Prüfpunkt software.exponiertOffene Türen und Abwehr
Zugangsdaten standen offen im Netz: was jetzt?
Sperren Sie die Adresse, sichern Sie die Protokolle und wechseln Sie jedes Passwort und jeden Schlüssel aus der Datei, und zwar am selben Tag. Danach klären Sie in Ruhe, ob jemand die Datei abgerufen hat und ob Kundendaten betroffen sind. Die Reihenfolge hat einen Grund: Solange die alten Zugangsdaten gelten, kommt jeder, der sie kennt, weiter hinein.
Eine gelöschte Datei macht den Schlüssel darin nicht ungültig
Wer die Datei kopiert hat, behält sie. Der Schlüssel darin funktioniert weiter, bis jemand ihn ungültig macht. Der Sicherheitsanbieter GitGuardian berichtet 2025, dass 70 Prozent der Schlüssel und Passwörter, die 2022 auf öffentlichen GitHub-Seiten aufgetaucht waren, noch gültig waren. GitHub nennt als ersten Schritt, einen solchen Schlüssel zu widerrufen oder zu wechseln: Erst dann lässt er sich nicht mehr für den Zugang nutzen. Lag der Ordner .git offen, zählen auch frühere Fassungen der Website. Ein Passwort, das nur in einer alten Fassung stand, ist mitbetroffen, solange es gilt.
Die Protokolle zeigen, ob die Datei abgerufen wurde
Das BSI rät Betreibern einer angegriffenen Website, die Logdateien zu sichern: die Zugriffe auf den Webserver und, wenn vorhanden, die Protokolle der Datenbank. Bitten Sie Ihren Hoster darum, bevor am Server etwas geändert wird, und fragen Sie, wie weit die Protokolle zurückreichen. Darin sucht Ihre Agentur nach der Adresse der Datei mit Status 200. Jeder Treffer ist ein Abruf, auch wenn er von einem Programm kam. Ein Protokoll ohne Treffer sagt nur etwas über den Zeitraum, den es abdeckt. War die Datei länger offen, gehen Sie davon aus, dass jemand sie hat.
Neue Dateien und fremde Konten zeigen, ob schon jemand drin war
Das BSI nennt als ersten Schritt, den Webserver auf unbekannte und neue Dateien zu untersuchen und ihn mit einer vorhandenen Sicherung abzugleichen. Ihre Agentur sieht außerdem die Konten des Redaktionssystems durch und fragt beim Hoster nach Mails, die niemand aus Ihrem Haus verschickt hat. Findet sie etwas, rät das BSI: Website vom Netz nehmen und durch eine Informationsseite ersetzen, aus einer Sicherung von vor dem Angriff neu aufsetzen, auf den aktuellen Stand bringen und Anzeige erstatten.
Bei Kundendaten läuft eine Frist von 72 Stunden
Standen Kundendaten auf dem Server oder in der Datenbank, ist zu prüfen, ob sie abfließen konnten. Ist der Schutz personenbezogener Daten verletzt, verlangt Artikel 33 der DSGVO eine Meldung an die Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben. Das entfällt, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei hohem Risiko sind nach Artikel 34 auch die Betroffenen zu informieren. Festgehalten wird eine solche Verletzung in jedem Fall: was geschah, welche Folgen es hat, was Sie getan haben. Die Einschätzung gehört zu Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.
So gehen Sie es an
- Lassen Sie Ihren Hoster die Adresse sofort sperren und die Zugriffsprotokolle sichern.
- Wechseln Sie jedes Passwort und jeden Schlüssel aus der Datei: Datenbank, Mailserver, Zahlungsdienst, Schnittstellen. Das BSI nennt zusätzlich den Zugang zum Webserver und zum Redaktionssystem.
- Lassen Sie die Protokolle auswerten und den Server auf neue Dateien und fremde Konten durchsehen.
- Klären Sie mit Ihrem Datenschutzbeauftragten, ob Kundendaten betroffen sein können, und halten Sie das Ergebnis schriftlich fest.
- Kennzeichnet Google die Seite als gehackt, beantragen Sie nach der Bereinigung in der Search Console eine Überprüfung. Das kann mehrere Wochen dauern.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Was kann ein Angriff auf meiner Website anrichten?Kartendaten aus dem Bestellformular, Besucher auf Betrugsseiten, 20 Millionen Pfund Bußgeld: echte Fälle mit Quelle und dem Merkmal, das den Weg zeigt.
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was darf eine Fehlerseite Ihren Besuchern zeigen?Eine Fehlerseite mit Dateipfaden und Programmzeilen zeigt Angreifern den Aufbau des Servers. Die Prüfung ruft eine Adresse ab, die es nicht gibt.
- Was bedeutet es, wenn Ihr Server die Sitzung bei jedem Abruf neu vergibt?Zeigt ein Besucher seine Sitzung vor und bekommt trotzdem eine neue Kennung, gehen Anmeldung und Warenkorb leicht verloren. Die Prüfung testet das.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
