Meine Website wurde gehackt: die Maschine aus einem sauberen Snapshot wiederherstellen

Die Website zeigt eine Seite, die nicht Ihre ist. Oder Google warnt, dass Ihre Seite "dem Computer schaden könnte". Oder der Server ist extrem langsam, und in den Prozessen frisst etwas namens kdevtmpfsi die CPU. Jemand ist eingedrungen. Es ist ein unangenehmer Moment, aber wenn Sie Snapshots haben, ist es an einem Nachmittag gelöst, ohne jemanden bezahlen zu müssen.

Der zentrale Gedanke ist, dass man eine kompromittierte Maschine nicht säubert: man gibt sie auf. Sie werden nie mit Sicherheit wissen, was sonst noch darin hinterlassen wurde. Was Sie wissen, ist, dass der Snapshot von vor zehn Tagen gesund war. Also fahren Sie aus dieser Kopie eine neue Maschine hoch, bringen sie auf den neuesten Stand, schließen die Tür, durch die sie hereinkamen, und geben ihr die Adresse der Website. Die alte lassen Sie ausgeschaltet und isoliert, falls man nachsehen muss, was passiert ist.

Die Anleitung ist für Lightsail geschrieben; in EC2 sind die Schritte dieselben mit anderen Menünamen.

Schritt für Schritt

1. Bestätigen Sie den Einbruch und löschen Sie nichts

   Übliche Anzeichen: Inhalte oder Links, die Sie nicht eingefügt haben, Weiterleitungen auf andere Websites, E-Mails von AWS über verdächtige Aktivitäten, Warnungen der Google Search Console, die Maschine grundlos bei 100 % CPU, neue Benutzer in WordPress oder im System, Dateien, die zu seltsamen Zeiten geändert wurden.

   Und das Erste, was man NICHT tun darf: Löschen Sie keine Dateien, installieren Sie nichts darüber, "säubern" Sie den Server nicht. Zwei Gründe. Erstens hat der Angreifer wahrscheinlich mehr als eine Tür hinterlassen, und Säubern von Hand findet nicht alle. Zweitens, wenn Sie eine Versicherung haben, Kunden mit personenbezogenen Daten oder die Datenschutzbehörde informieren müssen, werden Sie die Maschine so erhalten wollen, wie sie ist, damit jemand sie untersuchen kann. Erstellen Sie jetzt sofort einen Snapshot der kompromittierten Maschine mit einem eindeutigen Namen (web-COMPROMETIDA-2026-10-28) und fassen Sie sie nicht mehr an.

2. Isolieren Sie die Maschine, indem Sie die Firewall schließen

   Gehen Sie in Lightsail, klicken Sie auf den Namen der Maschine und öffnen Sie die Registerkarte Netzwerk. Im Block IPv4-Firewall sehen Sie die Regeln: normalerweise SSH (22), HTTP (80) und HTTPS (443). Löschen Sie alle Regeln außer SSH, und in der SSH-Regel klicken Sie auf den Stift, markieren Auf IP-Adresse beschränken und tragen nur Ihre aktuelle IP ein (Sie sehen sie, wenn Sie bei Google "wie ist meine IP" suchen). Machen Sie dasselbe in der IPv6-Firewall, falls sie aktiviert ist.

   Damit ist die Website nicht mehr erreichbar, ja. Aber sie verteilt auch keine Malware mehr an Ihre Besucher, verschickt keinen Spam und greift keine Dritten von Ihrer Adresse aus an. Ein paar Stunden ohne Website lassen sich erklären; eine Anzeige nicht. Für die nächsten Schritte müssen Sie nicht in die alte Maschine, Sie können also auch die SSH-Regel entfernen.

3. Wählen Sie einen Snapshot von vor dem Angriff

   Im Menü links in Lightsail, Snapshots. Sie sehen die Liste der Kopien dieser Maschine mit Datum. Sie brauchen eine, die vor dem ersten Symptom liegt, mit Abstand: Wenn Sie am 25. etwas bemerkt haben, nehmen Sie nicht die vom 24., denn der Angriff kann Tage vorher begonnen haben, bevor er sichtbar wurde. Wenn die Website WordPress ist, haben die geänderten Dateien ein Datum: Schauen Sie es in der Kopie oder im Dateimanager nach und nehmen Sie einen Snapshot von mindestens einer Woche davor.

   Es ist unvermeidlich, die seit diesem Datum gemachten Änderungen zu verlieren: Bestellungen, Beiträge, Fotos. Notieren Sie, welche es sind, um sie am Ende von Hand nachzutragen. Wenn die Datenbank auf einer anderen Maschine oder in RDS liegt, ist sie von diesem Schritt nicht betroffen, aber prüfen Sie trotzdem ihre Benutzer und Passwörter (Schritt 5). Wenn Sie keinen sauberen Snapshot haben, lesen Sie den Abschnitt Probleme: Die Wiederherstellung läuft dann anders.

4. Erstellen Sie eine neue Maschine aus dem Snapshot

   Beim gewählten Snapshot, Drei-Punkte-Menü, Neue Instanz erstellen. Wählen Sie dieselbe Verfügbarkeitszone wie die alte Maschine (die statische IP lässt sich nur innerhalb derselben Region verschieben), denselben Plan oder einen größeren, und geben Sie ihr einen neuen Namen (web-2026-10-28). Lassen Sie sie starten: Es dauert ein paar Minuten.

