Sichern, untersuchen, bereinigen – in dieser Reihenfolge. Wer zuerst aufräumt oder neu installiert, vernichtet die Spuren und weiss danach nicht, wie jemand hereingekommen ist. Genau dann steht man in drei Wochen wieder am selben Punkt.
Woran Sie es merken
Fremde Weiterleitungen auf unbekannte Seiten. Eine Warnung von Google in der Search Console. Beiträge oder Benutzerkonten, die niemand angelegt hat. Eine Meldung des Hosters über auffälligen E-Mail-Versand. Plötzlich sehr langsame Ladezeiten.
Oft fällt es erst auf, wenn eine Kundin anruft. Bis dahin läuft der Schaden schon Wochen.
Die ersten Stunden
- Vollständige Sicherung von Dateien und Datenbank anlegen, im aktuellen, kompromittierten Zustand. Diese Sicherung nicht überschreiben.
- Die Zugriffs- und Fehlerprotokolle des Servers herunterladen, den ganzen verfügbaren Zeitraum. Viele Hoster löschen sie nach wenigen Tagen, und danach lässt sich der Einstiegsweg nicht mehr belegen.
- Seite offline nehmen oder eine Wartungsseite vorschalten, damit keine Besucher gefährdet werden.
- Alle Passwörter ändern: WordPress-Benutzer, nicht nur Administratoren, dazu FTP und SSH, Datenbank, Hosting-Panel und die E-Mail-Konten, über die sich Passwörter zurücksetzen lassen.
- Danach die acht Schlüssel und Salts in der
wp-config.phpneu setzen. Das beendet alle offenen Sitzungen. Ohne diesen Schritt bleibt eingeloggt, wer bereits eingeloggt war, denn WordPress signiert das Anmelde-Cookie über diese Schlüssel und nicht über das Passwort. - Anwendungspasswörter und API-Schlüssel einzeln widerrufen. Sie liegen getrennt in der Datenbank und überstehen sowohl den Passwortwechsel als auch die neuen Salts.
- Erst danach mit der Untersuchung beginnen.
Was untersucht gehört
Veränderte und neu hinzugekommene Dateien, versteckte Hintertüren in Themes und Plugins, zusätzliche Datenbanknutzer, fremde Cron-Einträge, unbekannte Administratorkonten und die Zugriffsprotokolle des Servers.
Fast immer findet sich der Weg hinein. Ein veraltetes Plugin, ein schwaches Passwort, oder ein Zugang, den jemand vor Jahren angelegt und nie wieder angesehen hat.
Warum Bereinigen allein nicht reicht
Wenn Sie nur die Schaddateien entfernen, besteht der Einstiegsweg weiter. Nach der Beweissicherung ersetzen Sie WordPress selbst sowie alle Themes und Plugins aus den Originalquellen, statt einzelne Dateien zu säubern. Einzeln geprüft werden nur die Uploads, die Datenbank und selbst geschriebener Code, weil sich dort nichts überschreiben lässt. Wer stattdessen Schaddateien sucht, übersieht regelmässig eine.
Wie Sie es künftig verhindern
Aktualisierungen zeitnah einspielen. Unbenutzte Plugins löschen statt deaktivieren, denn auch inaktive Plugins sind angreifbar. Starke Passwörter mit zweitem Faktor. Regelmässige, geprüfte Sicherungen, die nicht auf demselben Server liegen.
Wenn mehrere Seiten auf demselben Hosting liegen
Liegen weitere Websites im selben Hosting-Konto, gelten sie ab sofort ebenfalls als betroffen. Zwischen Verzeichnissen desselben Kontos gibt es meist keine Trennung, und eine bereinigte Seite wird von der Nachbarseite innert Stunden wieder infiziert. Prüfen Sie alle Installationen im Konto, oder bereinigen Sie keine.
Informieren Sie ausserdem den Hoster. Er sieht Zugriffe und Serverprozesse, die Sie nicht sehen, und bei Spamversand über Ihr Konto muss er ohnehin eingreifen, bevor die Server-Adresse auf Sperrlisten landet.
Welche Daten überhaupt betroffen sein können
Die meisten Praxisseiten speichern mehr Personendaten, als ihre Betreiber vermuten. Kontaktformulare legen Nachrichten oft zusätzlich in der Datenbank ab, auch wenn sie gleichzeitig eine Mail auslösen. Dort stehen dann Namen, Telefonnummern und die Schilderung eines Anliegens. Bei einer Psychotherapie- oder Arztpraxis sind das besonders schützenswerte Personendaten.
Klären Sie deshalb früh, welche Tabellen der Datenbank Einsendungen, Terminanfragen, Newsletter-Adressen oder Kursanmeldungen enthalten und ob der Angreifer Zugriff darauf hatte. Von dieser Antwort hängt ab, ob eine Meldepflicht besteht.
Häufige Fragen
Kann ich einfach die alte Sicherung zurückspielen?
Nur wenn Sie sicher wissen, dass sie älter ist als der Einbruch. Andernfalls spielen Sie die Hintertür gleich mit zurück.
Muss ich die Datenschutzbehörde informieren?
Nach Art. 24 des revidierten DSG melden Sie eine Verletzung der Datensicherheit dem EDÖB, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Anders als die DSGVO nennt das DSG keine Frist von 72 Stunden, sondern verlangt die Meldung «so rasch als möglich». Bei Gesundheitsdaten ist die Schwelle schnell erreicht. Die betroffenen Personen informieren Sie zusätzlich, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Diese Beurteilung gehört an den Anfang, nicht ans Ende.
Wie lange dauert eine Aufarbeitung?
Bei einer überschaubaren Installation ein bis zwei Tage. Bei einer gewachsenen Seite mit vielen Plugins deutlich länger, weil jeder Fund weitere Prüfungen auslöst.
Reicht ein Sicherheits-Plugin?
Als Überwachung ja, als Schutz nein. Ein Plugin, das nach dem Einbruch installiert wird, findet die bereits vorhandene Hintertür meist nicht.
Wir unterstehen dem Berufsgeheimnis. Ändert das etwas?
Ja. Das Berufsgeheimnis nach Art. 321 StGB läuft neben dem Datenschutzrecht und wird davon nicht abgelöst. Wer bei der Aufarbeitung Zugriff auf Ihre Datenbank erhält, wird zur Hilfsperson und muss entsprechend eingebunden sein. Klären Sie das, bevor Sie einem Dienstleister Zugänge geben, nicht danach.
Google zeigt eine Warnung. Wie werde ich sie los?
Erst bereinigen und härten, dann in der Search Console unter «Sicherheitsprobleme» eine Überprüfung beantragen. Kontrollieren Sie dabei die Liste der bestätigten Inhaber: Angreifer tragen sich dort gern selbst ein, um nach der Bereinigung weiter Zugriff zu behalten. Entfernen Sie alles, was Sie nicht kennen.