„Bei uns gibt es doch nichts zu holen." Dieser Satz fällt in fast jedem Gespräch nach einem Vorfall, und er beruht auf einem Missverständnis: Angreifer suchen bei einer Firmenwebsite selten etwas zum Mitnehmen. Sie suchen etwas zum Benutzen. Ein Webserver hat einen Wert, der nichts mit Ihren Daten zu tun hat – und genau deshalb ist auch die kleine Website mit zwölf Seiten ein Ziel.
Dieser Beitrag geht die fünf üblichen Verwertungswege durch. Nicht um Angst zu machen, sondern weil die Antwort auf „warum sollte jemand uns angreifen" die Grundlage dafür ist, wie ernst man das Thema nimmt.
Warum überhaupt automatisiert gesucht wird
Bei einer Lücke wie PHP2Shell, von der nach Angaben der Entdecker 70 Prozent aller Websites betroffen waren, geht niemand gezielt vor. Es wird breit gesucht und genommen, was sich nehmen lässt. Der einzelne übernommene Server bringt wenig – zehntausend bringen etwas.
Das erklärt, warum die Größe Ihres Unternehmens keine Rolle spielt. Die Suche fragt nicht nach Umsatz, sondern nach Software.
Weg 1: Nachrichten über Ihre Domain
Der häufigste Weg, und der mit dem besten Verhältnis von Aufwand zu Ertrag.
Eine Nachricht, die von einer echten Firmendomain kommt, durch deren SPF- und DKIM-Prüfung läuft und einen Absender trägt, den es wirklich gibt, kommt an. Eine Nachricht von einer Wegwerfadresse landet im Spam-Ordner. Der Unterschied ist für den Versender bares Geld.
Was Sie davon merken: Zuerst nichts. Dann häufen sich Unzustellbarkeitsmeldungen für Nachrichten, die Sie nie geschrieben haben. Dann landet Ihre Domain auf Sperrlisten, und Ihre eigenen Mails kommen bei Kunden nicht mehr an – oft Wochen, nachdem das eigentliche Problem behoben wurde.
Was es wert macht: Der gute Ruf Ihrer Domain. Den haben Sie über Jahre aufgebaut, und er ist genau das, was verkauft wird.
Weg 2: Verweise für fremde Suchmaschinenoptimierung
Auf Ihrer Seite werden Verweise auf fremde Angebote eingebaut – Glücksspiel, Medikamente, Finanzprodukte. Oft unsichtbar formatiert oder nur für Suchmaschinen eingeblendet, während Besucher nichts bemerken.
Der Wert liegt im Alter und in der Glaubwürdigkeit Ihrer Domain. Eine seit zehn Jahren bestehende Firmenwebsite aus Deutschland vererbt einen Teil ihres Rufs an jede Seite, auf die sie verweist. Genau das wird verkauft.
Was Sie davon merken: Monatelang nichts – das ist der Punkt. Dann fallen die Platzierungen, oder Google stuft die Seite ab. Bis die Ursache gefunden ist, vergeht oft ein weiteres Quartal.
Weg 3: Der Zugang selbst
Es gibt einen Handel mit Zugängen. Wer massenhaft Server übernimmt, nutzt sie nicht alle selbst – er verkauft weiter. Der Käufer bringt sein eigenes Vorhaben mit, und das kann etwas ganz anderes sein als das, wofür der Zugang ursprünglich beschafft wurde.
Das ist der Grund, warum zwischen Einbruch und erkennbarem Schaden oft Wochen liegen. Der erste war nur der Beschaffer.
Was Sie davon merken: Dass die Ruhe trügt. Ein Server, auf dem seit dem Zugriff scheinbar nichts passiert ist, kann schlicht auf seinen Käufer warten.
Weg 4: Rechenleistung und Datenverkehr
Ihr Server rechnet für jemand anderen – oder dient als Zwischenstation, damit andere Angriffe aus Ihrer IP-Adresse zu kommen scheinen.
Was Sie davon merken: Die Seite wird langsam. Die Rechnung vom Hoster steigt, wenn der Vertrag nach Verbrauch abrechnet. Und im schlechtesten Fall bekommen Sie Post, weil von Ihrer Adresse aus jemand anderes angegriffen wurde.
Weg 5: Die Daten – aber anders, als Sie denken
Hier kommt doch noch das Mitnehmen ins Spiel, nur selten so, wie befürchtet. Die Kundenliste einer mittelständischen Firma ist auf dem Markt wenig wert. Wertvoll sind:
- Zugangsdaten, die auf dem Server lesbar waren – und die Frage, wo sie sonst noch gelten
- Interne Kommunikation aus Formularnachrichten: wer ist zuständig, wie schreiben Sie, wer zahlt was
- Geschäftsbeziehungen. Wer weiß, dass Sie an Firma X liefern und wie Ihre Rechnungen aussehen, kann die nächste Rechnung schreiben.
Der letzte Punkt ist der teuerste. Wie das in der Praxis abläuft, steht in unserer Fallstudie zum Rechnungsbetrug – dort entstand der Schaden Monate nach dem eigentlichen Einbruch.
