Website gehackt, Webentwickler verschwunden: der Relaunch einer Buchhandlung

Wenn der Webentwickler nicht mehr antwortet

Heike Suter führt in Kölliken im Aargau die Buchhandlung „Erlesen”. Ihr Motto steht seit Jahren über allem, was sie tut: „Die Liebe zum Buch kommt vor dem Profit!” Sie ist Buchhändlerin alter Schule, führt seit 2018 nebenbei die Gemeindebibliothek — und sie hatte, wie viele kleine Betriebe, ihre Website vor Jahren von jemandem bauen lassen, der sich irgendwann nicht mehr meldete. Keine Updates mehr, keine Antworten, keine Übergabe.

Eine Website, die niemand pflegt, wird nicht gezielt angegriffen. Sie wird gefunden — von Programmen, die das Netz rund um die Uhr nach Seiten absuchen, die seit Jahren kein Update mehr bekommen haben, und übernehmen, was sie finden. Bei Heike stand eines Tages Casino-Werbung auf der Seite. Nicht ein Banner: Tausende untergeschobene Seiten, unter ihrer Adresse, unter ihrem Namen.

Sie hat getan, was ihr ohne Zugang zur Technik blieb, und es war richtig: Sie ließ ihre Adresse beim Anbieter auf eine Baustellenseite zeigen. Der Spam war weg — und die Buchhandlung im Netz unsichtbar. Dazu kam der Teil, der im Alltag am meisten weh tut: An ihr eigenes E-Mail-Postfach kam sie nicht mehr heran.

So haben wir den Fall übernommen. Das Ergebnis vorweg: Die neue Seite ist live, unter ihrer alten Adresse — erlesen.ch.

Der Befund: Spam-Seiten zu Tausenden und zwei Hintertüren

Bevor irgendetwas Neues entsteht, wird das Alte gesichert und ausgewertet. Was beim alten Hosting lag:

• rund 1.500 Spam-Seiten, untergeschoben zwischen die echten Seiten von erlesen.ch,
• 19.703 Spam-Adressen unter Heikes zweiter Internetadresse heike-suter.ch — von den Angreifern eigens in Listen geführt, die sie Google vorlegten, damit auch keine einzige übersehen wird,
• zwei Hintertüren: unscheinbare Dateien, über die Fremde jederzeit wieder hereinkommen und auf dem Server tun können, was sie wollen — ein neues Passwort ändert daran nichts,
• ein Zugangsschlüssel zum Server, offen lesbar in einem Ordner, den die Website jedem auslieferte, der danach fragte,
• Mailversand über einen Massenanbieter, ohne jeden Beleg, dass eine Mail von erlesen.ch wirklich von dort kommt.

Und darunter, begraben unter drei Website-Generationen aus mehr als zehn Jahren, lagen Heikes echte Inhalte: ihre Texte, ihre Buchbesprechungen.

Zwei Schäden, und nur einer lässt sich löschen

Der Server ist der kleinere Schaden. Man setzt ihn neu auf, das ist eine Frage von Stunden. Der größere liegt woanders: im Ruf der Domain bei Google. Für Google war erlesen.ch jahrelang eine Casino-Seite, und dieses Urteil steht in Googles Gedächtnis, nicht auf dem Server. Deshalb greift „neue Seite draufspielen und fertig” zu kurz — der Relaunch muss auch Googles Gedächtnis aufräumen.

Der erste Schritt dorthin war unspektakulär: der Nachweis gegenüber Google, dass die Adresse Heike gehört. Hinterlegt wird er nicht auf der Website, sondern dort, wo die Adresse selbst verwaltet wird — wer dort etwas eintragen kann, ist der Inhaber, das genügt Google. Deshalb funktioniert der Nachweis unabhängig davon, was auf der Seite gerade steht. Im Gegenzug zeigt Google, was es über die Adresse gespeichert hat: der erste ehrliche Blick auf den Schaden.

