Meine Website wurde gehackt – was ist jetzt zu tun?

Die Reihenfolge entscheidet

Der erste Reflex ist, die befallene Datei zu entfernen und den Betrieb fortzusetzen. Genau das kostet die Spuren. In den Protokollen und in den veränderten Dateien steht, über welchen Weg jemand hereingekommen ist und worauf er zugegriffen hat. Wer diese Angaben überschreibt, baut nach der Bereinigung denselben Zustand wieder auf, den der Angriff ausgenutzt hat.

Schritt 1: Beweise sichern

Bevor Sie etwas verändern, sichern Sie den aktuellen Zustand:

• Eine vollständige Kopie des Systems im befallenen Zustand, getrennt abgelegt
• Die Protokolle des Servers und der Anwendung für die Tage davor
• Bildschirmfotos vom sichtbaren Befund mit Datum und Uhrzeit

Schritt 2: Die Website aus dem Netz nehmen

Solange die Seite erreichbar ist, kann sie Besucher schädigen, Schadsoftware verteilen oder für Angriffe auf Dritte genutzt werden. Nehmen Sie sie vom Netz oder versetzen Sie sie in einen Zustand, der eine neutrale Hinweisseite zeigt. Das schützt Ihre Besucher und begrenzt den Schaden an Ihrer Reputation.

Schritt 3: Den Zugang schließen

Bevor wiederhergestellt wird, muss der Weg des Angreifers bekannt und geschlossen sein. Häufige Wege sind eine veraltete Komponente mit bekannter Lücke, ein erratenes oder abgegriffenes Kennwort und ein Zugang, der nach dem Ausscheiden einer Person offen blieb. Wer ohne diesen Schritt wiederherstellt, stellt auch die Lücke wieder her.

Schritt 4: Aus einem sauberen Stand wiederherstellen

Wiederhergestellt wird aus einer Sicherung, die vor dem Angriff liegt. Der Zeitpunkt des Angriffs ergibt sich aus den Protokollen; er liegt oft deutlich vor dem Tag, an dem der Befund auffiel. Genau dafür braucht es mehrere Sicherungsstände, wie es die Frage, wie oft gesichert wird, beschreibt.

Ist kein sauberer Stand verfügbar, wird neu aufgebaut und der Inhalt geprüft übernommen. Das ist aufwendig und die sichere Variante.

Schritt 5: Alle Zugangsdaten erneuern

Erneuert werden alle Kennwörter und Schlüssel, die im Zusammenhang mit dem System stehen: Verwalterkonten, Datenbankzugang, Schnittstellenschlüssel, Zugänge zum Server, Konten bei eingebundenen Diensten. Ein einzelnes vergessenes Kennwort macht den ganzen Vorgang wirkungslos.

Schritt 6: Freischalten und beobachten

Nach der Freischaltung gehört das System für einige Wochen unter erhöhte Beobachtung: auffällige Zugriffe, neu angelegte Dateien, ungewöhnliche ausgehende Verbindungen. Ein zweiter Versuch folgt häufig kurz nach dem ersten.

Wenn personenbezogene Daten betroffen sind

Sind Daten betroffen, die sich auf Personen beziehen, greift Art. 33 DSGVO. Die Pflicht trifft im Regelfall Ihr Unternehmen, nicht den Dienstleister. Sie haben 72 Stunden Zeit, gerechnet ab dem Moment, in dem Sie von dem Vorfall erfahren, und wenden sich an die für Sie zuständige Datenschutzaufsicht. Entfallen kann die Meldung allein dann, wenn sich ein Risiko für die betroffenen Personen ausschließen lässt. Steht ein hohes Risiko im Raum, verlangt Art. 34 DSGVO zusätzlich, dass Sie die Betroffenen selbst unterrichten.

Die Frist läuft ab Kenntnis, nicht ab vollständiger Aufklärung. Eine Meldung darf deshalb zunächst unvollständig sein und später ergänzt werden. Wie die Zuständigkeit zwischen Ihnen und Ihrem Dienstleister verteilt ist, richtet sich nach der Vereinbarung zur Auftragsverarbeitung; die Einordnung im Einzelfall gehört zu Ihrer Rechtsberatung. Was die DSGVO sonst für einen Unternehmensauftritt bedeutet, behandelt die Frage dazu, was die DSGVO für die Website bedeutet.

Vorbeugen ist die günstigere Variante

Die meisten Angriffe nutzen bekannte Lücken in veralteten Komponenten und erreichbare Verwaltungsbereiche ohne zweiten Faktor. Beides lässt sich vorher schließen. Welche Fragen Sie Ihrem Dienstleister dazu stellen können, steht in der Frage, woran man einen sicher betriebenen Auftritt erkennt.