Ablauf einer Intervention: Audit, Bereinigung und Wartung für gehackten PrestaShop‑Shop

Zweck und Umfang

Dieser Artikel beschreibt genau den Ablauf einer Securantis‑Intervention an einem kompromittierten PrestaShop‑Shop: Diagnose, gezielte Sicherungen, Suche nach dem Einstiegspunkt, kontrollierte Bereinigung (Dateien, Module, Theme, overrides), Überprüfungen von Mitarbeitern und Bestellungen, Härtung und Abschlussbericht. Ziel der Intervention ist die Wiederherstellung eines sicheren und dokumentierten Zustands; jede zerstörerische Maßnahme (dauerhaftes Löschen, Wiederherstellung aus Backups) erfordert eine ausdrückliche menschliche Entscheidung.

Voraussetzungen vor der Intervention

1. Back‑Office‑Zugang zu PrestaShop (Administratorprofil) und Kontaktdaten der entscheidungsberechtigten Person.
2. FTP/SFTP‑Zugang oder Zugriff auf den Dateimanager des Hostings (oder Panel‑Zugang wie Plesk/cPanel falls nötig).
3. Vorhandene Backups: Angabe, ob ein aktuelles Backup verfügbar ist (Datenbank und Dateien).
4. Bei kostenpflichtiger Intervention: Bestätigung und sichere Übermittlung der Zugänge über den Kundenbereich nach Zahlung (wir verlangen niemals Passwörter per E‑Mail oder Chat).
5. Vorübergehende Sperrung der Live‑Site möglich je nach Risiko (Wartungsmodus oder Zugriffsbeschränkung); planen Sie ein Zeitfenster mit möglicher Unterbrechung ein.

Detaillierte Schritte der Intervention (typische Reihenfolge)

1. Erstdiagnose und gezielte Sicherung

• Anfangszustand: Erfassung der Informationen (PrestaShop‑Version, PHP‑Version, aktive Module, SSL‑Status, zuletzt bekannte Änderungen).
• Gezielte Sicherung: Export der Datenbank (oder partielle Kopie bei sehr großen DBs) und Kopie der sensiblen Verzeichnisse (modules, theme, overrides). Ziel ist der Erhalt von Bestellungen, Kunden und Katalog vor jeder Änderung.

2. Analyse der Symptome und Identifikation kompromittierter Bereiche

• Frontend‑Kontrolle: Suche nach Weiterleitungen, in Seiten injizierten Skripten, Spam in Produktseiten oder Inhalten.
• Module prüfen: Erkennung unbekannter Extensions, neu hinzugefügter Dateien in bekannten Modulen, veraltete oder verwundbare Module.
• Theme und JavaScript: Analyse der Templates und eingebundenen externen Skripte im Frontend.
• Overrides: Untersuchung von Class‑ und Controller‑Überladungen, die das Verhalten des Shops verändern können.
• Mitarbeiterkonten: Überprüfung der Back‑Office‑Konten (Administratoren, Login‑Historie, kürzliche IPs).
• Zahlungen & Webhooks: Kontrolle sensibler Zahlungs‑Module und der Konfiguration von Webhooks bzw. Benachrichtigungen.

3. Suche nach dem Einstiegspunkt

• Priorisierung: Ermittlung des wahrscheinlichsten Vektors (verwundbares Modul, kompromittiertes Theme, betrügerischer Mitarbeiter, kompromittierter FTP‑ oder Panel‑Zugang, nicht offizielle Extension).
• Beweissammlung: Erfassung von Indizien (kürzlich hinzugefügte Dateien, Spuren manipulierten Bestellverlaufs, Timestamps, Zugriffslogs). Diese Elemente werden im Bericht dokumentiert.

4. Kontrollierte Bereinigung

• Quarantäne: Isolierung verdächtiger Dateien und Quarantäne. Securantis löscht nicht automatisch: jedes quarantänisierte Element wird zur Entscheidung aufgelistet.
• Wiederherstellbares Entfernen: Entfernung identifizierter Backdoors und schädlicher Skripte, Ersetzung oder Reparatur korrupter Dateien wenn möglich.
• Module und Theme: Temporäre Deaktivierung kompromittierter Module; Vorschlag zur Aktualisierung oder zum Austausch gegen eine saubere, kompatible Version.
• Overrides: Wiederherstellung oder Neutralisierung gefährlicher Überladungen, wobei die Erhaltung des Katalogs und der Bestellungen Priorität hat.

5. Fachliche Prüfungen (Bestellungen & Zahlungen)

• Integrität der Bestellungen: Prüfung auf verdächtige Änderungen (Adressen, Beträge, Stati).
• Zahlungen: Kontrolle der Zahlungsintegrationslogs und Webhooks, um sicherzustellen, dass kein Redirector oder Datenabfluss installiert wurde.
• Kundenbenachrichtigungen: Überprüfung automatischer E‑Mail‑Versendungen, falls betrügerische Kampagnen entdeckt wurden.

