Notfall während der Schlussverkaufszeit

Website gehackt oder umgeleitet während des Schlussverkaufs: Was zu prüfen ist, was zu tun ist

Schlussverkauf, Black Friday, Feiertage: Das ist die Zeit, in der ein Shop am meisten verkauft, in kürzester Zeit die meisten Änderungen vornimmt und in der eine manipulierte Zahlungsseite die meisten Kunden trifft. Hier erfahren Sie, worauf Sie achten müssen, in welcher Reihenfolge Sie handeln sollten, was Ihr Hoster von Ihnen erwarten wird und wie Sie den Nachweis über das Geschehene sichern.

Die zu prüfenden Anzeichen

Schon eines dieser Anzeichen rechtfertigt eine genauere Prüfung. Prüfen Sie von einem Telefon im Mobilfunknetz aus und indem Sie über eine Suchmaschine auf die Seite gelangen: Eine bedingte Weiterleitung versteckt sich gerade vor dem Administrator.

Besucher landen auf einer anderen Website – oft nur vom Handy aus oder nur, wenn sie über Google kommen: Von Ihrem Rechner aus sieht alles normal aus.
Der Bestellprozess hat sich verändert: ein zusätzliches Feld, eine Zahlungsseite, die nicht mehr der Ihres Anbieters ähnelt, ein Skript, das von einer Adresse geladen wird, die Sie nicht kennen.
Kundinnen und Kunden melden eine betrügerische Abbuchung auf der bei Ihnen verwendeten Karte oder eine „merkwürdige“ Zahlungsseite.
Seiten, die Sie nie verfasst haben, erscheinen in den Suchergebnissen zu Ihrer Domain oder im Bericht „Sicherheitsprobleme“ der Search Console.
Der Browser zeigt eine Warnung vor Ihrer Seite an, oder Ihr Hoster schreibt Ihnen – oder sperrt die Website sogar.
Ein Administratorkonto, das Sie nicht kennen, eine ohne Ihr Zutun installierte Erweiterung, Dateien, die zu einem Zeitpunkt geändert wurden, an dem niemand an der Website gearbeitet hat.

Die ersten Schritte, der Reihe nach

Jeder Schritt schützt den nächsten: kopieren vor dem Bereinigen, Kunden schützen vor dem Suchen, Zugänge zurückerlangen vor dem Wiederherstellen.

Kopieren Sie alles, bevor Sie irgendetwas anfassen

Die Dateien, die Datenbank und die Zugriffsprotokolle des Hosters – auf einem separaten Datenträger. Mitten im Verkauf ist die Versuchung groß, schnell aufzuräumen und wieder zu öffnen: Genau diese Kopie ermöglicht es später, den Zeitpunkt des Einbruchs zu bestimmen, zu erfahren, welche Bestellungen betroffen sind, und Ihrem Hoster, Ihrer Bank oder Ihren Kundinnen und Kunden Auskunft zu geben.

Schützen Sie zuerst die zahlenden Kundinnen und Kunden

Falls der Bestellprozess oder die Zahlungsseite verändert worden sein könnte, stoppen Sie die Bestellannahme oder schalten Sie den Shop in den Wartungsmodus, bis alles geprüft ist. Ein verlorener Schlussverkaufstag lässt sich aufholen – kopierte Kundenkarten nicht. Ist nur der übrige Teil der Website betroffen, genügt oft eine ehrliche Hinweisseite.

Übernehmen Sie die Zugänge wieder – der Reihe nach

Zuerst das Hosting, dann FTP oder SSH, die Datenbank, die Shop-Verwaltung und die Konten der Dienstleister (Zahlung, Versanddienstleister, Marketing-Tools). Aktivieren Sie überall dort die Zwei-Faktor-Authentifizierung, wo sie verfügbar ist, und entfernen Sie Konten, die Sie nicht zuordnen können.

Informieren Sie Ihren Zahlungsdienstleister

Sobald Kartendaten offengelegt worden sein könnten, informieren Sie Ihren Zahlungsdienstleister oder Ihre Bank: Sie wissen, worauf zu achten ist, und der PCI-DSS-Standard regelt solche Situationen. Seit Version 4.0 verlangt er zudem, ein Inventar der von der Zahlungsseite geladenen Skripte zu führen und deren Änderungen zu erkennen (Anforderungen 6.4.3 und 11.6.1).

