Anzeichen dafür, dass eine Website gehackt wurde und erste Maßnahmen ohne Beweismittel zu zerstören

Zweck des Artikels

Dieser Leitfaden hilft Ihnen, die typischen Anzeichen einer Kompromittierung bei WordPress, WooCommerce oder PrestaShop zu erkennen und sichere Sofortmaßnahmen durchzuführen. Ziel ist es, den Zugriff des Angreifers einzuschränken, Beweise für eine spätere Analyse zu bewahren und eine saubere Wiederherstellung vorzubereiten, ohne irreversible Aktionen automatisch auszuführen.

Für wen ist dieser Artikel

• Technische Administratoren oder Website-Verantwortliche.
• Personen mit FTP/SFTP-Zugriff, Hosting‑Controlpanel und CMS‑Administrationszugang.
• Geeignet für Websites mit WordPress, WooCommerce (WordPress‑Plugin) und PrestaShop 1.7–9.

Voraussetzungen

• Zugriff auf ein CMS‑Administratorkonto (Passwort niemals per E‑Mail oder Chat teilen).
• FTP/SFTP‑Zugang oder Dateimanager des Hosters.
• Zugriff auf das Hosting‑Panel (cPanel, Plesk, etc.), falls vorhanden.
• Bekannte und überprüfbare aktuelle Sicherung (wenn möglich, nicht sofort wiederherstellen).
• Aktivierte Securantis‑Lizenz oder Möglichkeit, das Plugin/Modul zu aktivieren, um einen Scan zu starten.

Anzeichen einer Infektion (plattformunabhängig)

1. Sichtbares Verhalten für Besucher

• Seiten werden auf nicht verwandte Inhalte umgeleitet (externe Weiterleitungen).
• Hinzugefügte Inhalte: aggressive Werbung, unbekannte Formulare, Dritt‑iframes.
• Weiße Seiten oder 500‑Fehler auf öffentlichen Seiten.

2. Aktivität im Administrationsbereich

• Unbekannte Administratoren‑Konten oder Änderungen an Rollen.
• Ungewöhnliche Login‑Fehler oder massenhafte Nutzung der Passwort‑Zurücksetzungsfunktion.
• Erscheinung von Erweiterungen/Modulen/Themes, die nicht installiert wurden.

3. Technische Indikatoren

• Kürzlich geänderte Dateien (insbesondere PHP‑Dateien), die Sie nicht verändert haben.
• Neue PHP‑Dateien in Medien‑ oder Upload‑Ordnern.
• Verdächtige Cron‑Jobs, unbekannte serverseitig ausgeführte Skripte.
• Massiver E‑Mail‑Versand von der Domain.

4. Anzeichen auf Server‑ und Netzebene

• Plötzlich erhöhte CPU‑, Speicher‑ oder I/O‑Auslastung.
• Ausgehender Traffic zu unbekannten IPs oder ungewöhnliche Verbindungen.
• Portscans oder wiederholte Versuche gegen wp‑login / Backoffice.

Sofortmaßnahmen (ohne Beweise zu zerstören)

Wichtig: Führen Sie keine automatische Löschung aus und überschreiben Sie keine verdächtigen Dateien, bevor Sie Beweise gesammelt haben.

Schritt 1 — Isolieren, aber nicht löschen

1. Versetzen Sie die Website nach Möglichkeit in den Wartungsmodus (statische Seite), um die öffentliche Auswirkung zu begrenzen.
2. Falls der WAF (Firewall) aktiviert ist, erhöhen Sie die Sensitivität, um missbräuchliche Anfragen zu blockieren, protokollieren Sie jedoch die Logs.
3. Löschen Sie keine verdächtigen Dateien: setzen Sie sie stattdessen logisch unter Quarantäne oder markieren Sie sie zur Überprüfung.

Schritt 2 — Beweissammlung

1. Sofortige vollständige Sicherung: Datenbank + Dateien (laden Sie wenn möglich eine Kopie vom Server herunter).
2. Exportieren Sie Web‑Logs (access.log, error.log) und E‑Mail‑Logs, falls vorhanden.
3. Notieren Sie IP‑Adressen, die verdächtige Aktionen ausgeführt haben, und erfassen Sie Zeitstempel.
4. Wenn Sie einen Scanner haben (Securantis), führen Sie einen vollständigen Scan aus: dieser identifiziert veränderte Dateien, PHP in uploads, Integrität des Kerns und WooCommerce‑Anomalien. Securantis protokolliert ebenfalls Ereignisse und bietet eine kontrollierte Quarantäne — Quarantäne löscht nichts automatisch: es ist eine Aktion, die Sie bestätigen.

Schritt 3 — Zugriffe sperren

1. Ändern Sie alle administrativen Passwörter von einer sauberen Maschine aus (CMS‑Administrator, FTP/SFTP‑Konten, Datenbank, Hosting‑Panel). Versenden Sie diese Passwörter niemals per E‑Mail oder Chat.
2. Widerrufen Sie alle aktiven Sessions im CMS‑Interface, wenn möglich.
3. Beschränken Sie den Zugriff per IP auf den Administrationsbereich, sofern Ihr Hoster das erlaubt.
4. Aktivieren oder verstärken Sie die 2FA für alle Administrator‑Konten.

