Die Website eines Autohauses in Kiel verschickt seit Wochen Spam und verlinkt in versteckten Seiten auf dubiose Shops, sichtbar nur für Suchmaschinen. Der Inhaber erfährt davon aus einer Warnung in den Google-Suchergebnissen. Eingestiegen ist niemand persönlich, ein automatisiertes Programm fand ein Plugin, das zwei Jahre lang kein Update bekommen hatte.
Warum kleine Websites angegriffen werden
Der häufigste Irrtum lautet, der eigene Betrieb sei zu unbedeutend für Angreifer. Doch angegriffen wird nicht die Firma, sondern die Technik, und zwar massenhaft und automatisiert. Programme durchkämmen das Netz nach bekannten Schwachstellen in veralteten Systemen, ganz gleich, wessen Name im Impressum steht. Erbeutet wird keine Kundenkartei, sondern eine Ressource: ein Server, der Spam verschickt, Schadsoftware verteilt oder mit versteckten Links fremde Seiten pusht.
Woran Sie einen Befall erkennen
Ein gehackter Auftritt sieht oft völlig normal aus, das ist Absicht. Verräterisch sind Warnhinweise in Suchergebnissen und Browsern, plötzliche Weiterleitungen auf fremde Seiten, unbekannte Administratorkonten, ein einbrechendes Google-Ranking oder eine Mail des Hosters wegen auffälligen Datenverkehrs. Wer den Verdacht hat, sollte ihn prüfen und nicht abwarten, denn mit jeder Woche wächst der Schaden an Ruf und Sichtbarkeit.
Was im Ernstfall zu tun ist
Zuerst den Hoster informieren, der die Seite notfalls vom Netz nimmt und oft bei der Analyse hilft. Dann alle Passwörter ändern, ein sauberes Backup von vor dem Einbruch einspielen und vor allem die Lücke schließen, durch die der Angriff kam, sonst steht der nächste Besucher schon bereit. Das Bundesamt für Sicherheit in der Informationstechnik stellt für solche Fälle Leitfäden bereit. Wer sich die Bereinigung nicht zutraut, holt Fachleute, ein halber Tag Profiarbeit ist billiger als ein Monat auf einer Warnliste.
Vorbeugen ist Routinearbeit
Der Schutz ist unspektakulär: Updates zeitnah einspielen, starke und einzigartige Passwörter verwenden, Zwei-Faktor-Anmeldung aktivieren, regelmäßige Backups außerhalb des Servers lagern. Es ist dieselbe stille Pflege, die über die Lebensdauer jeder Website entscheidet. Und es gibt eine grundsätzliche Stellschraube: Websites ohne Datenbank und Anmeldemaske bieten kaum Angriffsfläche, ein Vorteil, der bei der Wahl der Technik oft übersehen wird. Die sicherste Tür ist die, die es gar nicht gibt.