Meine Website oder mein Hosting wurde gehackt: wie es passiert ist und wie Sie es beheben

Angriffe auf Websites sind viel häufiger, als man denkt, und man muss keine große Marke sein, um betroffen zu sein. Fast alle laufen automatisch ab: Robots durchsuchen das Internet nach Websites mit bekannten Schwachstellen. Ihr Ziel ist es, Ihre Website zu nutzen, um Malware oder Phishing-Seiten zu hosten, Spam zu versenden oder Ihre Besucher auf andere Seiten umzuleiten.

Wie sie hineingekommen sind

In den allermeisten Fällen über eine nicht aktualisierte Anwendung: WordPress, Joomla, PrestaShop, Drupal oder vor allem eines ihrer Plugins, Themes oder Module. Updates beheben Sicherheitslücken; sobald eines veröffentlicht ist, ist die Lücke öffentlich bekannt, und die Robots beginnen, nach Websites zu suchen, die es nicht installiert haben.

Weitere häufige Ursachen:

• Von ihrem Entwickler aufgegebene Plugins oder Themes, die nie eine Korrektur für eine entdeckte Lücke erhalten werden.
• „Nulled“-Plugins oder -Themes (kostenpflichtige Versionen, kostenlos von inoffiziellen Websites heruntergeladen), die oft schon eine Hintertür mitbringen.
• Gestohlene Passwörter für cPanel, FTP oder den Administrator der Website, meist durch einen Virus auf dem Computer, von dem aus Sie sich verbinden. Das erklären wir in Infektion von Dateien über einen kompromittierten FTP-Zugang.
• Fehler im eigenen Code, etwa Formulare oder Datei-Uploads ohne Validierung.

Jedes Hosting-Konto ist von den anderen isoliert: Ein Angreifer, der in Ihr Konto eindringt, kann nicht das Konto eines anderen Kunden erreichen. Außerdem haben die Server eine Firewall, Imunify360, das Dateien und Prozesse in Echtzeit analysiert, und Regeln, die Webangriffe filtern. Sie können sich diese Sicherheitsmaßnahmen ansehen, aber keine davon ersetzt eine aktuelle Anwendung.

Welche Folgen es hat

• Alle Websites des Kontos sind betroffen. Wenn Sie mehrere Websites im selben Hosting haben, genügt eine Lücke in einer, damit der Angreifer alle verändern kann: Sie teilen sich Benutzer und Dateien.
• Spamversand. Der Angreifer lädt Skripte hoch, die Massen-E-Mails versenden. Ihre Domain landet auf schwarzen Listen, und Ihre legitimen E-Mails werden abgelehnt.
• Gehostete illegale Inhalte: Phishing-Seiten, die Banken oder Unternehmen nachahmen, oder Dateien mit Viren.
• Fehler auf der Website: leere Seiten, Fehler, seltsame Inhalte oder Umleitungen auf andere Websites (manchmal nur, wenn man über Google oder vom Handy kommt).
• Sperre durch Google. Google erkennt infizierte Websites und markiert sie. Mit Safe Browsing zeigen Chrome, Firefox und Safari allen, die die Seite öffnen wollen, eine rote Warnung „gefährliche Website“.

Wie Sie es beheben

1. Analysieren Sie das Konto

Öffnen Sie in cPanel Imunify360: Sie sehen die Dateien, die als bösartig erkannt wurden, und können sie bereinigen. Details finden Sie in Imunify360. Sie können auch den Virenscanner von cPanel verwenden.

Wenn die Infektion schwer ist oder Sie nicht wissen, wo Sie anfangen sollen, wenden Sie sich an uns: Wir haben Werkzeuge, um Malware, Hintertüren und Code-Injektionen zu erkennen und zu entfernen, und jeder Fall ist anders.

2. Suchen Sie kürzlich geänderte Dateien

Lassen Sie sich im Terminal von cPanel die PHP-Dateien anzeigen, die sich in den letzten 7 Tagen geändert haben:

find ~/public_html -name "*.php" -mtime -7 -ls

Ersetzen Sie -7 durch die Anzahl der Tage seit Beginn des Problems. Achten Sie vor allem auf PHP-Dateien in Bild- oder Upload-Ordnern (bei WordPress sollte wp-content/uploads keine einzige .php-Datei enthalten):

find ~/public_html/wp-content/uploads -name "*.php"

3. Prüfen Sie die Administratoren

Angreifer legen oft einen Administrator an, um wieder hineinzukommen. Bei WordPress listet diese Abfrage in phpMyAdmin (Registerkarte SQL) die Administratoren auf, vom neuesten zum ältesten:

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities'
  AND m.meta_value LIKE '%administrator%'
ORDER BY u.user_registered DESC;

Wenn Ihre Installation ein anderes Präfix verwendet, ändern Sie wp_ an allen drei Stellen. Löschen Sie die, die Sie nicht kennen, unter Benutzer im WordPress-Dashboard.