6. Härtung und präventive Maßnahmen

• Updates: Einspielen kompatibler Updates für PrestaShop und sichere Module.
• Zugänge: Rotation der Passwörter für Administratoren, FTP, Datenbanken und bei Bedarf API‑Schlüssel (Übermittlung der Zugangsdaten über den sicheren Kundenbereich nach kommerzieller Bestätigung).
• Schutz: Empfehlung, verfügbare Securantis‑Schutzmaßnahmen zu aktivieren (WAF, 2FA auf Admin‑Konten, reCAPTCHA für sensitive Formulare, manuelle Quarantäne).
• Cron & Tokens: Überprüfung und Neugenerierung automatisierter Tokens bei Kompromittierung.

7. Abschlusstests und Bericht

• Bestellablauf: Durchgehender Kauftest vom Warenkorb bis zur Bestätigung, um das Fehlen von Weiterleitungen oder Injektionen sicherzustellen.
• Back‑Office‑Tests: Anmeldung, Produktbearbeitung, Erstellung von Bestellungen, Versand von E‑Mails.
• Detaillierter Bericht: Zusammenfassung der Maßnahmen, gesammelten Beweise, quarantänisierten Dateien, Empfehlungen und Härtungsplan. Der Bericht listet auch Elemente auf, die eine manuelle Entscheidung erfordern (Wiederherstellungen, endgültige Löschungen).

Erwartetes Ergebnis

• Funktionaler Shop ohne sichtbare Weiterleitungen oder schädliche Skripte.
• Module und Theme überprüft oder durch saubere, kompatible Versionen ersetzt.
• Legitimität der Mitarbeiterkonten bestätigt; kompromittierte Zugänge widerrufen.
• Umfassender Bericht mit wahrscheinlicher Ursache, durchgeführten Maßnahmen und operativen Empfehlungen.

Vorsichtige Einstellungen und menschliche Entscheidungen

• Jede endgültige Löschung einer Datei oder Wiederherstellung aus einem Backup unterliegt einer Freigabe.
• Vorübergehende Abschaltung kann bei hohem Risiko vorgeschlagen werden; die Entscheidung liegt beim Verantwortlichen der Site.
• Wir bevorzugen nicht‑destruktive Korrekturen, um betriebliche Auswirkungen zu minimieren.

Häufige Fehler und kritische Punkte

• Overrides ignorieren: Überladungen können Backdoors verbergen. Überprüfen Sie overrides systematisch.
• Ohne Tests updaten: Ungetestete Updates von Modulen oder Core können Anpassungen zerstören. Nach Möglichkeit immer in einer Pre‑Production testen.
• Keine Zugangssperrung: Belassene kompromittierte Konten/FTP‑Zugänge ohne Rotation ermöglichen sofortige Rückfälle.

Schnelle Fehlerbehebung (wenn das Problem fortbesteht)

• Bei persistierenden Weiterleitungen: Prüfen Sie Serverregeln (htaccess/nginx) und CDN/Edge‑Cache.
• Bei blockiertem Back‑Office: Sessions von Administratoren widerrufen und Passwortzurücksetzungen über sichere Kanäle erzwingen.
• Bei manipulierten Bestellungen: Nach Validierung die gezielte DB‑Kopie wiederherstellen und mit dem initialen Dump vergleichen, um bösartige Änderungen zu isolieren.

Rechtliche und operative Vorsichtsmaßnahmen

• Wir verlangen niemals das Senden von Passwörtern per E‑Mail. Übermitteln Sie Zugänge ausschließlich über den sicheren Kundenbereich nach kommerzieller Zustimmung.
• Wenn sensibles Kundendaten kompromittiert scheint, befolgen Sie Ihre lokalen gesetzlichen Pflichten (Meldung an CNIL/GDPR falls zutreffend) und bewahren Sie die Eingriffslogs auf.

Wann Sie den Securantis‑Support kontaktieren sollten

• Vor der Intervention, wenn Sie Zugangsbeschränkungen oder spezifische Wartungsfenster haben.
• Sofort, wenn Sie nach der Intervention neue Injektionen feststellen.
• Für jede Entscheidung bezüglich endgültiger Löschungen oder Wiederherstellungen aus Backups: Kontaktieren Sie den Support, um die Maßnahme zu planen und zu dokumentieren.

Nützliche ergänzende Angaben zum Start

• PrestaShop‑Version (1.7.x, 8.x, 9.x).
• Liste der installierten Zahlungs‑ und Drittanbieter‑Module.
• Verfügbarkeit eines aktuellen vollständigen Backups und mögliches Wartungsfenster.

Fazit

Die Securantis‑Intervention an PrestaShop folgt einem methodischen Ablauf: Diagnose, Sicherung, Quarantäne, kontrollierte Bereinigung, fachliche Prüfungen und Härtung. Wir priorisieren operative Sicherheit und den Schutz der Geschäftsdaten. Jede destruktive Maßnahme bedarf einer menschlichen Entscheidung und wird im Abschlussbericht dokumentiert. Um eine Intervention zu starten oder ein Angebot zu erhalten, kontaktieren Sie den Support über den Kundenbereich.