„Jangan Terlalu Terang, Nanti Banyak Yang Ga Senang.“

Sinngemäß übersetzt bedeutet dieser indonesische Satz: „Leuchte nicht zu hell – sonst gibt es viele, denen das nicht gefällt.“ Er tauchte im Umfeld eines kompromittierten Webprojekts auf. Fast klingt er wie eine Lebensweisheit. Im Zusammenhang mit Websites bekommt er jedoch eine sehr konkrete Bedeutung.

Wer im Internet sichtbar ist, wird gefunden. Von Kundinnen und Kunden. Von Suchmaschinen. Von Menschen, die nach einem Angebot suchen. Aber auch von automatisierten Bots und Scannern, die rund um die Uhr nach bekannten Schwachstellen suchen.

In Luxemburg sagt man: „Et ass näischt esou schlecht, datt et net fir eppes gutt ass.“ – Es ist nichts so schlecht, dass es nicht für etwas gut ist. Genau daran mussten wir denken, als wir kompromittierte Webprojekte untersucht und bereinigt haben.

Bei den realen Vorfällen erschienen die Schriftzüge „hacked by antonkill“ und „hacked by Trenggalek 6etar“. Andere Angriffe zeigen sich weniger offensichtlich: Besucher werden auf fremde Seiten weitergeleitet, versteckte Spam-Inhalte erscheinen oder verdächtige Dateien werden in einem Webprojekt abgelegt.

Für Besucherinnen und Besucher ist ein sichtbares Defacement ein Schock. Für das betroffene Unternehmen geht es zusätzlich um Erreichbarkeit, Vertrauen und die entscheidende Frage: Was ist passiert – und wie bringen wir die Website wieder in einen verlässlichen Zustand?

Solche Angriffe wirken persönlich, sind es aber häufig nicht. Automatisierte Werkzeuge durchsuchen große Mengen erreichbarer Websites nach bekannten Lücken. Sie unterscheiden nicht zwischen Handwerksbetrieb, Verein, Praxis oder internationalem Unternehmen. Wird eine verwertbare Schwachstelle gefunden, kann sie ausgenutzt werden – nicht weil eine Website besonders prominent ist, sondern weil sie erreichbar ist.

Ein verdächtiger Fund beweist nicht automatisch den ursprünglichen Einfallsweg. Veraltete Systeme, nicht mehr gepflegte Erweiterungen, alte Testinstallationen oder zu großzügig konfigurierte Upload-Funktionen erhöhen das Risiko. Im Einzelfall lässt sich im Nachhinein aber nicht immer zweifelsfrei rekonstruieren, welche Lücke zuerst genutzt wurde.

Deshalb zählen eine belastbare Prüfung, gesicherte Spuren und eine nachvollziehbare Dokumentation mehr als eine spektakuläre Schuldzuweisung. Das Ziel ist nicht die aufregendste Geschichte. Das Ziel ist eine saubere Website und ein besserer Schutz für die Zukunft.

Eine moderne Website besteht längst nicht mehr nur aus Texten und Bildern. Dahinter arbeiten ein Content-Management-System, eine Datenbank, Erweiterungen, Themes, Benutzerkonten, Formulare, Schnittstellen, Server-Komponenten und Backups. All diese Bausteine entwickeln sich weiter – oder altern.

Besondere Aufmerksamkeit verdienen Komponenten mit vielen Berechtigungen: Pagebuilder, Kontaktformulare, Datei-Uploads, Editoren, Shops und Verbindungen zu anderen Systemen. Sie machen Websites leistungsfähig und erleichtern die tägliche Arbeit. Genau deshalb brauchen sie regelmäßige Kontrolle.

Sichtbarkeit ist nicht das Problem. Sichtbarkeit ohne laufende Pflege ist das Risiko.

Wartung bedeutet, nicht mehr benötigte Erweiterungen zu entfernen, Änderungen nach Updates zu prüfen, Auffälligkeiten in Dateien und Protokollen zu erkennen, Backup-Stände zu kontrollieren und alte Installationen nicht in Vergessenheit geraten zu lassen.

