Warum Websites gehackt werden und wie man es verhindert

„Wer würde schon unsere kleine Website angreifen?” Diesen Satz hört man oft. Die Antwort ist unbequem: fast niemand Bestimmtes. Die meisten Angriffe werden von automatisierten Bots ausgeführt, die ständig Tausende Websites nach bekannten Schwachstellen absuchen. Wer Sie sind, ist ihnen egal. Wichtig ist nur, ob Sie verwundbar sind.

Warum ein Angreifer Ihre Website will

• um Spam von Ihrem Server zu versenden,
• für versteckte Links, die das Ranking anderer Seiten verbessern,
• um Besucher auf betrügerische Seiten umzuleiten,
• um Kundendaten oder Zahlungsinformationen zu stehlen,
• um Malware weiterzuverbreiten.

Die Folgen sind meist eine Warnung im Browser, das Entfernen aus Google, gesperrte Anzeigen und verlorenes Vertrauen der Kunden.

Die häufigsten Ursachen

Veraltete Plugins und Themes

Mit Abstand die Ursache Nummer eins. Wenn in einem Plugin eine Schwachstelle auftaucht, veröffentlicht der Autor eine Korrektur, und gleichzeitig wird öffentlich, was falsch war. Innerhalb von Stunden suchen Bots nach Websites, die das Update noch nicht haben.

Schwache oder mehrfach verwendete Passwörter

„admin” und ein Passwort, das auch bei einem anderen Dienst verwendet wird. Nach einem Datenleck bei irgendeinem Dienst probieren Angreifer es überall aus.

Eine veraltete PHP-Version

Alte PHP-Versionen erhalten keine Sicherheitskorrekturen mehr. Die Website „funktioniert” vielleicht noch, läuft aber auf einem Fundament, das niemand mehr repariert.

Raubkopierte Premium-Plugins

„Kostenlose” Versionen kostenpflichtiger Plugins von zweifelhaften Seiten enthalten sehr oft Hintertüren.

Schlecht geschriebener eigener Code

Ein Formular, das Eingaben nicht prüft, oder ein Login ohne Begrenzung der Versuche. Hier macht die Erfahrung des Entwicklers den Unterschied.

Was Sie sofort tun können

• Aktualisieren Sie WordPress, Plugins und Themes und löschen Sie die, die Sie nicht nutzen.
• Aktivieren Sie die Zwei-Faktor-Anmeldung für Administratoren.
• Verwenden Sie einzigartige starke Passwörter und einen Passwortmanager.
• Prüfen Sie, ob Sie Backups außerhalb des Servers haben.
• Prüfen Sie die PHP-Version bei Ihrem Hoster.

Was langfristiger Schutz umfasst

Sicherheit ist keine einmalige Aufgabe. Dazu gehören regelmäßige Wartung, eine Firewall auf Website- oder Serverebene, die Begrenzung von Anmeldeversuchen, die Überwachung von Dateiänderungen und Verfügbarkeit sowie ein Plan für den Ernstfall. Genau das deckt die Website-Wartung ab.

Zusammenfassung

Die meisten Angriffe lassen sich mit einfacher Disziplin verhindern: Updates, starke Passwörter, Backups und guter Code. Wenn Sie vermuten, dass mit Ihrer Website etwas nicht stimmt, oder Sie sie überwachen lassen möchten, melden Sie sich.