Kurz gesagt
Verschickt Ihr Webspace Spam, liegt meist ein eingeschleustes PHP-Mailskript auf dem Server oder ein Formular wird missbraucht. Anzeichen sind Rückläufer für Mails, die Sie nie geschrieben haben, Hinweise des Hosters und Ihre Domain auf Sperrlisten. Suchen Sie in den Zugriffsprotokollen nach POST-Anfragen an unbekannte PHP-Dateien, besonders im Upload-Ordner.
Ihr Postfach füllt sich mit Rückläufern: „Unzustellbar“, an Adressen, die Sie nie angeschrieben haben. Kurz darauf meldet sich der Hoster, weil von Ihrem Webspace auffällig viele Mails ausgehen. Manchmal ist der Webspace dann schon gesperrt.
Die üblichen Ursachen
- Eingeschleuste Mailskripte. Angreifer laden über eine Lücke ein Programm hoch, das Massenmails verschickt. Sucuri beschreibt etwa „Leaf PHPMailer“: Absender, Betreff und Inhalt lassen sich frei fälschen, gern im Namen bekannter Marken.
- Missbrauchte Formulare. Ein Kontaktformular, bei dem sich Empfänger oder Kopfzeilen von außen beeinflussen lassen, verschickt Spam im Namen Ihrer Seite.
- Erbeutete Postfach-Zugänge. Dann verschickt nicht die Website, sondern ein Postfach. Das Ergebnis ist dasselbe.
Das Skript finden
- In den Zugriffsprotokollen (Access-Log) Ihres Hosters nach vielen
POST-Anfragen an PHP-Dateien suchen, die Sie nicht kennen. - Upload-Ordner prüfen. Unter
wp-content/uploadsgehören nur Bilder und Dokumente. PHP-Dateien dort sind fast immer fremd. - Im Mail-Protokoll des Hosters nachsehen, welches Skript die Mails verschickt hat. Viele Hoster zeigen den Pfad an oder nennen ihn auf Nachfrage.
- Nach verschleiertem Code suchen, wie unter Verdächtige Dateien in WordPress beschrieben.
Und danach
- Skript entfernen, aber vor allem die Lücke schließen, über die es kam. Sonst liegt es morgen wieder da.
- Alle Zugänge ändern: Hosting, FTP, Datenbank, Postfächer, CMS.
- Prüfen, ob Ihre Domain oder die Server-Adresse auf Sperrlisten steht, und die Entfernung beantragen.
- Dem Hoster schreiben, was Sie gefunden und behoben haben. Das beschleunigt die Freigabe.
Ist der Webspace schon gesperrt, lesen Sie auch Hoster sperrt die Website wegen Malware. Für schnelle Hilfe: Notfall: Website gehackt.
Häufige Fragen
- Woher weiß ich, ob die Website oder ein Postfach Spam verschickt?
- Der Hoster sieht es in seinen Mail-Protokollen: Bei der Website steht dort ein Skript als Absender, bei einem Postfach eine Anmeldung mit Benutzername. Fragen Sie im Zweifel nach.
- Kann ein Kontaktformular Spam verschicken?
- Ja, wenn sich Empfänger oder Kopfzeilen von außen beeinflussen lassen oder das Formular keine Begrenzung hat. Gut gebaute Formulare senden nur an feste Adressen und begrenzen die Anzahl der Anfragen.