Joomla gehackt?
So finden und entfernen
Sie den Hack
Unerwartete Weiterleitungen, eine Warnung von Google, ein gesperrtes Hosting-Konto. Beginnen Sie mit den ersten fünfzehn Minuten, starten Sie dann einen kostenlosen Scan auf Dateiebene und finden Sie genau heraus, was auf Ihrem Server liegt.
Die ersten fünfzehn Minuten
Den bleibenden Schaden eines Joomla-Hacks richtet meist nicht der Angreifer an, sondern der Betreiber, der in der ersten Stunde in Panik die Beweise vernichtet. Gehen Sie in dieser Reihenfolge vor.
Jetzt sofort tun
- 1
Erstellen Sie eine vollständige Kopie, bevor Sie irgendetwas anfassen
Dateien und Datenbank, genau im jetzigen Zustand, einschließlich des Hacks. Bewahren Sie die Kopie außerhalb des Servers auf. Sie ist Ihr Beweismittel und Ihr Rückgängig-Knopf, und sobald Sie anfangen zu löschen, lässt sie sich nicht mehr herstellen.
- 2
Ändern Sie alle Passwörter, und nach der Bereinigung noch einmal
Joomla Super Benutzer, FTP und SSH, der Datenbankbenutzer und das Kundenmenü Ihres Hosters. Zweimal deshalb, weil alles, was Sie ändern, solange noch eine Backdoor aktiv ist, abgefangen und wiederverwendet werden kann.
- 3
Nehmen Sie die Website offline, wenn sie Besuchern Malware ausliefert
Joomla hat in der Globalen Konfiguration einen Schalter, mit dem Sie die Website offline nehmen. Wenn Google die Website bereits markiert hat oder Besucher an unangenehme Orte umgeleitet werden, kostet Sie ein Offline-Hinweis weit weniger als der Schaden für Ihren Ruf.
- 4
Finden Sie heraus, was tatsächlich auf dem Server liegt
Nicht das, was Ihnen Ihr Hoster per E-Mail geschickt hat, und nicht das, was ein browserbasierter Scanner von außen meldet. Jede Datei, jede Zeile, auch die Erweiterungen, die Sie vor Jahren deaktiviert und dann vergessen haben.
Noch nicht tun
Spielen Sie noch kein Backup ein
Mit diesem Fehler wird aus einem Hack ein wiederkehrender. Die Wiederherstellung löscht die Spuren, wie die Angreifer hereingekommen sind, und setzt die ungepatchte Lücke direkt wieder ein. Sie werden erneut infiziert, meist innerhalb weniger Tage, und haben dann nichts mehr, was Sie untersuchen könnten.
Löschen Sie keine Dateien, die Sie nicht gelesen haben
Eine markierte Datei ist ein Hinweis, kein Urteil. Viel legitimer Code von Joomla-Erweiterungen nutzt dieselben Funktionen wie Angreifer. Lesen Sie zuerst die gefundenen Zeilen. Oft lässt sich eine einzelne schädliche Zeile entfernen, ohne die ganze Datei zu löschen.
Gehen Sie nicht davon aus, dass Ihr Hoster die Arbeit erledigt hat
Hosting-Anbieter entfernen die Dateien, die ihr Scanner erkennt. Den Einfallsweg finden sie nur sehr selten, und Ihre Datenbank prüfen sie fast nie. Eine Entwarnung vom Hoster ist etwas anderes als eine saubere Website.
Aktualisieren Sie Joomla nicht einfach und hoffen das Beste
Ein Update schließt die Tür für das nächste Mal. Gegen die Webshell, die bereits im System sitzt, hilft es nicht: Sie übersteht das Update problemlos und lässt den Angreifer danach wieder herein.
Praktisch, wenn Sie sie an Ihren Hoster oder Ihren Entwickler schicken möchten.
90.000+
geschützte Websites
Seit 2012
Joomla-Erfahrung aus erster Hand
1.000.000+
abgeschlossene Website-Audits
Warnsignale, dass Ihre Joomla-Website kompromittiert ist
Die meisten Joomla-Hacks bleiben für den Betreiber unsichtbar. Angreifer wollen Zugriff, keine Aufmerksamkeit. Das hier hinterlassen sie tatsächlich.
- Backdoor-Dateien in /components/ oder /modules/
- Angreifer legen PHP-Shells und Datei-Uploader in Erweiterungsverzeichnissen ab. Sie sehen aus wie legitime Dateien der Erweiterung, verschaffen aber Fernzugriff auf Ihren gesamten Server.