Melden Sie innerhalb von 72 Stunden, wenn personenbezogene Daten betroffen sind

Namen, Adressen, E-Mail-Adressen, Bestellhistorien: Wenn eine Verletzung des Schutzes personenbezogener Daten ein Risiko für die betroffenen Personen darstellt, schreibt die DSGVO (Artikel 33) vor, sie innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Datenschutzbehörde zu melden – in Frankreich der CNIL über deren Online-Dienst. Ist das Risiko hoch, müssen auch die betroffenen Kundinnen und Kunden benachrichtigt werden (Artikel 34).

Holen Sie sich Unterstützung und erstatten Sie Anzeige

In Frankreich vermittelt cybermalveillance.gouv.fr kostenlos Dienstleister in der Nähe und erklärt, wie man Anzeige erstattet; in Deutschland veröffentlicht das BSI die ersten Schritte für Unternehmen. Die Anzeige wird bei der Polizeidienststelle erstattet, zusammen mit den Kopien aus Schritt 01.

Stellen Sie wieder her und beantragen Sie dann die erneute Überprüfung

Setzen Sie die System- und Erweiterungsdateien auf die Herstellerversion zurück, prüfen Sie Ihre eigenen Dateien erneut durch und bringen Sie alles auf den neuesten Stand. Wenn Google die Website meldet, beantragen Sie die Überprüfung im Bericht „Sicherheitsprobleme“ der Search Console erst, nachdem die Website wiederhergestellt ist, und wirklich erst dann: Die Überprüfung bezieht sich auf den Zustand der Website zum Zeitpunkt ihrer Durchführung.

Was der Hoster benötigt

Um eine gesperrte Website wieder freizuschalten oder eine Meldung aufzuheben, will der Hoster verstehen und nachvollziehen. Halten Sie bereit:

Der Zeitraum: seit wann das Verhalten beobachtet wird und das wahrscheinliche Datum des Eindringens laut Protokollen.
Die Liste der hinzugefügten oder geänderten Dateien mit Pfad und Datum sowie der Angabe, was Sie damit gemacht haben (entfernt, wiederhergestellt, in Quarantäne verschoben).
Die Protokollauszüge, die den Zugang belegen: Adressen, Anfragen, Datei-Uploads.
Was behoben wurde: aktualisierte Versionen, entfernte Erweiterungen, geänderte Passwörter, gelöschte Konten.
Der nach der Bereinigung erreichte Zustand, belegt durch eine Analyse, die der Hoster nachvollziehen oder überprüfen kann.

Wie Sie beweisen, was passiert ist

Beweise entstehen im selben Moment – oder gehen verloren:

Bewahren Sie die Kopien unverändert auf und notieren Sie deren Prüfsumme (SHA-256) zum Zeitpunkt der Erstellung: Eine am selben Tag erfasste Prüfsumme belegt später, dass die Kopie unverändert geblieben ist.
Erstellen Sie Screenshots, die die vollständige Adresse, das Datum und die Uhrzeit zeigen — auch von einem Mobiltelefon aus, falls die Umleitung nur auf Mobilgeräte abzielt.
Exportieren Sie die Zugriffsprotokolle und die Abrechnungen Ihres Zahlungsdienstleisters, bevor sie durch die Rotation gelöscht werden.
Für eine hohe Beweiskraft vor Gericht kann ein Gerichtsvollzieher eine Internet-Beweissicherung erstellen.
Für den Hoster, die Bank oder die Versicherung verkürzt ein signierter und mit Zeitstempel versehener, von Dritten überprüfbarer Nachweis den Austausch: Genau das liefert unsere Record-Analyse.

Vor der nächsten Verkaufsspitze

Frieren Sie Änderungen einige Tage vor der Eröffnung ein, bewahren Sie ein datiertes Backup des intakten Zustands auf und lassen Sie diesen Zustand beglaubigen: An dem Tag, an dem sich etwas verändert, wissen Sie, was – und seit wann. Genau das leistet die Watch-Überwachung, jede Nacht, ein Jahr lang.

Die ersten 24 Stunden Wenn Ihre Website eine andere öffnet Wenn der Hoster die Website sperrt Alle Notfälle

Offizielle und normative Quellen

Wie viele Dateien Ihrer Website können ihre Anwesenheit begründen?

Sie erhalten die genaue Anzahl, jede Datei mit Namen, das wahrscheinliche Datum sowie drei unterzeichnete Dokumente, die eine dritte Person überprüfen kann.

Meine Website analysieren — 99 €Preise ansehen