Was tun bei Hackerbefall?

Am 6. Oktober war eine meiner Websites weg. Nicht kaputt, weg.

Der Aufruf von dachtraffic.de ergab eine nackte Fehlerseite des Servers. Keine Startseite, kein Bild, keine Stilvorlage.

Einen Tag vorher hatte es auf einer anderen Domain angefangen, kleiner: Dort fehlte der Ordner mit den Stilvorlagen. Die Seite kam noch, aber ohne jede Gestaltung.

Die nächtliche Sicherung meines Anbieters, wenige Stunden alt, enthielt noch alles.

Die erste Frage ist nicht „wer“, sondern „was genau“

Der Reflex ist, sofort alles neu hochzuladen. Das ist verständlich und verschenkt die einzige Spur, die man hat.

Ich habe deshalb zuerst von außen gemessen, Adresse für Adresse. Ein Ordner, den es gibt, antwortet mit 403: „da, aber nicht zum Durchblättern“. Ein Ordner, den es nicht gibt, antwortet mit 404.

Der Unterschied sagt alles. Bei der einen Domain antwortete der Ordner mit 403 und die Datei darin mit 404: Der Ordner stand noch, der Inhalt war weg. Bei der anderen antwortete jeder Ordner mit 404: Dort war nichts mehr.

Was ich ausschließen konnte, bevor ich etwas anfasste

• Die Namensauflösung. Die Domain zeigte auf denselben Server wie die übrigen.
• Das Zertifikat und die Serverkonfiguration. Der Aufruf über http wurde sauber auf https umgeleitet, der Server kannte die Domain also.
• Die Software. Die Fehlerseite war die eingebaute des Webservers, 236 Zeichen lang. Wäre mein System gelaufen und hätte nur eine Seite nicht gefunden, hätte meine eigene Fehlerseite geantwortet.
• Eine kaputte Konfigurationsdatei. Die gäbe einen Serverfehler 500, keine 404.

Damit blieb genau eine Erklärung: Das Verzeichnis war leer.

Die Wiederherstellung dauerte Minuten

Und an dieser Stelle wird es zur Geschichte über digitales Eigentum.

Die Reihenfolge, die ich empfehle

Nicht aus einem Lehrbuch, sondern aus diesem Fall.

• 1. Messen, nicht raten. Welche Adressen antworten, welche nicht, und mit welcher Nummer. Schreib es auf, bevor du etwas änderst.
• 2. Die Sicherung prüfen, nicht einspielen. Erst ansehen, ob sie vollständig ist und von wann sie stammt.
• 3. Nach Fremdem suchen. Eine fehlende Datei kann ein abgebrochener Upload erklären. Eine Datei, die dort liegt und nie von dir kam, kann das nicht.
• 4. Passwörter wechseln. FTP, SSH, Verwaltungsoberfläche. Auch wenn du noch nichts gefunden hast.
• 5. Wiederherstellen und nachmessen. Danach dieselbe Messung wie in Schritt 1. Was jetzt antwortet, ist wieder da.
• 6. Beobachten. Ein einzelner Vorfall ist ein Vorfall. Zweimal dasselbe Muster ist ein Hinweis.

Nicht jeder Verlust ist ein Angriff

Ich weiß bis heute nicht sicher, was es war. Ein abgebrochener Upload kann Dateien kosten, ein Fehler in der Serververwaltung auch.

Was mich aufhorchen lässt, ist das Muster: zweimal an zwei Tagen, und beide Male war oben weniger, als unten vorhanden war.

Deshalb prüfe ich jetzt regelmäßig, was auf dem Server liegt, und vergleiche es mit dem, was dort liegen soll. Nicht nur, was fehlt, sondern auch, was zu viel ist.

Was ich daraus mitgenommen habe

• Eine Website, die aus Dateien besteht, ist in Minuten wiederhergestellt. Das ist kein Werbesatz, das war der Ablauf.
• Die Daten gehören nicht in den öffentlichen Ordner. Lägen sie dort, wäre mit dem Verzeichnis auch jede Anmeldung weg gewesen.
• Eine Kopie auf dem eigenen Rechner schlägt jede Sicherung beim Anbieter. Du hast sie selbst in der Hand.
• Messen schlägt Vermuten. Ich hätte einen halben Tag mit der falschen Ursache verbringen können.

Und wenn es dich trifft

Die unangenehmste Frage bei einem Vorfall ist nicht „wer war das“, sondern „wie komme ich zurück“.

Wer seine Website als Ordner mit lesbaren Dateien besitzt, beantwortet sie mit einem Upload. Wer sie gemietet hat, beantwortet sie mit einem Support-Ticket.

Genau das meine ich mit digitalem Eigentum. Mehr dazu auf der Startseite.