- Veränderte index.php oder configuration.php
- Kerndateien, die sich nie ändern sollten. Wurde die index.php verändert, steckt darin mit ziemlicher Sicherheit eingeschleuster Weiterleitungscode oder Malware, die bei jedem Seitenaufruf geladen wird.
- Überschriebene oder ergänzte .htaccess
- Angreifer verändern die .htaccess, um mobile Besucher oder den Googlebot unbemerkt auf Pharma-Spam-Seiten umzuleiten, während Desktop-Besucher Ihre echte Website sehen.
- Nicht autorisierte Erweiterungen installiert
- Angreifer installieren schädliche Komponenten oder Plugins mit Administratorrechten. Diese überstehen jede Wiederherstellung, wenn Sie die Liste der Erweiterungen nicht vorher prüfen.
- SEO-Spam und versteckte Links
- Japanische Keyword-Angriffe, Pharma-Hacks und versteckte Linkfarmen, eingeschleust in Ihre Templates oder Ihre Datenbank. Ihre Rankings fallen, während Google Tausende Spam-Seiten indexiert.
- Verschleierter PHP-Code in Template-Dateien
- Base64-kodierte Blöcke und eval()-Ketten, versteckt in Ihrem aktiven Template. Bei manueller Durchsicht kaum zu erkennen, unser Scanner markiert sie sofort.
Schnelltest: Ist die Website wirklich gehackt?
Haken Sie alles an, was Sie beobachtet haben. Es wird nichts übertragen, der Test läuft vollständig in Ihrem Browser.
Der Hack ohne gehackte Dateien
Jede Datei auf dem Server entspricht ihrer ursprünglichen Prüfsumme, Ihr Hoster meldet eine saubere Website, und trotzdem zeigt Ihre Startseite die Botschaft eines Fremden. Ein Rätsel ist das nicht: Die Schadcode-Nutzlast liegt in Ihrer Datenbank.
Eine ganze Reihe von Lücken in Joomla-Erweiterungen folgt demselben Muster: ein Ajax-Endpunkt, der nie geprüft hat, wer ihn aufruft, für jeden im Internet ohne Anmeldung erreichbar, und der vom Angreifer gesteuerte Inhalte direkt in eine Datenbanktabelle schreibt. Auf die Festplatte wird nichts geschrieben. Keine Datei ändert sich, also ändert sich keine Prüfsumme, also hat ein dateibasierter Scanner nichts zu melden.
Das aktuelle Beispiel ist das Joomla-Template-Framework Helix3. Versionen vor 3.1.1 enthielten einen Handler ohne Authentifizierung, dessen Import-Funktion es einem anonymen Besucher erlaubte, die Parameter von Template-Stilen zu überschreiben. Websites, auf denen es läuft, werden seit Anfang Juli 2026 massenhaft verunstaltet. Zwei Varianten sind im Umlauf: ein offensichtliches Defacement der ganzen Seite und ein leiserer Loader, der Ihre Seiten völlig normal aussehen lässt, während er zur Laufzeit gefälschte Captcha-Seiten und Wallet-Drainer für Kryptowährungen nachlädt. Die zweite Variante ist die schlimmere, und mit bloßem Hinsehen bemerken Sie sie nicht.
Den Schadcode zu entfernen heißt noch nicht, die Lücke zu schließen
Wenn Sie den eingeschleusten Code entfernen, ist behoben, was Ihre Besucher sehen. Der Endpunkt, über den er hereinkam, bleibt offen. Aktualisieren Sie Helix3 auf 3.1.1 oder neuer, leeren Sie den Joomla-Cache und bereinigen Sie erst dann, sonst wird der Code einfach erneut eingeschleust. Und falls Sie in diesen Template-Feldern eigenen, legitimen Code hatten, kopieren Sie ihn vor der Bereinigung heraus, denn die Bereinigung leert das Feld.
Fünf Prüfungen, die Ihre Datenbank lesen, nicht Ihre Festplatte
Sie laufen bei jedem Snapshot, ganz ohne Datei-Scan, und jede hat eine Ein-Klick-Bereinigung. Ein Treffer bei einer davon markiert die Website als gehackt, auch wenn keine einzige Datei betroffen ist. Die Namen stehen so da, wie sie im (englischsprachigen) Dashboard erscheinen.
- Helix3 Custom Code Hack
- Findet eine Schadcode-Nutzlast in den Parametern Ihrer Template-Stile, genau dort, wo die aktuelle Defacement-Welle sie ablegt. Ein Klick leert den schädlichen Custom Code und lässt die übrigen Template-Einstellungen unangetastet.
