Website gehackt: Was tun im Fall der Fälle?

Vor Angriffen auf seine Website ist scheinbar kaum jemand gefeit: Sony hat es bei seiner Playstation-Webseite schon erwischt, den Sicherheitsanbieter Kaspersky (wenn auch nur in der Filiale in Malaysia) und im Herbst 2007 die Gewerkschaft Deutscher Lokomotivführer, als der noch laufende Streik auf deren Website kurzerhand für beendet erklärt wurde.

Als Faustregel gilt dabei: Je prominenter die Seite, umso wahrscheinlicher ist es, dass die Cracker sich lediglich Aufmerksamkeit verschaffen oder von der bekannten Seite profitieren wollen. Beispielsweise bei Bundesinnenminister Wolfgang Schäuble vor wenigen Wochen, als die Startseite lediglich durch ein zusätzliches Bild verändert wurde, wahrscheinlich, um den Sicherheitsfanatiker zu ärgern.

Kommerzielle Interessen steckten dagegen bereits hinter der Attacke auf die Webseite von Al Gore im vergangenen Herbst. Mit von den Crackern eingebauten versteckten Links half Gore unbeabsichtigt dabei, den Google-Page-Rank der Seiten von Anbietern gefälschter Pharmaprodukte zu verbessern.

Je unbekannter die Seite dagegen ist, umso wahrscheinlicher wird es, dass der Angreifer ganz andere Ziele verfolgt: Etwa den Versand von Spam. Dafür suchen Internetkriminelle inzwischen auch gerne private Homepages oder Sites kleiner Firmen auf, bei denen sie zu Recht hoffen können, weniger ausgefeilte Sicherheitsvorkehrungen anzutreffen.

Den Betroffenen, die die Veränderung oft erst einige Tage später bemerken oder auf Umwegen davon erfahren, droht ein böses Erwachen – etwa wenn der Provider die Rechnung für den zusätzlichen Traffic vorlegt. Oder noch schlimmer, wenn sie auf einmal als Spam- oder Malwareversender dastehen – ohne davon überhaupt etwas bemerkt zu haben. Zwar ist laut Bundesamt für Sicherheit in der Informationstechnik „die fahrlässige oder unwissentliche Verbreitung von Schadprogrammen wie Viren oder Würmern grundsätzlich keine Straftat, allerdings kann eine zivilrechtliche Haftung auch schon bei Fahrlässigkeit entstehen.“

Zu Deutsch heißt das: Es droht zwar keine Strafe, für entstandenen wirtschaftlichen Schaden müsste aber aufgekommen werden. Und bei Unternehmen – seien sie auch noch so klein – „besteht unter Umständen eine erhöhte Sorgfaltspflicht, die sich etwa aus dem Aktiengesetz oder dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) ergeben kann.“