Augen groß. Der Hoster meldet in der Regel nur Datein die erstellt wurden und Datein mit merkwürdigen Inhalten. Mehr aber nicht. Und mit unseren Ersten Hilfe Tipps können Sie sich grob einen Überblick schaffen und bei kleinen Malware diese selbst bereinigen.
Wichtig: Backup vorhanden?
Wenn ein Backup von der Seite vorhanden ist, dann ist es schonmal sehr gut. Jetzt kommt es nur darauf an, ob dieses Backup alt genug ist und in diesem die Malware noch nicht vorhanden war. Sonst hätte man das Malware mit im Backup und es würde nichts bezwecken. Wenn kein Backup vorhanden ist, dann jetzt eines machen. Auch wenn die Seite mit Malware verseucht ist. Zur Not können Experten wie wir die Seite wiederherstellen.
1. Website Offline nehmen
Zu beginn ist es essentiell die Website offline zu nehmen. Hier könnten im Hintergrund die Daten der Besucher an Dritte weitergegeben werden (Wenn nicht bereits geschehen) und dann wird es unschön. Hier die Seite in den Wartungsmodus setzen und fertig.
2. Datenbank prüfen
Wir fangen oft mit der Datenbank an und prüfen hier ob es einen weiteren Admin-User gibt. Hierzu über den Hoster in PHPMyAdmin Anmelden und die Tabelle „_users“ öffnen. Hier werden alle Benutzer aufgelistet. Wenn hier ein Benutzer ist, dieser nicht bekannt ist, dann die ID speichern, auswählen und löschen.
Warum die ID speichern? Das ist die Nummer des Users, und damit können wir nun prüfen ob dieser Benutzer Dinge in der Datenbank angelegt hat. In der „_posts“ Tabelle gibt es die Spalte „post_author“ und für jeden Eintrag wird diese Hinterlegt. Nun die Posts Tabelle aufrufen und unter SQL folgendes eingeben:
SELECT * FROM `{präfix}_posts` WHERE `post_author` = 3;Der Präfix ist in der Regel unterschiedlich kann aber auch nur „wp“ sein. Daher der Platzhalter. Bei der „3“ dann die jeweilige ID des gelöschten Benutzers eintragen. Damit sieht man direkt, ob dieser hier was angelegt hat. Aber ehrlicherweise müssen wir sagen, dass die ganze Datenbank durchgegangen werden muss und wenn man wenig Erfahrung mit SQL hat, dass auch unbedingt einen Experten machen zu lassen.
3. Dateisystem aufräumen
Entweder man hat bereits eine Liste vom Webhoster bekommen oder Sie müssen noch tätig werden. Hierzu bieten die meisten guten Webhoster ein Scan-Tool an. Wenn keines vorhanden ist, dann kann man auch auf ein Plugin zurückgreifen. Wie z. B. Wordfence. Alle Datein müssen dann gelöscht werden. Wenn auch Plugin Datein betroffen sind, dann bitte das ganze Plugin löschen und sauber neuinstallieren. Und dass machen wir auch mit dem WordPress Core. Entweder auch über den Hoster direkt oder manuell WordPress runterladen und die Inhalte neu Installieren (außer wp-config.php). Wenn alle gelisteten Datein gelöscht sind, dann nochmal scannen und prüfen, dass sich die Datein nicht schon wieder selbst erstellt haben. Wenn dass der Fall sein sollte, bitte auch hier einen Experten kontaktieren.
4. Exterene Verbindungen prüfen
Häufig werden Verbindungen zu dritten im Hintergrund aufgebaut. Hier über „F12“ in die Entwickleransicht gehen und unter dem Tab „Sources / Quellen“ die Verbindungen prüfen. Hier erkennt man direkt ominöse Verbindungen. Diese sollten nach dem aufräumen nichtmehr da sein. Wenn doch bitte einen Experten kontaktieren. Die Website bitte auch nicht online nehmen, solang da nicht gewollte Verbindungen aufgebaut werden.
5. Sicherheitslücken identifizieren und absichern
Es gibt einen Grund, warum die Website gehackt wurde. Und diese Lücke muss geschlossen werden. Das heißt, alle Plugins müssen aktuell sein. Aktuell bedeutet auch nicht, dass alle Updates gemacht wurden, sondern, dass das letzte Update nicht schon über ein Jahr alt ist. Das Dateisystem muss so eingerichtet sein, dass die unbefugter Zugriff nicht möglich ist. Bei unserem Webhosting, werden diese Einstellungen per Knopfdruck automatisch gemacht. Plugins oder Themes die nichtmehr aktuell sind oder gepflegt werden unbedingt ersetzen.
6. Melden
Wenn es z. B. um einen Online-Shop geht dann sind hier sensible persönliche Daten bertroffen. Das muss umgehend and die zuständige Datenschutzaufsichtsbehörde gemeldet werden.
Falls noch weitere Fragen im Raum stehen oder Sie von einem Angriff betroffen sind, dann melden Sie sich gerne bei uns und wir können Ihnen mit Sicherheit helfen.
