Seite gehackt - automatische Info vom Webhoster?

[Gelöschtes Mitglied 63]

Hi, ich habe heute durch Zufall auf Google festgestellt, dass scheinbar zwei meiner Webseiten zwischenzeitlich gehackt wurden.

Beim Besuch meiner Seiten ist mir dies jedoch nie aufgefallen. Mittlerweile scheint alles wieder normal zu sein.


Bekommt man da nicht eventuell ne automatische Info vom Webhoster? Und wie kann es sein, dass ohne mein Eingreifen wieder alles normal wurde?

 

[felix]

Ich denke das ist abhängig vom Webhoster ob man benachrichtigt wird oder nicht.
Dass es wieder normal wurde kann eigentlich nur der Fall sein, wenn ein Backup eingespielt wurde.
Allerdings ist es dann sehr wahrscheinlich, dass du in Kürze wieder gehackt wirst, wenn du keine Wordpress und Plugin Updates machst.

 

[jdomain]

@vipstar
Ich wäre mir an deiner Stelle nicht so sicher, ob wieder alles normal ist.
Die WP-Seite von dir wurde gehackt, um Black-Hat-SEO zu betreiben und das ist ja offensichtlich noch da.


Meine Empfehlung:
entweder
den gesamten Webspace leeren, alle Passwörter (SSH-,FTP-Login etc.) ändern und die WP Seite komplett neu aufsetzen und dann in Zukunft Updates etc. zeitnah einspielen (wie @felix auch bereits schon erwähnt hat) und ein Security-Plugin einsetzen (z.B. NinjaFirewall oder Wordfence (bei Wordfence recherchieren, wie man das dsgvo-konform machen kann))
oder
selber versuchen die Lücke zu schließen und das Black-Hat-SEO rückgängig machen (Problem: je nach Erfahrung kann man vieles auch übersehen)
oder
du beauftragst einen spezialisierten WP Cleanup Service, wie z.B. Sucuri oder NinTechNet oder Wordfence oder Website-Bereinigung

Ich persönlich würde je nach Webseite, entweder einen Cleanup Service beauftragen oder bei kleinen, unbedeutenden Webseiten Variante 1 machen.

 

[jdomain]

@vipstar

Augenscheinlich ist das Problem nicht mehr da.

Wie hast du es gelöst?

Ist ggf. auch für andere Betroffene interessant zu wissen.

 

[Gelöschtes Mitglied 63]

Ich habe die kostengünstige, aber zeitintensive Variante gewählt und alles komplett neu aufgesetzt.
Also Wordpress gelöscht, Datenbank geleert, Passwörter geändert und die Inhalte dann einzeln auf einer temporären Domain neu erstellt.
Da das Projekt noch recht jung war und bis auf einem Sale keine Einnahmen vorhanden waren, konnte ich mir das erlauben (ist zum Glück auch nur mein Hobby!).
Wird mich bei der Tante sicher erst einmal zurückwerfen, aber so ist das eben. Und wenn wir schonmal beim Thema sind, bei G habe ich dann auch diese Art Verifizierungsprozess durchlaufen, dass ich die Seite von den schädlichen Inhalten bereinigt habe. Jetzt ist der Hinweis zum Glück weg.
Ich nutze jetzt die Gratis Version von Wordfence Security und muss feststellen, dass genau diese Seite im Gegensatz zu meinen anderen Seite arg torpediert wird.

Übrigens hatte ich 12 Tage nach meinem Post eine Mail von all-inkl erhalten:
"Bei einem routinemäßigen Scan wurden in Ihrem Account xxxxxxxxxxxx problematische Dateien gefunden. Um die Besucher Ihrer Webseite zu schützen, haben wir diese Dateien nach Möglichkeit umbenannt und gesperrt."

Nachtrag: Eventuell wechsel ich aber noch zeitnah auf die NinjaFirewall, um datenschutzrechtlich alles zu erfüllen.

