Joomla Sicherheit
Joomla Sicherheit – gehackte Websites prüfen und bereinigen
Unbekannte Dateien, fremde Administratoren, Spam-Seiten, Weiterleitungen oder plötzlich veränderte Inhalte können darauf hinweisen, dass eine Joomla-Website kompromittiert wurde.
In diesem Fall reicht es nicht, nur den sichtbaren Schadcode zu löschen. Die Website sollte systematisch geprüft, bereinigt und die mögliche Ursache des Angriffs untersucht werden.
Wurde Ihre Joomla-Website gehackt?
Ein erfolgreicher Angriff ist nicht immer sofort sichtbar. Manche Manipulationen verändern die Website deutlich, andere bleiben über längere Zeit unbemerkt.
Angreifer können beispielsweise Schadcode in Dateien einschleusen, versteckte Inhalte in der Datenbank hinterlegen, neue Benutzer anlegen oder Besucher und Suchmaschinen auf fremde Seiten weiterleiten.
Besonders gefährdet sind nicht aktualisierte Joomla-Installationen, veraltete Erweiterungen und Komponenten, für die bekannte Sicherheitslücken existieren.
Typische Anzeichen einer kompromittierten Joomla-Website
Unbekannte Dateien
Neue oder veränderte PHP-Dateien an ungewöhnlichen Stellen können Schadcode oder eine versteckte Hintertür enthalten.
Spam & versteckte Inhalte
Fremde Links, versteckte Texte oder automatisch erzeugte Spam-Seiten werden häufig eingesetzt, um Suchmaschinen zu manipulieren.
Unbekannte Administratoren
Benutzerkonten mit hohen Berechtigungen, die niemand angelegt hat, sind ein deutliches Warnsignal.
Fremde Weiterleitungen
Besucher werden plötzlich auf Werbung, Spam-Seiten oder andere Domains umgeleitet – teilweise nur auf bestimmten Geräten oder über Suchmaschinen.
Warnung durch Google oder Hosting
Suchmaschinen, Sicherheitsdienste oder der Hosting-Anbieter können verdächtige Dateien, Malware oder andere Manipulationen erkennen.
Wiederkehrende Infektion
Wenn Schadcode nach einer Bereinigung erneut auftaucht, wurde möglicherweise die eigentliche Sicherheitslücke oder eine vorhandene Backdoor nicht beseitigt.
Bereinigung
Schadcode löschen allein reicht nicht
Eine einzelne infizierte Datei zu entfernen kann zwar das sichtbare Problem beseitigen, beantwortet aber noch nicht die wichtigste Frage: Wie konnte der Angreifer überhaupt auf die Website gelangen?
War eine veraltete Joomla-Erweiterung die Ursache, kann die Website unmittelbar wieder kompromittiert werden, solange diese Schwachstelle weiterhin vorhanden ist.
Außerdem können Angreifer zusätzliche Zugänge hinterlassen haben. Deshalb sollte eine Bereinigung nicht nur die bereits entdeckte Manipulation berücksichtigen.
Sicherheitsprüfung
Was prüfe ich bei einer gehackten Joomla-Website?
Jede kompromittierte Website ist anders. Deshalb hängt der genaue Umfang der Prüfung vom jeweiligen System und vom festgestellten Angriff ab.
Ich untersuche nicht nur Joomla selbst, sondern auch installierte Erweiterungen, Benutzer, Dateien und – soweit erforderlich – die Datenbank und Serverumgebung.
Je nach Fall prüfe ich
- Joomla-Core und Versionsstand
- Komponenten, Module und Plugins
- verdächtige oder veränderte Dateien
- Administrator- und Benutzerkonten
- Datenbank auf verdächtige Inhalte
- Templates und individuelle Dateien
- Konfigurations- und Serverdateien
- bekannte Schwachstellen installierter Erweiterungen
Malware, Backdoors und SEO-Spam in Joomla
Nicht jeder Angriff verfolgt dasselbe Ziel. Manche Angreifer versuchen, dauerhaft Zugriff auf die Website zu behalten. Dafür können sogenannte Backdoors in scheinbar unauffälligen Dateien versteckt werden.