   Die neue Maschine entsteht mit der Standard-Firewall (22, 80 und 443 für alle offen). Als Allererstes: Registerkarte Netzwerk, und beschränken Sie Port 22 auf Ihre IP, wie in Schritt 2. Lassen Sie 80 und 443 vorerst geschlossen: Veröffentlichen Sie sie nicht, bevor Sie sie aktualisiert haben.

5. Aktualisieren Sie und ändern Sie alle Passwörter und Schlüssel

   Melden Sie sich an der neuen Maschine mit der Schaltfläche Über SSH verbinden von Lightsail an (öffnet ein Terminal im Browser, ohne etwas zu installieren). Nun der Reihe nach:

   • Aktualisieren Sie das System: Unter Ubuntu oder Debian sudo apt update && sudo apt upgrade -y. Bei Bitnami-Images aktualisieren Sie zusätzlich die Anwendung über ihr Panel.
   • Aktualisieren Sie die Website: WordPress, Theme und alle Plugins. Löschen Sie die Plugins, die Sie nicht nutzen. In 90 % der Fälle war die Tür ein nicht aktualisiertes Plugin.
   • Passwörter der Website: alle Administrator-Benutzer. Löschen Sie die, die Sie nicht kennen.
   • Passwort der Datenbank, und aktualisieren Sie es in der Konfigurationsdatei der Website (wp-config.php oder Entsprechung).
   • SSH-Schlüssel: In Lightsail, Menü Konto, SSH-Schlüssel, erstellen Sie einen neuen und löschen Sie den alten; auf der Maschine ersetzen Sie den Inhalt von ~/.ssh/authorized_keys. Der alte Schlüssel kann die kompromittierte Maschine verlassen haben.
   • Schlüssel externer Dienste, die auf der Maschine lagen: E-Mail (SMTP), Zahlungsanbieter, AWS-API, falls vorhanden. Erzeugen Sie neue und widerrufen Sie die alten.

   Schauen Sie auch in /etc/passwd und in die crontab von root, falls der Snapshot nicht so sauber war, wie Sie dachten: Benutzer, die Sie nicht kennen, oder seltsame geplante Aufgaben. Wenn Sie etwas sehen, gehen Sie zurück zu Schritt 3 mit einem älteren Snapshot.

6. Verschieben Sie die statische IP und prüfen Sie das DNS

   In Lightsail, Menü Netzwerk (das links, nicht die Registerkarte der Maschine). Klicken Sie auf die statische IP der Website: Sie sehen, welcher Instanz sie zugewiesen ist. Trennen Sie sie von der alten Maschine und weisen Sie sie der neuen zu. Die Änderung ist sofort wirksam, und die Domain zeigt weiterhin auf dieselbe Adresse, Sie müssen also nicht auf die DNS-Verbreitung warten.

   Gehen Sie trotzdem zu Ihrem Domain-Anbieter (oder in DNS-Zonen von Lightsail, wenn Sie es dort verwalten) und prüfen Sie alle Einträge. Angreifer fassen manchmal den Server nicht an, fügen aber Einträge hinzu, die die E-Mail oder eine Subdomain umleiten. Wenn Sie einen A-, MX- oder TXT-Eintrag sehen, den Sie nicht kennen, löschen Sie ihn.

   Jetzt ja: Fügen Sie auf der neuen Maschine, Registerkarte Netzwerk, die Regeln HTTP (80) und HTTPS (443) für alle offen hinzu. Prüfen Sie die Website vom Handy über Mobilfunk, das nicht durch Ihr Netz geht, und schauen Sie auf das Ablaufdatum des HTTPS-Zertifikats: Es steckt im Snapshot und sollte sich von selbst erneuern.

7. Danach: die Tür schließen und nicht wieder hierher zurückkehren

   Die alte Maschine: Lassen Sie sie einen Monat gestoppt, mit geschlossener Firewall. In Lightsail wird sie auch gestoppt berechnet; wenn die Kosten wichtig sind, löschen Sie sie und behalten Sie den Snapshot aus Schritt 1, der die Beweise sichert. Nach einer angemessenen Zeit löschen Sie auch diesen Snapshot.

   Und drei Maßnahmen, damit es sich nicht wiederholt:

   • Automatische Snapshots: Aktivieren Sie auf der neuen Maschine, Registerkarte Snapshots, die automatischen (Lightsail bewahrt die letzten sieben auf, einen pro Tag). Um einige länger zu behalten, machen Sie monatlich einen manuellen.
   • Updates: einmal pro Woche, System und Website. Richten Sie eine Erinnerung ein. Es ist langweilig, und es ist das, was 90 % der Einbrüche verhindert.
   • Port 22 nur für Ihre IP, und geschlossen, wenn Sie ihn nicht nutzen. In diesem Bereich gibt es eine Anleitung nur dazu. Und wenn niemand Dateien per FTP auf die Website hochladen muss, lassen Sie Port 21 nicht offen.

   Zuletzt: Wenn die Website Kundendaten gespeichert hat, sprechen Sie mit der Person, die in Ihrem Unternehmen für den Datenschutz zuständig ist: Ein Einbruch in den Server kann dazu verpflichten, ihn innerhalb von 72 Stunden zu melden.

Was schiefgehen kann