Die Warnung von Google
Ein roter Bildschirm schiebt sich vor Ihre Seite, Ihr Suchergebnis trägt den Hinweis „Diese Website wurde möglicherweise gehackt“, oder die Search Console zeigt ein Sicherheitsproblem an. Das sind drei verschiedene Signale, ausgesendet von drei verschiedenen Systemen, und sie werden durch dieselbe Arbeit aufgehoben. Hier erfahren Sie, woher jedes einzelne stammt, in welcher Reihenfolge Sie vorgehen und was der Antrag auf erneute Überprüfung von Ihnen verlangt.
Drei Signale, drei Ursprünge
Meist treten sie gemeinsam auf, und man hält sie für ein und dasselbe. Die Unterscheidung ist wichtig: Sie entstehen an unterschiedlichen Stellen, sie verursachen unterschiedliche Kosten, und nur eines der drei sagt Ihnen, was Google gesehen hat.
„Diese Website wurde möglicherweise gehackt“
Der Hinweis erscheint in den Suchergebnissen unter Ihrem Titel und stammt aus der Google-Suche: Auf Ihrer Domain wurden Seiten gefunden, die jemand anderes hinzugefügt hat. Der Link bleibt anklickbar – und fast niemand klickt. Es ist das unauffälligste der drei Signale, oft das erste, und dasjenige, das man entdeckt, wenn man nach dem eigenen Namen sucht.
Der rote Bildschirm vor der Seite
Es stammt von Google Safe Browsing, einer Liste, die Chrome abfragt und die auch andere Browser und Tools übernehmen. Sie schiebt sich zwischen Besucher und Ihre Seite, unabhängig davon, woher der Besuch kommt: Auch wer Ihre Adresse aus dem Gedächtnis eintippt, bekommt sie zu sehen. Das ist das teuerste Signal und das einzige, dessen Wirkung weit über Google hinausreicht.
Das einzige Signal, das zu Ihnen spricht
In der Search Console nennt der Bereich „Sicherheitsprobleme“ die festgestellte Kategorie – gehackte Inhalte, Schadsoftware, Social Engineering – und liefert in der Regel Beispiel-URLs. Das ist die einzige Stelle, an der Google mitteilt, was es gesehen hat und wo, und von dort aus starten Sie den Antrag auf erneute Überprüfung. Falls die Property bei Ihnen dort noch bestätigt werden muss, ist das Ihr erster Schritt.
Die Reihenfolge der Schritte
Jeder Schritt schützt den nächsten. Die Überprüfung zu beantragen, bevor feststeht, was sich verändert hat, heißt, eine Überprüfung zu verschwenden; zu bereinigen, bevor kopiert wurde, heißt, den Beweis dessen zu verlieren, was geschehen ist.
Lesen Sie in der Search Console, was Google geschrieben hat
Öffnen Sie „Sicherheitsprobleme“ und notieren Sie drei Dinge: die zugeordnete Kategorie, das Datum und die beispielhaft genannten Adressen. Falls die Inhaberschaft noch zu bestätigen ist, bestätigen Sie sie jetzt – per DNS-Eintrag oder per Bestätigungsdatei, je nachdem, was Ihr Hoster zulässt. Solange sie unbestätigt bleibt, erleiden Sie die beiden anderen Signale, ohne einen Kanal zu haben, um zu reagieren.
Sichern Sie eine Kopie, bevor Sie irgendetwas anfassen
Kopieren Sie die Dateien UND die Datenbank in ihrem aktuellen Zustand auf einen separaten Datenträger. Dieser Zustand, so beschädigt er auch sein mag, ist das Einzige, womit sich später datieren lässt, was geschehen ist, und womit Sie einem Hoster, einem Versicherer oder einem Kunden Rede und Antwort stehen können. Nach der Bereinigung ist er für immer verloren.
Betrachten Sie Ihre Seiten so, wie Google sie betrachtet
Die beispielhaft genannten Adressen öffnen sich von Ihrem Rechner aus oft mit einer völlig normalen Seite: Was hinzugefügt wurde, ist häufig bedingt – es wird nur dem Crawler ausgeliefert oder nur Besuchern, die aus einer Suche kommen. Das Tool „URL-Prüfung“ testet die Adresse live und zeigt das abgerufene HTML: Genau dort erscheint das, was Ihr Browser Ihnen verbirgt. Vergleichen Sie beides – der Unterschied ist der springende Punkt.
Holen Sie sich die Zugänge zurück – zuerst das Hosting
Passwort des Hosting-Panels, dann FTP und SSH, dann die Datenbank, dann die Konten Ihres Content-Management-Systems. Zuerst das Passwort der Administration zu ändern, ist der natürliche Reflex – und der am wenigsten nützliche: Wer Ihren FTP-Zugang kontrolliert, setzt es binnen einer Minute wieder zurück. Nutzen Sie die Gelegenheit, um Konten zu entfernen, die Sie nicht mehr zuordnen können.
