Gehackt? Was bei KMU-Websites wirklich passiert –
und was hilft

Wenn man einem Inhaber die Protokolle seines eigenen Servers zeigt, ist die Reaktion meist ein ungläubiges Staunen. Da stehen Anmeldeversuche mit «admin» und «123456», Abfragen nach Dateien, die es auf der Seite gar nicht gibt, Zugriffe von Adressen aus der ganzen Welt. Niemand davon interessiert sich für die Schreinerei in Lenzburg oder die Physiotherapie in Brugg. Sie klopfen einfach an jede Tür und schauen, welche offen ist.

Das ist die eigentlich beruhigende Nachricht: Gegen diese Art von Angriff braucht es keine Sicherheitsabteilung. Es braucht ein paar Grundmassnahmen, die konsequent eingehalten werden. Wer sie umsetzt, ist für automatische Programme schlicht uninteressant – sie ziehen weiter zur nächsten Seite, bei der die Tür offen steht.

Bots statt Hacker: wie ein Angriff tatsächlich abläuft

Wird eine Sicherheitslücke in einer verbreiteten Software bekannt – etwa in einem WordPress-Plugin –, dauert es nicht lange, bis automatische Programme gezielt nach Websites suchen, die genau diese Version noch verwenden. Sie arbeiten Listen ab, Tausende Adressen hintereinander. Wird eine passende Seite gefunden, läuft der Rest ebenfalls automatisch.

Was danach passiert, ist selten spektakulär. Eine gehackte KMU-Website wird kaum je «verunstaltet», denn das würde auffallen. Viel häufiger wird sie still als Werkzeug missbraucht:

• Versteckte Werbelinks auf dubiose Shops, die nur Suchmaschinen sehen, nicht aber der Inhaber.
• Weiterleitungen, bei denen Besucher, die über Google kommen, auf einer fremden Seite landen – während der Inhaber, der die Adresse direkt eintippt, nichts bemerkt.
• Spam-Versand über den Server oder das Kontaktformular, bis der Hosting-Anbieter den Versand sperrt oder die eigenen E-Mails plötzlich im Spam landen.
• Schadcode für Besucher, der auf deren Geräte übertragen werden soll.

Bemerkt wird das oft erst spät: wenn ein Kunde anruft und fragt, warum die Website auf eine Casino-Seite führt, oder wenn Google in den Suchergebnissen einen Warnhinweis anzeigt. Dann ist der Schaden am Ruf meist grösser als der technische.

1. HTTPS: das Minimum, nicht die Kür

Das kleine Schloss in der Adresszeile zeigt, dass die Verbindung zwischen Besucher und Website verschlüsselt ist. Was jemand in Ihr Kontaktformular tippt, kann unterwegs nicht mitgelesen werden. Fehlt die Verschlüsselung, kennzeichnen gängige Browser die Seite als unsicher, Chrome etwa mit dem Hinweis «Nicht sicher» – genau der Hinweis, den man bei einem Handwerker oder einer Praxis nicht sehen möchte.

Ein Zertifikat für die Verschlüsselung ist heute bei den gängigen Hosting-Anbietern Teil des Pakets und erneuert sich automatisch. Prüfen Sie zwei Dinge: Erscheint das Schloss auf allen Unterseiten, nicht nur auf der Startseite? Und werden Besucher, die Ihre Adresse mit «http://» aufrufen, automatisch auf die verschlüsselte Fassung umgeleitet? Wenn eines davon nicht stimmt, ist das in der Regel schnell behoben.

Wichtig dabei: HTTPS schützt die Verbindung, nicht die Website selbst. Eine Seite mit Schloss kann trotzdem eine veraltete Software mit offener Lücke betreiben. Deshalb ist es nur der erste von vier Punkten.

2. Updates: die eigentliche Haustür

Websites mit einem Content-Management-System wie WordPress bestehen aus drei Schichten: dem System selbst, dem Design (Theme) und den Erweiterungen (Plugins). Jede dieser Schichten bekommt laufend Updates, und viele davon schliessen Sicherheitslücken. Ein Update, das nicht eingespielt wird, ist eine Lücke, die öffentlich bekannt ist – und damit genau das, wonach die automatischen Programme suchen.

Besonders heikel sind Plugins, die irgendwann einmal installiert und danach vergessen wurden. Ein Kalender von einer Veranstaltung, die drei Jahre zurückliegt, ein Slider, der längst nicht mehr angezeigt wird, ein Formular-Plugin, das durch ein anderes ersetzt wurde. Solche Erweiterungen bekommen oft keine Updates mehr, weil ihr Entwickler das Projekt aufgegeben hat. Dann hilft nur eines: entfernen. Ein deaktiviertes Plugin liegt weiterhin auf dem Server.

Wie eine WordPress-Website ohne regelmässige Pflege über ein Jahr hinweg verwundbar wird und was eine saubere Wartung umfasst, beschreibt der Artikel über WordPress-Wartung für KMU ausführlich.

Ein Wort zu Websites ohne CMS: Eine schlanke, statisch ausgelieferte Seite ohne Datenbank und ohne Anmeldebereich bietet deutlich weniger Angriffsfläche, weil es schlicht weniger gibt, das veralten kann. Für viele KMU, deren Inhalte sich selten ändern, ist das eine Überlegung wert. Ganz ohne Pflege geht es aber auch dort nicht – der Server, auf dem sie liegt, braucht ebenfalls Updates, nur übernimmt die in der Regel der Hosting-Anbieter.