Das Missverhältnis, auf das es ankommt
Der Ertrag für den Angreifer ist bei jedem dieser Wege gering. Ein einzelner Server bringt wenige Euro im Monat – deshalb werden ja zehntausend gebraucht.
Ihr Schaden steht dazu in keinem Verhältnis. Das ist der Punkt, den die Rechnung „bei uns gibt es nichts zu holen" übersieht:
- Eine auf Sperrlisten gelandete Domain bedeutet, dass Angebote und Rechnungen bei Kunden nicht mehr ankommen. Der Weg zurück dauert Wochen und läuft über jede Liste einzeln.
- Eine von Google abgestrafte Website kostet die Sichtbarkeit, die über Jahre entstanden ist – und die Erholung beginnt erst nach der Bereinigung.
- Eine Rechnung mit fremder Bankverbindung an einen echten Kunden kostet den Betrag und das Verhältnis.
- Eine Meldung an die Aufsichtsbehörde kostet Zeit, Beratung und unter Umständen mehr.
Der Angreifer verdient an Ihrem Server zweistellig im Monat. Sie zahlen vierstellig aufwärts. Diese Asymmetrie ist der eigentliche Grund, warum sich Vorbeugung rechnet – nicht die Wahrscheinlichkeit, sondern das Verhältnis von Aufwand zu möglichem Schaden.
Was daraus folgt
Die Frage „warum sollte uns jemand angreifen" hat eine Antwort. Sie lautet: weil Ihr Server einen Wert hat, der unabhängig von Ihrer Branche und Ihrer Größe ist.
Der Schaden tritt verzögert auf. Bei vier von fünf Wegen merken Sie zuerst nichts. Das ist kein Grund zur Entwarnung, sondern der Grund, warum man nach einem Vorfall nachsieht, statt abzuwarten.
Und es erklärt, warum das vergessene System das gefährlichste ist. Für keinen dieser Wege braucht es Ihre Hauptwebsite. Die alte Messeseite tut es auch – und dort schaut niemand hin. Mehr dazu in Shared Hosting: Warum Ihre Nachbarn Ihr Problem sind.
Checkliste: erste Schritte
- Prüfen, ob Ihre Domain auf Sperrlisten steht – bei Zustellproblemen der erste Blick
- Ausgehende Verbindungen des Webservers beobachten
- Seitenquelle auf unsichtbare Verweise prüfen, auch in Unterseiten
- Nachsehen, ob die Seite plötzlich langsamer geworden ist
- Alle Systeme auflisten, die unter derselben Domain laufen – auch die vergessenen
- Zugangsdaten erneuern, die auf dem Server lesbar waren
- Protokolle so aufbewahren, dass sich ein verzögerter Schaden zurückverfolgen lässt
Wie DAVINCI unterstützt
Wir sehen uns an, welche dieser Wege bei Ihnen offenstehen, und schließen sie der Reihe nach – angefangen beim Mailversand, der in der Praxis am häufigsten missbraucht wird. Bei Verdacht auf einen bereits erfolgten Zugriff arbeitet unser Incident Response den Fall auf. Eine erste Einschätzung ohne Vorfall gibt der Quick-Check, einen schnellen Eindruck der kostenlose PHP-Sicherheitscheck.
Häufige Fragen
Wir haben keinen Shop und keine Kundendaten. Sind wir trotzdem interessant?
Ja. Vier der fünf beschriebenen Wege funktionieren ohne jede Ihrer Daten. Gebraucht wird der Server, nicht sein Inhalt.
Woran merke ich, dass meine Domain für Spam missbraucht wird?
Am häufigsten an Unzustellbarkeitsmeldungen für Nachrichten, die Sie nie geschrieben haben. Danach an Kunden, die sagen, Ihre Mails kämen nicht mehr an. Prüfen lässt sich das mit einem Blick auf die gängigen Sperrlisten und mit unserem SPF- und DMARC-Test.
Wie finde ich eingeschleuste Verweise?
Im Quelltext der Seite suchen, nicht in der Darstellung – sie sind oft unsichtbar formatiert. Verlässlicher ist der Abgleich gegen eine Sicherung. Und die Search Console meldet es, wenn Google etwas bemerkt, siehe Google warnt vor Ihrer Website.
Wenn seit dem Vorfall nichts passiert ist – sind wir dann durch?
Nicht zwangsläufig. Bei Weg 3 ist genau das das Muster: Der Zugang wurde beschafft und wartet auf einen Käufer. Deshalb zählt nach einem Vorfall, was die Protokolle sagen, nicht was man beobachtet hat.
Lohnt sich der Aufwand für die Absicherung einer kleinen Website?
Gemessen an dem, was ein Missbrauch der eigenen Domain für die Zustellbarkeit von Geschäfts-E-Mails bedeutet: ja. Die Website ist dabei selten das Wertvolle – die Domain ist es.
Verwandte Themen: Wer hier weiterdenkt, liest bei Webserver kompromittiert, Website gehackt und Webshell weiter.
