Letzte Woche hat mich ein SHK-Meister aus der Nähe von Oldenburg angerufen. Er klang, als hätte ihm jemand gesagt, sein Transporter sei weg. „Daniel, mein Browser zeigt bei meiner eigenen Website so eine rote Warnung. ‚Gefährlich.‘ Was soll das heißen?“ Ich hab mir die Seite angeschaut — vom Handy, im mobilen Netz, genau so, wie es ein Kunde tun würde. Und dann musste ich ihm sagen: „Deine Website leitet Besucher gerade auf ein Online-Casino weiter. Und sie macht das nicht bei dir. Nur bei allen anderen.“

Er war still. Dann: „Aber ich schau doch jeden Tag drauf. Da ist alles normal.“ — Ja. Genau da liegt das Problem.

Deine Website ist eine Zweck-WG. Tagsüber dein Business, nachts ein Casino.

Das ist das Heimtückische an gehackten Websites: Du merkst es nicht, wenn du selbst draufschaust. Die Angreifer sind nicht blöd. Sie wissen, dass der Chef seine eigene Website regelmäßig besucht — vom eigenen Rechner, aus dem eigenen Büro, aus dem eigenen Netz. Also zeigen sie dir genau die Version, die du sehen willst: deine Website, sauber, wie immer. Allen anderen zeigen sie die andere.

Der Besucher, der bei Google „Sanitär Notdienst“ tippt, auf dein Ergebnis klickt und in einem blinkenden Casino landet? Der denkt nicht „die wurde gehackt“. Der denkt „komische Firma“ und ist weg. Der Kunde, dessen Browser eine rote Warnseite zeigt, bevor er deine Seite überhaupt sieht? Der denkt „Gott sei Dank hat mich mein Browser gewarnt“ — und ruft den nächsten an.

Deine Website ist kein Ziel für Hacker. Sie ist ein Türschild. Und deins hat ein Schloss von 2016.

Denn darum geht es hier, und das solltest du dir wirklich mal auf der Zunge zergehen lassen: Niemand hat es auf dich abgesehen. Nicht auf deinen Betrieb, nicht auf deine Daten, nicht auf dich persönlich. Es gibt Bots, die scannen pausenlos das ganze Internet nach alten, ungepflegten Systemen durch — und deine Website ist eins von Hunderttausenden. Die meisten Handwerker-Websites sind keine persönlichen Angriffsziele. Sie sind offene Türen in einer Straße, in der nachts jemand alle Klinken testet.

Und wer pflegt seine Tür? Genau. Der, der seine Website vor sechs Jahren bauen ließ und seitdem nie wieder angefasst hat. Ich hab hier schon geschrieben, warum die meisten Handwerker-Websites aussehen wie 2008 — das Problem ist nicht nur die Optik. Ein Website-Baukasten von 2016, ein Plugin von 2019, ein Passwort, das seit dem Tag der Einrichtung „admin“ heißt: Das ist kein Betrieb, der Pech hat. Das ist ein Betrieb, der den Schlüssel unter der Fußmatte liegen lässt.

Was eine gehackte Website dich wirklich kostet

Jetzt kommt der Teil, den die meisten nicht hören wollen, weil er unbequem ist: Es kostet dich nicht „nur“ Aufträge. Es kostet dich Aufträge und Vertrauen und deine Nerven. Drei Szenarien aus meinem Alltag:

Erstens: die rote Warnung. Google und die Browser-Hersteller führen schwarze Listen. Sobald deine Seite Schadsoftware verbreitet oder verdächtig weiterleitet, steht sie drauf. Dann bekommt jeder Besucher zuerst eine Warnseite zu sehen — wenn er überhaupt so weit kommt. Und Google selbst? Der stuft dich ab, fliegt dich aus dem Index. Drei Monate später sitzt du bei mir und sagst den Satz, den ich ständig höre: „Die Website bringt halt nichts.“ Dabei hab ich hier schon aufgeschrieben, dass das meistens ein Messproblem ist — aber eine Website, die Google als gefährlich einstuft, die bringt wirklich nichts mehr. Die schadet.

