Website auf Schadcode prüfen — Scanner helfen, Augen auch.

Drei Ebenen.

Externe Scanner.

Externe Scanner rufen die Website von außen auf und prüfen, was ausgeliefert wird: eingeschleuste Skripte, bekannte Schadlinks, Einträge auf Sperrlisten. Sie sind schnell und brauchen keinen Zugang.

Ihre Grenze: Sie sehen nur, was sie ausgeliefert bekommen. Schadcode, der nur bestimmten Besuchern oder Suchmaschinen gezeigt wird, entgeht ihnen oft. Ebenso alles, was in Dateien schlummert, ohne gerade aktiv zu sein.

Scanner auf dem Server.

Sicherheitserweiterungen und Hoster-Werkzeuge prüfen die Dateien auf dem Server nach bekannten Mustern. Sie finden viele typische Hintertüren und eingeschleuste Skripte.

Ihre Grenze: Sie kennen nur, was sie kennen. Angreifer verschleiern ihren Code, damit er nicht erkannt wird. Und Schadcode in der Datenbank wird nicht immer geprüft.

Vergleich mit Originalen.

Die zuverlässigste Methode: Die Dateien des Systems und der Erweiterungen mit den Originalen aus offizieller Quelle vergleichen. Jede Abweichung ist entweder eine bewusste Anpassung oder ein Fund.

Für WordPress und andere Systeme gibt es Werkzeuge, die genau das tun. Für eigene Dateien — Theme-Anpassungen, eigene Erweiterungen — ist eine Versionsverwaltung oder eine alte Sicherung der Vergleichsmaßstab (Sicherungen).

Die Datenbank.

Schadcode steckt nicht nur in Dateien. Typische Orte in der Datenbank: Einstellungen, die Skripte in jede Seite einfügen, Beiträge mit versteckten Links, neue Administratorkonten, geänderte Weiterleitungen.

Eine gezielte Suche nach typischen Mustern — eingebettete Skripte, verschleierte Zeichenketten, unbekannte Adressen — findet vieles davon.

Typische Verstecke.

• Upload-Verzeichnisse mit ausführbaren Dateien, die dort nichts zu suchen haben.
• Dateien mit unauffälligen Namen, die wie Systemdateien aussehen.
• Zusätzlicher Code am Anfang oder Ende legitimer Dateien.
• Serverkonfiguration mit eingeschleusten Weiterleitungen.
• Must-use-Erweiterungen oder Autoload-Dateien, die immer geladen werden.
• Zeitgesteuerte Aufgaben, die Schadcode nachladen.

Der letzte Punkt erklärt, warum manche Websites nach der Bereinigung wieder befallen sind: Eine Aufgabe lädt den Schadcode regelmäßig neu (Website gehackt).

Schadcode, der sich versteckt.

Manche Angriffe zeigen ihren Inhalt nur Suchmaschinen — etwa Spamseiten für Medikamente oder Glücksspiel. Besucher und Betreiber sehen nichts. Hinweise: merkwürdige Einträge in der Search Console, eine Suche nach der eigenen Domain mit typischen Spambegriffen, plötzlich viele indexierte Seiten (Indexierung).

Wenn etwas gefunden wird.

Ein Fund heißt: Die Website ist kompromittiert. Dann reicht es nicht, die gefundene Datei zu löschen — das Einfallstor muss gefunden und geschlossen werden, und es kann weitere Funde geben (Erste Schritte).

Regelmäßig prüfen.

Eine Überwachung, die Dateiänderungen meldet, ist wirksamer als gelegentliche Scans: Sie bemerkt Veränderungen sofort, nicht erst beim nächsten Scan. Dazu gehören regelmäßige Updates, die die Einfallstore schließen, bevor sie genutzt werden (Veraltete Software).

Wenn du nicht weiterkommst.

Wenn du wissen willst, ob deine Website wirklich sauber ist. Ich sehe mir deine Website an, sage dir, wo die Risiken liegen, und setze um, was nötig ist. Die Übersicht findest du unter Website-Sicherheit; wenn es gerade brennt, hilft der Notfall-Support.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Website-Sicherheit gehört zu meiner täglichen Arbeit — ich härte WordPress, TYPO3, Shopware und eigene PHP-Anwendungen, richte Sicherungen und Überwachung ein und habe zahlreiche kompromittierte Websites bereinigt. Als Dozent erkläre ich regelmäßig, wie Angriffe auf Websites tatsächlich ablaufen.

Ich bin kein zertifizierter Penetrationstester und behaupte das auch nicht. Was ich biete: die Grundlagen, die den Großteil realer Angriffe abwehren, sauber umgesetzt — und eine ehrliche Einschätzung, wann zusätzlich ein spezialisierter Prüfer sinnvoll ist.

Was du bekommst: eine Bestandsaufnahme in verständlicher Sprache, Maßnahmen nach Dringlichkeit und eine Website, die nicht beim ersten automatisierten Angriff fällt.