- Helix Ultimate Mega Menu Hack
- Findet Menüparameter, die über den Exploit der Mega-Menü-Speicherfunktion ohne Anmeldung manipuliert wurden. Angreifer nutzen ihn, um gespeichertes Cross-Site-Scripting einzuschleusen und Administratorkonten anzulegen.
- Check for JCE Rogue Profiles & Backdoors
- Findet die schädlichen Editor-Profile, die die JCE-Angriffswelle anlegt, und durchsucht die Ordner, in die diese Profile schreiben.
- Rogue Super Admin Accounts
- Gleicht Ihre Benutzertabelle mit bekannten E-Mail-Adressen und Benutzernamen von Angreifern ab, in jeder Benutzergruppe und nicht nur bei den Super Benutzern, denn Angreifer zielen nicht immer sofort ganz nach oben.
- SP Page Builder Rogue Icon-Font Assets
- Findet die Icon-Font-Einträge, die über die Lücke im Upload eigener Icons angelegt wurden, und entfernt die Ordner, die jeder dieser Einträge erzeugt hat.
Sie erreichen diese Prüfungen über den Snapshot jeder markierten Website, im Bereich der Hacked-Prüfungen. Ausführlich nachlesen (jeweils auf Englisch) können Sie, wo sich das Helix3-Defacement versteckt, welches Sicherheitsupdate die Lücke geschlossen hat und wie die Mega-Menü-Lücke in Helix Ultimate hinter der zweiten Prüfung in dieser Liste funktioniert. Wenn Sie zuerst die dateibasierte Seite des Problems scannen möchten, beginnen Sie mit dem Joomla-Malware-Scanner.
Die Werkzeuge, mit denen Sie selbst bereinigen
Ein Scan liest jede Datei in Ihrem Webspace, jede Zeile, einschließlich der ruhenden Erweiterung, die Sie 2019 deaktiviert haben. Aus diesem einen Scan entstehen zwei Werkzeuge, und zwischen ihnen liegt der Unterschied zwischen einem Verdacht und einem Beweis.
Verdächtiger Inhalt (Suspect Content): einen Blick wert
Der Inhalt der Datei passt auf eines von rund 1.500 handgeschriebenen Hack-Mustern, entstanden aus echten Kompromittierungen auf echten Joomla-Websites. Das ist eine Heuristik und kein Urteil. Fehlalarme bedeuten hier, dass das Werkzeug wie vorgesehen arbeitet, denn Angreifer schreiben in derselben Sprache wie alle anderen. Ein Kontaktformular nutzt dieselbe Mail-Funktion wie ein Spam-Skript.
Die Aufgabe dieses Werkzeugs ist es, aus zwanzigtausend Dateien das Dutzend herauszusuchen, das sich zu lesen lohnt. Klicken Sie eine davon an, und Sie sehen die genau passenden Zeilen mit Zeilennummern, dazu Änderungsdatum, Größe und Rechte der Datei.
Gehackte Dateien (Hacked Files): sofort handeln
Der Hash über die gesamte Datei stimmt mit einer Datei überein, die bereits als schädlich bestätigt wurde. Gleicher Hash bedeutet gleiche Bytes: Ihre Datei ist Zeichen für Zeichen identisch mit einer, die schon untersucht und verurteilt wurde. Ein Vielleicht gibt es auf dieser Stufe nicht. Ein wichtiger Vorbehalt: Eine Datei in dieser Liste bedeutet, dass Ihre Website kompromittiert ist, nicht nur diese eine Datei. Wenn Sie sie löschen, beseitigen Sie ein Symptom, nicht den Einfallsweg.
Was Sie mit einer markierten Datei tun können, ohne FTP-Programm
- Die gefundenen Zeilen lesen
- Jeder Mustertreffer an Ort und Stelle hervorgehoben, mit Zeilennummern, damit Sie sehen, was den Treffer ausgelöst hat, bevor Sie irgendetwas entscheiden.
- Direkt bearbeiten
- Entfernen Sie eine eingeschleuste Zeile aus einer ansonsten legitimen Datei und speichern Sie sie direkt im Browser zurück.
- Als Beweismittel herunterladen
- Behalten Sie eine Kopie der Webshell, bevor Sie sie entfernen. Das hilft später, wenn Sie den Einfallsweg rekonstruieren.
- Löschen
- Es gibt keine Sicherheitsabfrage und kein Rückgängig, und das ist Absicht. Lesen Sie die Datei vorher. Zum Löschen brauchen Sie ein aktives Abonnement oder eine Testphase.
