Eine gehackte Website ist für Betreiber häufig zunächst ein Schock. Plötzlich werden Besucher auf fremde Seiten weitergeleitet, Suchmaschinen zeigen dubiose Inhalte an oder der Hosting-Anbieter meldet verdächtige Aktivitäten auf dem Server.
Die vermeintlich einfache Lösung lautet dann häufig: Schadcode entfernen, Dateien bereinigen und die Website wieder online stellen.
Doch genau hier liegt ein grundlegendes Problem: Wenn ein Server einmal kompromittiert wurde, lässt sich nicht mehr ohne Weiteres feststellen, welche Bestandteile des Systems tatsächlich noch vertrauenswürdig sind.
In diesem Beitrag möchte ich erklären, warum das einfache Bereinigen einer gehackten Website aus meiner Sicht keine nachhaltige Sicherheitsstrategie ist und weshalb eine Wiederherstellung aus einer vertrauenswürdigen Ausgangsbasis häufig die bessere Entscheidung darstellt.
Was passiert, wenn eine Website gehackt wird?
Eine erfolgreiche Kompromittierung bedeutet nicht zwangsläufig, dass nur eine einzelne Datei verändert wurde.
Angreifer können sich auf unterschiedliche Weise Zugriff verschaffen und diesen anschließend dauerhaft aufrechterhalten.
Typische Beispiele sind:
- Manipulierte PHP-Dateien und eingeschleuster Schadcode
- Hinterlegte Backdoors für einen späteren Zugriff
- Manipulierte Datenbankeinträge
- Veränderte Benutzerkonten und Administratorzugänge
- Eingeschleuste Cronjobs und Hintergrundprozesse
- Manipulierte Konfigurationsdateien
- Veränderte Systemdateien und Berechtigungen
Besonders problematisch sind sogenannte Backdoors. Dabei handelt es sich um versteckte Zugangsmöglichkeiten, über die ein Angreifer auch nach einer vermeintlichen Bereinigung erneut Zugriff erlangen kann.
Das Entfernen der offensichtlich schädlichen Dateien bedeutet daher nicht automatisch, dass der ursprüngliche Zustand wiederhergestellt wurde.
Warum eine Bereinigung keine zuverlässige Lösung ist
Im Internet finden sich zahlreiche Anleitungen und Dienstleister, die versprechen, gehackte Websites vollständig bereinigen zu können.
Dabei wird häufig der Eindruck vermittelt, dass es ausreicht, Schadcode zu identifizieren, manipulierte Dateien zu entfernen und einige Sicherheitsupdates einzuspielen.
Das eigentliche Problem wird dabei jedoch häufig unterschätzt.
Nach einer erfolgreichen Kompromittierung fehlt eine verlässliche Grundlage, um die Integrität aller betroffenen Systembestandteile zu bestätigen.
Selbst wenn sämtliche bekannten Schadcode-Dateien entfernt wurden, bleiben einige entscheidende Fragen offen:
- Wurden wirklich alle Hintertüren gefunden?
- Wurden weitere Benutzerkonten angelegt?
- Wurden Zugangsdaten oder Schlüssel entwendet?
- Wurden legitime Dateien unbemerkt manipuliert?
- Gibt es weitere Zugriffswege, die bisher nicht entdeckt wurden?
- Wurden Datenbankinhalte oder Konfigurationen verändert?
Eine Malware-Scanner-Software kann bekannte Bedrohungen erkennen. Sie kann jedoch nicht beweisen, dass ein gesamtes System frei von Manipulationen ist.
Auch eine manuelle Untersuchung hat Grenzen. Insbesondere bei unbekannten oder gezielt versteckten Veränderungen kann nicht zuverlässig ausgeschlossen werden, dass weitere Manipulationen vorhanden sind.
Das Problem mit dem Vertrauen in das System
Ein wichtiger Aspekt der IT-Sicherheit ist die Integrität eines Systems.
Damit ist gemeint, dass Dateien, Konfigurationen und Systembestandteile unverändert und vertrauenswürdig sind.
Nach einer erfolgreichen Kompromittierung ist diese Vertrauensbasis nicht mehr selbstverständlich gegeben.
