Website gehackt: Woran Sie es merken und was dann zu tun ist

Kleine Websites werden selten gezielt angegriffen. Sie werden von Programmen gefunden, die das halbe Netz nach bekannten Lücken absuchen — und in veralteten Systemen fündig werden. Ob Ihre Praxis interessant ist, spielt dabei keine Rolle.

Woran Sie es merken

Google warnt. Im Suchergebnis steht ein Hinweis, oder der Browser zeigt eine rote Warnseite. Oft die erste Meldung, die Sie bekommen — manchmal von einem Patienten.

Fremde Inhalte. Neue Seiten mit Werbung für Dinge, die Sie nicht anbieten, meist in einer fremden Sprache.

Weiterleitungen. Die Seite öffnet sich normal am Rechner, leitet aber am Handy woanders hin. Beliebt, weil es lange unentdeckt bleibt.

Die Seite wird plötzlich langsam oder der Anbieter meldet ungewöhnliche Last.

Eine E-Mail-Sperre. Ihre Mails landen bei allen im Spam, weil über den Server massenhaft versendet wurde.

Die ersten Schritte

1. Den Anbieter verständigen. Er sieht Zugriffe und Dateiänderungen, die Sie nicht sehen, und kann die Seite vorübergehend abschalten.
2. Passwörter ändern — Hosting, Redaktionssystem, Datenbank, FTP, und zwar von einem anderen Gerät aus.
3. Nichts überschreiben. Sichern Sie den befallenen Stand, bevor jemand aufräumt. Ohne ihn lässt sich später nicht feststellen, wie der Zugang zustande kam.
4. Aus einem sauberen Backup wiederherstellen — aus einem, das nachweislich vor dem Vorfall liegt. Genau hier zeigt sich, ob die Sicherungen je geprüft wurden.
5. Die Lücke schließen, bevor Sie wieder freischalten. Sonst steht der Befall in Tagen erneut da.
6. Bei Google eine Überprüfung beantragen, damit die Warnung verschwindet.

Der Punkt, den viele übersehen

Wenn personenbezogene Daten betroffen sein könnten — Formularanfragen, ein Login-Bereich, Terminbuchungen —, kann eine Meldepflicht gegenüber der Datenschutzbehörde bestehen, unter Umständen binnen 72 Stunden. Bei Gesundheitsdaten wiegt das besonders schwer. Klären Sie das früh fachlich ab, nicht erst nach dem Aufräumen.

Wie Sie den Fall vermeiden

Die Ursache ist fast immer dieselbe: nicht eingespielte Updates. Dazu kommen schwache Passwörter, nie geprüfte Backups und Plugins, die seit Jahren niemand mehr pflegt.

Weniger Bausteine bedeuten weniger Angriffsfläche. Eine Seite ohne Plugin-Sammlung hat schlicht weniger, das man ausnutzen kann.

Unser Fazit

Prüfen Sie zwei Dinge, solange nichts passiert ist: Wann wurde zuletzt aktualisiert, und wurde jemals eine Sicherung zurückgespielt? Ein Backup, das nie getestet wurde, ist kein Backup — das merkt man leider genau dann, wenn man es braucht.