Seite auf Viren prüfen: was wirklich dahintersteckt

Der Suchbegriff ist verbreitet, die Vorstellung dahinter meistens falsch. Eine Website kann keinen Virus auf einen Rechner bringen, nur weil sie geöffnet wird — jedenfalls nicht in einem aktuellen Browser mit eingespielten Aktualisierungen. Der Browser führt Seiteninhalte in einer abgeschotteten Umgebung aus, und Ausbrüche daraus sind selten, teuer und werden schnell geschlossen.

Was es dagegen häufig gibt, sind drei andere Dinge. Sie heißen nicht Virus, richten aber Schaden an, und ein Virenscanner findet keines davon.

Was wirklich vorkommt#

Eingeschleuste Skripte. Eine übernommene Seite liefert weiterhin ihren normalen Inhalt und dazu ein paar Zeilen fremden Code. Der liest Eingaben aus Formularen mit, leitet Zahlungsdaten an eine zweite Stelle weiter oder blendet eine Aufforderung ein, die es vorher nicht gab.

Getarnte Downloads. Das Fenster, das ein Browser-Update, einen fehlenden Codec oder einen Virenfund meldet, ist Teil der Seite und nicht des Systems. Es kann nichts tun, außer eine Datei anzubieten. Ausgeführt wird sie vom Besucher.

Weiterleitungen nur für bestimmte Besucher. Die perfideste Variante: Wer die Adresse direkt eingibt, sieht die normale Seite. Wer über eine Suchmaschine kommt oder ein Mobilgerät benutzt, landet woanders. Der Betreiber selbst merkt monatelang nichts, weil er seine Seite immer direkt aufruft.

Prüfung 1: Was andere schon wissen#

Suchmaschinen- und Browserhersteller betreiben Warnlisten und prüfen Seiten laufend selbst. Steht eine Domain dort, ist das ein belastbarer Befund — diese Listen sind zurückhaltend, weil eine falsche Warnung teuer ist.

Ebenso aussagekräftig ist die Suche nach der Domain in einer Suchmaschine: Wird die Seite mit einem Warnhinweis dargestellt oder taucht sie gar nicht mehr auf, obwohl sie erreichbar ist, wurde sie mit hoher Wahrscheinlichkeit aus dem Index genommen.

Mehrere unabhängige Prüfdienste erlauben es außerdem, eine Adresse gegen viele Erkennungsmodule gleichzeitig zu prüfen. Ein einzelner Treffer unter vielen sagt wenig — Fehlalarme sind dort die Regel. Aussagekräftig wird es, wenn mehrere große Anbieter übereinstimmen.

Prüfung 2: Was die Seite selbst preisgibt#

Ohne Werkzeug, in jedem Browser:

Quelltext ansehen. Eingeschleuster Code fällt fast immer auf, weil er nicht zum Rest passt: eine sehr lange Zeile ohne Umbrüche, eine Folge aus \x und Ziffern, ein eval( oder ein Skript von einer Domain, die mit dem Anbieter nichts zu tun hat.

Die Netzwerkanalyse öffnen und die Seite neu laden. Sie listet jeden Host, von dem etwas nachgeladen wird. Bei einem Blog eines Handwerksbetriebs gehören dort keine zwölf fremden Domains hinein.

Von außen kommen statt von innen. Die Seite über ein Suchergebnis aufrufen, nicht über die Adresszeile — und einmal von einem Mobilgerät. Genau darauf zielen die selektiven Weiterleitungen.

Prüfung 3: Die technische Umgebung#

Eine Seite, die übernommen wurde, ist fast immer eine Seite, die es jemandem leicht gemacht hat. Fehlende Schutz-Header, unverschlüsselte Teile, offene Verwaltungszugänge — das sind keine Belege für einen Befall, aber sie sagen, wie wahrscheinlich einer ist.

Der Security-Check prüft HTTPS, die Schutz-Header und riskante offene Ports für eine beliebige Adresse. Eine Seite ohne Content-Security-Policy kann ein eingeschleustes Skript nicht bremsen — bei ihr ist der Schaden im Ernstfall größer als bei einer, die eine hat.

Es ist die eigene Seite#

Dann gilt eine andere Reihenfolge, und die wichtigste Regel steht am Anfang: Nicht nur aufräumen, sondern den Weg hinein finden. Wer die eingeschleusten Dateien löscht und die Lücke offen lässt, hat in einer Woche dasselbe Problem.

1. Aus der Ferne prüfen, was Besucher sehen — über die Suche, mobil, ohne Anmeldung.
2. Die Zeitstempel der Dateien vergleichen. Was in derselben Minute geändert wurde wie die auffällige Datei, gehört mit dazu.
3. Alle Zugänge zurücksetzen, auch die des Hosters und der Datenbank.
4. Erst dann zurückspielen, und zwar auf einen Stand vor dem ersten auffälligen Datum.
5. Aktualisieren, was veraltet ist — Kern, Erweiterungen, PHP.

Woran man einen Einbruch erkennt, bevor die Suchmaschine ihn bemerkt, steht ausführlich unter Gehackte Website erkennen, bevor Google sie abstraft.

Was diese Prüfung nicht beantwortet#

Ob eine Seite seriös ist. Ein Betrugsshop ist technisch sauber — er muss es sein, sonst würden Zahlungen nicht funktionieren. Kein Warnlistendienst der Welt meldet ihn, solange er nur nicht liefert.

Diese Frage ist eine andere, und sie steht unter Ist diese Website sicher? und Wem gehört eine Website?