Meine Website wurde gehackt: was ich getan habe, Schritt für Schritt

Was passiert ist

Meine Website war ein WordPress mit Sicherheits- und Anti-Spam-Plugins, und genau damit verdiene ich mein Geld. Trotzdem fand jemand einen Weg hinein und nutzte ihn für zwei Dinge:

• Versteckte Links zu Casino-Websites im Fußbereich meiner Seiten, für Besucher unsichtbar, für Google nicht.
• Hunderte Spamseiten innerhalb meiner Domain, in Ordnern, die ich nie angelegt hatte. Manche trugen Namen wie andere Websites, um seriös zu wirken.

Es ging nicht um meine Website selbst, sondern um das Vertrauen, das Google meiner Domain schenkte, um Glücksspielseiten zu platzieren. Das ist einer der häufigsten Angriffe auf WordPress.

Man muss kein großes Unternehmen sein, um angegriffen zu werden. Ein WordPress mit einer ausnutzbaren Lücke genügt.

Wie ich es bemerkt habe

Die Website sah normal aus. Der erste Hinweis war ein anderer: Der Server meines Hostings lief ohne erkennbaren Grund auf 100 % CPU- und RAM-Auslastung. Als ich der Ursache nachging, fand ich sie: Das WordPress lieferte Hunderte Spamseiten aus, die ich nie angelegt hatte, und Bots riefen sie ununterbrochen auf.

Bei Google habe ich es dann bestätigt: Die Suche nach site:josecabello.net casino lieferte rund 630 Ergebnisse mit Casinoseiten unter meiner Domain.

In der Search Console, dem kostenlosen Google-Werkzeug für Websitebetreiber, gab es weder Sicherheitswarnungen noch manuelle Maßnahmen. Deshalb lohnt es sich, ab und zu zu prüfen, welche Ihrer Seiten Google zeigt: Das Problem kann da sein, auch wenn niemand Sie warnt.

Woran Sie einen Hack erkennen, erkläre ich in Website gehackt: was jetzt zu tun ist.

Die Entscheidung: bereinigen oder neu bauen

Ein gehacktes WordPress lässt sich bereinigen, und ich habe das oft für Kunden getan: Kern, Theme und Plugins neu installieren, die Datenbank prüfen, alle Passwörter ändern und die Tür schließen, durch die die Angreifer kamen. Aber es bleibt ein Risiko: Bleibt eine einzige Hintertür, kommen sie zurück.

Auch eine Sicherung zurückzuspielen war keine Option. Sicherungen hatte ich, aber der Hack steckte seit Monaten unbemerkt im System, sodass alle infiziert waren.

Meine Website diente vor allem der Präsentation: meine Leistungen, meine Projekte, meine Beiträge. Ein Content-Management-System brauchte sie nicht. Also habe ich sie von Grund auf in HTML und CSS neu gebaut, ohne WordPress, ohne Plugins und ohne Datenbank. Ohne die ausgenutzte Software verschwand auch dieser Zugang.

Schwanken Sie zwischen beiden Wegen, finden Sie mehr dazu in WordPress: Vor- und Nachteile und Was ist ein CMS und braucht Ihr Unternehmen eins?

Was ich getan habe, Schritt für Schritt

1. Ich habe die Website in statischem HTML neu gebaut, zuerst mit demselben Design und dann verbessert, auf Spanisch, Englisch und Deutsch, und sie anstelle von WordPress veröffentlicht.
2. Ich habe WordPress vollständig vom Server gelöscht, einschließlich der Spamordner. Das Hosting war nicht betroffen, nur diese Installation.
3. Ich habe ein neues Kontaktformular eingerichtet, ohne WordPress, mit einem sicheren Versanddienst und Spamschutz, um keine Anfragen zu verlieren.
4. Ich habe die Spamseiten mit „410, entfernt“ antworten lassen. Das sagt Google, dass diese Seiten nicht mehr existieren und nicht zurückkommen, damit sie schneller verschwinden als bei einem einfachen 404-Fehler.
5. Ich habe Google gebeten, sie sofort auszublenden: In der Search Console habe ich unter „Entfernungen“ jeden Spamordner gemeldet. Die Anträge wurden noch am selben Tag genehmigt.
6. Ich habe die alten Beiträge, die es wert waren, weitergeleitet auf ihre neuen, überarbeiteten Fassungen, um nicht zu verlieren, was bei Google bereits funktionierte.
7. Ich habe die neue Sitemap eingereicht, damit Google die neue Website kennenlernt.

Das Ergebnis

Am selben Tag, an dem die Entfernungen genehmigt wurden, sank die Suche site:josecabello.net casino von rund 630 Ergebnissen auf 5, und diese 5 waren alte Seiten, die bereits als entfernt oder weitergeleitet antworteten.

Bei den Fristen sollte man ehrlich sein: Die Entfernung in der Search Console blendet Seiten für einige Monate aus; der 410-Status sorgt dafür, dass Google sie beim erneuten Crawlen endgültig löscht. Deshalb sollten Sie die Ergebnisse in den folgenden Wochen weiter prüfen, bis sie bei null sind.

Ich habe die Gelegenheit außerdem für einen Strategiewechsel genutzt: statt Beiträgen für mehr Besuche Ratgeber, die beantworten, was meine Kunden fragen. Mehr dazu in Die harte Wahrheit über SEO.

Was ich gelernt habe

• Sicherheits-Plugins helfen, machen aber nicht unverwundbar. Ich hatte sie, und trotzdem kamen sie hinein. Sicherheit entsteht durch weniger angreifbare Teile, nicht durch zusätzliche.
• Ein grundlos überlasteter Server ist ein Alarmsignal. Steigt die CPU- oder Speicherauslastung ohne mehr Besucher, gehen Sie dem nach: Es kann ein Hack sein.
• Schauen Sie ab und zu bei Google nach. Eine site:-Suche nach Ihrer Domain verrät mehr als viele Dashboards.
• Eine Sicherung nützt nichts, wenn sie ebenfalls infiziert ist. Ich hatte Sicherungen, aber die Infektion steckte seit Monaten im System, und alle trugen sie mit sich. Bewahren Sie ältere Sicherungen länger und außerhalb der Website auf und verlassen Sie sich nicht nur auf die neueste.
• Wählen Sie die Technik nach Bedarf. Für eine Präsentationswebsite ist eine statische Website einfacher zu pflegen und viel schwerer anzugreifen.
• Handeln Sie schnell und geordnet. Je früher der Spam verschwindet, desto kürzer verbindet Google Ihre Domain damit.

Häufige Fragen