Deine Webseite läuft normal. Heißt das, dass alles in Ordnung ist?

Vergangene Woche erhielt ich eine automatisierte E-Mail von der Webseite eines ehemaligen Kunden: Das Passwort meines Benutzerkontos wurde geändert. Ich habe es aber nicht geändert. Der Kunde selbst auch nicht.

Ein Blick ins WordPress Backend zeigte, woran das lag. Jemand hatte sich Zugang verschafft, ein eigenes Administratorkonto angelegt und Schadsoftware installiert, die als harmloses Plug-in getarnt war. Für Besucher sah die Seite dabei völlig unverändert aus. Normale Ladezeiten, funktionierende Formulare, keine seltsamen Weiterleitungen. Nichts.

Der Angriff selbst ist nicht das Interessante an diesem Fall. Interessant ist, wie er aufgefallen ist: über eine Benachrichtigung an ein altes Konto, das längst gelöscht sein sollte. Reiner Zufall. Ohne diesen Zufall wäre die Sache vermutlich deutlich länger unbemerkt geblieben.

Woher das kommt

Im Juli wurde eine Sicherheitslücke in WordPress bekannt, dem System, auf dem ein Großteil aller Webseiten läuft – auch von vielen Versicherungsmaklern. Normalerweise stecken solche Lücken in Zusatzmodulen, die man im Zweifel deaktivieren oder austauschen kann. Diesmal steckte sie in WordPress selbst, und das ist ein Unterschied: Betroffen war damit praktisch jede Installation, die nicht aktuell war, unabhängig davon, wie sie gebaut wurde oder was sonst darauf lief.

WordPress hat am selben Tag ein Update bereitgestellt, das ist die gute Nachricht. Die schlechte ist, dass die ersten Angriffe bereits liefen, bevor die meisten Betreiber überhaupt davon gehört hatten. Solche Angriffe laufen vollautomatisch: Programme klopfen der Reihe nach Millionen Webseiten ab und prüfen, ob eine Version veraltet ist. Ein einzelner Sicherheitsdienstleister hat allein über seine eigene Schutzsoftware mehr als elf Millionen Versuche abgefangen, und auch das Bundesamt für Sicherheit in der Informationstechnik hat eine eigene Warnung herausgegeben.

Die Welle läuft weiter. Alle drei Fälle in diesem Beitrag ereigneten sich vergangene Woche. Also einige Wochen nach Bekanntwerden der Sicherheitslücke.

“Die Seite ist doch nur eine Visitenkarte”

Fünf Unterseiten, ein Kontaktformular, seit Jahren unverändert. Keine laufende Betreuung, weil es aus Sicht des Inhabers auch nichts zu betreuen gab. Gemerkt hat er den Vorfall, als die Seite nicht mehr erreichbar war und er sich nicht mehr einloggen konnte.

Die Bereinigung hat uns zwei volle Arbeitstage gekostet. Das klingt nach viel für eine so kleine Seite, ist aber der Normalfall: Eine infizierte Installation kann man nicht einfach sauber machen. Also jede Datei prüfen, alle Benutzerkonten kontrollieren, betroffene Teile neu aufbauen und am Ende verifizieren, dass wirklich nichts zurückgeblieben ist. Zwei Tage Aufwand sind mehr, als die Wartung dieser Seite über Jahre gekostet hätte.

Der Denkfehler dahinter ist verbreitet und durchaus nachvollziehbar: Wer angegriffen wird, muss doch irgendwie interessant sein. Nur interessiert sich für Deine Seite kein Mensch, sondern ein Skript und das fragt nicht, was Du machst oder wie groß Du bist. Es fragt nach einer Versionsnummer.

“Ich mache die Updates selbst”

Das ist der Fall vom Anfang. Wir hatten die Webseite ursprünglich gebaut, betreut haben wir sie nicht, weil der Kunde das selbst übernehmen wollte. Daran ist überhaupt nichts falsch. Eingespielt wurden die Updates dann allerdings nicht.

Dass überhaupt jemand etwas gemerkt hat, lag an einem Nebeneffekt: In der Installation existierte noch ein altes Konto von uns, und WordPress verschickt bei Passwortänderungen automatisch eine Benachrichtigung. So konnten wir schnell reagieren und Schlimmeres verhindern.

Zwei Dinge nimmt man daraus mit. Das erste ist banal:

1. Selbst machen funktioniert, solange es gemacht wird. Ein Update-Hinweis, den man drei Monate lang wegklickt, ist gefährlicher als gar keine Webseite.
2. Ist unangenehmer. In fast jeder Installation, die wir übernehmen, finden wir Konten, die niemand mehr zuordnen kann – frühere Dienstleister, Praktikanten, ausgeschiedene Mitarbeiter, die Agentur von vor drei Relaunches. Hier war so ein Konto ausnahmsweise nützlich. Normalerweise ist es schlicht eine offene Tür, von der niemand mehr weiß.

“Wir haben doch einen Wartungsvertrag”

Bei einem Kunden, für den wir ausschließlich Marketing machen, fiel uns während der laufenden Arbeit auf, dass die Webseite seit Monaten nicht aktualisiert worden war. Die Technik lag bei einer anderen Agentur, also haben wir den Kunden darauf hingewiesen. Seine Reaktion: Es gebe doch einen Wartungsvertrag. Die Rückfrage bei der Agentur ergab, dass keiner bestand.

