Schutz vor Malware-Infektionen

Der Preis für Freiheit von Malware ist ewige Wachsamkeit. Dieser Artikel enthält Tipps und Hinweise zur Vermeidung von Malware-Infektionen. Er ist jedoch keineswegs erschöpfend, und Google ermutigt Website-Betreiber, ebenfalls gründlichere Recherchen anzustellen.

Überwachung der Website-Gesundheit

Viele Funktionen der Search Console helfen Ihnen dabei, potenzielle Probleme zu identifizieren. Zum Beispiel:

• Führen Sie eine Google-Suche mit dem site: Suchoperator durch, um zu sehen, welche Seiten Google auf Ihrer Website gefunden hat. Es ist immer ratsam, dies regelmäßig zu tun, um zu prüfen, ob jemand unerwartete Seiten oder Inhalte auf Ihrer Website eingeschleust hat. Wenn Sie unbekannte Seiten oder Themen auf Ihrer Website sehen, die Sie nicht selbst erstellt haben, könnten Sie gehackt worden sein. Falls Sie den site: Suchoperator noch nicht kennen: Er ermöglicht es Ihnen, Ihre Suche auf eine bestimmte Website zu beschränken. Die Suche site:developers.google.com liefert beispielsweise nur Ergebnisse von der Google Developers-Website.
• Der Bericht zu Sicherheitsproblemen zeigt alle gehackten Seiten an, die Google auf Ihrer Website identifiziert hat, sowie Anweisungen zur Behebung des Problems.
• Wenn Google Malware auf Ihrer Website erkennt, erhalten Sie eine Benachrichtigung im Nachrichten-Panel der Search Console. Um sicherzustellen, dass Sie schnell benachrichtigt werden, können Sie Ihre Nachrichten an Ihr E-Mail-Konto weiterleiten.

Sicherheits-Checkliste

Zusätzlich zur regelmäßigen Überwachung Ihrer Website empfehlen wir Folgendes:

Alle Website-Betreiber

• Wählen Sie sichere Passwörter. Die Google-Kontorichtlinien sind hierbei hilfreich.
• Wählen Sie Drittanbieter von Inhalten sehr sorgfältig aus. Stellen Sie sicher, dass Apps und Anzeigen von Drittanbietern auf Ihrer Website aus vertrauenswürdigen und legitimen Quellen stammen. Eine vertrauenswürdige Quelle bietet Support und Kontaktinformationen auf ihrer Website an.
• Kontaktieren Sie Ihren Hosting-Anbieter oder Ihre Publishing-Plattform für Support. Die meisten Unternehmen verfügen über hilfreiche und reaktionsschnelle Support-Teams und/oder Sicherheitsseiten. Wenn eine Sicherheitsseite einen RSS-Feed anbietet, abonnieren Sie diesen, um auf dem Laufenden zu bleiben.
• Halten Sie alle Ihre Computer sicher. Achten Sie insbesondere bei der Arbeit an einer Website darauf, dass Ihre lokale Workstation über aktuelle Software verfügt, frei von Viren, Trojanern oder ähnlicher Malware ist und über eine kürzlich aktualisierte Antivirensoftware verfügt.

Website-Betreiber mit Serverzugriff

• Überprüfen Sie Ihre Serverkonfiguration. Apache bietet auf seiner Website einige Tipps zur Sicherheitskonfiguration und Microsoft bietet auf seiner Seite Tech-Center-Ressourcen für IIS. Einige dieser Tipps enthalten Informationen zu Verzeichnisberechtigungen, Server-Side Includes, Authentifizierung und Verschlüsselung.
• Erstellen Sie eine Sicherungskopie Ihrer .htaccess-Datei (oder anderer Zugriffskontrollmechanismen, je nach Website-Plattform). Verwenden Sie Ihre Sicherungsdatei zur Wiederherstellung, falls die folgenden Schritte fehlschlagen. Löschen Sie die Sicherungsdatei unbedingt, sobald Sie fertig sind.
• Bleiben Sie bei Software-Updates und Patches auf dem neuesten Stand. Es gibt viele Tools, die den Aufbau einer Website erleichtern, aber jedes birgt ein gewisses Risiko, ausgenutzt zu werden. Ein häufiger Fehler vieler Website-Betreiber ist es, ein Forum oder einen Blog zu installieren und diesen dann zu vergessen. Ähnlich wie bei einer Inspektion Ihres Autos ist es wichtig, sicherzustellen, dass Sie alle neuesten Updates für jedes installierte Softwareprogramm haben. Erstellen Sie eine Liste aller für Ihre Website verwendeten Softwarekomponenten und Plug-ins und verfolgen Sie die Versionsnummern und Updates. Selbst wenn Sie sorgfältig sind und alle Komponenten aktualisieren, können Sie dennoch anfällig sein, wenn Ihr Webhoster nicht die neuesten Betriebssystem-Patches installiert hat. Dieses Problem betrifft nicht nur kleine Websites; es gab bereits Warnungen auf den Websites von Banken, Sportvereinen sowie Unternehmens- und Regierungsseiten.
• Behalten Sie Ihre Logdateien im Auge. Dies zur Gewohnheit zu machen, hat viele Vorteile, darunter eine erhöhte Sicherheit. Zum Beispiel können unbekannte URL-Parameter (wie =http: oder =//) oder plötzliche Verkehrsspitzen zu Redirect-URLs auf Ihrer Website darauf hindeuten, dass ein Hacker offene Redirects ausnutzt. Bedenken Sie auch, dass Hacker oft versuchen, Logdateien zu manipulieren. Ergreifen Sie Maßnahmen, um diese Dateien vor Angriffen zu schützen. Sie können diese Dateien beispielsweise von ihrem Standardpfad verschieben, was es für Hacker schwieriger macht, sie zu finden.
• Überprüfen Sie Ihre Website auf häufige Schwachstellen. Vermeiden Sie Verzeichnisse mit offenen Berechtigungen. Das ist, als würden Sie die Haustür Ihres Hauses sperrangelweit offen stehen lassen.

  Prüfen Sie auch auf XSS (Cross-Site Scripting) und SQL-Injection-Schwachstellen.

• Verwenden Sie sichere Protokolle. Google empfiehlt die Verwendung von SSH und SFTP für die Datenübertragung anstelle von Klartextprotokollen wie Telnet oder FTP. SSH und SFTP verwenden Verschlüsselung und sind wesentlich sicherer.
• Bleiben Sie bei den neuesten Sicherheitsnachrichten auf dem Laufenden. Der Google Security Blog bietet nützliche Informationen zur Online-Sicherheit sowie Hinweise auf weitere Ressourcen. Die Regierungsseite US-CERT (United States Computer Emergency Readiness Team) stellt technische Sicherheitswarnungen und Tipps bereit.