3. Backups, die man auch zurückspielen kann

Fast jeder Inhaber, den man fragt, sagt: «Backups macht der Hoster.» Das stimmt oft sogar. Die eigentlichen Fragen kommen erst danach, und auf die gibt es selten eine Antwort:

• Wie weit reichen die Sicherungen zurück? Wird eine Website unbemerkt infiziert und das erst nach sechs Wochen entdeckt, nützt ein Backup, das nur die letzten sieben Tage aufbewahrt, nichts – alle Kopien enthalten den Schadcode bereits.
• Liegt eine Kopie ausserhalb des Servers? Wenn das Backup auf derselben Maschine liegt wie die Website, ist es bei einem schweren Vorfall oder einem Hardware-Ausfall mit betroffen.
• Wurde die Wiederherstellung je ausprobiert? Ein Backup ist erst dann eines, wenn man weiss, dass es sich zurückspielen lässt – und wie lange das dauert. Das sollte man einmal im ruhigen Moment testen, nicht zum ersten Mal im Ernstfall.

Gut ist eine Kombination: tägliche Sicherungen beim Hoster für den schnellen Zugriff, dazu in regelmässigen Abständen eine vollständige Kopie an einem zweiten Ort, die über mehrere Monate aufbewahrt wird.

4. Logins: starke Passwörter und ein zweiter Faktor

Der zweite klassische Weg auf eine Website führt nicht über eine Lücke, sondern über die Eingangstür: das Anmeldeformular. Programme probieren dort systematisch gängige Benutzernamen und Passwörter durch. Ein Benutzer «admin» mit dem Passwort «Firmenname2020» hält dem nicht lange stand.

Drei Massnahmen genügen, um diesen Weg praktisch zu verschliessen:

• Für jeden Zugang ein eigenes, langes Passwort. Am einfachsten mit einem Passwort-Manager, der sie erzeugt und speichert. Das Passwort der Website darf nirgends sonst verwendet werden.
• Zwei-Faktor-Authentifizierung. Zusätzlich zum Passwort braucht es bei der Anmeldung einen Code vom Smartphone. Selbst ein gestohlenes Passwort reicht dann nicht mehr. Für WordPress lässt sich das mit wenig Aufwand einrichten.
• Nur so viele Zugänge wie nötig. Ehemalige Mitarbeitende, die Agentur von vor fünf Jahren, der Neffe, der einmal etwas angepasst hat: Jeder Zugang, der nicht mehr gebraucht wird, gehört gelöscht. Und wer nur Texte schreibt, braucht keine Administratorrechte.

Das gilt nicht nur für die Website selbst, sondern ebenso für das Kundenkonto beim Hosting-Anbieter und bei der Domain-Verwaltung. Wer dort Zugriff hat, kann im Zweifel alles umleiten.

Was tun im Ernstfall?

Wenn Sie den Verdacht haben, dass Ihre Website gehackt wurde – seltsame Weiterleitungen, fremde Inhalte, eine Warnung bei Google oder eine Meldung Ihres Hosters –, hilft eine feste Reihenfolge mehr als hektisches Ausprobieren:

1. Nichts löschen. Der erste Impuls ist, die verdächtigen Dateien sofort zu entfernen. Damit verschwinden aber auch die Spuren, über die sich herausfinden lässt, wie der Angreifer hereingekommen ist.
2. Hoster und Webdesigner informieren. Beide können die Seite bei Bedarf vorübergehend vom Netz nehmen und haben Zugriff auf Protokolle und Sicherungen.
3. Alle Passwörter ändern. Website, Hosting, Datenbank, FTP, E-Mail – und zwar von einem Gerät aus, dem Sie vertrauen.
4. Sauberen Stand wiederherstellen. Ein Backup von einem Zeitpunkt vor der Infektion zurückspielen und danach sofort alle Updates einspielen. Sonst steht dieselbe Tür gleich wieder offen.
5. Ursache schliessen. Welches Plugin, welcher Zugang war das Einfallstor? Ohne diese Antwort ist die Wiederherstellung nur eine Pause.
6. Bei Google nachsehen. In der Google Search Console gibt es einen Bereich für Sicherheitsprobleme. Hat Google die Seite als gehackt markiert, lässt sich dort nach der Bereinigung eine Überprüfung beantragen.

Ein Punkt verdient besondere Aufmerksamkeit: Wenn über Ihre Website Personendaten erfasst werden – etwa über ein Kontaktformular oder eine Terminbuchung –, kann ein Vorfall auch datenschutzrechtliche Fragen aufwerfen. Lassen Sie in diesem Fall prüfen, welche Pflichten sich daraus für Sie ergeben. Einen Überblick über die Grundlagen gibt der Artikel Datenschutz auf der Website.

Sicherheit ist eine Routine, kein Projekt

Keine der vier Massnahmen ist kompliziert. Schwierig ist nur, sie dauerhaft durchzuhalten. Eine Website, die beim Start auf dem neuesten Stand war, ist es zwei Jahre später nicht mehr, wenn niemand sich kümmert. Deshalb ist die wichtigste Entscheidung nicht technischer Natur, sondern organisatorischer: Wer ist für Updates, Backups und Zugänge zuständig – und wann wird es erledigt?

Wenn Sie das selbst übernehmen möchten, reichen ein fester Termin im Kalender und die Checkliste aus diesem Artikel. Wenn Sie es lieber abgeben, sollte das klar vereinbart sein: was genau gemacht wird, wie oft, und wer im Ernstfall erreichbar ist.