Ich habe einen Einbruch in eine WordPress-Installation aufgearbeitet: Hintertüren gesucht, Datenbanknutzer und Cron-Einträge geprüft, veränderte Dateien nachverfolgt und danach eine wöchentliche Überwachung eingerichtet, die meldet, wenn sich am Dateibestand etwas ändert. Wenn es Sie trifft, melden Sie sich früh.
Was zuerst passiert
Nicht löschen, nicht überschreiben, nicht in Panik neu installieren. Ein Einbruch hinterlässt Spuren, und die braucht man, um zu verstehen, wie jemand hereingekommen ist. Wer zuerst aufräumt und dann fragt, macht denselben Fehler zweimal.
Die Reihenfolge lautet: sichern, untersuchen, bereinigen. In dieser und in keiner anderen.
Was untersucht wird
Veränderte und neu hinzugekommene Dateien, versteckte Hintertüren in Themes und Plugins, zusätzliche Datenbanknutzer, fremde Cron-Einträge, angelegte Administratorkonten und die Zugriffsprotokolle des Servers.
Fast immer findet sich der Weg hinein. Ein veraltetes Plugin, ein schwaches Passwort, oder ein Zugang, den jemand vor Jahren angelegt und danach nie wieder angesehen hat.
Selten ist es raffiniert.
Was danach anders ist
Bereinigen allein reicht nicht, denn der Weg hinein besteht weiter. Nach der Bereinigung wird gehärtet, und danach läuft eine Überwachung, die den Dateibestand wöchentlich vergleicht und meldet, wenn sich etwas ändert, das sich nicht ändern sollte.
Was Sie bekommen
- Sicherung des Ist-Zustands, bevor irgendetwas verändert wird
- Suche nach Hintertüren, fremden Konten und Cron-Einträgen
- Bereinigung und Schliessen des Einstiegswegs
- Härtung der Installation
- Wöchentliche Überwachung des Dateibestands mit Benachrichtigung
Die Reihenfolge entscheidet
Sichern, untersuchen, bereinigen, härten. Wer diese Reihenfolge umdreht und zuerst aufräumt, vernichtet die Spuren, die erklären würden, wie jemand hereingekommen ist — und macht denselben Fehler in drei Monaten ein zweites Mal.
Gesichert wird zuerst der Zustand, wie er ist, samt Schadcode. Diese Sicherung ist kein Wiederherstellungspunkt, sondern Beweismaterial. Erst danach beginnt die Untersuchung: Zugriffsprotokolle, veränderte Dateien, angelegte Benutzer, Cron-Einträge, Datenbanknutzer.
Bereinigt wird durch Ersetzen, nicht durch Säubern. Kern, Themes und Plugins kommen frisch aus der Quelle; übernommen werden nur Inhalte und Konfiguration, und die geprüft. Eine gesäuberte Datei, in der man eine Hintertür übersehen hat, sieht genauso aus wie eine saubere.
Was in der Untersuchung geprüft wird
- Zugriffsprotokolle des Servers, rückwärts ab dem ersten auffälligen Zeitpunkt
- Dateien mit Änderungsdatum ausserhalb der eigenen Arbeitszeiten
- Zusätzlich angelegte Administratoren und Datenbanknutzer
- Cron-Einträge, die nichts mit der Seite zu tun haben
- Schreibrechte, die weiter reichen als nötig
- Alle Zugänge, die im fraglichen Zeitraum gültig waren
Die Zugriffsprotokolle sind dabei das Wichtigste und gleichzeitig das Vergänglichste: Viele Anbieter halten sie nur wenige Tage vor. Wer nach einem Verdacht drei Wochen wartet, untersucht ohne Grundlage. Der erste Anruf sollte deshalb dem Hoster gelten, mit der Bitte, die Protokolle des fraglichen Zeitraums zu sichern.
