Reicht es, die alte Startseite wieder hochzuladen?

Nein. Damit ist nur das Sichtbare repariert. Die Lücke, über die der Angreifer kam, und mögliche Hintertüren bleiben.

Wurden auch Daten gestohlen?

Das lässt sich ohne Prüfung nicht sagen. Wer Dateien ersetzen konnte, konnte meist auch Konfigurationsdateien und damit Datenbank-Zugänge lesen. Die Zugriffsprotokolle geben Hinweise.

„Hacked by …“ auf der Startseite: was bei einem Defacement zu tun ist

Kurz gesagt

Steht auf Ihrer Startseite „Hacked by“ mit fremden Namen, Parolen oder Musik, wurde die Seite verunstaltet (Defacement). Der Angreifer hatte Schreibzugriff auf Ihre Dateien oder Ihr CMS. Nehmen Sie die Seite vom Netz, sichern Sie den Zustand, spielen Sie eine saubere Fassung ein und schließen Sie vor allem die Lücke, sonst folgt der nächste Besuch.

Ein Defacement ist der lauteste Hack, den es gibt. Statt Ihrer Startseite erscheint ein schwarzer Bildschirm mit „Hacked by“, einem Pseudonym, oft Grüßen an andere Gruppen oder politischen Parolen. Wer das macht, will gesehen werden.

Was das bedeutet

Die gute Nachricht: Defacements sind selten raffiniert. Oft nutzen die Täter automatisch gefundene Lücken in veralteten Plugins, Themes oder Erweiterungen und tauschen nur die Startseite aus. Die schlechte: Wer Ihre Startseite ersetzen konnte, konnte auch alles andere. Gehen Sie deshalb davon aus, dass der Angreifer Schreibzugriff auf den Webspace hatte und womöglich mehr hinterlassen hat als die sichtbare Seite.

In dieser Reihenfolge

Screenshot und Sicherung anlegen, bevor Sie etwas ändern. Für die Ursachensuche und gegebenenfalls eine Anzeige.
Seite vom Netz nehmen oder eine schlichte Wartungsseite schalten.
Geänderte Dateien finden. Meist ist es die index.php oder index.html, manchmal die .htaccess. Sehen Sie aber auch nach weiteren Dateien mit gleichem Änderungsdatum, besonders nach Webshells.
Zugriffsprotokolle prüfen: Welche Anfrage kam kurz vor der Änderung? Das führt oft direkt zur Lücke.
Saubere Fassung einspielen, CMS und Erweiterungen aktualisieren, nicht benötigte entfernen.
Alle Zugänge ändern, auch FTP, Hosting und Datenbank, und fremde Administratoren entfernen.

Anzeige erstatten?

Ein Defacement ist in Deutschland in der Regel strafbar, etwa als Datenveränderung. Eine Anzeige ist bei der Polizei möglich, viele Länder haben dafür Zentrale Ansprechstellen Cybercrime für Unternehmen. Für die Anzeige helfen Screenshot, Zeitpunkt und die Zugriffsprotokolle. Das ist keine Rechtsberatung.

Den allgemeinen Ablauf beschreibt Website gehackt: Was jetzt zu tun ist. Soll es schnell gehen: Notfall: Website gehackt.

Häufige Fragen

Reicht es, die alte Startseite wieder hochzuladen?: Nein. Damit ist nur das Sichtbare repariert. Die Lücke, über die der Angreifer kam, und mögliche Hintertüren bleiben.
Wurden auch Daten gestohlen?: Das lässt sich ohne Prüfung nicht sagen. Wer Dateien ersetzen konnte, konnte meist auch Konfigurationsdateien und damit Datenbank-Zugänge lesen. Die Zugriffsprotokolle geben Hinweise.

Gehört zum BereichIT-Sicherheit