Merken Sie es überhaupt, wenn Ihre Seite kompromittiert wird?

Eine verunstaltete Startseite bemerkt jeder. Genau deshalb ist sie selten. Der übliche Einbruch in eine Firmenwebsite ist darauf angelegt, nicht aufzufallen – weil der Server umso länger nutzbar bleibt, je unauffälliger er ist.

Die Frage lautet also nicht, ob Sie eine Verunstaltung bemerken würden. Sie lautet: Würden Sie den Fall bemerken, bei dem sich äußerlich nichts ändert?

Wer es Ihnen normalerweise sagt

In der Praxis gibt es fünf Wege, auf denen die Nachricht ankommt. Vier davon sind spät, und bei allen vieren weiß jemand anderes vor Ihnen Bescheid.

Ein Kunde ruft an. „Ihre Rechnung lag bei uns im Spam." Oder: „Ihre Seite hat mich auf etwas Komisches weitergeleitet." Das ist der häufigste Weg – und oft liegt der eigentliche Einbruch dann schon Wochen zurück.

Der Hoster sperrt. Meist ohne Vorwarnung, oft am Wochenende, weil von Ihrem Paket aus massenhaft Nachrichten versendet wurden. Die Seite ist dann sofort offline, und die Beweissicherung wird schwieriger, nicht leichter.

Google zeigt eine Warnung. Im Suchergebnis steht „Diese Website wurde möglicherweise gehackt". Wenn das sichtbar wird, hat Google den Befund schon eine Weile. Was dann zu tun ist, steht in Google warnt vor Ihrer Website.

Der Browser blockt. Die letzte Stufe. Besucher sehen eine rote Seite statt Ihrer Website. Spätestens hier wissen es alle – Kunden, Bewerber, Wettbewerber.

Sie selbst sehen es. Der einzige Weg, der früh ist. Und der einzige, der nicht davon abhängt, dass der Schaden schon eingetreten ist.

Warum man es nicht von allein merkt

Der Angreifer will nicht gesehen werden. Sein Geschäft beruht darauf, dass der Zugang bestehen bleibt. Welche Geschäftsmodelle dahinterstehen, steht in Was Angreifer mit einem gekaperten Webserver verdienen – vier von fünf funktionieren nur unbemerkt.

Veränderungen zeigen sich oft nicht Ihnen. Eingeschleuste Verweise werden häufig nur an Suchmaschinen ausgeliefert oder nur an Besucher, die über eine Suche kommen. Wer als angemeldeter Redakteur auf die eigene Seite schaut, sieht nichts. Deshalb gehört jede Prüfung in ein privates Fenster, abgemeldet.

Manches schläft. Ein Zugang wird beschafft und weiterverkauft. Zwischen Einbruch und Schaden können Wochen liegen, in denen tatsächlich nichts passiert. Die Ruhe ist dann kein Beleg dafür, dass nichts war.

Und die Meldung kommt an, aber niemand liest sie. Das ist der unterschätzte Punkt. In vielen Firmen laufen die Warnungen längst auf – an eine Sammeladresse, die niemand öffnet, oder an die Agentur, die vor drei Jahren den Relaunch gemacht hat.

Fünf Signale, die Sie selbst einrichten können

Keines davon braucht ein Sicherheitszentrum oder einen Dienstleister mit Nachtschicht. Alle fünf sind für eine mittelständische Firmenwebsite in überschaubarer Zeit eingerichtet.

1. Veränderungen an Dateien

Das wirksamste Einzelsignal. Es wird täglich verglichen, welche Dateien sich gegenüber dem bekannten Stand geändert haben – und jede Änderung, die nicht von einer Veröffentlichung stammt, ist erklärungsbedürftig.

Bei einer statischen Website ist das fast trivial: Dort ändert sich außerhalb von Veröffentlichungen gar nichts, jede Abweichung ist ein Treffer. Bei WordPress oder TYPO3 braucht es ein Werkzeug, das Kern, Erweiterungen und Verzeichnis für hochgeladene Dateien getrennt betrachtet – gerade dort landen Webshells.

2. Die Sicherheitsmeldungen von Google und Bing

Beide Betreiber melden kostenlos, wenn sie auf Ihrer Seite etwas finden. Die Einrichtung dauert eine Viertelstunde, bringt aber nur dann etwas, wenn die Benachrichtigung an eine Adresse geht, die ein Mensch regelmäßig liest.

Prüfen Sie heute einmal, an welche Adresse diese Meldungen gehen. In der Erfahrung ist das bei jeder zweiten Firma eine Adresse, die niemandem mehr gehört.

