Angriffe auf kleine Websites: was tatsächlich passiert

„Warum sollte uns jemand angreifen, wir sind ein Handwerksbetrieb mit acht Leuten.“ Der Satz ist verständlich und beruht auf einem Missverständnis: Es sucht niemand nach dir. Es sucht jemand nach Servern, und deiner ist einer davon.

Automatisierte Programme gehen das gesamte Netz systematisch durch und probieren an jeder erreichbaren Adresse bekannte Schwachstellen aus. Auf einem Server ohne bekannte Website liegen die automatisierten Anmeldeversuche allein am Fernzugang typischerweise im Bereich von etwa 900 bis 1 500 pro Tag. Das ist kein Angriff auf dich, das ist Grundrauschen.

Was diese Programme tatsächlich versuchen

Die Muster sind seit Jahren gleich und leicht wiederzuerkennen:

• Anmeldeversuche am Fernzugang. Standardnamen wie admin, root, test, ubuntu, dazu Listen häufiger Passwörter. Bei Anmeldung ausschließlich per Schlüssel laufen diese Versuche vollständig ins Leere, sie erscheinen aber weiter im Protokoll.
• Anmeldeversuche an der Verwaltungsoberfläche. Bei WordPress die bekannte Anmeldeadresse, dazu Namen, die sich aus der Seite selbst ableiten lassen.
• Abfragen bekannter Dateipfade. Konfigurationsdateien, Datenbankauszüge, Sicherungsarchive, Umgebungsdateien mit Zugangsdaten. Diese Anfragen kosten nichts und lohnen sich für den Angreifer bei einer einzigen Fundstelle unter zehntausend.
• Bekannte Lücken in verbreiteten Erweiterungen. Wird eine Sicherheitslücke veröffentlicht, tauchen die zugehörigen Versuche innerhalb von Stunden im gesamten Netz auf.
• Formulare als Versandweg. Kontaktformulare ohne Schutz werden benutzt, um über deinen Server Mails zu verschicken.

Was passiert, wenn es klappt

Eine übernommene Website wird selten zerstört. Zerstörung bringt niemandem Geld. Was tatsächlich damit gemacht wird:

• Versteckte Verweise auf fremde Seiten. Für Menschen unsichtbar, für Suchmaschinen sichtbar. Das kann monatelang unbemerkt bleiben und beschädigt die eigene Auffindbarkeit erheblich.
• Weiterleitung nur für Besucher aus der Suche. Wer die Adresse direkt eingibt, sieht die normale Seite. Nur wer über die Suche kommt, landet woanders. Deshalb fällt es dem Betreiber zuletzt auf.
• Massenhafter Mailversand. Mit der Folge, dass die Adresse des Servers auf Sperrlisten landet und danach auch echte Mails nicht mehr ankommen.
• Rechenleistung für fremde Zwecke. Die Seite wird langsam, die Ursache ist von außen nicht erkennbar.
• Verschlüsselung mit Lösegeldforderung. Seltener bei kleinen Websites, dafür der Fall mit dem größten Schaden.

Der zweite Punkt ist der tückischste. Eine Seite, die nur für Suchmaschinenbesucher umgeleitet wird, sieht für den Betreiber vollkommen normal aus, und der Schaden entsteht still über Wochen.

Was tatsächlich hilft

In der Reihenfolge ihrer Wirkung, nicht ihrer Beliebtheit:

1. Aktualisierungen, zeitnah. Der mit Abstand wirksamste Punkt. Nahezu alle erfolgreichen Übernahmen kleiner Websites laufen über bekannte Lücken in veralteten Erweiterungen. Die Programme prüfen genau darauf, weil es der günstigste Weg ist.

2. Weniger Erweiterungen. Jede zusätzliche Erweiterung ist eine zusätzliche Angriffsfläche. Was nicht benutzt wird, gehört gelöscht, nicht deaktiviert. Deaktivierte Erweiterungen sind teilweise weiterhin erreichbar.

3. Anmeldung absichern. Zweiter Faktor für alle Verwaltungskonten, individuelle Zugänge statt eines gemeinsamen, Sperre nach mehreren Fehlversuchen. Ein gemeinsames Konto für vier Personen lässt sich weder sperren noch nachvollziehen.

4. Sicherungen mit Wiederherstellungstest. Sie verhindern nichts, sie begrenzen den Schaden. Bei einer Übernahme ist der schnellste saubere Weg oft der Rückgriff auf einen Stand, der sicher unbelastet war.

5. Verwaltungsoberflächen nicht offen erreichbar. Was nicht im Netz steht, kann nicht durchprobiert werden. Für die Website selbst geht das nicht, für alles Übrige schon.

Was wenig bringt

Zwei verbreitete Maßnahmen mit begrenzter Wirkung:

Die Anmeldeadresse umbenennen. Hält einen Teil der einfachen Programme auf und wird von der Mehrheit gefunden. Als einzige Maßnahme ist es eine Beruhigung, kein Schutz.

Versionsnummern verstecken. Die Programme probieren die Lücke ohnehin aus, unabhängig davon, welche Version angezeigt wird. Der Aufwand steht in keinem Verhältnis.

Beides ist nicht falsch, es ersetzt nur die vier Punkte oben nicht.

Woran du erkennst, dass etwas passiert ist

• Google meldet in der Search Console verdächtige Inhalte oder eine Warnung beim Aufruf.
• Der Bericht in der Search Console zeigt plötzlich Seiten, die du nie angelegt hast.
• Mails an Kunden kommen nicht mehr an, obwohl vorher alles lief.
• Die Seite ist deutlich langsamer geworden, ohne dass sich etwas geändert hat.
• In den Dateien liegen Änderungen mit einem Datum, an dem niemand gearbeitet hat.

Der einfachste Selbsttest: Suche bei Google nach site:deinedomain.de und sieh die Ergebnisse durch. Fremde Seiten in dieser Liste sind ein eindeutiges Zeichen.

Wie wir das angehen

Wir setzen auf zeitnahe Aktualisierungen, wenige Erweiterungen, abgesicherte Anmeldung und geprüfte Sicherungen. Automatisierte Versuche werden erkannt und die Quellen zeitweise gesperrt, aber der eigentliche Schutz liegt darin, dass es nichts Veraltetes zu finden gibt. Mehr dazu unter Managed Hosting und Absicherung.