Wir wollten die Vorfälle deshalb nicht als Schockgeschichte verkaufen. Wir haben sie als Lernkurve behandelt – und als Anlass, unsere Wartungs- und Sicherheitsprozesse weiterzuentwickeln. Dabei geht es nicht um ein einzelnes Sicherheitsprodukt, sondern um mehrere Schutzebenen, die ineinandergreifen:

• Auffälligkeiten früher erkennen: Regelmäßige Datei- und Schwachstellenprüfungen melden verdächtige Funde zur Bewertung.
• Updates zentral im Blick behalten: CMS- und Erweiterungsstände werden übersichtlich erfasst, damit veraltete oder vergessene Installationen schneller auffallen.
• Wiederherstellung vorbereiten: Backups liegen getrennt vom laufenden Webserver, werden rotiert und auf Vollständigkeit geprüft.
• Angriffsflächen verkleinern: Kritische Verzeichnisse und Upload-Bereiche werden restriktiver behandelt; unnötige Ausführungsmöglichkeiten und Altinstallationen werden reduziert.
• Funde nicht blind löschen: Scanner dürfen Alarm schlagen. Die Bewertung und Bereinigung bleiben ein nachvollziehbarer, menschlich kontrollierter Prozess.

Bei der Dateiprüfung unterstützen uns unter anderem Wordfence CLI und Linux Malware Detect. Panopticon sorgt für eine zentrale Übersicht über CMS- und Erweiterungsstände. Getrennte und rotierende Backup-Stände schaffen die Grundlage für eine kontrollierte Wiederherstellung.

Für Kundinnen und Kunden sind die Namen dieser Werkzeuge zweitrangig. Entscheidend ist ihr Nutzen: Risiken werden früher sichtbar, Zuständigkeiten sind klarer und für den Ernstfall existiert ein geordneter Wiederherstellungsweg.

Wenn alles funktioniert, wirkt Wartung unspektakulär. Man sieht keine Alarmmeldung, keine Reparatur und keinen großen Auftritt. Genau darin liegt ihr Wert. Eine gepflegte Website soll nicht jeden Tag Aufmerksamkeit fordern. Sie soll zuverlässig erreichbar bleiben, kontrolliert weiterentwickelt werden und Probleme möglichst erkennen lassen, bevor aus kleinen Versäumnissen ein großer Vorfall wird.

Gute Wartung verspricht nicht, dass niemals etwas passieren kann. Ein solches Versprechen wäre weder ehrlich noch seriös. Sie reduziert vermeidbare Risiken, schafft belastbare Routinen und sorgt dafür, dass im Ernstfall nicht erst über Zuständigkeiten, Backups und nächste Schritte diskutiert werden muss.

Sicherheit ist kein Zustand, den man einmal erreicht. Sicherheit ist ein Prozess.

Der Schriftzug im Bild ist keine wörtliche Wiedergabe eines dritten Vorfalls. „HACKED BY VOID“ ist eine fiktionalisierte und leicht überspitzte Anspielung auf die realen Hacker-Tags – eine künstlerische Verfremdung, fast eine Persiflage.

Im Mittelpunkt steht deshalb nicht der Name eines Angreifers. Im Mittelpunkt steht der Mensch im TIME4DIGITAL-Shirt, der die Wand wieder sauber macht. Die Botschaft lautet nicht: „Uns kann nichts passieren.“ Sie lautet: „Wir schauen hin, wir kümmern uns und wir lernen daraus.“

„Leuchte nicht zu hell“ kann für Unternehmen, Vereine und Selbstständige keine Lösung sein. Eine Website soll sichtbar sein. Sie soll gefunden werden, Vertrauen aufbauen und zeigen, was ein Unternehmen kann.

Digitale Sichtbarkeit bringt jedoch Verantwortung mit sich. Wer eine Website betreibt, betreibt ein Stück digitale Infrastruktur – und Infrastruktur braucht Pflege, nicht erst dann, wenn bereits etwas kaputtgegangen ist.

Vielleicht ist genau das die gute Seite einer schlechten Erfahrung: Sie zwingt dazu, Abläufe zu hinterfragen und daraus etwas zu entwickeln, von dem am Ende alle betreuten Websites profitieren.