Erstellen Sie eine genaue Liste dessen, was sich geändert hat
Das ist der Punkt, an dem das menschliche Auge an seine Grenze stößt, und genau diesen Punkt verlangt der Antrag auf erneute Überprüfung von Ihnen. Eine lebendige Website trägt Zehntausende von Dateien, und die hinzugefügte sieht aus wie ihre Nachbarn. Die Frage, die sich beantworten lässt, ist jedoch umgekehrt: Wie viele Dateien können ihre Anwesenheit begründen, und welche können es nicht?
Stellen Sie wieder her, und lassen Sie dann die hinzugefügten Seiten verschwinden
Die Dateien der Herausgeber auf ihre authentische Fassung zurückzusetzen, erledigt den größten Teil der Arbeit; was Ihnen selbst gehört – Themes, Einstellungen, Ergänzungen – wird von Hand durchgesehen. Die fremden Seiten hingegen müssen aufhören zu existieren: Eine gelöschte Adresse antwortet mit 404 oder 410, und Ihre Sitemap wird wieder korrekt. Eine Seite, die auf Ihre Startseite weiterleitet, bleibt eine Seite, die existiert.
Beantragen Sie die Überprüfung, sobald die Arbeit getan ist
Der Antrag wird in der Search Console unter „Sicherheitsprobleme“ gestellt. Beschreiben Sie, was gefunden wurde, was behoben wurde und was die Eintrittstür wieder verschließt: Eine Überprüfung, die auf eine vergessene Seite stößt, setzt den gesamten Zyklus erneut in Gang. Die Bearbeitungsdauer liegt allein bei Google. Der rote Bildschirm und der Hinweis in den Suchergebnissen verschwinden anschließend von selbst, nach Googles Zeitplan – und die Tools, die diese Liste übernehmen, folgen nach ihrem eigenen.
Feststellen, was sich verändert hat – und es belegen können
Die Analyse beantwortet die Frage aus Punkt 05, indem sie sie umkehrt: Statt nach dem zu suchen, was als schädlich bekannt ist, verlangt sie von jeder Datei eine Rechtfertigung ihrer Anwesenheit, indem sie diese mit dem authentischen, vom Hersteller veröffentlichten Code vergleicht. Was sich rechtfertigen lässt, wird gezählt; der Rest wird einzeln benannt, mit Datum und Speicherort.
Sie erhalten die exakte Anzahl, die Liste der Dateien, den wahrscheinlichen Einstiegspunkt sowie drei unterzeichnete Dokumente: den Befund, die Bescheinigung über den erreichten Zustand und das Schriftstück, das Sie Ihrem Hosting-Anbieter oder Ihrem Kunden aushändigen können. Das ist die Substanz des Antrags auf Überprüfung, und genau das macht ihn kurz. Der Vorgang kostet 99 € pro Website; mit der Wiederherstellungsmaßnahme und der neuen Analyse, die sie bestätigt, 199 €.
Jedes dieser Dokumente lässt sich bei uns kostenlos und für immer von jedermann überprüfen — das macht sie belastbar. Eine kostenlose Analyse bieten wir hingegen nicht an, und das ist Absicht: Sie würde fast immer „nichts gefunden“ antworten, die erwartete gute Nachricht, ohne Beweis überbracht, an Menschen, die sie gar nicht brauchten. Wir verkaufen Gewissheit, nicht Beunruhigung.
Ein Vorbehalt, hier ebenso festgehalten wie auf jedem Dokument: Eine vollständig belegte Website ist eine Website, deren jede Datei Rechenschaft abgelegt hat — was bereits viel ist und dennoch etwas anderes bleibt als eine sichere Website. Ein schwaches Passwort oder eine zwar aktuelle, aber verwundbare Erweiterung bleibt für einen Dateivergleich unerreichbar.
Nach der Aufhebung, im Folgemonat
Eine einmal aufgehobene Warnung kehrt oft ein zweites Mal zurück, durch dieselbe Tür, weil die Tür offen geblieben ist — und der zweite Durchgang kostet mehr als der erste, an Sichtbarkeit wie an Vertrauen. Was den weiteren Verlauf wirklich verändert, sind zwei Dinge: noch am selben Tag zu wissen, dass sich eine ausführbare Datei verändert hat, und zu wissen, dass eine bei Ihnen installierte Erweiterung aus dem offiziellen Verzeichnis entfernt oder seither eine Sicherheitslücke veröffentlicht wurde. Die Überwachung leistet beides, auch an den Tagen, an denen Ihre Website selbst unverändert geblieben ist. Sie kostet 99 € pro Website und Jahr, als Einmalzahlung, ohne Verlängerung.
Sie sagt es mit aller Genauigkeit: Wenn die Attestierung bricht, kündigt sie an, dass sich diese Website von der attestierten unterscheidet. Ihre eigene Veröffentlichung bricht sie auf dieselbe Weise — deshalb wird nach jedem Deployment erneut attestiert, und deshalb sieht man sich einen Bruch ohne Deployment genau an.
Was Google gesehen hat – Datei für Datei dokumentiert
Sie erhalten die genaue Anzahl, jede Datei mit Namen, das wahrscheinliche Datum sowie drei unterzeichnete Dokumente, die eine dritte Person überprüfen kann.