Und der Rest des Werkzeugkastens
KI-Analyse einer verdächtigen Datei
Schicken Sie eine markierte Datei oder die ganze Liste zur Analyse und erhalten Sie ein Urteil (sicher, verdächtig oder schädlich) mit den problematischen Zeilen. Die Urteile werden global nach Datei-Hash zwischengespeichert, die Dateien verbreiteter Erweiterungen hat also meist schon jemand analysieren lassen, und das Ergebnis kommt sofort. Diese Funktion braucht Ihren eigenen API-Schlüssel für Claude oder OpenAI und muss für Ihr Konto freigeschaltet werden, sie ist also nicht von Haus aus aktiv.
Angreifer-.htaccess-Dateien gesammelt entfernen
Ein verbreiteter Joomla-Hack legt eine umleitende .htaccess in jeden Ordner der Website, und das können Tausende sein. Eine Schaltfläche entfernt jede überzählige Datei und behält die Datei im Stammverzeichnis Ihrer Website sowie die bekannten Härtungsdateien. Lesen Sie (auf Englisch), wie das auf einer Website mit 9.000 solcher Dateien funktioniert und warum eine gehärtete .htaccess den Hack gar nicht erst verhindert.
Vergleich und Wiederherstellung der Kerndateien
Eigene Werkzeuge erfassen veränderte und fehlende Joomla-Kerndateien, mit einem byte-genauen Vergleich gegen das offizielle Original und einer Ein-Klick-Rückkehr dorthin. Die Wiederherstellung gibt es nur für Kerndateien, denn nur dort existiert ein bekanntermaßen sauberes Original.
Kürzlich und zwischen zwei Audits geänderte Dateien
Eine frische Kompromittierung finden Sie am schnellsten mit der Frage, was sich geändert hat. Legen Sie eine Ausgangsbasis fest, dann zeigt Ihnen jedes spätere Audit, was sich seitdem bewegt hat, und eine erneute Infektion fällt früh auf.
Überall dort, wo sich Angreifer gern verstecken
Eigene Prüfungen für ausführbare PHP-Dateien in Ihrem Bilderordner, doppelte Endungen wie rechnung.php.jpg, versteckte Punktdateien, umbenannte Überbleibsel, verschlüsselte Dateien, öffentlich lesbare Datenbank-Dumps und herumliegende Archive.
Selbst bereinigen, geordnet nach Gewissheit
Ein Scan auf einer kompromittierten Website kann dreißig markierte Dateien liefern, und wer alle dreißig auf einmal anstarrt, gibt schnell auf. Arbeiten Sie sie stattdessen in der Reihenfolge ihrer Gewissheit ab. So wird aus einer einschüchternden Wand drei kurze Warteschlangen, und die dritte ist meist leer, wenn Sie bei ihr ankommen.
- 1
Beginnen Sie mit den bestätigt gehackten Dateien
Alles in der Liste der gehackten Dateien ist eine exakte Hash-Übereinstimmung mit einer bekanntermaßen schädlichen Datei. Da gibt es nichts abzuwägen. Laden Sie eine Kopie als Beweismittel herunter, entfernen Sie die Datei und machen Sie weiter, denn eine bestätigte Datei bedeutet, dass der Angreifer irgendwie hereingekommen ist, und dieser Weg ist noch offen.
Eine leere Liste ist eine gute Nachricht, aber noch keine Entwarnung. Eine Backdoor, die heute Morgen abgelegt wurde und die noch niemand bestätigt hat, steht unter verdächtigem Inhalt, nicht hier.
- 2
Arbeiten Sie dann die Liste mit verdächtigem Inhalt ab
Öffnen Sie jede Datei und lesen Sie die gefundenen Zeilen. Sie stellen drei Fragen. Gehört diese Datei zu einer Erweiterung, die Sie tatsächlich installiert haben? Passt ihr Änderungsdatum zum Rest des Pakets, oder hat sie sich allein um drei Uhr morgens geändert? Ist es eine PHP-Datei an einem Ort, an dem PHP nichts zu suchen hat, etwa in Ihrem Bilderordner?
Ist die KI-Analyse für Ihr Konto freigeschaltet, lassen Sie sie zuerst über die Liste laufen. Sie sortiert die meisten Dateien für Sie und lässt eine Handvoll als verdächtig übrig, die Sie mit Wissen beurteilen, das dem Modell fehlt.
- 3
Prüfen Sie die Hacks in der Datenbank
Führen Sie die fünf Snapshot-Prüfungen von oben aus. Diesen Schritt lassen viele aus, und genau deshalb ist eine Website, die letzte Woche bereinigt wurde, heute wieder verunstaltet. Findet eine davon etwas, bereinigen Sie es und patchen Sie dann die Erweiterung, die es ermöglicht hat, in genau dieser Reihenfolge.
