Sicherheit als Vertrauenssignal

Sicherheit scheint ein von der Vermarktung getrenntes Thema zu sein, bis zu dem Tag, an dem sie es nicht mehr ist. Eine als gefährlich markierte Website verschwindet innerhalb weniger Stunden aus den Ergebnissen und kehrt erst nach Wochen zurück. Was Sie in zwei Jahren aufgebaut haben, kommt an einem Morgen zum Stillstand.

Was Sie konkret verlieren

• Die Warnung im Browser. Der rote Bildschirm mit der Meldung „Betrügerische Website“. Fast niemand kommt daran vorbei, und wer es doch tut, kauft nicht mehr.
• Die Kennzeichnung in den Google-Ergebnissen. Selbst wenn die Seite ihre Position behält, erscheint darunter ein Warnhinweis.
• Die E-Mail. Eine Domain, von der Spam verschickt wurde, landet auf schwarzen Listen, und normale Nachrichten fallen dann in den Spam-Ordner. Der Effekt hält lange nach der Bereinigung an.
• Die Wiederaufnahme in den Index. Sie geschieht nicht automatisch. Sie wird beantragt, geprüft, und die Rückkehr auf die frühere Position dauert in der Regel Wochen.

Wie eine moderne Infektion aussieht

Das Bild der verunstalteten Seite mit einer Botschaft des Angreifers gehört der Vergangenheit an. Wer eine kommerzielle Website hackt, will so lange wie möglich unentdeckt bleiben.

Warum es nicht reicht, zu löschen, was Sie finden

Seriöse Hosting-Anbieter haben einen Scanner, der infizierte Dateien erkennt und unschädlich macht. Das ist nützlich und zugleich unzureichend, aus einem einfachen Grund: Der Scanner beseitigt die Wirkung, nicht die Ursache.

Auf tifui.ro sind wir der milden Variante desselben Problems begegnet: Der Scanner hatte halb geleerte Codefragmente zurückgelassen, genug, damit es sauber aussah, und zu wenig, damit es sauber war.

Es lohnt sich auch zu sagen, was nach der Bereinigung passiert, denn das wird fast immer ausgelassen. Wenn der Angreifer Code auf dem Server ausführen konnte, konnte er auch die Konfigurationsdatei lesen, also das Datenbankpasswort, die E-Mail-Passwörter und die Schlüssel zu den externen Diensten. Alle müssen geändert werden, auch wenn nichts benutzt zu sein scheint. Auf limo-limousine.com war das der Teil, der noch zu erledigen blieb, nachdem die Website bereits wieder normal lief.

Das Zertifikat und was der Mensch sieht

Fast jede Website hat heute ein Zertifikat, sein Vorhandensein ist also kein Vorteil mehr. Das Fehlen oder Ablaufen bleibt jedoch sehr teuer, denn der Browser sagt nicht „diese Website hat kein Zertifikat“, sondern zeigt einen Warnbildschirm, den die meisten Menschen als „diese Website ist gefährlich“ lesen.

Zertifikate werden fast überall automatisch erneuert. Die Erneuerung kann jedoch stillschweigend fehlschlagen, und der häufigste Fall ist ein Domain-Eintrag, den jemand anderes gelöscht oder geändert hat. Sie erhalten keine Nachricht. Sie erhalten einen Anruf von einem Kunden, der fragt, warum bei ihm eine Warnung erscheint.

Deshalb lohnt sich eine monatliche Prüfung, die zehn Sekunden dauert: Öffnen Sie die Website und klicken Sie auf das Schloss in der Adressleiste. Dort steht, bis wann es gültig ist.

Was wir verlangen, nach Nutzen geordnet

1. Aktuelle Updates. Die meisten Infektionen nutzen Sicherheitslücken, für die es bereits eine Korrektur gab, manchmal seit Monaten.
2. Unterschiedliche Passwörter und Zwei-Faktor-Authentifizierung für die Administratorkonten. Das ist die Maßnahme mit dem besten Verhältnis zwischen Aufwand und Wirkung.
3. Begrenzung der Anmeldeversuche und Deaktivierung alter Schnittstellen, die Sie nicht nutzen. Auf tifui.ro hätten diese beiden Maßnahmen von Anfang an über zweitausend Versuche gestoppt.
4. Backups, die Sie getestet haben. Ein Backup, das Sie nie wiederhergestellt haben, ist eine Vermutung, kein Backup.
5. Weniger Module. Jedes vergrößert die Angriffsfläche. Ungenutzte werden deinstalliert, nicht deaktiviert.

Wenn es passiert

1. Löschen Sie noch nichts. Die veränderten Dateien zeigen, wo eingedrungen wurde, und ihr Löschen vernichtet die einzige Spur.
2. Erstellen Sie vor jedem Eingriff eine Kopie des aktuellen Zustands, samt Infektion.
3. Ändern Sie alle Passwörter: Administration, Hosting, Datenbank, E-Mail.
4. Finden Sie den Einstiegsweg und schließen Sie ihn, dann bereinigen Sie.
5. Beantragen Sie die erneute Überprüfung in der Search Console, im Bereich Sicherheitsprobleme.
6. Beobachten Sie die Logs einen Monat lang. Wer einmal drin war, versucht es wieder.