Was kannst Du aus Hackerangriffen lernen? 💣

Ich habe kürzlich auf LinkedIn über den Sichtbarkeitsverlust von ATU berichtet, die Mitte Mai von einer Cyberattacke betroffen waren (Danke für die Info, Stefan).

ATU hat sich zwar nicht geäußert, aber der SEO der Neuen Pressegesellschaft, welche ebenfalls von dem Hackerangriff betroffen war. Dominik Kühner meldete sich mit folgenden Worten:

"Wir waren auch betroffen, wie der verlinkte ZDF-Artikel von Stefan Vorwerk erläutert. Allerdings ging unsere Strategie im Gegensatz voll auf 😉"

Moment? Wie haben die das denn geschafft? Um genau diese Frage zu beantworten, habe ich Dominik für Dich um ein kleines Interview gebeten:

Euch hat die gleiche Cyberattacke getroffen wie ATU. Was waren als SEO-Team Eure ersten Gedanken, als Ihr von dem Hackerangriff erfahren habt?

Dominik: "Als uns klar wurde, dass unser Hoster auf unbestimmte Zeit nicht erreichbar sein wird, sind wir sehr schnell in den Krisenmodus gewechselt. In einer großen Runde mit allen Fachabteilungen und der Geschäftsleitung haben wir klar kommuniziert, was für SEO wichtig wird und dass jetzt ein Wettlauf gegen die Zeit beginnt, um nicht aus dem Index zu fliegen und den Schaden zu begrenzen."

Wie habt Ihr herausgefunden, dass Ihr von einem Hackerangriff betroffen seid?

Dominik: "Zunächst einmal gar nicht, da wir von einer einfachen technischen Störung bei unserem Hoster ausgegangen sind. Diese hatten wir bereits in der Vergangenheit und bisher konnten sie auch in kurzer Zeit behoben werden. Das Problem war, dass der Dienst um 3 Uhr nachts an einem Feiertag und vor einem Brückentag, ausfiel. Dazu kam dann noch, dass kaum Kommunikation seitens des Dienstleisters stattfand und wir letztlich selbst darauf kommen mussten, was die Ursache für den Ausfall war. Unsere IT-Abteilung war sich sehr schnell sicher, dass es sich um einen Angriff und damit eine Downtime von unbestimmter Zeit handeln muss."

Im Gegensatz zu ATU ist Eure Sichtbarkeit nicht in den Keller gerauscht – Welche Strategie hattet Ihr?

Dominik:

"Die größte Herausforderung für alle Beteiligten war der Empfehlung des SEO-Teams zu folgen und „nichts zu tun" – wie so oft 😉

Nichts tun meint in unserem Fall, für alle Seiten einen 503 Statuscode auszuspielen, möglichst schnell die robots.txt wieder live zu bekommen und keine alternative Startseite oder einen 302-Redirect unserer Startseite auf eine externe Plattform einzurichten.

Hilfreich war auch, dass wir sehr schnell gute Prognosen erstellen konnten, wie lange es dauern würde, bis wir wieder erreichbar sind. Beim Datum des „Retry-After"-Headers haben wir uns nur um eine Stunde verschätzt. Unsere generelle Strategie war, möglichst viel Zeit zu gewinnen und jede verfügbare Ressource in einen sofortigen Hoster-Wechsel unserer drei Nachrichtenportale zu stecken.

Es war schnell absehbar, dass wir in wenigen Tagen wieder live sein könnten. Wir haben gemeinsam mit allen Geschäftsbereichen die Risiken abgewogen, einen Plan entwickelt und diesen ohne Kompromisse und Zeitverluste umgesetzt. Das hat beispielsweise zu einer filmreifen Übergabe einer Festplatte auf einem Parkplatz zwischen Ulm und Frankfurt geführt, weil wir errechnet hatten, dass das Kopieren und die Fahrzeit schneller sein würden, als der parallel laufende Datentransfer über unsere Leitung.

Und es hat funktioniert: Nach 58 Stunden waren wir wieder erreichbar und ein bis zwei Tage später hatten wir das neue Setup so stabilisiert, dass beispielsweise unsere Indexierungsgeschwindigkeit von neuen Artikeln, die Crawling-Frequenz der Sitemaps oder die Zeit bis Artikel-Updates in die SERPs durchschlagen, sich wieder auf dem Stand von vor der Attacke einpendelten."

Habt Ihr einen Notfall-Plan für zukünftige Cyberattacken? Wie sieht der aus?

Dominik: "Wir entwickeln gerade das Setup für eine kontrollierte Downtime, um bei Bedarf sehr schnell darauf umstellen zu können. Also eine parallele Instanz mit robots.txt und der richtigen Konfiguration für die entsprechenden http-Header. Außerdem arbeiten wir an einer statischen Version der wichtigsten Seiten, die wir bei Bedarf zur Verfügung stellen können.

Der Empfehlung von John Müller konnten wir leider in der Kürze der Zeit nicht folgen beziehungsweise haben die Ressourcen für eine schnellere Migration verwendet. Meiner Einschätzung nach ist genauso wichtig, vorab zu prüfen, ob das Unternehmen im Ernstfall schnell entscheidungsfähig ist. Ich bin mir sicher, dass wir nur fast unbeschadet davongekommen sind, weil wir unmittelbar Interessen und Risiken abwägen konnten und zu jedem Zeitpunkt klar war, wer Entscheidungen für die Umsetzung trifft. Dadurch haben wir kaum Zeit verloren. Die Strategie der rp-online.de war sehr ähnlich und auf den ersten Blick sieht es so aus, als hätten sie trotz ihrer langen Downtime auch sehr wenig Sichtbarkeit verloren."

Was rätst Du anderen: Wie können sie sich vor Cyberattacken schützen? Und wie sollten sie reagieren, wenn sie von einem Hackerangriff betroffen sind?

Dominik: "Der vielleicht größte Schutz ist, sich bewusst zu werden, dass die Frage nicht lautet, ob man Opfer einer Cyberattacke wird, sondern wann und in welchem Umfang. Auf der letzten Weihnachtsfeier hat uns unser Geschäftsführer genau diesen Satz gesagt – und leider Recht behalten.

Ausgehend von dieser Haltung kann man Risiken einschätzen und bewerten und damit einhergehend auch, wie viel Aufwand man in die Entwicklung eines Notfall-Systems stecken möchte. Parallel arbeiten wir daran, das Risiko zu minimieren und investieren viel in das Training und die Sensibilisierung aller Kolleginnen und Kollegen. Aus meiner Sicht ist das für digitale Unternehmen genauso wichtig, wie früher die Brandschutzübung im Büro."

Ich finde Dominiks Input auf jeden Fall mega spannend und denke, wir sollten alle einen Notfallplan für den Fall der Fälle parat haben. Ein paar hilfreiche Tipps findest Du in unserem Wissensartikel "Website-Monitoring für SEO". Hast Du eigentlich einen Notfallplan? 👀