Die ersten 24 Stunden
Ihre Website liefert Seiten aus, die Sie nicht geschrieben haben, leitet woandershin weiter, oder Ihr Hoster hat sie gerade gesperrt. Was folgt, ist die Reihenfolge, in der die Schritte erfolgen – jene, die bewahrt, was Sie später brauchen werden. Sieben Schritte, und der einzige unumkehrbare ist der erste – weil er gerade darin besteht, nichts zu zerstören.
Die Reihenfolge der Schritte
Diese Reihenfolge hat einen Grund: Jeder Schritt schützt den nächsten. Die Zugänge zurückzuholen, bevor kopiert wurde, heißt die Spur zu verlieren; zu bereinigen, bevor datiert wurde, heißt den Beweis zu verlieren.
Sichern Sie eine Kopie, bevor Sie irgendetwas anfassen
Es ist der Schritt, von dem alle weiteren abhängen – und der, den man am häufigsten überspringt. Kopieren Sie die Dateien UND die Datenbank in ihrem aktuellen Zustand auf einen separaten Datenträger. Dieser Zustand, so beschädigt er auch sein mag, ist das Einzige, womit sich später datieren lässt, was passiert ist, und womit Sie einem Hoster, einer Versicherung oder einem Kunden antworten können. Einmal bereinigt, ist er für immer verloren.
Entscheiden Sie fundiert, ob die Website online bleibt
Die Abschaltung der Website schützt Ihre Besucher und stoppt den Schaden; sie kostet Sie jedoch Ihre Sichtbarkeit und die Umsätze des Tages. Die einfache Regel: Wenn Ihren Besuchern fremde Seiten ausgeliefert werden oder wenn ein Formular Zahlungen erfasst, schalten Sie ab. Andernfalls ist eine ehrliche Wartungsseite besser als eine abrupt gekappte Website. In jedem Fall wird die Kopie aus Punkt 01 VORHER erstellt.
Sichern Sie die Zugänge in der richtigen Reihenfolge
Zuerst das Hosting, denn es steuert alles Weitere: Passwort des Kundenbereichs, dann FTP und SSH, dann die Datenbank, dann die Konten Ihres Content-Management-Systems. Zuerst das Administrationspasswort zu ändern, ist der natürliche Reflex — und der am wenigsten nützliche: Wer Ihren FTP-Zugang hat, setzt es binnen einer Minute wieder zurück. Nutzen Sie die Gelegenheit, um Konten zu entfernen, die Sie nicht mehr wiedererkennen.
Datieren Sie den Vorfall anhand der Protokolle
Die Zugriffsprotokolle Ihres Hosters tragen ein Datum. Suchen Sie nach Anfragen an Dateien, die Sie nicht wiedererkennen, und nach Datei-Uploads von einer ungewöhnlichen Adresse. Das Datum zählt aus zwei Gründen: Es sagt, welche Sicherung noch sauber ist, und es grenzt ein, was untersucht werden muss.
Erstellen Sie eine genaue Liste dessen, was sich geändert hat
Das ist der Punkt, an dem das menschliche Auge an seine Grenze stößt. Eine lebendige Website enthält Zehntausende Dateien, und die hinzugefügte sieht aus wie alle anderen. Die beantwortbare Frage ist dagegen umgekehrt gestellt: Wie viele Dateien können ihre Anwesenheit begründen, und welche können es nicht? Genau das leistet unsere Analyse — sie vergleicht Ihre Website mit dem authentischen, von den Herstellern veröffentlichten Code, benennt jede Abweichung und liefert das Ergebnis signiert.
Informieren Sie die zuständigen Stellen
Ihr Hoster, falls er die Website gesperrt oder Ihnen etwas gemeldet hat: ein datierter und signierter Befund verkürzt den Austausch erheblich. Und falls personenbezogene Daten betroffen sein könnten, gibt Ihnen die europäische Verordnung 72 Stunden Zeit, dies Ihrer Datenschutzbehörde zu melden — in Frankreich der CNIL. Diese Frist läuft ab dem Moment, in dem Sie davon Kenntnis erlangen.
Wiederherstellen, dann den erreichten Zustand bescheinigen
Die Dateien der Hersteller auf ihre authentische Version zurückzusetzen, erledigt den größten Teil der Arbeit. Übrig bleibt, was Ihnen selbst gehört – Ihre Themes, Ihre Einstellungen, Ihre Ergänzungen –, das von Hand durchgesehen wird. Sobald der Zustand erreicht ist, lassen Sie ihn bescheinigen: Diese Bescheinigung ist es, die Ihnen nächsten Monat sagt, ob die Website noch immer die ist, die Sie wiederhergestellt haben.
Punkt 05, für Sie gemacht – mit allem, um ihn zu belegen
Die Analyse beantwortet die Frage von Punkt 05, indem sie sie umdreht: Statt nach dem zu suchen, was als bösartig bekannt ist, verlangt sie von jeder Datei, ihre Anwesenheit zu rechtfertigen. Eine Datei, die dem authentischen, von ihrem Hersteller veröffentlichten Code entspricht, ist gerechtfertigt. Alle anderen werden einzeln benannt, mit Datum und Speicherort.
Sie erhalten die genaue Anzahl, die Liste der Dateien, das wahrscheinliche Eintrittsdatum und drei unterzeichnete Dokumente: den Befund, die Bescheinigung des erreichten Zustands und den Nachweis, den Sie Ihrem Hoster oder Ihrem Kunden vorlegen können. Jedes davon lässt sich bei uns überprüfen – kostenlos, dauerhaft und von jedem. Genau das macht sie belastbar.
Ein Vorbehalt, hier ebenso festgehalten wie auf jedem Dokument: Eine vollständig gerechtfertigte Website ist eine Website, bei der jede Datei Rechenschaft abgelegt hat – das ist schon viel –, und das ist nicht dasselbe wie eine sichere Website. Eine Passwortlücke oder eine aktuelle, aber angreifbare Erweiterung bleibt außerhalb der Reichweite eines Dateivergleichs.
Der Folgemonat und die Monate danach
Eine einmal bereinigte Website wird häufig ein zweites Mal übernommen – durch dieselbe Tür, weil die Tür offen geblieben ist. Was den weiteren Verlauf wirklich verändert, sind zwei Dinge: noch am selben Tag zu erfahren, dass sich eine ausführbare Datei verändert hat, und zu erfahren, dass eine bei Ihnen installierte Erweiterung aus dem offiziellen Verzeichnis entfernt wurde oder dass seither eine Sicherheitslücke veröffentlicht worden ist. Die Überwachung leistet beides – auch an den Tagen, an denen sich auf Ihrer Website selbst nichts verändert hat.
Sie sagt es mit aller Genauigkeit: Wenn die Attestierung bricht, kündigt sie an, dass sich diese Website von der attestierten unterscheidet. Ihre eigene Veröffentlichung bricht sie auf dieselbe Weise — deshalb wird nach jedem Deployment erneut attestiert, und deshalb sieht man sich einen Bruch ohne Deployment genau an.
Wie viele Dateien Ihrer Website können ihre Anwesenheit begründen?
Sie erhalten die genaue Anzahl, jede Datei mit Namen, das wahrscheinliche Datum sowie drei unterzeichnete Dokumente, die eine dritte Person überprüfen kann.