Wurde Ihre Firmenwebsite gehackt? Warnzeichen und nächste Schritte

Kurz erklärt: Fachleute einbeziehen und Beobachtungen festhalten

Verhält sich Ihre Website unerwartet oder meldet Ihr Anbieter verdächtige Aktivitäten, kontaktieren Sie jetzt das zuständige Team. Notieren Sie, was Ihnen wann aufgefallen ist, bestimmen Sie eine Ansprechperson und lassen Sie das Problem unter Erhalt wichtiger Beweise eindämmen. Sie müssen den Server nicht selbst untersuchen. Eine Sicherheitslücke bedeutet nicht automatisch einen erfolgreichen Angriff. Eine normal wirkende Website beweist umgekehrt nicht, dass alles sicher ist.

Warnzeichen, die Ihnen auffallen können

• Besucher werden auf unbekannte Seiten weitergeleitet oder sehen nicht freigegebene Inhalte.
• Zahlungsanweisungen, Bankverbindungen oder Seiten im Bestellprozess ändern sich unerwartet.
• Sie erhalten Meldungen über neue Administratorkonten, ungewöhnliche Anmeldungen oder Änderungen, die niemand zuordnen kann.
• Kunden berichten von verdächtigen Nachrichten oder Aktivitäten im Zusammenhang mit Ihrer Website.
• Ihr Hosting-Anbieter, Browser oder Sicherheitsdienst warnt vor der Seite.

Das sind Gründe für eine Untersuchung und kein Beweis für eine bestimmte Ursache. Auch ein fehlerhaftes Update oder eine berechtigte Änderung kann eine Warnung erklären. Eine unauffällige, funktionierende Website kann zugleich unbefugte Zugriffe verbergen.

Ihre ersten Schritte als Geschäftsinhaber

Kontaktieren Sie Ihren Hosting-Anbieter, Ihre Webagentur oder die interne IT-Leitung über einen vertrauenswürdigen Kontaktweg. Klären Sie, wer den Vorfall koordiniert und wann Sie die nächste Rückmeldung erhalten. Nennen Sie die Websites, Shops und verbundenen Anwendungen, die für Ihr Unternehmen besonders wichtig sind.

Bewahren Sie Screenshots, Warnmeldungen und Kundenhinweise auf und notieren Sie den Zeitpunkt Ihrer ersten Beobachtung. Veröffentlichen Sie keine vertraulichen Belege. Lassen Sie das technische Team die relevanten Aufzeichnungen vor der Bereinigung sichern. Löschen Sie nicht eigenständig Dateien, spielen Sie nicht vorschnell ein Backup zurück und veranlassen Sie keinen ungeplanten Neustart. Dabei können wichtige Spuren verloren gehen.

Entsteht gerade ein Schaden, lassen Sie ihn von den zuständigen Fachleuten unverzüglich eindämmen. Klären Sie, ob vorübergehende Einschränkungen nötig sind. Geänderte Zahlungsdaten können beispielsweise eine rasche Entscheidung über die Annahme weiterer Bestellungen erfordern. Vereinbaren Sie, wie Kunden und Mitarbeitende informiert werden.

Diese Nachricht können Sie Ihrem Anbieter senden

Uns ist folgende unerwartete Aktivität aufgefallen: [Beobachtung und Zeitpunkt ergänzen]. Bitte untersuchen Sie, ob unbefugter Zugriff auf unsere Website oder verbundene Systeme stattgefunden hat. Sichern Sie relevante Beweise, empfehlen Sie die nötigen Sofortmassnahmen und teilen Sie uns mit, welche Dienste und Daten betroffen sein könnten. Unterscheiden Sie bitte bestätigte Befunde, Verdachtsmomente und offene Fragen. Bestätigen Sie, wer die Reaktion koordiniert, wann die nächste Rückmeldung erfolgt und unter welchen Voraussetzungen ein sicherer Normalbetrieb möglich ist. Falls PHP2Shell relevant ist, bestätigen Sie den Update-Status bitte gesondert.

Fordern Sie Antworten für Ihre geschäftlichen Entscheidungen

• Was ist bestätigt, was wird vermutet und was ist noch unbekannt?
• Welche Websites, Konten, Kundendaten und verbundenen Dienste werden untersucht?
• Ist die Aktivität eingedämmt und welche Einschränkungen bleiben nötig?
• Was muss vor der Rückkehr zum Normalbetrieb erledigt werden und wie wird das Ergebnis geprüft?
• Wer übernimmt die nächsten Aufgaben und wann erhalten wir eine Rückmeldung?