- 4
Schließen Sie den Einfallsweg und prüfen Sie dann nach
Prüfen Sie Ihre Benutzerliste auf Konten, die Sie nicht angelegt haben. Stellen Sie veränderte Kerndateien auf ihre Originale zurück. Aktualisieren Sie jede Erweiterung, und entfernen Sie die, die Sie nicht mehr nutzen, statt sie nur zu deaktivieren, denn die Dateien einer deaktivierten Erweiterung sind über das Web weiterhin erreichbar.
Scannen Sie dann erneut. Ein sauberer zweiter Scan auf einer gerade bereinigten Website ist der einzige Beleg dafür, dass Sie fertig sind, und der Vergleich mit der Ausgangsbasis zeigt Ihnen sofort, wenn sich danach etwas bewegt.
Weiterführende Anleitungen, jeweils auf Englisch: eine ausführlichere Schritt-für-Schritt-Anleitung mit Screenshots finden Sie unter eine gehackte Website mit den Werkzeugen für verdächtigen Inhalt und gehackte Dateien bereinigen. Wie der Scan Ihre Dateien liest, erklärt gehackte Dateien und Backdoors finden, und den Unterschied zwischen den beiden Listen verdächtiger Inhalt vs. gehackte Dateien.
Warum bei der Bereinigung von Hand meist etwas übrig bleibt
Eine gehackte Joomla-Website von Hand zu bereinigen, ist schwer, weil die Rechnung nicht aufgeht, und kaum, weil der Code so raffiniert wäre. Eine bescheidene Joomla-Website besteht aus zwanzigtausend Dateien. Ein Angreifer braucht nur eine davon, die Ihre Bereinigung übersteht, und das weiß er. Deshalb bringen Kompromittierungen mehr als eine Backdoor mit, und die Reserve ist mit Absicht unauffällig: eine Datei, benannt wie eine legitime Erweiterungsdatei, in einem Verzeichnis voller legitimer Erweiterungsdateien, mit demselben Datum wie ihre Nachbarn.
Das zweite Problem: Sie prüfen die Stellen, an die Sie denken. Ein Scan hat diese Grenze nicht, und bei Datei achttausend wird ihm auch nicht langweilig. Er liest jede Zeile jeder Datei, auch oberhalb Ihres Web-Root, in den deaktivierten Erweiterungen und im Inhalt von Dateien, die nicht einmal Text sind.
Wir führen täglich mehr als 3.000 Audits durch und finden jede Woche mehr als 200 gehackte Websites. Jede bestätigte Datei fließt in die Hash-Liste, mit der morgen jede andere verbundene Website abgeglichen wird. Dieselbe Backdoor auf hundert Websites muss also nur ein einziges Mal verurteilt werden.
A highly efficient and comprehensive platform that stays up-to-date on security vulnerabilities and features excellent articles. The update functions work perfectly; it is an indispensable tool for managing over 60 websites, thank you!
Weitere Bewertungen lesenOder geben Sie das Ganze ab
Alles oben Beschriebene können Sie wirklich selbst erledigen, und viele tun das auch. Aber wenn es die Website eines Kunden ist, sie heute Morgen ausgefallen ist und Sie noch nie eine Webshell gelesen haben, dann ist ehrlich gesagt nicht die Woche, um es zu lernen. Genau dafür gibt es einen Service.
Phil bereinigt die Website, aktualisiert sie, sichert sie ab und übergibt sie Ihnen wieder. Jede Anfrage wird vorab geprüft, bevor jemand zusagt. Lässt sich die Website nicht reparieren, zahlen Sie nichts.
- Meist noch am selben Tag gelöst
- Bereinigung und Härtung gehackter Websites
- Keine Kosten in dem sehr seltenen Fall, dass sich die Website nicht reparieren lässt
- Ohne Abonnement gibt es einen kostenlosen Monat mySites.guru dazu
mysites.guru is simply phenomenal: you can manage, monitor, and update multiple Joomla sites from one single platform — stress-free and without any hassle. And if a problem ever does come up, just send Phil Taylor a message. Phil isn’t a bot or an AI, but a real IT expert who responds to support requests in no time at all. You really couldn’t ask for anything better! I can wholeheartedly recommend mysites.guru!
Weitere Bewertungen lesen
Great tool to manage my Joomla sites. Phil is always up to date and reliably informs about Joomla security issues.
Weitere Bewertungen lesen
A great time saver and for me the best way to keep up with sudden security threats. So to keep customers safe(r).