Bei anderen Angriffen geht es vor allem um Suchmaschinen. Dabei werden fremde Links, versteckte Texte oder ganze Spam-Seiten in die Website eingeschleust. Solche Inhalte können für normale Besucher unsichtbar sein und trotzdem von Suchmaschinen erfasst werden.
Manipulationen müssen deshalb nicht ausschließlich im Dateisystem liegen. Schad- oder Spam-Inhalte können sich auch in Datenbankfeldern, Modulen, Artikeln oder den Einstellungen einer Erweiterung befinden.
So gehe ich bei einer Joomla-Bereinigung vor
Situation analysieren
Ich prüfe die bekannten Symptome und verschaffe mir einen Überblick über Joomla, Erweiterungen und technische Umgebung.
Manipulationen suchen
Verdächtige Dateien, Datenbankinhalte, Benutzerkonten und mögliche weitere Veränderungen werden untersucht.
Website bereinigen
Gefundene Manipulationen werden entfernt und betroffene Bestandteile soweit möglich durch saubere Versionen ersetzt.
Angriffsfläche reduzieren
Veraltete oder gefährdete Bestandteile werden aktualisiert, ersetzt oder entfernt und die Installation anschließend erneut kontrolliert.
Veraltete Joomla-Erweiterungen sind ein Sicherheitsrisiko
Bei vielen kompromittierten Websites liegt das Problem nicht am Joomla-Core, sondern an einer veralteten Erweiterung oder einem nicht mehr gepflegten Plugin.
Deshalb gehört für mich zu einer sinnvollen Bereinigung auch die Überprüfung der installierten Erweiterungen. Wird eine bekannte Schwachstelle gefunden, muss diese Ursache behoben werden – sonst bleibt die Website angreifbar.
Ist die gesamte Joomla-Installation bereits deutlich veraltet, kann anschließend ein Joomla Update oder eine Joomla Migration notwendig sein.
Nach der Bereinigung
Joomla dauerhaft aktuell halten
Auch eine gründlich bereinigte Website benötigt anschließend regelmäßige Pflege. Neue Sicherheitslücken können später in Joomla oder installierten Erweiterungen entdeckt werden.
Joomla, Komponenten und Plugins sollten deshalb regelmäßig kontrolliert und Sicherheitsupdates zeitnah installiert werden.
Wenn Sie sich darum nicht selbst kümmern möchten, kann ich die Website auch regelmäßig betreuen. Weitere Informationen finden Sie unter Joomla Wartung.
Erfahrung mit kompromittierten Joomla-Websites
Ich arbeite seit 2010 mit Joomla und beschäftige mich regelmäßig auch mit Websites, die nach Angriffen, Sicherheitsproblemen oder fehlgeschlagenen Bereinigungsversuchen wiederhergestellt werden müssen.
Dabei geht es nicht nur darum, einen Scanner laufen zu lassen. Auffälligkeiten müssen technisch eingeordnet und anschließend gezielt untersucht werden.
Gerade bei älteren Joomla-Websites ist Erfahrung hilfreich, weil sich legitime individuelle Anpassungen und tatsächlich verdächtige Änderungen nicht immer automatisch voneinander unterscheiden lassen.
Ihre Joomla-Website wurde gehackt?
Senden Sie mir die Adresse Ihrer Website und beschreiben Sie kurz, was Sie festgestellt haben. Wenn Sie bereits eine Warnung von Ihrem Hosting-Anbieter, Google oder einem Sicherheitsscanner erhalten haben, können Sie diese ebenfalls mitsenden.
Ich schaue mir die Situation persönlich an und kann anschließend einschätzen, welche weiteren Schritte notwendig sind.