Zweitens: die stillen Bewohner. Deine Website kann, ohne dass du es merkst, Spam-Mails in deinem Namen verschicken. An Kunden. An deine eigenen Mitarbeiter. Mit deiner Domain als Absender. Glaub mir, nichts killt eine Kundenbeziehung schneller als eine Mail von der Firma, der du vertraust, die auf eine dubiose Seite verlinkt. Und das Schlimmste: Du erfährst es erst, wenn dich jemand darauf anspricht. Peinlich wird es dann, wenn derjenige dich fragt, ob das wirklich von dir kommt.

Drittens: der Super-GAU, den keiner will. Manche Angreifer stehlen nicht nur Platz, sie sperren dich aus. Deine Website ist weg, dein Zugang ist weg, und irgendwo in einem anderen Land sitzt jemand und verlangt Geld, damit du dein eigenes Business zurückbekommst. Erpressung, Datenverlust, tagelanger Ausfall — mitten in der Saison, wenn jeder Anruf zählt. Das ist kein Horror-Szenario aus dem IT-Kino. Das passiert kleinen Betrieben in der Region jeden Tag. Nur redet keiner drüber, weil es einem keiner glaubt.

Ich hab den Fehler selbst gemacht. Einmal.

Ich will hier nicht von oben herab reden. Ich hab vor ein paar Jahren eine Website für einen Bekannten gebaut — WordPress, sauber aufgesetzt, alles schick. Und dann kam der Alltag: neue Projekte, neue Kunden, und die Updates hab ich auf „mach ich nächste Woche“ geschoben. Acht Monate später rief er an. Nicht wegen eines neuen Features. Sein Browser hatte ihn gewarnt. Als ich auf den Server schaute, fand ich vierzehntausend Spam-Seiten, die meine — seine — Website in einer einzigen Woche automatisch produziert hatte. Nachts hatte sie Mails in die ganze Welt geschickt. Und ich hatte es nicht gemerkt. Ich, der Typ, der anderen erzählt, sie sollen ihre Websites pflegen.

Seitdem gilt bei mir eisern: Jede Website, die ich betreue, hat ein Monitoring. Wenn da nachts etwas passiert, bekomme ich eine Nachricht, bevor es der Kunde merkt. Und Kunden, die keine Pflege wollen, die kriege ich nicht — dazu hab ich mich beim Garten-Artikel schon bekannt: Eine Website ohne Pflege ist kein Möbelstück, das einfach steht. Sie ist ein Garten, der zuwuchert. Und manchmal wuchert da was rein, das du nicht eingepflanzt hast.

Der SHK-Meister von letzter Woche? Bei ihm war es „nur“ eine Weiterleitung — zwanzig Minuten Aufwand, die Datei saß in einem alten Verzeichnis. Er hatte Glück. Viele haben das nicht.

Der 10-Minuten-Check: Gehört deine Website noch dir?

Jetzt wird’s praktisch. Das kannst du heute noch machen, dauert keine zehn Minuten, kostet nichts. Vier Checks:

  1. Die Google-Suche: Tipp site:deine-domain.de ein (mit deiner echten Adresse). Schau dir die Ergebnisse an. Taucht da Seiten auf, die du nicht kennst — komische Begriffe, fremde Sprachen, „casino“, „pills“, kyrillische Zeichen? Dann ist da was, das nicht von dir ist.
  2. Der Safe-Browsing-Check: Auf der Seite vom Google-Transparency-Report gibt es ein Feld, da tippst du deine Domain ein und siehst sofort, ob Google dich als gefährlich einstuft. Link steht unten bei den Quellen.
  3. Die Search Console: Das ist die offizielle Poststelle von Google. Wenn Google deine Website als kompromittiert einstuft, schreibt es dir genau dort eine Nachricht. Die meisten Betriebe haben das nie eingerichtet — oder eingerichtet und nie wieder geöffnet. Beides ist, als würdest du die Briefe vom Finanzamt ungelesen wegwerfen.
  4. Der Besucher-Test, der wichtigste: Schalt dein WLAN aus, nimm das Handy ins mobile Netz, such bei Google nach deinem Betrieb und klick auf deine Website. Dann noch zwei Unterseiten. Wenn du überall da landest, wo du hinwolltest: gut. Wenn nicht: Jetzt weißt du Bescheid.

