Die Nachricht lautet: „Die Website ist down.“
Sie prüfen es. Alles lädt einwandfrei. Aber Ihr Kunde, und dessen Kunden, starren auf eine bildschirmfüllende rote Warnung:
Potenzielle Bedrohung erkannt. Advanced Security hat den Zugriff auf diese Website blockiert. Diese Website könnte Ihr Gerät gefährden oder riskante Inhalte enthalten.
Die Website ist nicht down. Die Website ist nicht gehackt. Es passiert etwas Heimtückischeres: Die Reputation der Domain wurde markiert, und ein Teil des Internets erzählt den Leuten stillschweigend, Ihr Unternehmen sei gefährlich.
Genau diesen Fall haben wir letzte Woche für eine unserer Kundinnen aufgeklärt. Hier steht, was wirklich passiert ist, warum es völlig seriöse kleine Unternehmen trifft und wie man es behebt.
Die Warnung kommt nicht von der Website
Die meisten Menschen haben noch nie von der Sicherheitsschicht gehört, die zwischen ihrem WLAN und dem Internet sitzt.
Heimrouter und Internetanbieter liefern heute Schutz auf Netzwerkebene mit, meist ab Werk aktiviert:
- Cox Panoramic Wifi mit „Advanced Security“
- Xfinity xFi „Advanced Security“
- eero Secure auf eero-Routern
- Dazu das Antivirenprogramm auf dem Rechner des Besuchers: Kaspersky, ESET, Sophos, BitDefender, Webroot und andere warnen oder blockieren direkt im Browser.
All diese Produkte lesen aus Threat-Intelligence-Feeds: Listen von Domains, die als Phishing oder Malware eingestuft wurden. Landet Ihre Domain auf einigen dieser Listen, bekommt jeder Besucher hinter einem dieser Router, oder mit einem dieser Antivirenprogramme, eine Schreckseite statt Ihrer Website.
Ihre Website kann heute makellos sein und trotzdem auf diesen Listen stehen. Und zwar deshalb:
Wie ein seriöses Unternehmen auf einer Bedrohungsliste landet
Drei typische Wege:
1. Ihre Domain hat eine Vergangenheit. Auf einer Domain, die seit Jahren online ist, lief womöglich früher eine Website, die irgendwann gehackt wurde, oft ohne dass der Inhaber es je erfuhr. Gehackte Seiten werden für Betrugsseiten missbraucht, die Domain wird markiert, und die Markierung überlebt die Bereinigung um Jahre. Bedrohungslisten verzeihen langsam.
2. Der Fehler eines Anbieters verbreitet sich. Kleinere Sicherheitsprodukte lizenzieren ihre Einstufungen von größeren Feeds. Ein einziger Fehlalarm an der Quelle kann sich über ein halbes Dutzend „verschiedener“ Anbieter fortpflanzen, die alle dieselben Daten weiterverkaufen.
3. Automatische Filter greifen daneben. Neue Domains, Formulare, die wie Anmeldeseiten aussehen, oder eine Adresse in schlechter Nachbarschaft können automatische Klassifizierer auslösen, ganz ohne menschliche Prüfung.
Nichts davon setzt voraus, dass Sie irgendetwas falsch gemacht haben.
Wie es bei einer Surmado Site aussah
Eine unserer Kundinnen, eine Immobilienmaklerin aus Phoenix, hat ihre Website diesen Sommer zu Surmado Sites umgezogen. Ihre Domain ist ein Schatz: sechzehn Jahre alt, bei ihren Kunden bestens bekannt. Irgendwann in diesen sechzehn Jahren, lange vor Surmado, wurde die alte Website auf dieser Domain offenbar kompromittiert. Die Aufzeichnungen der Sicherheitsanbieter zeigen rund hundert schädliche Links, die der Domain historisch zugeordnet sind. Die Infektion war längst Geschichte. Der Reputationsschaden nicht.
Letzte Woche kam der Ballast an die Oberfläche: Elf Sicherheitsanbieter stuften die Domain als „Phishing“ ein, und die Router-Sicherheit ihres Internetanbieters blockierte die Website für weite Teile ihrer Stadt.
Und jetzt der entscheidende Teil. Weil es eine Surmado Site ist, war das unser Problem, nicht ihres:
- Wir haben bestätigt, dass die Website selbst gesund ist und aus fünf Ländern sauber lädt.