Weitere Bewertungen lesenDatenschutz und DSGVO
Wenn Sie mySites.guru mit Websites verbinden, verarbeiten wir in Ihrem Auftrag personenbezogene Daten. Die wichtigsten Punkte:
- Serverstandort
- Der Dienst läuft auf Servern in London, Vereinigtes Königreich.
- Angemessenheitsbeschluss der EU
- Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der Europäischen Kommission, erneuert am 19. Dezember 2025 und gültig bis zum 27. Dezember 2031. Personenbezogene Daten dürfen daher aus der EU zu uns übermittelt werden, ohne dass ein zusätzliches Übermittlungsinstrument nötig ist.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
- Unser Data Processing Agreement ist ein AVV nach Art. 28 DSGVO. Er gilt automatisch für jeden Kunden, Sie müssen nichts unterschreiben.
Den vollständigen Text finden Sie unter Data Processing Agreement (auf Englisch).
Welche Sprache Sie erwartet
Damit Sie vorher wissen, woran Sie sind:
- Support per E-Mail: auf Deutsch
- Schreiben Sie uns auf Deutsch, und Phil antwortet Ihnen auf Deutsch.
- Dashboard, Berichte und Warn-E-Mails: auf Englisch
- Die Oberfläche von mySites.guru, die Berichte und die Warnmeldungen per E-Mail gibt es nur auf Englisch. Deshalb nennt diese Seite Werkzeuge mit ihrem englischen Namen, so wie Sie sie im Dashboard finden.
Warum die meisten Scanner Joomla-Hacks übersehen
Die meisten Dienste, die mit einem Audit werben, verpacken einen Remote-Scanner, der Ihre Website so betrachtet wie ein Browser. Ihre Dateien sieht er nie. Alles unterhalb der ausgelieferten Seite bleibt ihm verborgen.
Er läuft in Ihrer eigenen Joomla-Installation
Ein Connector-Plugin, in Ihrer Erweiterungsverwaltung als mySites.guru Secure Plugin aufgeführt, scannt auf Ihrem eigenen Server, in Ihrem eigenen Dateisystem und Ihrer eigenen Datenbank. Den Rechner verlassen nur Metadaten pro Datei, und eine Datei selbst nur dann, wenn Sie sie zum Öffnen anklicken.
14 Jahre Bedrohungsdaten speziell zu Joomla
Angefangen hat alles 2012 als Joomla Health Checker, nicht als allgemeines Werkzeug, das später Joomla-Unterstützung nachgerüstet hat. Die Muster, die bekannten schädlichen Hashes und die von Hand verankerten Dateinamensmuster stammen alle aus echten Joomla-Kompromittierungen. Deshalb gibt es für die aktuellen Angriffswellen auf Erweiterungen noch in derselben Woche eine Erkennung.
Dateiintegrität gegen den echten Joomla-Kern
Saubere Prüfsummen für jede Joomla-Kernversion bedeuten, dass schon ein einziges verändertes Zeichen in einer Kerndatei markiert wird, mit einem Vergleich gegen das offizielle Original und einer Wiederherstellung per Klick. So fällt auch die subtile Backdoor auf, die sich liest wie gewöhnlicher Joomla-Code.
Eine Erkennung, die täglich besser wird, nicht quartalsweise
Jeder bestätigte Hack auf einer verbundenen Website fließt in die Prüfungen, die morgen auf Ihrer Website laufen. Unsere eigenen Signaturen liegen im Connector sogar verschleiert vor, damit Virenscanner auf dem Server unseren Detektor nicht mit der Malware verwechseln, die er beschreibt. Das ist tatsächlich schon passiert.
Was der Scan abdeckt
- Alle Dateien in /components/, /modules/, /plugins/, /templates/
- Joomla-Kerndateien im Vergleich mit bekanntermaßen sauberen Versionen
- .htaccess- und .htpasswd-Dateien in allen Verzeichnissen
- configuration.php und alle Sicherungskopien der Konfiguration
- Alle hochgeladenen Dateien in /images/ und /media/
- PHP-Dateien überall im Webspace, auch oberhalb des Web-Root
- Dateiinhalte Zeile für Zeile, auch in Dateien, die kein Text sind
- Liste der Administratoren und Super Benutzer auf nicht autorisierte Konten
- Liste der installierten Erweiterungen auf schädliche Komponenten
- Template-Stile und Menüparameter auf eingeschleuste Schadcode-Nutzlasten
Eines behaupten wir ausdrücklich nicht: Einen allgemeinen Malware-Scan der Datenbank gibt es nicht. Er steht auf der Roadmap. Was es heute gibt, ist die gezielte Erkennung der konkreten Kompromittierungen in der Datenbank, die weiter oben auf dieser Seite aufgeführt sind.
