Wie wird eine kleine Website angegriffen?

Was nach dem Einbruch mit der Website passiert

Google beschreibt gehackte Inhalte als alles, was über eine Sicherheitslücke ohne Erlaubnis auf eine Website gelangt, etwa eingeschleuste Seiten oder Weiterleitungen. Solche Seiten bekommen in den Suchergebnissen die Kennzeichnung „This site may be hacked“ oder werden entfernt, und die Überprüfung nach der Bereinigung kann bei Spam mehrere Wochen dauern. Das BSI beobachtete im Berichtszeitraum 2024/2025 mehr Datenleaks und mehr Zugangsdatendiebstähle; die durchschnittlich höchsten Lösegelder seit Beginn der Aufzeichnungen wurden nach Angriffen über Schwachstellen registriert, während die Bereitschaft zur Zahlung weiter sank. Für Ihr Unternehmen heißt das: Die Kosten eines Vorfalls beginnen mit der Bereinigung und enden mit der Zeit, in der Kunden Sie nicht finden; was das kostet, steht im Artikel über die Kosten eines Vorfalls. Was KI an diesen Wegen ändert, steht im Artikel zu KI bei Angriff und Abwehr. Die Prüfung von euid.com fragt an der ausgelieferten Website die hier genannten Adressen und Merkmale ab und nennt je Fund Adresse, Beleg und Maßnahme.

Eine bekannte Lücke in Erweiterung oder Bibliothek

Der Verizon Data Breach Investigations Report 2026 zählt für den Zeitraum November 2024 bis Oktober 2025 weltweit 31 Prozent der Datenpannen, die mit einer Software-Schwachstelle begannen, mehr als mit gestohlenen Zugangsdaten. Die EU-Agentur ENISA fand in ihrem Lagebild 2026 für das Jahr 2025, dass bei 60,4 Prozent der unbefugten Zugriffe, für die der Weg bekannt war, eine Schwachstelle ausgenutzt wurde; den Weg kannte ENISA nur bei 5,2 Prozent dieser Vorfälle. Das BSI zählte im Berichtszeitraum Juli 2024 bis Juni 2025 täglich 119 neue Schwachstellen. Für WordPress nennt der Sicherheitsanbieter Patchstack für 2025 11.334 neue Lücken, 91 Prozent davon in Erweiterungen und 9 Prozent in Themes, nur sechs im Kern; 46 Prozent hatten zur Veröffentlichung keine Korrektur, und bei stark ausgenutzten Lücken lag die gewichtete Medianzeit bis zum ersten Angriff bei fünf Stunden. Von den zehn meistausgenutzten Lücken stammten nur vier aus 2025; alte Lücken auf ungepflegten Websites werden weiter angegriffen. In Österreich war laut KPMG und KSÖ 2026 in 40 Prozent der Angriffsfälle ineffektives Patch-Management das Einfallstor. An Ihrer Website erkennt man diesen Weg an Versionsnummern im Quelltext und in den Kopfzeilen des Servers und an Bibliotheken, deren Hersteller die Pflege beendet hat.

Die Anmeldung

Jede Website mit Redaktionssystem hat eine Anmeldemaske, bei WordPress unter /wp-login.php, und viele haben eine Schnittstelle wie /xmlrpc.php, die mehrere Anmeldeversuche in einer einzigen Anfrage annimmt. Programme probieren dort Kombinationen aus früheren Datenlecks durch. Zugangsdaten gelangen oft über Mails in fremde Hände: Laut der Forsa-Umfrage des GDV 2025 begannen 68 Prozent der erfolgreichen Angriffe auf mittelständische Unternehmen mit einer Phishing-Mail oder einer Mail mit Schadsoftware; ENISA zählt Phishing 2025 bei 77,8 Prozent der Vorfälle mit Social Engineering, zunehmend mit fertigen Phishing-Baukästen und Phishing als Dienstleistung. Die zweite Bestätigung bei der Anmeldung, die einen gestohlenen Zugang allein wertlos macht, nutzten laut GDV 2024 erst 34 Prozent der befragten Unternehmen. An Ihrer Website erkennt man diesen Weg daran, ob Anmeldemaske und Schnittstelle offen antworten. Ob der Server eine Serie von Anmeldeversuchen begrenzt, prüft Ihre Agentur mit einem Testkonto; die Prüfung von euid.com ruft die Adressen nur ab und meldet sich nirgends an.

