Angegriffen wird
nicht persönlich.

Wie ein Angriff wirklich abläuft

1. Programme durchsuchen das Netz nach Seiten mit einem bestimmten System und einer bekannten Version.
2. Sie probieren bekannte Lücken durch – meist in Erweiterungen, selten im System selbst.
3. Parallel laufen Anmeldeversuche mit Listen gängiger Benutzernamen und Passwörter.
4. Klappt eines von beidem, wird die Seite zum Werkzeug: Sie verschickt Spam, leitet Besucher weiter oder versteckt fremde Inhalte für Suchmaschinen.
5. Auffallen tut das oft erst, wenn Google warnt oder der Hoster den Zugang sperrt.

Was wirklich wirkt

• Aktualisieren, zeitnah. Die meisten erfolgreichen Angriffe nutzen Lücken, für die es seit Wochen eine Korrektur gibt. Das ist mit Abstand der wichtigste Punkt.
• Unbenutzte Erweiterungen und Themes löschen, nicht nur deaktivieren.
• Kein Benutzer „admin", und Konten mit Verwaltungsrechten nur für die, die sie brauchen.
• Lange, einmalige Passwörter aus einem Passwortspeicher – für jeden Zugang ein eigenes.
• Zwei-Faktor-Anmeldung für alle Verwaltungskonten.
• Anmeldeversuche begrenzen. Nach mehreren Fehlversuchen sperren; das erledigt den größten Teil der automatisierten Versuche.
• Sicherungen an einem zweiten Ort, automatisch, und einmal getestet. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Vermutung.
• Dateibearbeitung im Verwaltungsbereich abschalten. Wer hineinkommt, kann sonst direkt Code einschleusen.

Woran man einen Befall erkennt

• Die Seite leitet Besucher auf fremde Adressen um – oft nur vom Handy oder nur bei Besuchern aus der Suche.
• In der Suche erscheinen Seiten, die es nicht gibt, häufig mit fremdsprachigen Werbebegriffen.
• Der Hoster meldet ungewöhnlichen Mailversand.
• Neue Verwaltungskonten, die niemand angelegt hat.
• Dateien mit ungewöhnlichen Namen in den Systemverzeichnissen, mit frischem Änderungsdatum.
• Die Search Console meldet Sicherheitsprobleme.

Wenn es passiert ist

1. Seite vom Netz nehmen oder in den Wartungsmodus setzen, damit kein Besucher Schaden nimmt.
2. Alle Passwörter ändern: Verwaltung, Datenbank, Dateizugang, Hosting-Konto. Auch die, die „sicher nicht betroffen" sind.
3. Aus einer Sicherung von vor dem Befall zurückspielen. Ein Datum, das sicher davor liegt – nicht das letzte.
4. Sofort alles aktualisieren und die Lücke schließen, sonst ist die Seite in Tagen wieder befallen.
5. Prüfen, ob Kundendaten betroffen sind. Ist das der Fall, gelten Meldepflichten nach der DSGVO mit kurzen Fristen – das gehört sofort geklärt.
6. Bei Google die Überprüfung beantragen, wenn eine Warnung erschienen ist.

Das ist eine Einordnung und ersetzt keine Rechtsberatung. Bei Verdacht auf Datenabfluss gehört fachkundige Hilfe dazu, und zwar am selben Tag.