Und eine Frage noch, die keiner mag: Wer hat alles Zugang zu deiner Website? Die Agentur von damals? Der Schwager, der sie mal eingerichtet hat? Ein Praktikant von 2019? Jeder Zugang, der noch existiert, ist eine Tür. Und je älter die Tür, desto wahrscheinlicher, dass irgendwo ein Schlüssel verloren gegangen ist.

Und wenn es passiert ist?

Erstmal: Ruhe bewahren. Nicht sofort alles löschen und neu hochladen — das ist der häufigste Fehler. Die Hintertür sitzt oft nicht in der Website selbst, sondern in einem Plugin, im Hosting, in einer alten Datei. Wer nur die sichtbaren Spuren wegwischt, hat nächste Woche dasselbe Problem. Die Reihenfolge, die funktioniert:

  1. Alle Passwörter ändern. Wirklich alle: Hosting, E-Mail, Domain-Verwaltung, Datenbank. Und zwar von einem sauberen Gerät aus.
  2. Updates ziehen: System, Plugins, alles. Eine verwundete Website, die du nicht schließt, wird sofort wieder befallen.
  3. Wenn du ein Backup hast, das älter ist als der Befall: einspielen. Wenn nicht: Finger weg vom Selbst-Experimentieren und jemanden holen, der das schon tausendmal gemacht hat. Das ist keine Schande — das ist wie beim Elektriker: Ich schraube ja auch nicht an meiner Unterverteilung rum.
  4. Danach Google Bescheid sagen (über die Search Console), dass die Seite sauber ist. Bis Google dich wieder reinlässt, dauert es seine Zeit. Geduld.
Eine gehackte Website ist schlimmer als keine Website. Keine kostet dich nur Aufträge. Eine gehackte kostet dich Aufträge, Vertrauen — und warnt jeden Besucher persönlich vor dir.

Und das ist der Moment, in dem ich mein eigenes Geschäft nennen muss, ganz ehrlich: Wenn du so einen Befall findest, bin ich genau der Richtige, das zu bereinigen. Aber ich sage dir auch, was ich jedem Kunden sage: Das Aufräumen ist immer teurer als das Verhindern. Wer mir jeden Monat eine kleine Wartung zahlt, kommt bei mir praktisch nie in die Situation. Wer spart, zahlt am Ende — entweder an mich oder an jemanden wie mich, nur dringender und teurer.

Sicherheit ist kein Projekt. Sicherheit ist eine Gewohnheit.

Was heißt das jetzt für dich, konkret, ohne dass ich dir etwas verkaufen will? Drei Dinge:

Erstens: Mach heute den 10-Minuten-Check von oben. Wenn da was ist, weißt du es wenigstens. Wissen ist unangenehm, aber billig — Unwissenheit ist teuer.

Zweitens: Wenn deine Website älter als zwei Jahre ist und seit dem Tag der Übergabe keiner mehr dran war: Dann ist sie nicht nur ungepflegt, sie ist ein Sicherheitsrisiko. Das ist kein Vorwurf, das ist Statistik aus meinem Alltag. Ich sehe diese Websites täglich. Und ich sehe, was daraus wird.

Drittens: Such dir eine Lösung, die du wirklich durchhältst. Automatische Updates, ein Backup, das auch mal getestet wird, ein Monitoring, das dich nachts weckt, wenn deine Website nachts arbeitet. Ob du das selbst machst, ein pfiffiger Azubi macht oder jemand wie ich — völlig egal. Hauptsache, es passiert. Regelmäßig. Nicht „irgendwann“.

Der SHK-Meister hat mir am Ende des Telefonats noch gesagt: „Ich dachte immer, dafür bin ich zu klein.“ — Nein. Die Bots fragen nicht nach der Betriebsgröße. Die fragen nur, ob die Tür offen ist.

Wenn du dir nicht sicher bist, ob deine Tür offen ist: Schick mir deine Website-Adresse. Ich schau drauf, sag dir gradeheraus, was ich sehe — und wenn nichts ist, kostet es dich nur zwei Minuten und eine Mail. Und wenn doch was ist, wissen wir es beide lieber heute als nächste Woche. So wie der Meister, der seinen Transporter jeden Morgen umdreht, um zu checken, dass er noch da ist.