Dann der Spam. Der bequeme Weg wäre gewesen, alle alten Adressen auf die neue Startseite weiterzuleiten. Er wäre der falsche gewesen: Eine Weiterleitung ist ein Nachsendeauftrag, und mit der Post zieht der Ruf der alten Adresse mit um. Man trägt den Müll ins neue Haus.

Wir haben deshalb getrennt. Die echten Seiten der früheren Buchhandlungs-Website — „Über mich”, „Neuentdeckungen”, „Meine Lieblinge” — bekamen ihren Nachsendeauftrag auf die passenden Nachfolger; dieser Ruf ist verdient und soll mitkommen. Sämtliche Spam-Adressen samt den Listen dazu beantwortet der Server dagegen mit einer endgültigen Auskunft: gibt es nicht mehr, kommt nicht wieder. Das ist das Signal, auf das Suchmaschinen eine Adresse wirklich streichen, statt noch monatelang anzuklopfen.

Die Inhalte: gerettet, nicht kopiert

Aus einer gekaperten Website übernimmt man nichts — man weiß nie, was mitkommt. Heikes Arbeit kam stattdessen aus zwei sauberen Quellen zurück: aus dem Internet Archive, das ihre Seiten seit 2012 mitfotografiert hat, und aus einer Sicherungskopie der letzten unbeschädigten Fassung. Startseite, „Über mich”, die Buchbesprechungen, 48 Buchcover — alles wieder da, nichts davon aus dem verseuchten System.

E-Mail zurückholen und absichern

Das Postfach haben wir zurückgeholt und die Mails auf eigene Infrastruktur umgezogen — samt der Nachweise, die vorher fehlten und an denen empfangende Anbieter heute entscheiden, ob eine Geschäftsmail im Posteingang landet oder im Spam-Ordner. Das Kontaktformular der Website verschickt über ein eigenes Absenderkonto: Heikes persönliches Passwort liegt damit in keinem einzigen Dienst. Warum genau das der richtige Umgang mit Zugängen ist, haben wir im Beitrag über Passwörter im Betrieb aufgeschrieben.

Die neue Website: nichts, was sich kapern lässt

Die neue Website besteht aus fertigen Seiten, die nur noch ausgeliefert werden. Im Hintergrund läuft kein Programm, das gepflegt und wöchentlich aktualisiert werden müsste. Die Tür, durch die die Angreifer damals hereinkamen, existiert an dieser Website schlicht nicht. Vor dem Start haben wir den gesamten Code noch einmal auf Sicherheit geprüft.

Der wichtigste Teil ist aber keiner, den Besucher sehen: Heike hat ein eigenes Redaktionsportal. Anmelden, Buchbesprechung schreiben, Cover hochladen, veröffentlichen — Minuten später ist der Beitrag live. Bearbeiten und Zurückziehen genauso. Für ihre tägliche Arbeit muss sie niemanden mehr fragen.

Der Livegang: eine Sperre weniger, sonst nichts

Inzwischen ist die neue Seite öffentlich: erlesen.ch. Wer die Adresse aufruft, findet dort wieder, was hingehört — Heikes Lesetipps, ihren Lieferdienst, die Bibliothek in Kölliken, ihre Bienen und Kater Charlie.

Der Tag der Freischaltung war der unspektakulärste des ganzen Projekts, und genau so soll es sein. Bis dahin stand die fertige Seite bereits an ihrem endgültigen Platz, nur hinter einem Passwort: So ließ sich alles in Ruhe ansehen und korrigieren, ohne dass Google eine halbfertige Fassung zu Gesicht bekam. Weiterleitungen, die Absagen an die Spam-Adressen, Sitemap und Mailversand waren zu diesem Zeitpunkt längst eingerichtet und geprüft. Am Ende fiel nur noch die Sperre weg.

Auch Heikes zweite Adresse heike-suter.ch führt jetzt zur Buchhandlung — und jede der knapp 20.000 Casino-Adressen darunter bekommt die endgültige Absage. Abgeschlossen ist die Sache damit noch nicht ganz: Bis Google die letzten davon aus seinem Gedächtnis gestrichen hat, vergehen erfahrungsgemäß Wochen bis Monate. Das beobachten wir weiter.

