Möglicher Malware-Befall: was jetzt passiert

Bei unserem täglichen Scan sind auf dem Hosting deiner Website Dateien mit verdächtigem Code aufgefallen. Wir haben den Befund geprüft und gehen von einem echten Befall aus, darum informieren wir dich. Ein Befall bleibt oft lange unbemerkt, weil die Website normal aussieht, während im Hintergrund Spam verschickt, Besucher umgeleitet oder Daten abgegriffen werden.

Was ein Malware-Befall ist

Angreifer nutzen meist eine bekannte Sicherheitslücke in einer veralteten Erweiterung oder ein gestohlenes Passwort, um eigenen Code auf den Server zu laden. Typisch sind Hintertüren (Webshells), über die sie später wiederkommen, verschleierter Code in bestehenden Dateien und Skripte, die Spam versenden oder Besucher auf fremde Seiten umleiten.

Woran man einen Befall erkennt

• Besucher werden auf fremde Seiten umgeleitet, oft nur vom Handy aus oder nur beim Klick aus der Google-Suche.
• Google zeigt im Suchergebnis eine Warnung oder fremde Seiten unter deiner Domain.
• Dein Server verschickt Spam, und E-Mails deiner Domain landen plötzlich im Spam-Ordner der Empfänger.
• Im Verzeichnis der Website liegen Dateien, die niemand angelegt hat.

Viele Befälle zeigen keines dieser Anzeichen, darum scannen wir automatisch.

Wie wir prüfen

Unser Monitoring-Agent auf dem Hosting durchsucht die Dateien deiner Installation etwa einmal täglich nach Mustern, die für Schadcode typisch sind. Die Muster pflegen wir zentral. Ein einzelner schwacher Treffer ist oft ein Fehlalarm, ein gehacktes Hosting hat dagegen meist mehrere verdächtige Dateien. Darum zählen wir die Treffer zusammen und prüfen jeden Befund manuell, bevor wir dich informieren. Konnte der Scan nicht laufen, werten wir das nicht als Entwarnung.

Was danach passiert

1. Wir entfernen den Schadcode und ersetzen veränderte Dateien durch saubere Versionen, wenn nötig aus einem Backup von vor dem Befall.
2. Wir schliessen die Lücke, über die der Angreifer hereinkam, meist mit Updates von CMS und Erweiterungen.
3. Alle Passwörter werden geändert, also für Backend, FTP und SSH, Datenbank und Hosting.
4. Ein erneuter Scan zeigt, ob die Installation sauber ist.

Der Aufwand hängt vom Ausmass des Befalls ab, darum gibt es dafür keinen Pauschalpreis. Regelmässige Sicherheitsupdates sind der beste Schutz, mehr dazu auf der Seite zum Websupport.