Härtung und laufende Überwachung
Nach der Bereinigung werden alle Zugänge neu gesetzt — auch die, die unverdächtig wirken. Dazu gehören die Sicherheitsschlüssel in der Konfiguration: Werden sie nicht getauscht, bleiben bestehende Anmeldungen gültig, und wer eine hatte, ist wieder drin. Anwendungspasswörter, die jemand angelegt hat, werden einzeln widerrufen.
Danach eine Überwachung, die den Dateibestand regelmässig mit dem Sollzustand vergleicht und meldet, wenn sich etwas ändert, das sich nicht ändern sollte. Das ist billiger als jede Wiederherstellung und der einzige Weg, den zweiten Vorfall früher zu bemerken als den ersten.
Sind Personendaten betroffen, greift die Meldepflicht nach Art. 24 DSG: Vorfälle mit hohem Risiko für die betroffenen Personen sind dem EDÖB so rasch als möglich zu melden. Bei einer Praxis oder einem Institut im Gesundheitsbereich ist diese Schwelle schneller erreicht als anderswo. Diese Frage gehört am ersten Tag beantwortet, nicht am letzten.
Woran Sie einen Einbruch bemerken
Selten daran, dass die Seite kaputt ist. Wer eine WordPress-Installation übernimmt, hat meist kein Interesse daran, dass es auffällt — er will Spam versenden, fremde Inhalte unterschieben oder Besucher weiterleiten, und zwar möglichst lange.
Typische Anzeichen: Google meldet im Unternehmensprofil oder in der Search Console Seiten, die Sie nie angelegt haben. Mails aus Ihrer Domain kommen als unzustellbar zurück, obwohl Sie nichts verschickt haben. Die Seite ist plötzlich langsam. Oder Besucher berichten von einer Weiterleitung, die Sie selbst nie sehen — weil sie nur bei Aufrufen aus der Suche und nur beim ersten Mal greift.
Bei einem Verdacht zählt die Reihenfolge mehr als die Geschwindigkeit. Nicht sofort aufräumen, nicht das Theme neu installieren, nichts löschen. Zuerst den Hoster bitten, die Zugriffsprotokolle des fraglichen Zeitraums zu sichern — viele halten sie nur wenige Tage vor, und ohne sie untersucht man im Dunkeln.
Die vollständige Reihenfolge nach einem Einbruch, samt der Frage, welche Spuren zuerst verschwinden, steht im Beitrag WordPress gehackt: was jetzt zu tun ist.
Häufige Fragen
Wie merke ich, dass meine Seite betroffen ist?
Typische Zeichen: fremde Weiterleitungen, Warnungen von Google, plötzlich langsame Ladezeiten, Beiträge, die niemand geschrieben hat, oder Meldungen Ihres Hosters über auffälligen Versand.
Wie schnell können Sie anfangen?
In der Regel am selben oder am nächsten Tag. Bei einem laufenden Vorfall zählt jede Stunde, in der die Seite weiter Schaden anrichtet.
Muss die Seite offline gehen?
Meistens ja, für die Dauer der Bereinigung. Eine Wartungsseite ist besser als eine Seite, die Besucher gefährdet oder aus dem Google-Index fliegt.
Wie verhindere ich das künftig?
Aktualisierungen zeitnah einspielen, unbenutzte Plugins löschen statt deaktivieren, starke Passwörter mit zweitem Faktor, und eine Überwachung, die Veränderungen meldet.
Reicht es nicht, eine Sicherung von vorher zurückzuspielen?
Nur, wenn Sie wissen, wann der Einbruch stattfand — und das wissen Sie erst nach der Untersuchung. Wer eine Sicherung von letzter Woche einspielt und die Lücke nicht kennt, hat in drei Tagen dasselbe Problem, diesmal ohne Spuren.
Wie lange dauert die Aufarbeitung?
Die Untersuchung ein bis zwei Tage, wenn die Zugriffsprotokolle noch vorhanden sind. Bereinigung und Härtung noch einmal so lange. Der Zeitfresser ist fast immer die Suche nach dem Weg hinein, nicht das Aufräumen.