Schritt 4 — Persistenz verhindern

1. Deaktivieren Sie unbekannte Administrator‑Konten, behalten Sie jedoch die Informationen (nicht sofort löschen).
2. Deaktivieren Sie für die Analyse nicht‑essentielle Plugins/Module und dokumentieren Sie jede Änderung.
3. Suchen und dokumentieren Sie unbekannte Cron‑Jobs und Start‑Skripte.

Erwartetes Ergebnis nach diesen Maßnahmen

• Die Website ist in ihrer öffentlichen Exposition eingeschränkt.
• Sie verfügen über eine Sicherung und die notwendigen Logs für eine Analyse.
• Die initialen Zugänge des Angreifers sind vorläufig gesperrt.
• Verdächtige Dateien sind isoliert, ohne zerstört worden zu sein.

Vorsichtige Einstellungen

• Aktivieren Sie keine automatische Löschung im Scanner: bevorzugen Sie manuelle Quarantäne.
• Prüfen Sie bei der Wiederherstellung aus einer Sicherung die Versionen von CMS, Erweiterungen und Themes (stellen Sie keine verwundbare Sicherung ohne Update wieder her).
• Bewahren Sie die Original‑Logs mindestens 30 Tage zur Analyse auf.

Häufige Fehler, die es zu vermeiden gilt

• Löschen ohne Sicherung: vernichtet einen wichtigen Analysepunkt.
• Eine alte Sicherung wiederherstellen, ohne die Ursache zu beheben: der Angreifer kann dieselbe Schwachstelle erneut ausnutzen.
• Passwörter per E‑Mail/Chat teilen oder einem Dienstleister ohne Vertrag unsicheren Zugang gewähren.

Typische Fehlersuche

• Securantis‑Scan meldet viele Dateien als „Verdacht auf PHP in uploads“: löschen Sie diese nicht automatisch; laden Sie die Dateien herunter und analysieren Sie Header und Datum, quarantänisieren Sie und fordern Sie eine manuelle Analyse an, wenn Sie unsicher sind.
• 500‑Fehler nach Deaktivierung eines Plugins: reaktivieren Sie Plugins einzeln und prüfen Sie die PHP‑Logs.
• Massenversand von E‑Mails von Ihrer Domain: ändern Sie das SMTP‑/Sende‑Konto Passwort, stoppen Sie den Versand und analysieren Sie Skripte, die die Versandfunktion aufrufen.

Rechtliche und operative Vorsichtsmaßnahmen

• Dokumentieren Sie jede Änderung am Serverzustand (wer hat was wann gemacht).
• Löschen Sie keine Logs, bevor Sie eine Kopie angefertigt haben.
• Wenn Kundendaten exponiert gewesen sein könnten, prüfen Sie die lokalen rechtlichen Verpflichtungen (Benachrichtigung Betroffener, zuständige Behörden).

Wann Sie den Securantis‑Support kontaktieren sollten

Kontaktieren Sie den Support, wenn:

• Sie einen Infektionsfall haben und eine tiefgehende Analyse mit einem Kompromittierungsbericht wünschen.
• Der Scanner kritische Dateien identifiziert, Sie aber unsicher sind, ob Löschung/Wiederherstellung sicher ist.
• Sie eine Persistenz (Backdoor) vermuten, die Herkunft aber nicht finden.
• Sie eine unterstützte Intervention benötigen (Zugänge für eine kostenpflichtige Intervention müssen nach Zahlung über den sicheren Kundenbereich bereitgestellt werden).

Informationen, die Sie dem Support bereitstellen sollten (ohne Passwörter zu senden)

• Beschreibung der beobachteten Anzeichen und Datum/Uhrzeit.
• Kopien der Web‑ und Sicherheits‑Logs (falls möglich komprimiert).
• Ergebnisse des Securantis‑Scans und Liste der in Quarantäne befindlichen Dateien.
• Verfügbare Sicherungen (Datum und Typ).

Fazit und bewährte Vorgehensweisen nach der Bereinigung

• Wenden Sie unmittelbar Updates für CMS, Themes und Erweiterungen an.
• Stärken Sie die Authentifizierung (2FA) und schränken Sie Zugänge per IP ein, wenn möglich.
• Implementieren Sie kontinuierliche Überwachung (regelmäßiger Scanner, aktivierter WAF, Alerts).
• Planen Sie Test‑Wiederherstellungen und behalten Sie eine Offsite‑Backup‑Strategie.

Wenn Sie Hilfe bei der Analyse eines Securantis‑Scans, der Vorbereitung der Unterlagen für eine Intervention oder der Planung einer sicheren Wiederherstellung benötigen, kontaktieren Sie unseren Support über den sicheren Kundenbereich.