Was ist passiert?
Hier gibt es verschiedene Möglichkeiten:
- Ein Angreifer hat sich eine Sicherheitslücke innerhalb Ihrer Webseiten-Software (z.B. WordPress/Joomla/Drupal usw.) zu Nutze gemacht und hat zum Zwecke des Spam-Versand eine oder mehrere Schadcode-Dateien in Form eines PHP-Skriptes platziert. Diese kleinen Programme nutzten die sogenannte PHP mail()-Funktion zum Versand einer generierten Spam-E-Mail, an eine meist recht große, unbekannte Empfängerliste. Oftmals wird auch das üblicherweise von Ihren Seitenbesuchern genutzte Kontakt-Formular oder eine Gästebuch-Funktion zum Spam-Versand zweckentfremdet.
Dem Angreifer ist es gelungen das (SMTP-)Kennwort Ihrer E-Mail-Adresse auszuspionieren. Dies geschieht in der Regel über Trojaner oder Viren die wiederum in herkömmlichen Spam-E-Mails auf Ihrem Endgerät geöffnet wurden. Die erbeuteten Login-Daten werden dabei direkt an den Angreifer übermitteln. Dieser kann dann über herkömmliche E-Mail-Clients (z.B. Outlook, Thunderbird und Co.) Spam-E-Mails mit den Zugangsdaten Ihrer E-Mail-Adresse versenden.
Was muss ich tun?
Sollten uns derartige Aktivitäten zu Ihren Speicherplatz bekannt werden, führen wir je nach Vorfall eine komplette oder eine partielle Sperrung Ihres Accounts bzw. Ihrer E-Mail-Postfächer durch. Wir informieren Sie hierzu per E-Mail und bitten Sie um zeitnahe Kontaktaufnahme über ein Ticket, welches Sie in Ihrem Kundencenter-Login finden. Teilen Sie uns dort bitte Ihre geplanten oder womöglich bereits durchgeführten Gegenmaßnahmen mit.
- Beim Spam-Versand über eingeschleusten Schadcode/PHP-Skript gilt:
Bedenken Sie bitte von Anfang an unbedingt, dass alleiniges Löschen der platzierten Schadcode-/Phishing-Dateien die eigentliche Ursache dieses Sicherheitsvorfalles nicht bekämpfen wird. Gehen Sie bitte davon aus, dass Ihr CMS/PHP-Skript (z.B. Joomla/WordPress/Drupal usw.) durch eine darin befindliche Sicherheitslücke manipuliert und nachhaltig an unbekannter Stelle verändert wurde. Verpasste Sicherheitsupdates nachträglich einzuspielen löst die Problematik leider ebenso wenig, da der Schadcode im Vorfeld platziert wurde. Auf kürzlich erstellte Backups sollten Sie ebenso verzichten, da die Sicherheitslücke zum Zeitpunkt der Datensicherung womöglich schon ausgenutzt wurde. Wir empfehlen Ihnen aus den genannten Gründen die durchgreifende Änderung relevanter Passwörter (z.B. FTP/MySQL), sowie eine saubere Neuinstallation des verwendeten CMS/PHP-Skriptes in der aktuellsten Version. In diesem Zusammenhang sollten alle nachträglich installierten Erweiterungen/Plugins und ganz besonders auch Templates auf deren Herkunft/Quelle/Vertrauenswürdigkeit von Ihnen überprüft werden.
Kontaktformulare und Gästebücher sollten prinzipiell mit einem Captcha abgesichert werden.
- Beim Spam-Versand über ein kompromittiertes E-Mail-Postfach gilt:
Bitte bedenken Sie von Anfang an unbedingt, dass ein alleiniges Ändern des Kennwortes des betroffenen E-Mail-Postfaches die Dateien die eigentliche Ursache dieses Sicherheitsvorfalles unter Umständen nicht bekämpfen wird. Gehen Sie bitte davon aus, dass Ihr Kennwort entweder zu einfach konzipiert, einem Dritten bekannt war oder eines Ihrer Endgeräte, welches das betroffene Postfach synchronisiert, von einem Angreifer manipuliert wurde (z.B. Trojaner, Virus, Malware etc.). Prüfen Sie daher Ihre genutzten Endgeräte zunächst mit einer geeigneten Sicherheitssoftware. Sofern ein Befall der Endgeräte ausgeschlossen werden kann, speichern Sie bitte ein neues und sicheres Kennwort über den Administrationsbereich Ihres Kundencenter-Logins ab. Abschließend teilen Sie Ihre die getätigten Maßnahmen bitte anschließenden Freischaltung via Ticket mit. Wir empfehlen in diesen Fällen stets auch die Änderung aller Ihrer übrigen E-Mail-Postfächer!
Besonderheit: In seltenen Fällen nutzen PHP-Skripte zum E-Mail-Versand nicht die PHP mail()-Funktion, sondern die sogenannte SMTP-Authentifizierung über ein angelegtes E-Mail-Postfach. Wenn es einem Angreifer gelingt das von Ihnen genutzte CMS/PHP-Skript zu manipulieren, wäre er unter Umständen in der Lage das SMTP-Kennwort Ihres dort hinterlegten Postfaches auszulesen. Prüfen Sie daher im Zweifelsfall auch Ihre CMS/PHP-Skripte ob diese den E-Mail-Versand per SMTP-Authentifizierung durchführen. Passen Sie in diesem Falle auch dort das geänderte E-Mail-Passwort (SMTP) an oder wechseln Sie die Versandart im Backend auf Sendmail.
Wer kann mir helfen?
Wenn Ihre Webseite von einem Webmaster/Webdesigner erstellt wurde, wenden Sie sich bitte umgehend dort hin.
Häufig kommt es vor, dass die Sicherheitslücke beim Hersteller Ihrer im Einsatz befindlichen Software schon längst bekannt ist. Es empfiehlt sich daher immer die Recherche über einschlägige Suchmaschinen oder die Nutzung eines geeigneten Forums, das in der Regel vom Software-Hersteller selbst oder von der Community gepflegt wird.
Sollten Ihre lokalen Endgeräte (z.B. Desktop-PC, Laptop, Tablet, Smartphone) betroffen und von einem Administrator eingerichtet worden sein, so involvieren Sie diesen bitte ebenso.
Was muss ich in Zukunft beachten?
Achten Sie bitte immer darauf, dass die Kennwörter Ihrer E-Mail-Postfächer nur Ihnen bekannt sind und eine entsprechend hohe Komplexität bzw. Passwort-Stärke aufweisen. Darüber hinaus empfiehlt es sich regelmäßig eine Sicherheitssoftware (z.B. Virenscanner) auf allen synchronisierenden Endgeräten zu verwenden.
Weitere Hinweise zur Absicherung Ihrer Webseite finden Sie hier: Wie kann ich meinen Webspace absichern?
Wie Sie das AlfaDog Security Center zur Absicherung einsetzen können Sie hier nachlesen: Welche Möglichkeiten bietet das AlfaDog Security-Center?
Alternativ können Sie Ihre Webseite auch mit dem von uns angebotenen Baukasten Tool erstellen. Eine Test-Möglichkeit und eine Übersicht über die Tarife finden Sie hier:
https://alfahosting.de/homepage-baukasten/
Der Vorteil dabei: Um die Sicherheit der Software müssen Sie sich nicht kümmern, dies übernehmen wir.