Lagen personenbezogene Daten auf der Website, ist die Bereinigung nur ein Teil der Arbeit
Diesen Teil lassen fast alle Anleitungen zu gehackten Websites weg, und er betrifft gerade die Leser am stärksten, die am ehesten hier sind: Agenturen, die die Website eines anderen betreuen. Hat die kompromittierte Joomla-Website personenbezogene Daten verarbeitet und besteht eine realistische Möglichkeit, dass der Angreifer darauf zugreifen konnte, dann ist das nach britischem und europäischem Datenschutzrecht eine Verletzung des Schutzes personenbezogener Daten, und die Frist für die Meldung an die Aufsichtsbehörde wird in Stunden gemessen, nicht in Wochen. Im Vereinigten Königreich muss die ICO innerhalb von 72 Stunden ab Kenntnis benachrichtigt werden, wenn die Verletzung voraussichtlich ein Risiko für die Betroffenen darstellt.
Daraus folgen zwei praktische Dinge. Erstens ist es ein weiterer Grund, kein Backup über die Beweise zu spielen: Ob Daten erreichbar waren, lässt sich viel schwerer beurteilen, wenn Sie die einzige Aufzeichnung dessen vernichtet haben, was auf dem Server lag. Zweitens: Sind Sie die Agentur und nicht der Betreiber der Website, sind Sie wahrscheinlich Auftragsverarbeiter und nicht Verantwortlicher. Die Meldung ist dann Sache Ihres Kunden, und Ihre Aufgabe ist es, ihn zügig und so ausführlich zu informieren, dass er diese Entscheidung treffen kann.
Nichts davon ist Rechtsberatung, und die Schwellenwerte hängen wirklich vom Einzelfall ab. Wie wir selbst mit den Daten umgehen, die wir speichern, steht in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag (beide auf Englisch, mehr dazu oben).
Je länger ein Hack unentdeckt bleibt, desto größer der Schaden
Eine Backdoor-Datei, die still in Ihrem Verzeichnis /components/com_users/ liegt, richtet im Moment keinen sichtbaren Schaden an. Genau darum geht es. Angreifer wollen dauerhaften Zugriff, keine sofortige Aufmerksamkeit.
Doch jeder Tag, an dem dieser Zugriff besteht, ist ein weiterer Tag, an dem sie über Ihren Server Spam verschicken, Phishing-Seiten hosten, Links in Ihre Inhalte einschleusen und Abstrafungen durch Google ansammeln können, die Monate brauchen, bis sie wieder aufgehoben sind. Wenn der Schaden sichtbar wird, kostet die Bereinigung das Zehnfache.
- E-Mail-Blacklisting
- Ihr Server wird zum Versand Tausender Spam-Mails missbraucht. Ihre IP-Adresse landet auf allen großen Blacklists. Legitime E-Mails kommen nicht mehr an.
- Abstrafung durch Google
- Google erkennt die Spam-Inhalte, markiert Ihre Website als gefährlich und entfernt Seiten aus dem Index. Verlorene Rankings zurückzugewinnen, kostet Monate an Aufräumarbeit.
- Offengelegte Kundendaten
- Verwaltet Ihre Joomla-Website Benutzerkonten, Bestellungen oder Kontaktformulare, dann hat der Angreifer über eine dauerhafte Backdoor unbegrenzt Zugriff auf diese Daten.
- Sperrung durch den Hoster
- Shared-Hosting-Anbieter überwachen ihre Server auf schädliche Aktivitäten. Finden sie welche, sperren sie zuerst das Konto und fragen erst danach. Ihre Website ist ohne Vorwarnung offline.
Hervorgegangen aus dem Joomla Health Checker von 2012
mySites.guru hat nicht als allgemeines Sicherheitswerkzeug angefangen, das später Joomla-Unterstützung nachgerüstet hat. Es entstand mitten in der Joomla-Community als Joomla Health Checker, eigens dafür gebaut, Joomla-Dateistrukturen zu untersuchen, den Aufbau von Erweiterungen zu verstehen und die Angriffsmuster zu erkennen, die gezielt auf Joomla abzielen.
Vierzehn Jahre und mehr als eine Million Audits später steckt dieses Wissen in jedem Scan. Wir wissen, welche Dateien in einer frischen Installation von Joomla 3.10, 4.4, 5.3 oder 6.0 vorhanden sein sollten. Wir haben jede Variante der Joomla-spezifischen Backdoors, Template-Injektionen und Kompromittierungen auf Datenbankebene gesehen, die seit 2012 aufgetaucht sind, einschließlich der Sicherheitslücke im Astroid Framework und der aktuellen Serie von Lücken in Erweiterungen, die keine Anmeldung erfordern.