Etwas liegt offen, das niemand dort vermutet

ENISA nennt für 2025 bei 20,7 Prozent der unbefugten Zugriffe mit bekanntem Weg eine Fehlkonfiguration oder versehentliche Freigabe als Ursache. Das sind die Fälle, in denen kein Einbruch nötig ist: Eine Datei .env mit dem Datenbankpasswort liegt im Webverzeichnis, der Ordner .git mit dem gesamten Quelltext ist abrufbar, eine Debug-Leiste zeigt jedem Besucher Datenbankabfragen und Einstellungen, oder die Fehlerseite nennt Dateipfade und Versionen. Solche Adressen sind bei jedem System gleich, und ein Programm kann sie bei jeder Domain abfragen; wer eine Datei vor Ihnen gefunden hat, kennt die Zugangsdaten bereits. Das BSI nennt als Hebel „die Minimierung öffentlich erreichbarer Systeme“ und schreibt, Web-Angriffsflächen zeigten nach wie vor einen besorgniserregenden Zustand. An Ihrer Website erkennt man diesen Weg mit wenigen Abrufen: Antwortet /.env, /.git/HEAD, /_debugbar oder eine erfundene Adresse mit Inhalt, der dort nicht hingehört.

Ein fremdes Skript ändert sich auf einem fremden Server

Viele Websites laden Skripte von anderen Servern: eine Bibliothek aus einem Content Delivery Network, ein Statistik-, Chat- oder Zahlungsdienst. Ein solches Skript darf auf Ihrer Seite alles, was Ihre Seite darf, auch Eingaben in Formulare mitlesen. Ändert es sich auf dem fremden Server, bekommen Ihre Besucher die geänderte Fassung, ohne dass auf Ihrem Server etwas passiert ist. ENISA beschreibt für 2025, dass Angreifer die digitale Lieferkette ausnutzten, indem sie Software, Code-Verzeichnisse und Browser-Erweiterungen kompromittierten, und nennt die Zunahme kompromittierter verbreiteter Bibliotheken und npm-Pakete als besonders besorgniserregend. Besonders betroffen ist die Kasse: Steht das Feld für die Kartennummer im eigenen Formular, kann ein eingeschleustes Skript jede Nummer mitlesen, bevor sie abgeschickt wird. An Ihrer Website erkennt man diesen Weg an fremden Skripten ohne Prüfsumme, an einer Content-Security-Policy, die jedes Skript erlaubt, und an Kartenfeldern außerhalb des Rahmens des Zahlungsanbieters.

Tipps aus der Praxis

• Eine Firewall, die nach einer Serie von Scan-Abrufen sperrt, hält einen großen Teil der automatischen Suche ab, bevor sie etwas findet. Fragen Sie Ihren Hoster, ob eine läuft.
• Alte Lücken bleiben gefährlich: Patchstack zählt unter den zehn meistausgenutzten WordPress-Lücken 2025 nur vier aus demselben Jahr. Eine Erweiterung, die seit Jahren keine Aktualisierung bekam, ist ein Ziel, auch wenn sie funktioniert.
• Löschen Sie Erweiterungen, die niemand mehr braucht. Eine deaktivierte Erweiterung lässt ihre Dateien auf dem Server, und die bleiben abrufbar.
• Ein Konto, das ein früherer Mitarbeiter oder eine frühere Agentur noch hat, ist der Weg an jeder Begrenzung vorbei. Räumen Sie die Kontenliste einmal im Quartal auf.