Ein sachfremder Link auf einer Praxiswebsite ist mehr als ein kosmetischer Fehler. Er kann auf ein kompromittiertes Benutzerkonto, eine veraltete Erweiterung oder eine Veränderung in der Datenbank hindeuten. Wer den Fund vorschnell löscht, beseitigt womöglich Hinweise auf den Ursprung. Sinnvoller ist ein geordnetes Vorgehen: Belege sichern, den betroffenen Stand mit Backups vergleichen, die Ursache eingrenzen und anschließend prüfen, ob die bereinigte Seite tatsächlich sauber ausgeliefert wird.
Fund dokumentieren, bevor Inhalte verändert werden
Halten Sie zunächst fest, wo und wann der Link sichtbar war. Notieren Sie die genaue Seitenadresse, den Fundzeitpunkt und den sichtbaren Text. Screenshots können helfen, sollten aber durch eine Kopie des HTML-Codes und, falls möglich, durch Serverprotokolle ergänzt werden. Dokumentieren Sie außerdem, ob der Link öffentlich sichtbar ist, nur im Quelltext auftaucht oder ausschließlich bei bestimmten Geräten beziehungsweise Suchmaschinenbesuchen erscheint.
Vermeiden Sie zunächst größere Änderungen am System. Ein sofortiges Aktualisieren, Löschen oder Wiederherstellen kann Beweismaterial überschreiben. Sichern Sie Dateien und Datenbank in einem getrennten, zugriffsgeschützten Bereich und vermerken Sie, von welchem Zeitpunkt die Kopien stammen. Bei begründetem Verdacht auf einen Einbruch sollten Zugangsdaten nicht über die möglicherweise betroffene Website geändert werden.
Backups und aktuelle Website systematisch vergleichen
Ein Backup aus einer Zeit vor dem ersten Auftreten des Links bietet einen hilfreichen Referenzpunkt. Vergleichen Sie nicht nur die sichtbaren Seiten, sondern auch Vorlagen, Erweiterungen, Upload-Verzeichnisse und die Datenbank. Ein Dateivergleich kann neu hinzugefügte oder veränderte Skripte und Vorlagendateien sichtbar machen. In der Datenbank lohnt sich eine Suche nach dem Linktext, der Zieladresse sowie ungewöhnlichen HTML- oder JavaScript-Fragmenten.
Ein auffälliger Fund kann als sachfremde Phrase wie bonus ohne einzahlung in einem Footer, einem Beitrag oder einem unsichtbaren Element erscheinen; allein der Text belegt jedoch weder den Eintragsweg noch den Zeitpunkt der Veränderung. Vergleichen Sie deshalb mehrere Sicherungsstände und prüfen Sie, ob der Fund in Beiträgen, globalen Einstellungen oder generierten Bereichen vorkommt. Ein einzelnes altes Backup kann bereits kompromittiert sein oder Änderungen enthalten, die fachlich gewollt waren.
Auch Zeitstempel sind nur Indizien. Sie können durch Wiederherstellungen, Deployments oder automatisierte Prozesse verändert worden sein. Aussagekräftiger ist die Kombination aus Versionskontrolle, Änderungsprotokollen, Benutzeraktivitäten und Serverlogs. Stimmen diese Quellen nicht überein, sollte die Unsicherheit dokumentiert und nicht durch Vermutungen ersetzt werden.
Ursache beheben statt nur den Link entfernen
Nach der Eingrenzung sollte die betroffene Komponente bereinigt oder aus einer nachweislich sauberen Quelle ersetzt werden. Prüfen Sie Administratorkonten, unbekannte Benutzer, API-Schlüssel, geplante Aufgaben und Weiterleitungsregeln. Aktualisieren Sie das Content-Management-System und seine Erweiterungen, entfernen Sie nicht mehr benötigte Komponenten und ändern Sie Zugangsdaten von einem vertrauenswürdigen Gerät aus. Bei Hinweisen auf umfassendere Manipulationen ist eine fachkundige Sicherheitsprüfung ratsam.
Das bloße Entfernen des sichtbaren Links reicht nicht aus, wenn ein Skript ihn erneut einfügen kann. Bereinigen Sie daher auch mögliche Einträge in Datenbankfeldern, Widgets, Theme-Dateien und Cache-Systemen. Bewahren Sie vor jeder Reparatur eine Kopie des kompromittierten Zustands auf; sie kann bei der Ursachenanalyse wichtig sein.
Bereinigte Seiten unabhängig verifizieren
Nach der Bereinigung sollten Sie die Website nicht nur im angemeldeten Verwaltungsbereich kontrollieren. Rufen Sie betroffene Seiten ausgeloggt auf, prüfen Sie den Quelltext und testen Sie verschiedene Seitentypen, Geräte und Ausgabepfade. Leeren Sie Server-, Plugin- und CDN-Caches und wiederholen Sie die Prüfung anschließend. Suchen Sie außerdem gezielt nach dem verdächtigen Text und der Zieladresse im gesamten Webauftritt.
Beobachten Sie die Website in den folgenden Tagen erneut und kontrollieren Sie Zugriffs- sowie Änderungsprotokolle. Bleibt der Fund aus, ist das ein gutes Zeichen, aber kein alleiniger Beweis für vollständige Sicherheit. Eine nachvollziehbare Dokumentation der Schritte erleichtert spätere Prüfungen und hilft, Wiederholungen schneller zu erkennen.