Abhängig bleibt man trotzdem — die Frage ist, wovon

An dieser Stelle wollen wir ehrlich sein, statt ein Versprechen zu geben, das niemand halten kann: Wer seine Website betreiben lässt, hängt an jemandem. Auch an uns. Die Frage ist nicht, ob es eine Abhängigkeit gibt, sondern was sie im Ernstfall kostet.

Deshalb stecken Heikes Texte und Bilder nicht in einem System, aus dem man sie erst herausoperieren müsste, sondern liegen als schlichte Dateien — kopierbar, mitnehmbar, von jedem weiterzuverwenden und nicht nur von uns. Ihre Internetadresse verwaltet weiterhin sie selbst bei ihrem eigenen Anbieter; die haben wir bewusst nicht zu uns geholt, denn wer die Adresse hat, hat die Kontrolle. Und sie bekommt aufgeschrieben, wo alles liegt und was zu tun wäre, wenn sie uns eines Tages nicht mehr will.

Der Unterschied zu vorher ist also nicht, dass Heike von niemandem mehr abhängt. Er ist, dass sie diesmal die Schlüssel dazu in der Hand hält.

Technisch im Detail

Wer die Geschichte lesen wollte, ist hier fertig. Für alle anderen die Maßnahmen im Klartext:

• Search-Console-Verifizierung als Domain-Property per DNS-TXT — deckt alle Protokolle und Subdomains ab. Zweite Property für die Altdomain zum Monitoring des Spam-Abbaus, dazu Adressänderung auf die neue Domain und das Entfernen-Tool für hartnäckige URLs.
• 301-Weiterleitungen ausschließlich für die legitimen Alt-Pfade der cm4all-Generation (die Über-mich-Seite, /Neuentdeckungen/, /Meine-Lieblinge/) auf die inhaltlich passenden neuen Seiten.
• 410 Gone für alle Spam-Muster (?p=…) und die untergeschobenen Sitemaps — kein 301, keine Reputationsvererbung, der schnellste saubere Weg aus dem Index.
• Statischer Build (Astro), ausgeliefert aus einem Container hinter nginx. Keine Datenbank, keine Plugins, keine Update-Pflicht.
• JSON-LD als BookStore/LocalBusiness mit Adresse, Telefon und Öffnungszeiten; Sitemap mit echten lastmod-Daten je Seite; Volltextsuche über alle Beiträge.
• E-Mail auf eigener Infrastruktur mit SPF, DKIM und DMARC; Formularversand über ein separates No-Reply-Konto.
• Sicherheits-Review des gesamten Codes vor dem Start, Befunde vor Go-live behoben.

Drei Fragen, die Sie heute beantworten sollten

Der teuerste Fehler in dieser Geschichte war nicht technisch, sondern organisatorisch: Es gab keine zweite Person, die an Adresse, Hosting und Postfach herangekommen wäre. Dieselbe Sollbruchstelle finden wir in Betrieben jeder Branche — sie gehört zu den typischen IT-Fehlern kleiner Betriebe.

1. Wem gehört Ihre Internetadresse — nachweislich? Steht Ihr Betrieb im Register oder Ihre Agentur?
2. Kommen Sie selbst an Hosting und Postfach heran? „Das macht mein Webmensch” ist genau die Antwort, die Heike die Website gekostet hat.
3. Wird Ihre Website gepflegt? Ungepflegte Seiten werden nicht gezielt angegriffen, sondern automatisch gefunden — den Handwerksbetrieb trifft das genauso wie die Buchhandlung.

Können Sie eine dieser Fragen nicht aus dem Stand beantworten, sind Sie in guter Gesellschaft — in den meisten kleinen Betrieben hat das schlicht nie jemand aufgeschrieben. Klären lässt es sich trotzdem, und zwar am besten, bevor es jemand anderes für Sie tut. Was wir dabei übernehmen, steht unter Leistungen — oder Sie schreiben uns direkt.