Das bedeutet nicht, dass jede einzelne Datei zwangsläufig manipuliert wurde. Es bedeutet aber, dass der ursprüngliche Zustand nicht mehr ohne entsprechende Überprüfung vorausgesetzt werden kann.
Genau deshalb halte ich es für problematisch, eine kompromittierte Website lediglich oberflächlich zu bereinigen und anschließend wieder produktiv einzusetzen.
Eine Website, die nach einer Bereinigung scheinbar wieder funktioniert, ist nicht automatisch eine sichere Website.
Was sollte man stattdessen tun?
Aus meiner Sicht sollte bei einer bestätigten Kompromittierung nicht die Bereinigung des bestehenden Systems im Vordergrund stehen, sondern dessen kontrollierte Wiederherstellung.
Ein sinnvoller Ablauf sieht folgendermaßen aus:
1. Betroffenes System isolieren
Die kompromittierte Website sollte zunächst vom regulären Betrieb getrennt werden. Dadurch lässt sich verhindern, dass weitere Besucher betroffen sind oder der Angreifer weiterhin auf das System zugreifen kann.
2. Ursache der Kompromittierung untersuchen
Es sollte geklärt werden, über welchen Weg der Zugriff erfolgt ist. Mögliche Ursachen sind veraltete Software, unsichere Plugins, gestohlene Zugangsdaten oder Fehlkonfigurationen.
Ohne die Ursache zu beheben, besteht die Gefahr einer erneuten Kompromittierung.
3. Vertrauenswürdige Sicherung verwenden
Falls eine nachweislich saubere Sicherung existiert, kann diese als Ausgangspunkt für eine Wiederherstellung dienen.
Wichtig ist, dass die Sicherung nachweislich aus einem Zeitraum vor der Kompromittierung stammt und selbst nicht betroffen ist.
4. System neu aufsetzen
Die betroffene Installation sollte durch eine frische Installation aus vertrauenswürdigen Originalquellen ersetzt werden.
Das betrifft insbesondere das Betriebssystem, die Webserver-Umgebung, die verwendeten Frameworks und das CMS.
Auch Datenbanken und Konfigurationen müssen überprüft werden, bevor sie übernommen werden.
5. Zugangsdaten erneuern
Sämtliche relevanten Zugangsdaten sollten geändert werden. Dazu gehören unter anderem:
- FTP- und SSH-Zugangsdaten
- Datenbankzugänge
- CMS-Administratorkonten
- API-Schlüssel und Zugriffstoken
- Hosting- und Administrationszugänge
6. Sicherheitsupdates installieren und System absichern
Vor der erneuten Veröffentlichung sollten sämtliche Komponenten aktualisiert und unnötige Zugänge entfernt werden.
Erst wenn die Ursache beseitigt und das System auf einer vertrauenswürdigen Grundlage wiederhergestellt wurde, sollte es erneut produktiv eingesetzt werden.
Warum ich keine Bereinigung gehackter Websites anbiete
Bei Andy Designs lege ich Wert auf eine technisch saubere und nachvollziehbare Umsetzung.
Deshalb übernehme ich keine reine Bereinigung kompromittierter Websites und keine Entfernung von Schadcode aus bestehenden Installationen.
Ich möchte keine vermeintliche Sicherheit vermitteln, indem ich lediglich sichtbare Manipulationen entferne, ohne die Integrität des gesamten Systems zuverlässig gewährleisten zu können.
Stattdessen empfehle ich einen vollständigen Neuaufbau auf einer vertrauenswürdigen Grundlage.
Gerne unterstütze ich anschließend bei der technischen Neuinstallation und dem Wiederaufbau der Website.
Fazit
Eine gehackte Website wieder erreichbar zu machen, ist nicht dasselbe, wie sie wieder sicher zu machen.
Das Entfernen von Schadcode kann einzelne Symptome beseitigen. Es stellt jedoch nicht automatisch den ursprünglichen Vertrauenszustand eines kompromittierten Systems wieder her.
Wer langfristig auf Sicherheit und Zuverlässigkeit setzen möchte, sollte deshalb nicht nur die sichtbaren Schäden beseitigen, sondern das gesamte System kritisch betrachten.
Sicherheit bedeutet nicht, dass eine Website wieder funktioniert. Sicherheit bedeutet, dass man ihrer technischen Integrität wieder vertrauen kann.