Ein brauchbarer Bericht erklärt, was geprüft wurde und wo die Grenzen der Untersuchung liegen. «Keine Hinweise in den vorhandenen Protokollen gefunden» ist kein Beweis dafür, dass niemand Zugriff hatte. Könnten Kunden- oder Geschäftsdaten betroffen sein, beziehen Sie die zuständigen Datenschutz-, Rechts- und Führungsverantwortlichen ein, damit diese die nötige Kommunikation beurteilen.

Software aktualisieren und den Vorfall untersuchen sind getrennte Aufgaben

Lassen Sie bei PHP2Shell bestätigen, dass die Sicherheitsupdates installiert sind und tatsächlich verwendet werden. War ein Angreifer bereits eingedrungen, entfernt das Update allein seinen Zugang nicht und erklärt auch nicht den Ablauf. Eine Wiederherstellung kann einen Neuaufbau aus vertrauenswürdiger Quelle, den Austausch offengelegter Zugangsdaten und die Prüfung wiederhergestellter Daten erfordern. Das technische Team sollte das gewählte Vorgehen und verbleibende Unsicherheiten erklären.

Unterstützung bei der Einordnung der Anbieterantwort

Kontaktieren Sie Farland Technology GmbH, um die Situation und Ihren Unterstützungsbedarf zu besprechen. Nennen Sie Ihre Website-Adressen, einen kurzen zeitlichen Ablauf und die schriftlichen Befunde Ihres Anbieters. Senden Sie keine Passwörter oder Kundendatensätze über das Kontaktformular. Starten Sie das Gespräch über den Link «Anfrage erstellen» unten auf der Seite.

Technischer Anhang: Erste Ubuntu-Prüfung für Ihr IT-Team

Dieser Abschnitt richtet sich an autorisierte Administratoren und Fachleute für die Vorfallanalyse. Er unterstützt die erste Einordnung und ersetzt keine vollständige forensische Untersuchung. Stimmen Sie zuerst Eindämmung und Beweissicherung ab. Behandeln Sie Ausgaben vertraulich und sichern Sie geschützte Kopien ausserhalb des verdächtigen Systems.

Das relevante Zeitfenster prüfen

date -u

sudo journalctl --utc --since '2026-10-20 00:00:00 UTC' --no-pager

Wählen Sie einen Beginn vor dem frühesten vermuteten Zugriff. Berücksichtigen Sie rotierte Web-, Anwendungs- und Authentifizierungsprotokolle sowie externe Anbieter-, CDN- und Audit-Daten. Das Journal allein ist unvollständig. Manche Anfragedaten wurden möglicherweise nie aufgezeichnet.

Änderungen mit einem vertrauenswürdigen Deployment vergleichen

sudo find /var/www/your-app -xdev -type f -mtime -7 -print

Ersetzen Sie Pfad und Zeitraum. Prüfen Sie Code, Uploads, Konfiguration, Datenbankänderungen und Skripte im Bestellprozess anhand eines andernorts aufbewahrten, unveränderten Releases. Dateizeiten können gefälscht sein, und berechtigte Deployments ändern ebenfalls Dateien. Führen Sie verdächtige Skripte nicht aus.

Prozesse, Verbindungen und dauerhafte Zugänge abgleichen

ps -eo user,pid,ppid,lstart,args --forest

sudo ss -tpn

Diese Ausgaben sind Momentaufnahmen und kein historischer Nachweis. Gleichen Sie auffällige Webprozesse mit externen Aufzeichnungen und legitimen Aufgaben ab. Prüfen Sie Konten, SSH-Schlüssel, geplante Aufgaben, systemd-Dienste, Anwendungsjobs und Cloud-Tokens. Ist die Integrität nicht feststellbar, planen Sie einen bereinigten Neuaufbau, prüfen Sie Backups und widerrufen Sie offengelegte Zugänge nach der Eindämmung. Lokale Werkzeuge können auf einem kompromittierten System unzuverlässig sein.

Quellen und Prüfdatum

Veröffentlicht am 21. Oktober 2026. Zuletzt geprüft am 22. Oktober 2026.

• NCSC: Planung der Vorfallreaktion: https://www.ncsc.gov.uk/collection/incident-management/cyber-incident-response-processes
• CISA: Protokollierung: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/use-logging-on-business-systems
• NSA und ASD: Webshell-Erkennung: https://media.defense.gov/2020/Jun/09/2002313081/-1/-1/0/CSI-DETECT-AND-PREVENT-WEB-SHELL-MALWARE-20200422.PDF
• Elastic: auffällige Webserver-Prozesse: https://www.elastic.co/docs/reference/security/prebuilt-rules/rules/linux/persistence_webserver_suspicious_command_execution
• CISA: Incident-Response-Playbooks: https://www.cisa.gov/sites/default/files/2024-08/Federal_Government_Cybersecurity_Incident_and_Vulnerability_Response_Playbooks_508C.pdf