Wenn es gerade passiert
Telefon: +49 1512 9755084. Werktags geht jemand ran, der etwas dazu sagen kann. Wenn Sie nicht weiterwissen, ist das der schnellste Weg — auch wenn Sie kein Kunde sind.
Vorweg zwei Dinge, die Zeit sparen. Erstens: Panik führt fast immer dazu, dass Spuren gelöscht werden, die später gebraucht werden. Zweitens: Die Website vom Netz zu nehmen ist selten der erste Schritt und manchmal der falsche — bei einer Weiterleitung auf fremde Seiten dagegen schon.
Die ersten Schritte
- Passwörter ändern — aber in der richtigen Reihenfolge: zuerst der Hosting-Zugang, dann die Datenbank, dann die Verwaltung der Website, zuletzt die Konten der Redakteure. Wer bei der Website anfängt, sperrt sich unter Umständen selbst aus, während der Angreifer über den Server weiterarbeitet.
- Alle Anmeldungen beenden. In WordPress gibt es dafür eine Funktion, die sämtliche laufenden Sitzungen ungültig macht. Ohne diesen Schritt bleibt ein bereits angemeldeter Zugang bestehen, auch nachdem das Passwort geändert wurde.
- Eine Sicherung des befallenen Zustands anlegen — Dateien und Datenbank. Das klingt widersinnig, ist aber die Grundlage dafür, später festzustellen, was passiert ist und ob Daten abgeflossen sind. Diese Sicherung nicht über die bestehende schreiben.
- Prüfen, wann es angefangen hat. Die Server-Protokolle und das Änderungsdatum der Dateien zeigen es meist deutlich. Der Zeitpunkt entscheidet darüber, welche Sicherung noch sauber ist.
- Erst jetzt zurückspielen — auf einen Stand vor dem Zeitpunkt aus Schritt 4. Eine Sicherung von gestern ist wertlos, wenn der Befall zwei Wochen alt ist.
- Nach dem Zurückspielen sofort alles aktualisieren: Kern, Theme, jede Erweiterung. Der alte Stand hat dieselbe Lücke wie vorher — sonst wäre er nicht befallen worden.
Der häufigste Fehler: zurückspielen und aufatmen, ohne Schritt 6. Dann ist die Website in derselben Woche wieder befallen, weil die Lücke unverändert offensteht.
Was Sie nicht tun sollten
- Verdächtige Dateien einzeln löschen. Man findet nie alle, und ein einziger übersehener Zugang stellt den Rest wieder her. Zurückspielen ist zuverlässiger als Aufräumen.
- Ein Aufräum-Plugin installieren und darauf vertrauen. Diese Werkzeuge finden Bekanntes. Was sie melden, sollte man ernst nehmen; was sie nicht melden, sagt nichts.
- Die Sicherung überschreiben. Genau das passiert automatisch, wenn der übliche Sicherungslauf weiterläuft, während die Website befallen ist. Den Lauf anhalten, bevor die letzte saubere Sicherung überschrieben wird.
- Warten, bis Google es merkt. Ist die Seite erst als schädlich markiert, kommt zum technischen Problem ein Sichtbarkeitsproblem, das Wochen nachwirkt.
Die Frist, die dabei übersehen wird
Wenn personenbezogene Daten betroffen sein können — Kontaktformulare, Kundenkonten, eine Bestellhistorie —, greift Artikel 33 DSGVO: Die Verletzung ist der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden zu melden, nachdem sie bekannt wurde. Bei hohem Risiko für die Betroffenen kommt nach Artikel 34 die Benachrichtigung der Betroffenen dazu.
Das ist der Grund, warum Schritt 3 — die Sicherung des befallenen Zustands — kein Luxus ist. Ohne sie lässt sich nicht sagen, ob Daten abgeflossen sind, und dann bleibt nur die vorsorgliche Meldung.
Das ist eine Fristangabe, keine Rechtsberatung. Ob Ihr Fall meldepflichtig ist, entscheidet der Einzelfall — die Frage gehört zu Ihrem Datenschutzbeauftragten oder einem Anwalt, und zwar am selben Tag.
Was danach kommt
Ist die Website wieder sauber, bleibt die Frage, wie es passiert ist. In den allermeisten Fällen war es eine veraltete Erweiterung oder ein schwaches Passwort — beides lässt sich in einem Nachmittag so schließen, dass derselbe Weg nicht noch einmal funktioniert.
Was wir tun, wenn Sie uns dazuholen: den Befall eingrenzen, den letzten sauberen Stand bestimmen, zurückspielen, alle drei Ebenen aktualisieren, Zwei-Faktor-Anmeldung einrichten, ungenutzte Erweiterungen entfernen. Danach eine Seite, auf der steht, was passiert ist und woran es lag — auch wenn das Ergebnis lautet, dass es ein abgelaufenes Redakteurspasswort war.
Einen Wartungsvertrag müssen Sie dafür nicht abschließen. Er ist der günstigere Weg, wenn es sich wiederholt — aber ein Notfall ist der falsche Zeitpunkt für eine Vertragsentscheidung.