Ein Getränkehändler veröffentlicht Informationen zu Sortiment, Lieferbedingungen und Öffnungszeiten. Plötzlich erscheint zwischen Produkttexten ein Link zu einem Bonusangebot, den niemand im Team eingestellt hat. Solche Veränderungen können auf einen Angriff hindeuten, müssen aber nicht automatisch bedeuten, dass die gesamte Website kompromittiert wurde. Entscheidend ist, den Fund zu dokumentieren, mögliche Ursachen systematisch zu untersuchen und weitere Änderungen zu verhindern.
Erst den Fund sichern, dann Inhalte ändern
Vor dem Löschen sollten Betreiber die betroffene Seite mit URL, Datum und Uhrzeit dokumentieren. Screenshots helfen, sichtbare Änderungen festzuhalten; ein gespeicherter Seitenquelltext kann zusätzliche Hinweise liefern. Auch die Frage, ob der Link für alle Besucher erscheint oder nur unter bestimmten Bedingungen, ist wichtig. Manipulierte Seiten zeigen Angreifern und Suchmaschinen manchmal andere Inhalte als angemeldeten Redakteuren.
Danach empfiehlt sich eine Prüfung über verschiedene Geräte und Browser sowie im privaten Browserfenster. Cache- und CDN-Versionen können veraltete Inhalte anzeigen oder eine Veränderung zeitweise verbergen. Ein vorschnelles Entfernen ohne Sicherung erschwert später die Ursachenanalyse. Bei konkretem Verdacht sollte außerdem der Hosting-Anbieter informiert werden, besonders wenn die Website Zahlungs- oder Kundendaten verarbeitet.
CMS, Erweiterungen und Vorlagen untersuchen
Ein Content-Management-System kann über veraltete Software, unsichere Erweiterungen oder kompromittierte Zugangsdaten verändert werden. Betreiber sollten deshalb die installierte CMS-Version und sämtliche Plugins, Themes sowie sonstige Komponenten erfassen. Nicht mehr benötigte Erweiterungen gehören entfernt, aktive Komponenten sollten aus vertrauenswürdigen Quellen aktualisiert werden. Ein Update allein genügt allerdings nicht, wenn bereits Schadcode oder ein unerwünschtes Administratorkonto vorhanden ist.
Zu prüfen sind insbesondere globale Vorlagen, Widgets, Menüs und Bereiche, die auf mehreren Seiten erscheinen. Ein unerwarteter Link kann in einem einzelnen Artikel stecken, aber auch über ein Template oder ein Plugin automatisch eingeblendet werden. Ein auffälliger Werbeverweis wie bonus ohne einzahlung sollte daher im Zusammenhang mit dem betroffenen Seitenelement untersucht werden, statt nur an der sichtbaren Stelle entfernt zu werden. Auch Weiterleitungen, Skripte und Änderungen an Dateien verdienen Aufmerksamkeit, sofern sie außerhalb des üblichen Veröffentlichungsprozesses liegen.
Benutzerkonten und Protokolle kontrollieren
Unbekannte Administratoren, geänderte E-Mail-Adressen oder neu angelegte API-Schlüssel können auf einen Zugriff durch Dritte hinweisen. Die Benutzerliste sollte mit den tatsächlich zuständigen Personen abgeglichen werden. Für nicht nachvollziehbare Konten ist zunächst zu prüfen, ob sie zu einer Agentur oder einem technischen Dienstleister gehören; danach können sie gesperrt oder entfernt werden. Passwörter privilegierter Konten sollten von einem sicheren Gerät aus erneuert werden. Mehr-Faktor-Authentifizierung reduziert das Risiko, dass ein gestohlenes Passwort allein genügt.
Server-, CMS- und Sicherheitsprotokolle können zeigen, wann Inhalte geändert oder Konten angelegt wurden. Auffällige Anmeldungen, ungewöhnliche IP-Adressen und Zugriffe auf Administrationsbereiche sind relevante Indizien, aber nicht für sich genommen ein Beweis. Zeitstempel sollten mit bekannten Wartungsarbeiten und Veröffentlichungen verglichen werden. Wo Protokolle fehlen oder unvollständig sind, sollte das als Sicherheitslücke für die künftige Überwachung behandelt werden.
Bereinigen und Wiederholung verhindern
Wenn sich eine Manipulation bestätigt, reicht es nicht, den sichtbaren Link zu löschen. Zuerst sollte die Ursache behoben werden: etwa eine verwundbare Erweiterung, ein kompromittiertes Konto oder ein veränderter Dateibestand. Ein sauberer Sicherungsstand kann bei der Wiederherstellung helfen, sofern sein Zustand überprüft wurde. Danach sind CMS, Plugins und Zugangsdaten zu aktualisieren beziehungsweise zurückzusetzen. Bei möglichem Zugriff auf personenbezogene Daten müssen Betreiber außerdem ihre Pflichten nach geltendem Datenschutzrecht prüfen.
Regelmäßige Backups, begrenzte Benutzerrechte und Benachrichtigungen bei Datei- oder Inhaltsänderungen verbessern die Reaktionsfähigkeit. Ein dokumentierter Ablauf für Sicherheitsvorfälle hilft dem Team, Funde schnell zu melden, statt sie beiläufig zu überschreiben. So wird aus einem unerwarteten Link nicht nur ein einzelner redaktioneller Korrekturfall, sondern ein Anlass, die Sicherheit der gesamten Veröffentlichungsumgebung nachvollziehbar zu überprüfen.