Wir wollen damit niemandem etwas vorwerfen. Solche Missverständnisse entstehen schleichend – ein Angebot von vor vier Jahren, ein Gespräch, aus dem beide Seiten etwas Unterschiedliches mitgenommen haben, eine Position auf einer Rechnung, die irgendwann weggefallen ist. Der Punkt ist nicht, dass hier jemand geschlampt hätte. Der Punkt ist, dass es über Monate niemand gemerkt hat, bis wir zufällig hingesehen haben.

Drei Fragen, die Du beantworten können solltest:

• Habe ich einen schriftlichen Wartungsvertrag, und was steht darin?
• Wer spielt Updates ein, wie oft, und wo kann ich das nachlesen?
• Wer informiert mich wie schnell, wenn etwas passiert?

Wer eine dieser Fragen nicht beantworten kann, hat keine Wartung, sondern eine Vermutung.

Warum das für Dich mehr ist als ein technisches Ärgernis

Für einen Handwerksbetrieb ist eine gehackte Webseite in erster Linie unangenehm. Bei Dir kommt eine Ebene dazu, die leicht übersehen wird.

Über Deine Webseite laufen Anfragen: Kontaktformulare, Rückrufwünsche, Terminbuchungen, manchmal ein Rechner oder ein Fragebogen. Bei Anfragen zur privaten Krankenversicherung oder zur Berufsunfähigkeit stehen darin regelmäßig Angaben zur Gesundheit – Vorerkrankungen, Behandlungen, Medikamente. Das ist die sensibelste Kategorie personenbezogener Daten, die die DSGVO kennt, und sie wird entsprechend streng behandelt.

Wer die Kontrolle über seine Webseite verliert, verliert damit auch die Kontrolle über diese Daten. Aus einem technischen Problem wird dann ein Datenschutzvorfall, der innerhalb von 72 Stunden bei der Aufsichtsbehörde gemeldet werden muss.

Diese 72 Stunden sind dabei nicht die eigentliche Schwierigkeit. Die Frist läuft ab dem Moment, in dem Du davon weißt, und gemeldet werden muss, was passiert ist. Wenn niemand nachvollziehen kann, wer wann Zugriff hatte und was verändert wurde, bleibt am Ende nur eine Auskunft: Wir wissen es nicht. Damit hat man dann zwei Probleme statt einem.

Dazu kommt etwas, das viele gerade zum ersten Mal auf dem Tisch haben. Wenn Du mit Pools, Versicherern oder größeren Vertriebspartnern zusammenarbeitest, kommen inzwischen regelmäßig Fragebögen zu Deiner IT und Deinen Dienstleistern. Auch dort wird gefragt die Frage nie, ob es jemals einen Vorfall gegeben hat. Gefragt wird, ob Du darüber Auskunft geben kannst.

Was Du in den nächsten Tagen tun solltest

Sieh nach, welche Version läuft. Melde Dich in Deiner Webseite an. Unten rechts im Verwaltungsbereich oder unter “Dashboard – Aktualisierungen” steht die WordPress-Version. Sicher sind 6.8.6, 6.9.5 und 7.0.2 oder höher. Steht dort etwas anderes, ist das die eine Sache aus diesem Beitrag, die heute erledigt werden sollte.

Verlass Dich nicht auf die Automatik. WordPress hat das Update automatisch verteilt, und bei den meisten Seiten hat das auch funktioniert. Bei bestimmten Konfigurationen scheitert es allerdings still, ohne Fehlermeldung. Deshalb: nachsehen statt annehmen.

Denk an die Seiten, die Du vergessen hast. Die Landingpage aus einer Kampagne von 2023, die Testversion vom letzten Relaunch, die alte Domain, die noch irgendwo mitläuft. Ein Skript unterscheidet nicht zwischen wichtig und vergessen.

Ein Update repariert nichts, was vorher passiert ist. Es schließt die Lücke, entfernt aber nicht, was vorher hereingekommen ist. Ein erster Blick lohnt sich unter „Benutzer”: Gibt es Konten, die Du nicht zuordnen kannst? Und bei den Plugins: steht dort etwas, das niemand installiert hat? Wenn ja, sollte jemand genauer hinsehen, der weiß, worauf zu achten ist.

Wie wir damit umgehen

Ehrlicherweise schreiben wir diesen Beitrag nicht, weil bei uns alles glatt gelaufen wäre. Zwischen dem Bekanntwerden der Lücke und dem Einspielen der Updates lag ein Zeitfenster, in dem die Angriffe schon liefen – auch betreute Seiten konnten in dieser Zeit getroffen werden. Wer Dir vollständigen Schutz verspricht, verspricht etwas, das technisch niemand halten kann.

Beeinflussen lässt sich etwas anderes: wie schnell etwas auffällt, wie schnell reagiert wird und ob sich hinterher nachvollziehen lässt, was eigentlich passiert ist. Bei uns arbeitet deshalb jeder mit eigenen Zugängen statt mit Sammelkonten, jede Änderung an einer Kundenseite läuft über ein Ticket, und was wir leisten, steht in Verträgen, in denen ebenso deutlich steht, was wir nicht leisten. Von einem Sicherheitsvorfall erfährst Du innerhalb von 24 Stunden – nicht aus Prinzip, sondern weil Du diesen Vorlauf für Deine eigene Frist brauchst.

Die Lücke aus dem Juli ist geschlossen. Die nächste kommt, und zwar nicht als Ausnahme, sondern als Normalfall – so funktioniert Software. Entscheidend ist deshalb nicht, ob Du auf jede einzelne Meldung reagierst. Entscheidend ist, ob Du weißt, wer bei Dir hinsieht.