Website gehackt · Ursachen
Veraltete Plugins: das häufigste Einfallstor
Die meisten Firmenwebsites werden nicht gezielt angegriffen, sondern automatisiert. Bots suchen nach bekannten Lücken in Plugins und Themes, und finden sie dort, wo Updates liegen geblieben sind.
Wie es abläuft
Von der veröffentlichten Lücke zum Hack
Wird in einem verbreiteten Plugin eine Sicherheitslücke gefunden, veröffentlicht der Hersteller ein Update und die Lücke wird bekannt gemacht. Von diesem Moment an ist sie öffentlich, auch für Angreifer. Automatisierte Werkzeuge durchsuchen das Netz dann nach Websites, die noch die alte Version einsetzen, oft schon innerhalb weniger Stunden. Ob die Website einem Konzern oder einem Handwerksbetrieb gehört, spielt keine Rolle. Gesucht wird nach der Versionsnummer.
Wer Updates einmal im Quartal einspielt, ist in dieser Zeit verwundbar. Wer ein Plugin einsetzt, das der Hersteller aufgegeben hat, bekommt das Update nie.
Warum Updates liegen bleiben
Keine Nachlässigkeit, sondern ein Systemproblem
Updates können etwas kaputt machen
Ein Update des Seitenbaukastens verschiebt das Layout, ein Formular-Plugin verträgt sich nicht mehr mit dem Theme. Wer das einmal erlebt hat, wartet beim nächsten Mal lieber.
Niemand ist zuständig
Die Agentur von damals gibt es nicht mehr, intern kümmert sich jemand nebenbei. Updates passieren, wenn jemand daran denkt.
Premium-Lizenzen laufen aus
Kostenpflichtige Plugins und Themes bekommen Updates nur mit gültiger Lizenz. Läuft sie aus, bleibt die Version stehen, ohne dass es auffällt.
Aufgegebene Plugins
Manche Plugins werden vom Hersteller nicht mehr gepflegt. Sie funktionieren weiter, bekommen aber keine Sicherheitsupdates mehr.
Zu viele Bausteine
Zwanzig bis vierzig Plugins sind auf Firmenwebsites normal. Jedes hat eigene Updates, eigene Lücken und eigene Abhängigkeiten.
Alte PHP-Version
Neue Plugin-Versionen verlangen neueres PHP, der Server läuft noch auf altem. Also bleibt alles, wie es ist.
Zwei Wege
Wartung organisieren oder die Ursache entfernen
Weg 1: verbindliche Wartung. Updates zeitnah nach Erscheinen einspielen, vorher auf einer Kopie testen, Plugins jährlich ausdünnen, Lizenzen im Blick behalten, Backups regelmäßig zurückspielen und prüfen. Das funktioniert, wenn es jemand verbindlich übernimmt, und es kostet jeden Monat Zeit oder Geld.
Weg 2: kein CMS mehr. Die meisten Firmenwebsites ändern sich ein paar Mal im Monat. Dafür braucht es kein System mit Datenbank, Benutzerverwaltung und vierzig Erweiterungen. Phönix baut die bestehende Website als fertige Seiten neu auf, ohne CMS, Datenbank und Plugins. Gepflegt wird per Chat, Pflichtupdates gibt es nicht. Die Angriffsfläche schrumpft auf den Webserver selbst, und die Seite wird nebenbei deutlich schneller. Diese Website ist so entstanden.
Soforthilfe
Website gehackt? Wir helfen sofort.
- Erste Einschätzung am Telefon: was jetzt zu tun ist und was warten kann
- Schadcode entfernen, Einfallstor finden und schließen
- Passwörter, Zugänge und Backups prüfen
- Google-Warnung entfernen lassen, Hoster-Sperre aufheben
- Unterlagen für die Datenschutzprüfung, falls Daten betroffen sein könnten
Danach
Aufräumen oder neu aufbauen?
Aufräumen hilft heute. Wenn die Website aber auf einem CMS mit vielen Plugins läuft, bleibt das Risiko beim nächsten verpassten Update dasselbe. Mit Phönix bauen wir die bestehende Website ohne CMS, Datenbank und Plugins neu auf: Inhalte und Adressen bleiben, gepflegt wird per Chat, Pflichtupdates gibt es nicht mehr.
Das macht eine Website nicht unangreifbar, aber die Angriffsfläche wird sehr viel kleiner.
Weiterlesen