Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?

Es ist ärgerlich, wenn Ihr Account gehackt wurde. Wir tun alles, um es Hackern so schwer wie möglich zu machen, aber leider kann es trotzdem passieren, dass sich ein Hacker Zugang zu Ihrer Website verschafft. Dann gilt es herauszufinden, wie der Hacker in Ihr System gelangt ist.

Das kann schwierig und zeitaufwendig sein, aber die Ursache bzw. Quelle zu kennen ist wichtig, um einen erneuten Angriff zu verhindern. Einfach alles zu löschen und ein Backup zurückzuspielen, ist nicht die Lösung.

Stellen Sie die infizierte Website erst wieder online, wenn Sie zu 100 % sicher sind, dass das Problem behoben und die Website sicher ist.

Sie können Ihre Domain im Control Panel unter den Domain-Einstellungen (bzw. bei Windows-Hosting über die Option Websites) vorübergehend deaktivieren, damit die gehackte Website Dritten keinen weiteren Schaden zufügen kann. Bei Bedarf können Sie über Installatron (Linux-Hosting) ein älteres Backup zurückspielen oder unser Backup-Modul verwenden. Löschen Sie dabei zuerst alle Ordner und Dateien und spielen Sie erst danach das Backup zurück, sonst bleiben neu hinzugefügte, gehackte Dateien erhalten.

Sie können den Hack auch von unseren Experten beheben lassen. Da dies zeitaufwendig ist, ist dieser Service leider nicht kostenlos.
Hier finden Sie weitere Informationen.

Mögliche Ursachen untersuchen:

• Die häufigste Ursache: Sie verwenden ein Script oder Plugin, das nicht auf die neueste Version aktualisiert wurde, unsicher ist oder Fehler enthält. Das kann auch ein Modul in zum Beispiel WordPress oder Joomla sein.
• Sie bieten Ihren Besuchern eine Upload-Möglichkeit an, und ein Besucher hat ein PHP-Programm hochgeladen und ausgeführt.
• Sie verwenden vorhersehbare, zu einfache Passwörter oder Passwörter, die sich zum Beispiel über haveibeenpwned.com herausfinden lassen.
• Ihr Computer ist mit einem Virus oder Wurm/Keylogger infiziert, der auf diese Weise Passwörter und Benutzernamen ausspäht, etwa die Ihres FTP-Accounts.
• Sie haben ein Formular erstellt, in das sich zum Beispiel SQL- oder PHP-Code einschleusen lässt, oder ein Formular ohne Captcha, über das Spam verschickt werden kann.
• Durchsuchen Sie die Logdateien (in DirectAdmin im Menü Statistiken / Logs) nach verdächtigen Einträgen. Sehen Sie auch im Litespeed/Apache Usage Log und in den Backed up Apache logs nach. Achten Sie auf IP-Adressen aus fremden Ländern und vor allem auf POST-Anfragen in Kombination mit einer IP-Adresse aus dem Ausland. Dort findet sich oft ein Hinweis. Über eine Website wie www.whatsmyip.org können Sie herausfinden, aus welchem Land eine IP-Adresse stammt.

Wie verhindere ich einen Hack?

• Das Wichtigste: Sorgen Sie dafür, dass alle Ihre Scripts wie WordPress/Joomla immer mit den neuesten Updates versehen sind. Das gilt ausdrücklich auch für Plugins und Templates. Updates lassen sich meist ganz einfach über Installatron oder im Script selbst einspielen.
• Verwenden Sie FTPS statt normalem FTP.
• Verwenden Sie NIEMALS IHREN Benutzernamen und Ihr Passwort in Scripts. Wenn es nicht anders geht, legen Sie dafür im Control Panel einen eigenen Benutzer an.
• Verwenden Sie nur bekannte und renommierte Scripts und halten Sie sie stets aktuell.
• Bieten Sie NIEMALS Upload-Möglichkeiten an. Das ist brandgefährlich.

WordPress, Joomla und andere Scripts: Sorgen Sie dafür, dass die neueste Version installiert ist!
Es ist wichtig, WordPress, Joomla und andere Scripts aktuell zu halten. Damit lassen sich die meisten Hacks verhindern. Über Installatron (Linux-Hosting) können Sie Updates ganz einfach installieren. Wenn Sie WordPress, Joomla oder ein anderes Script nicht über Installatron installiert haben, können Sie es nachträglich ganz einfach in Installatron importieren und anschließend aktualisieren.

Ordner wie administrator in Joomla absichern
Ordner wie /administrator sollten Sie zusätzlich absichern. Dieser Artikel erklärt, wie das geht.

Iframe-Hack:

Wenn Sie Opfer des Iframe-Hacks geworden sind, ist die Ursache oft ein Trojaner auf Ihrem PC, der sich Zugang zu Ihren FTP-Accounts verschafft.

• Prüfen Sie, ob Ihre Website tatsächlich gehackt wurde. Das geht zum Beispiel über die Website UnmaskParasites.
• Melden Sie sich per FTPS statt FTP an. FTP überträgt alle Daten im Klartext, FTPS verschlüsselt die übertragenen Daten. So ist es für Hacker deutlich schwieriger, an diese sensiblen Daten zu gelangen.
• Ändern Sie jetzt alle Ihre FTP-Passwörter.
• Setzen Sie (Linux) über das Control Panel bzw. den Dateimanager oder per FTP alle Ordner auf chmod 755 und alle Dateien auf chmod 644.

HTACCESS-Hack / .htaccess wurde verändert:

Im folgenden Beispiel hat ein Hacker Ihre .htaccess verändert. Google und Yahoo indexieren Ihre Website dadurch ganz normal, alle anderen Besucher werden jedoch auf die Website des Hackers umgeleitet.

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC,OR]
RewriteRule .* http://hacker.xx/in.html?= [R,L]

Google stuft Ihre Website als gefährlich ein ("Als attackierende Website gemeldet!"):

Über die folgenden Links können Sie Informationen abrufen (setzen Sie Ihren eigenen Domainnamen ein):

http://safebrowsing.clients.google.com/safebrowsing/diagnostic?client=Firefox&hl=nl&site=http://www.ihre-domain.xx/

Über diesen Link erhalten Sie unter anderem Informationen und können auch beantragen, dass Ihre Domain bzw. Website nicht mehr als gefährlich eingestuft wird. Stellen Sie aber sicher, dass sie wirklich vollständig bereinigt ist!

http://www.google.com/support/webmasters/bin/answer.py?hl=nl&answer=45432

1. Wählen Sie im Dashboard der Google Search Console die gewünschte Website aus.
2. Klicken Sie in der Meldung "Teile dieser Website verbreiten möglicherweise schädliche Software" auf "Weitere Informationen".
3. Klicken Sie auf "Überprüfung beantragen".