Prüfen Sie in cPanel auch die Cron-Jobs: Ein Cronjob, den Sie nicht angelegt haben und der eine Datei herunterlädt oder ausführt, ist ein üblicher Weg, die Website erneut zu infizieren. Mehr dazu in Cron-Jobs.

4. Stellen Sie ein Backup wieder her, wenn sich nichts bereinigen lässt

Wenn die Infektion sehr umfangreich ist, ist es am schnellsten und sichersten, ein Backup wiederherzustellen, das vor dem Angriff liegt. Beachten Sie, dass Sie alles verlieren, was danach hinzugekommen ist (Bestellungen, Kommentare, Beiträge). Führen Sie nach der Wiederherstellung trotzdem die Schritte unten aus: Das Backup hat dieselbe Lücke, durch die die Angreifer hereingekommen sind.

Wenn Sie WordPress verwenden, folgen Sie der Anleitung WordPress nach einem Angriff bereinigen.

5. Schließen Sie die Tür

Auch wenn Sie bereinigt oder wiederhergestellt haben, tun Sie immer Folgendes:

1. Aktualisieren Sie die Anwendung, alle Plugins, Themes und Module.
2. Löschen Sie Anwendungen, Plugins und Themes, die Sie nicht verwenden, auch die deaktivierten.
3. Ändern Sie die Passwörter für cPanel, FTP, Datenbank und alle Administratoren der Website in lange, einmalige Passwörter. Für cPanel finden Sie das in Das Passwort für cPanel und FTP ändern.
4. Scannen Sie die Computer, von denen aus Sie auf das Hosting zugreifen, mit einem Virenschutzprogramm.

6. Bitten Sie Google, die Warnung zu entfernen

Wenn Google Ihre Website markiert hat:

1. Melden Sie Ihre Website in der Search Console an, falls noch nicht geschehen: So melden Sie Ihre Domain in der Search Console an.
2. Gehen Sie zu Sicherheit & manuelle Maßnahmen > Sicherheitsprobleme. Dort sehen Sie die betroffenen URLs und die Art des Problems.
3. Wenn alles bereinigt ist, klicken Sie auf Überprüfung anfordern und erklären Sie kurz, was Sie getan haben.

Google braucht für die Prüfung meist einige Tage. Die offizielle Erklärung finden Sie im Bericht zu Sicherheitsproblemen.

Wenn Sie erneut gehackt werden

Dass das Problem nach der Bereinigung wieder auftaucht, ist sehr häufig: Ein Angriff kann in Sekunden Hunderte Dateien verändern und eine versteckte Hintertür hinterlassen, die unbemerkt bleibt. Am besten gehen Sie von einem vollständig sauberen Backup aus, aber wenn der Angriff seit Monaten unentdeckt ist, haben Sie vielleicht keines. In diesem Fall:

• Entfernen Sie alle Plugins, Themes und Administratoren, die nicht unbedingt nötig sind, auch die deaktivierten.
• Entfernen Sie Plugins und Themes, die seit mehr als einem Jahr kein Update von ihrem Entwickler erhalten haben, und suchen Sie gepflegte Alternativen.
• Installieren Sie Plugins und Themes neu aus ihren offiziellen Quellen (bei WordPress wordpress.org oder die Website des Entwicklers).
• Installieren Sie die Anwendung selbst neu, indem Sie ihre Dateien mit den Originalen derselben Version überschreiben. Bei WordPress unter Dashboard > Aktualisierungen mit der Schaltfläche zum erneuten Installieren der aktuellen Version oder mit wp core download --force --skip-content.
• Löschen Sie alle Dateien oder Anwendungen, die Sie nicht brauchen: alte Kopien, Testinstallationen, Ordner old oder backup in public_html.
• Wenn Sie mehrere Websites im selben Konto haben, verteilen Sie sie auf verschiedene Hosting-Tarife, damit eine Lücke in einer nicht die anderen betrifft. Bereinigen Sie die Website, bevor Sie sie verschieben: Wer sie infiziert umzieht, zieht nur das Problem mit um.

Wenn Ihre Website bei einem anderen Anbieter liegt

Wenn die gehackte Website außerhalb von Hostsuar gehostet wird, können wir sie bei der Bestellung eines beliebigen Tarifs kostenlos zu uns holen und bereinigen. Was das umfasst und wie Sie es anfordern, steht unter Rettung gehackter Websites.