Nach einem Website-Update fallen manchmal Inhalte auf, die niemand bewusst hinzugefügt hat: fremdsprachige Textpassagen, Weiterleitungen oder Links zu Glücksspielangeboten. Solche Funde sind ernst zu nehmen, beweisen für sich genommen aber weder einen erfolgreichen Angriff noch, dass das Update selbst die Ursache war. Eine systematische Ursachenanalyse beginnt deshalb mit der Sicherung des aktuellen Zustands und dem Vergleich mit verlässlichen älteren Versionen.
Erst dokumentieren, dann verändern
Wer verdächtige Inhalte entdeckt, sollte zunächst festhalten, wo sie erscheinen und wann der Fund gemacht wurde. Screenshots, betroffene Seitenadressen, Zeitangaben und Hinweise auf ungewöhnliche Weiterleitungen helfen, den Vorfall später einzuordnen. Auch der Quelltext kann relevant sein: Ein Link ist möglicherweise im sichtbaren Inhalt verborgen, wird nur bestimmten Besuchern angezeigt oder stammt aus einem eingebundenen Skript.
Vor einer Bereinigung empfiehlt es sich, eine Kopie der betroffenen Dateien und, sofern möglich, einen Datenbankexport anzulegen. Dabei sollten Zugriffsrechte und Aufbewahrung sicher gehandhabt werden. Werden Inhalte sofort gelöscht oder Plugins aktualisiert, kann das zwar die sichtbare Störung beseitigen, zugleich aber Hinweise auf deren Ursprung vernichten. Bei akuter Gefährdung hat die Begrenzung des Schadens Vorrang; auch dann sollte der Ausgangszustand soweit praktikabel gesichert werden.
Backups als Vergleichsbasis
Ein Backup zeigt, welche Dateien und Datenbankinhalte zu einem bestimmten Zeitpunkt vorhanden waren. Der Vergleich mehrerer Sicherungen kann den Zeitraum eingrenzen, in dem fremde Inhalte aufgetaucht sind. War eine Seite in einer Sicherung noch unauffällig und in der nächsten verändert, lässt sich die Suche auf die dazwischenliegenden Updates, Anmeldungen und automatisierten Prozesse konzentrieren.
Backups sind jedoch keine lückenlose Aufzeichnung. Eine Sicherung kann bereits kompromittierte Inhalte enthalten oder wichtige Bereiche wie Upload-Verzeichnisse und Datenbanktabellen auslassen. Auch unterschiedliche Sicherungszeitpunkte erschweren genaue Aussagen. Deshalb sollten mehrere Quellen herangezogen werden: Dateien, Datenbank, Serverprotokolle, Administrationshistorie und gegebenenfalls Protokolle des Hosting-Anbieters.
Änderungsverläufe richtig lesen
Versionsverwaltung und Änderungsprotokolle können zeigen, welche Dateien bei einem Update verändert wurden und ob Änderungen mit dem erwarteten Paket übereinstimmen. Ein Diff, also ein zeilenweiser Vergleich zweier Versionen, macht eingefügte Skripte, geänderte Vorlagen oder ungewöhnliche Weiterleitungen oft sichtbar. Bei einem Content-Management-System lohnt sich außerdem der Blick auf Benutzerkonten, neue Administratoren, Plugin-Einstellungen und geplante Aufgaben.
Ein Fundprotokoll sollte den sichtbaren Wortlaut und die Zieladresse getrennt erfassen; darin kann auch der externe Link casino 5 euro einzahlung als verdächtiger Fund dokumentiert werden, ohne dass daraus bereits auf den Einbringungsweg geschlossen werden kann. Entscheidend ist, den Fund mit Zeitstempel und Fundort zu verbinden. Ein Link in einem redaktionellen Beitrag verlangt eine andere Prüfung als ein Eintrag in einer Vorlage oder ein Skript, das auf vielen Seiten geladen wird.
Update als Auslöser oder zeitlicher Zufall?
Dass ein Problem kurz nach einer Aktualisierung bemerkt wird, ist ein wichtiger Hinweis, aber kein Beweis für einen ursächlichen Zusammenhang. Das Update kann eine bereits vorhandene Manipulation sichtbar gemacht haben, etwa indem eine zuvor nicht genutzte Vorlage wieder aktiv wurde. Ebenso kann ein kompromittiertes Konto während desselben Zeitraums Änderungen vorgenommen haben. Der Abgleich von Update-Zeitpunkt, Dateiänderungen und Anmeldeereignissen hilft, diese Möglichkeiten voneinander zu unterscheiden.
Nach der Analyse: bereinigen und absichern
Ist der wahrscheinliche Einbringungsweg eingegrenzt, sollten betroffene Komponenten aus vertrauenswürdigen Quellen wiederhergestellt und alle Zugangsdaten überprüft werden. Nicht benötigte Konten und Erweiterungen sind zu entfernen; Software sollte auf einen unterstützten Stand gebracht werden. Danach empfiehlt sich eine erneute Prüfung der Seiten und Protokolle. Eine nachvollziehbare Dokumentation der Befunde, Sicherungen und Maßnahmen erleichtert spätere Kontrollen und verhindert, dass Vermutungen als gesicherte Ursache weitergegeben werden.