Warum werden kleine Websites gehackt?

Kann Ihre Website gehackt werden? Sehr wahrscheinlich wird sie zumindest gescannt, denn Angreifer nutzen automatische Werkzeuge, die riesige Mengen an Websites auf bekannte Schwachstellen prüfen, unabhängig von der Größe. Ob daraus ein Einbruch wird, hängt von Ihrer Website selbst ab: veraltete Plugins, mehrfach genutzte Passwörter und ungenutzte Konten. Das Gute daran: Die meisten dieser Risikofaktoren können Sie selbst beeinflussen.

Warum sollte jemand eine kleine Website hacken?

Weil Angreifer sich meist gar kein bestimmtes Ziel aussuchen. Sie setzen Software ein, die Tausende Adressen auf dieselbe bekannte Lücke testet. Ihre Website ist einfach eine dieser Adressen. Eine gehackte kleine Seite ist trotzdem nützlich: Sie kann Spam-Seiten hosten, Werbemüll per E-Mail verschicken, Besucher auf Betrugsseiten umleiten oder als Sprungbrett für weitere Angriffe dienen.

Stellen Sie sich einen Dieb vor, der auf einem langen Parkplatz an Autotüren zieht. Er hat es nicht auf Ihr Auto abgesehen. Ihn interessiert, welches offen ist.

Auch Ihr Ruf steht auf dem Spiel. Eine Seite, die Spam verschickt oder Schadsoftware ausliefert, landet auf Sperrlisten, und Ihre normalen E-Mails kommen womöglich nur noch im Spam-Ordner an. Das aufzuräumen dauert länger als der Einbruch selbst.

Deshalb greift „Bei uns gibt es nichts zu holen“ zu kurz. Angreifer wollen Ihren Server, den guten Namen Ihrer Domain und das Vertrauen Ihrer Besucher, und alles bekommen sie über ein einziges nicht aktualisiertes Plugin. Ein Onlineshop speichert zudem Kundendaten. Gelangen sie nach außen, kommen Datenschutzpflichten hinzu. Das ist keine Rechtsberatung: Klären Sie sie mit einer Fachperson für Datenschutz oder einer Anwältin beziehungsweise einem Anwalt.

Wie dringen Angreifer tatsächlich in kleine Websites ein?

Echte Einbrüche sind selten raffiniert. Vier Wege erklären die meisten.

• Automatisches Scannen nach bekannten Lücken. Wird eine Schwachstelle in einem Plugin oder Theme öffentlich, beginnen Bots binnen Stunden oder Tagen, danach zu suchen. Wer nicht aktualisiert hat, wird erwischt.
• Credential Stuffing. Passwörter, die bei einem Dienst abgeflossen sind, werden bei Tausenden anderen ausprobiert. Nutzen Sie dasselbe Passwort für Ihren Shop-Login und ein altes Forum, kann ein Bot einfach hereinspazieren.
• Brute-Force-Raten. Bots probieren laufend gängige Passwörter an Login-Seiten. Schwache Passwörter fallen, lange und nur einmal verwendete nicht.
• Übernommene Konten. Phishing, ein infizierter Laptop oder das gehackte Postfach eines ehemaligen externen Dienstleisters geben Zugang, ohne dass die Website selbst geknackt werden muss.

Veraltete Software steckt hinter einem großen Teil der Fälle. Mehr dazu lesen Sie in Veraltete Plugins und PHP: Risiken und sichere Updates. Phishing hat einen eigenen Beitrag: Phishing erkennen: So schützen Sie Ihre Website.

Wie angreifbar ist Ihre Website? Ein Selbsttest

Gehen Sie die Tabelle ehrlich durch. Jede Zeile ist ein häufiger Risikofaktor mit der Maßnahme, die ihn senkt. Erkennen Sie sich in der mittleren Spalte wieder, beginnen Sie genau dort.