 

[jdomain]

Ich habe die kostengünstige, aber zeitintensive Variante gewählt und alles komplett neu aufgesetzt.
Also Wordpress gelöscht, Datenbank geleert, Passwörter geändert und die Inhalte dann einzeln auf einer temporären Domain neu erstellt.
Da das Projekt noch recht jung war und bis auf einem Sale keine Einnahmen vorhanden waren, konnte ich mir das erlauben (ist zum Glück auch nur mein Hobby!).
Wird mich bei der Tante sicher erst einmal zurückwerfen, aber so ist das eben. Und wenn wir schonmal beim Thema sind, bei G habe ich dann auch diese Art Verifizierungsprozess durchlaufen, dass ich die Seite von den schädlichen Inhalten bereinigt habe. Jetzt ist der Hinweis zum Glück weg.
Ich nutze jetzt die Gratis Version von Wordfence Security und muss feststellen, dass genau diese Seite im Gegensatz zu meinen anderen Seite arg torpediert wird.

Übrigens hatte ich 12 Tage nach meinem Post eine Mail von all-inkl erhalten:
"Bei einem routinemäßigen Scan wurden in Ihrem Account xxxxxxxxxxxx problematische Dateien gefunden. Um die Besucher Ihrer Webseite zu schützen, haben wir diese Dateien nach Möglichkeit umbenannt und gesperrt."

Nachtrag: Eventuell wechsel ich aber noch zeitnah auf die NinjaFirewall, um datenschutzrechtlich alles zu erfüllen.

Das klingt doch mal gut.
Freut mich für dich, dass jetzt wieder alles in Ordnung ist.

Bzgl. Firewall kann ich dir sagen: Ich setze auf den meisten WP-Installationen, die ich betreue, NinjaFirewall ein, einfach weil es datenschutzkonformer und ressourcensparender als Wordfence ist. Wordfence hat aber natürlich auch seine Daseinsberechtigung, gerade in der Premium-Version ist Wordfence schon nahezu konkurrenzlos, da die auch sehr viel Pionierarbeit in Sachen (Zero-Day-)Exploits finden etc. machen. Um Wordfence einigermaßen dsgvo-konform zu machen, solltest du mit denen ein Data Processing Agreement abschließen (Link) und Wordfence und dessen Cookies in der DSE erwähnen.
Ich persönlich bin Ninjafirewall-Fan, da es zum einen Wert auf Datenschutz legt und zum anderen leichtgewichtiger ist. Ich kann aber auch verstehen, wenn man Wordfence benutzt. Außerdem finde ich es bei Wordfence nicht gut, dass man Firewall-Rules von aktuellen Exploits erst nach 30 Tagen in der Free und in der Pro-Version sofort bekommt.
Bei Ninjafirewall gibt es diese krassen Unterschiede nicht.
Solltest du von Wordfence weg wollen: Schau dir im Internet mal an, wie man Wordfence sauber deinstalliert, denn Wordfence verwurzelt sich leider (wobei das bei einer Firewall eigentlich gut ist) sehr stark in der WP-Installation.

PS: Wenn du Fragen zu Ninjafirewall (oder auch zu Wordfence) hast, bin ich gerne erreichbar (per PN).

 

[hclo4]

Wer mit Plesk arbeitet, findet dort im Wordpress Toolkit schon einige wichtige Einstellungen zum Thema Sicherheit. Einfach auf den Link "Security Status klicken".

 

[Gelöschtes Mitglied 63]

Wer mit Plesk arbeitet, [...]

Kannst du hier noch ein bisschen mehr verraten? Was ist Plesk? Läuft dies über den Provider?

 

[hclo4]

Plesk ist ein Konfigurationstool für Webhosting, mit dem Du Domains und Websites auf einem Linux Server konfigurieren kannst. Du kannst damit u.a. deinen Webserver & Mailserver konfigurieren, Backups einspielen, kostenlose SSL-Zertifikate per Let's encrypt installieren und noch sehr viel mehr: https://www.plesk.com

In den letzten Jahren sind immer mehr Tools für Wordpress dazugekommen: Du kannst Wordpress u.a. mit einem Klick installieren, Plugins und Themes installieren oder updaten, Backups anlegen, Webseiten migrieren und eben auch die wichtigsten Sicherheitseinstellungen mit einem Klick anpassen. Wenn Du viele Seiten hast, spart das unglaublich viel Zeit.

Bei manchen Webhosting Paketen ist Plesk bereits mit dabei, vor allem aber bei Servern oder virtuellen Servern (gibt es schon für unter 50 Euro/Monat).