3. Eine Inhaltsprüfung von außen, nicht nur ein Erreichbarkeitstest

Der übliche Verfügbarkeitstest fragt, ob der Server antwortet. Eine verunstaltete oder umgeleitete Seite antwortet aber mit Status 200 – aus Sicht eines einfachen Tests ist alles in Ordnung.

Nützlich wird es erst mit zwei Zusatzfragen: Steht ein erwarteter Satz noch auf der Seite? Und: Ist etwas Unerwartetes dazugekommen – fremde Verweise, fremde Skripte, eine Weiterleitung? Das ist der Unterschied zwischen „der Server läuft" und „die Seite ist noch unsere".

Die allgemeine Überwachung von Servern, Datenträgern und Sicherungen ist ein eigenes Thema und in Monitoring: Störungen bemerken, bevor der erste Anruf kommt beschrieben. Beides gehört zusammen, ersetzt sich aber nicht: Verfügbarkeitsüberwachung erkennt Ausfälle, Inhaltsprüfung erkennt Übernahmen.

4. Protokolle, die lange genug aufbewahrt werden

Dieses Signal warnt nicht – es entscheidet darüber, ob Sie den Fall später aufklären können. Nach jedem Vorfall lautet die erste Frage: seit wann? Ohne Protokolle gibt es darauf keine Antwort, und ohne diese Antwort lässt sich nicht sagen, welche Sicherung noch sauber ist.

Üblich sind 90 Tage, abgelegt außerhalb des überwachten Systems – denn wer auf dem Server Code ausführen kann, kann dort auch Protokolle löschen. Das BSI beschreibt das im IT-Grundschutz unter OPS.1.1.5.

Welche Spuren sich darin konkret finden lassen, zeigt am Beispiel des aktuellen Falls PHP2Shell-Angriff erkennen. Und wie sehr diese eine Frage über die Aufarbeitung entscheidet, steht in Hat Ihr Dienstleister den Vorfall im Griff?.

5. Ausgehender Mailverkehr und Sperrlisten

Der häufigste Missbrauch ist Versand über Ihre Domain, und er hat ein Frühwarnzeichen: Unzustellbarkeitsmeldungen für Nachrichten, die niemand bei Ihnen geschrieben hat. Dazu ein regelmäßiger Blick auf die gängigen Sperrlisten.

Ob Ihre Domain technisch überhaupt gegen fremden Versand abgesichert ist, zeigt der SPF- und DMARC-Test.

Das eigentliche Problem ist selten die Technik

In den meisten Firmen existieren drei oder vier dieser Signale bereits. Sie laufen nur ins Leere.

Die Search Console ist eingerichtet – von der Agentur, auf deren Konto. Die Hoster-Warnung geht an eine Adresse aus dem Gründungsjahr. Der Verfügbarkeitstest läuft, aber sein Alarm landet in einem Postfach, das seit dem Ausscheiden eines Mitarbeiters niemand mehr öffnet.

Die Abhilfe ist unspektakulär und kostet nichts: eine namentlich benannte Person, eine Adresse, die wirklich gelesen wird, und einmal im Quartal die Frage, ob von allen Quellen in dieser Zeit überhaupt etwas angekommen ist. Ein Kanal, über den seit zwölf Monaten nichts kam, ist meistens kein ruhiger Kanal, sondern ein toter.

Was Erkennung nicht leistet

Erkennung ist keine Vorbeugung. Sie verkürzt den Zeitraum zwischen Einbruch und Reaktion – und dieser Zeitraum bestimmt den Schaden. Sie verhindert den Einbruch nicht.

Deshalb gehört zur ehrlichen Antwort auch: Bei einer Website, die serverseitig keinen Code ausführt, entfällt der größte Teil dessen, was hier überwacht werden müsste. Kein PHP, keine Datenbank, keine Erweiterungen mit eigenen Lücken – damit fällt auch der Weg weg, über den PHP2Shell gerade ausgenutzt wird. Was das praktisch bedeutet und wo die Grenzen liegen, steht in WordPress ablösen und ehrlich auch in Statische Website: wo die Grenzen liegen.

Für alles, was weiterhin dynamisch läuft, bleibt Erkennung der richtige Weg.

Checkliste: erste Schritte

Wie DAVINCI unterstützt

Wir richten diese Signale ein und führen sie an einer Stelle zusammen, an der sie auch gelesen werden – einschließlich der unbequemen Vorarbeit, zu klären, wem die Zugänge heute eigentlich gehören. Für eine erste Einschätzung von außen gibt es den Quick-Check, einen schnellen Eindruck liefert der kostenlose PHP-Sicherheitscheck. Bei einem konkreten Verdacht übernimmt unser Incident Response. Sprechen Sie uns über die Kontaktseite an.

Verwandte Themen: Wer hier weiterdenkt, liest bei Google-Warnung, Website-Relaunch und Webserver kompromittiert weiter.