Je mehr Zeilen auf Sie zutreffen, desto wahrscheinlicher wird aus einem Scan ein Einbruch. Schon eine Zeile, etwa ein altes Admin-Konto, kann genügen.

An welchen Anzeichen erkennen Sie eine bereits gehackte Website?

Viele gehackte Seiten sehen für die Inhaber normal aus. Deshalb lohnt der Blick von außen. Warnzeichen sind Weiterleitungen auf fremde Seiten, wenn Besucher über Google kommen, eine Browserwarnung, neue Admin-Benutzer, die Sie nicht angelegt haben, unbekannte Dateien in Ihrem Konto beim Hoster oder plötzlich viele zurückgewiesene E-Mails.

Kommt Ihnen etwas davon bekannt vor, warten Sie nicht. Lesen Sie Website gehackt? Die ersten 60 Minuten. Brauchen Sie Hilfe, sehen Sie hier, wie wir mit einer gehackten Website umgehen.

Wie sieht eine schnelle Selbsteinschätzung aus?

Nehmen Sie sich fünfzehn Minuten und haken Sie ab, was Sie heute bestätigen können. Seien Sie streng: Wenn Sie unsicher sind, setzen Sie keinen Haken.

• CMS, Plugins und Theme wurden im letzten Monat aktualisiert.
• Ich habe Plugins und Themes gelöscht, die ich nicht nutze.
• Jede Person mit Zugang hat ein eigenes Konto.
• Hosting, E-Mail und CMS-Admin sind mit 2FA gesichert.
• Ich nutze einen Passwortmanager, und kein Passwort wird doppelt verwendet.
• Ein Backup von gestern liegt außerhalb meines Webservers.
• Ich weiß, wer benachrichtigt wird, wenn die Seite ausfällt.

Fünf oder mehr Haken sind eine gute Ausgangslage. Bei drei oder vier gibt es noch Lücken, die Sie schließen sollten. Bei weniger als drei sind Sie ein leichtes Ziel für die beschriebenen automatischen Werkzeuge. Beheben Sie dann diese Woche den ersten offenen Punkt.

Verhindern Updates wirklich die meisten Angriffe?

Sie verhindern sehr viele. Updates haben aber ein eigenes Risiko: Ein Plugin-Update kann ein Layout oder die Kasse im Shop beschädigen. Deshalb schieben viele Inhaber Updates auf, und genau dieses Aufschieben ist die eigentliche Gefahr.

Hat ein Update Ihre Seite bereits beschädigt, hilft unsere Anleitung Website nach Update kaputt.

Was, wenn der Ernstfall eintritt?

Kein seriöser Anbieter kann versprechen, dass Sie nie gehackt werden. Beeinflussen können Sie, wie schnell Sie es bemerken und wie viel Schaden der Angreifer anrichten kann. Backups außer Haus, getrennte Zugänge für jede Person und eine kurze Zugriffsliste verhindern, dass aus einem schlechten Tag eine Katastrophe wird.

Wie können wir Ihr Risiko senken?

Wir reparieren und sichern Websites aus der Ferne: WordPress, Laravel/PHP und Onlineshops. Sie bekommen eine kostenlose Diagnose, einen Festpreis vor Arbeitsbeginn (ab 295 € netto, bei gehackten Websites ab 450 € netto) und ein Backup vor jeder Änderung. Sie wissen nicht, wie angreifbar Sie sind? Schicken Sie uns Ihre Frage, wir sehen uns das an.

Damit die Routinearbeit nicht untergeht, übernehmen unsere Wartungspläne (ab 99 € netto pro Monat) tägliche Backups außerhalb Ihres Hostings mit Prüfung, Erreichbarkeitsprüfungen mit Warnung, Sicherheitsscans und Updates mit Rollback sowie einen Monatsbericht. Weitere Alltagsgewohnheiten finden Sie in Website-Sicherheit für kleine Unternehmen: 7 Schritte.