Wenn wir Ihre Website scannen, gleichen wir nicht einfach allgemeine Muster ab. Wir wenden mehr als ein Jahrzehnt Sicherheitsforschung rund um Joomla an, das meiste davon entstanden, weil wir diese Dinge zuerst auf echten Websites gefunden haben.
Start als Joomla Health Checker, mitten in der Joomla-Community
Ausbau zur Verwaltung vieler Websites als mySites.guru, mit Unterstützung für WordPress
Mehr als 500.000 abgeschlossene Audits auf WordPress- und Joomla-Websites
Joomla 4 unterstützt ab dem Tag, an dem 4.0 als stabil erschien
Joomla 5 ab Veröffentlichung unterstützt. Über 1.000.000 abgeschlossene Audits
Joomla 6 unterstützt, mit Erkennung jeder neuen Angriffswelle auf Erweiterungen noch in derselben Woche
Agenturen in Deutschland und der Schweiz vertrauen uns ihre Joomla-Websites an
Die Bewertungen erscheinen unverändert auf Englisch.
So I'm just two weeks (or so...) here at mySites.guru. What should I say? Perfect. Secure. Reliable. And damn fast! Thank you, Phil, you saved my customers and my soul! :-) Greetings from Germany!
Weitere Bewertungen lesen
The service is superb, Phil is always reachable and replies quickly. Without mySites.guru I would have been left stranded on many occasions. Many thanks for this great service.
Weitere Bewertungen lesen
Thank you so much, Phil, for your work for Joomla over all these many years. I wish you all the best and much success with mysites.guru. Warm greetings from Switzerland.
Weitere Bewertungen lesenHäufige Fragen
Funktioniert das mit Joomla 3, 4, 5 und 6?
Wie lange dauert der Scan?
Was ist der Unterschied zwischen verdächtigem Inhalt und einer bestätigt gehackten Datei?
Kann ich die Website wirklich selbst bereinigen, oder bekomme ich nur einen Bericht?
Meine Website wurde verunstaltet, aber keine Datei wurde verändert. Wie kann das sein?
Durchsuchen Sie die Datenbank nach Malware?
Kann ich einen Fehlalarm markieren, damit er nicht mehr erscheint?
Ist der Scan wirklich kostenlos?
Beeinträchtigt der Scan meine Live-Website?
Was, wenn ich das lieber jemand anderem überlasse?
Die Details, Artikel für Artikel
Artikel auf Englisch
Verdächtiger Inhalt vs. gehackte Dateien
Warum es zwei Werkzeuge sind und wie Sie beide in Minuten sichten
So funktioniert der Scan
Musterabgleich, Hash-Abgleich und was gelesen wird
Das Defacement, das in Ihrer Datenbank wohnt
Wo sich die Helix3-Nutzlast versteckt und warum die Dateien sauber aussehen
Gestern bereinigt, heute wieder ausgenutzt
Schlafende Dropper und warum eine Bereinigung selten das Ende ist
Ihre .htaccess hält keinen Joomla-Hack auf
Warum das Härten dieser Datei nicht der Schutz ist, für den viele sie halten
KI-Malware-Analyse
Urteile pro Datei, nach Hash zwischengespeichert über alle Abonnenten hinweg
Weitere Wege, wie mySites.guru Ihre Websites schützt
Seiten auf Englisch
Joomla-Malware-Scanner
Malware- und Backdoor-Scan auf Dateiebene für Joomla
JCE-Profile-Hack
Die JCE-Webshell-Kompromittierung finden und entfernen
Viele Joomla-Websites verwalten
Ein Dashboard für jede Joomla-Website, die Sie betreuen
Joomla-Handbuch für Agenturen
Joomla-Websites in großer Zahl betreiben, ohne ständig Brände zu löschen
Kostenloses Website-Audit
Finden Sie heraus, was auf Ihrem Server liegt, ohne Kosten
WordPress gehackt?
Dieselbe Arbeit für eine kompromittierte WordPress-Website
Finden Sie heraus, was wirklich auf Ihrem Server liegt
Wir scannen Joomla-Websites seit 2012. Die Einrichtung dauert etwa zwei Minuten, der erste Scan ist kostenlos, und Sie sehen jede markierte Datei mit dem Grund, warum sie markiert wurde.
Joomla-Website jetzt scannen