- Wir haben die Blockade auf Router-Sicherheit zurückgeführt, die veraltete Bedrohungslisten liest.
- Wir haben alles geprüft, was wir auf der Domain ausliefern, und es als einwandfrei bestätigt. Google Safe Browsing sah es genauso: sauber.
- Wir haben bei jedem Anbieter, der die alte Markierung noch führte, eine Korrektur eingereicht und um die richtige Einstufung gebeten: Immobilien.
Ihre To-do-Liste in alldem: leer.
Prüfen Sie Ihre eigene Website in 15 Minuten
Schritt 1: Bestätigen Sie, dass die Website wirklich erreichbar ist (2 Min.). Laden Sie sie auf dem Handy ohne WLAN. Testen Sie sie dann kostenlos über check-host.net, das Ihre Website aus mehreren Ländern aufruft. Sieht die Welt Ihre Website, während Sie eine Warnung sehen, ist es eine Reputationsblockade, kein Ausfall.
Schritt 2: Schlagen Sie Ihre Domain bei VirusTotal nach (3 Min.). Suchen Sie Ihre Domain auf virustotal.com. Dort sehen Sie die Urteile von rund 90 Sicherheitsanbietern auf einen Blick. Gesund heißt: alles grün. Ein Reputationsproblem sieht aus wie bei unserer Kundin: elf Anbieter sagen „Phishing“, der Rest sagt sauber.
Schritt 3: Prüfen Sie Google Safe Browsing (2 Min.). Suchen Sie Ihre URL im Google-Transparenzbericht. Markiert Google selbst Ihre Website, warnt Chrome jeden Besucher, und der Weg zur Lösung führt über die Google Search Console.
Schritt 4: Finden Sie heraus, wer lokal blockiert (5 Min.). Die Warnseite nennt meist das Produkt („Advanced Security“, „eero Secure“). Das verrät, welche Liste am meisten zählt, und die App des Routers hat eine Option „Website zulassen“, die sie im eigenen Netz sofort freigibt.
Von den Listen herunterkommen
Die Website im eigenen Router zuzulassen hilft nur im eigenen Netz. Jeder markierende Anbieter führt seine eigene Liste, die eigentliche Lösung ist also eine Fehlalarm-Meldung bei jedem einzelnen. Sind die großen Feeds bereinigt, ziehen die kleineren Produkte, die deren Daten weiterverkaufen, meist nach.
Die Meldewege, Stand heute:
| Anbieter | Wo melden |
|---|---|
| Webroot / BrightCloud | OpenText Threat Intelligence Change Request |
| Kaspersky | OpenTIP: Domain nachschlagen, erneute Analyse anstoßen |
| ESET | E-Mail an samples@eset.com mit Betreff „False positive“ |
| alphaMountain | Support-Ticket (deren Daten speisen viele weitere Produkte) |
| BitDefender | Fehlalarm-Formular auf der Support-Seite |
| Sophos | Webadressen-Meldung im Support-Portal |
In jeder Meldung: Sagen Sie klar, was das Unternehmen ist, dass die Website keine Passwörter oder Zahlungsdaten erfasst, und, falls die Domain eine Vergangenheit hat, dass die aktuelle Website ein kompletter Neubau ist. Bitten Sie um erneute Prüfung und die korrekte Kategorie.
Anbieter antworten in der Regel innerhalb einer Woche. Router und Internetanbieter übernehmen die aktualisierten Listen danach. Rechnen Sie mit ein bis drei Wochen bis zur vollständigen Erholung.
Was das mit Surmado Sites zu tun hat
Jede Surmado Site ist so gebaut, wie Sicherheitsprüfer sich alle Websites wünschen: keine Anmeldeseite, keine Datenbank, keine Erweiterungen, in die Angreifer einbrechen könnten. Die Dinge, durch die alte Websites gehackt und alte Domains markiert wurden, existieren hier schlicht nicht.
Und wenn die Technik des Internets trotzdem verrücktspielt, etwa weil eine sechzehn Jahre alte Markierung aus dem Nichts auftaucht, gehört das Finden und Beheben zum Service. Ihr Job ist Ihr Unternehmen. Die rote Warnseite ist unserer.