Wir haben nicht nach Schadcode gesucht. Unser Scanner protokolliert bei jedem Website-Scan, welche fremden Server eine Seite beim Aufruf kontaktiert. Was er keinem bekannten Dienst zuordnen kann, landet auf einer internen Liste — 236.406 Domains stehen darauf. Meistens ist die Liste unspektakulär: obskure, aber harmlose Werkzeuge. Diesen Monat haben wir sie zum ersten Mal gegen die öffentlichen Malware-Datenbanken von abuse.ch gehalten. 171 Domains blieben hängen. Der eigentliche Fund kam aber erst danach.
überwiegend .de — und das ist eine Untergrenze
161 davon eigens registrierte Angreifer-Infrastruktur
verglichen mit dem übrigen Korpus
Wie wir gesucht haben
Der Ausgangspunkt ist ein Nebenprodukt unserer eigentlichen Arbeit. Wenn unser Scanner eine Website auf Datenschutzmängel prüft, sieht er jede Verbindung, die der Browser nach außen aufbaut. Die allermeisten lassen sich zuordnen: Google Analytics, ein Schriftarten-Dienst, ein Videoplayer. Was übrig bleibt — Server, für die wir keinen Fingerabdruck haben — sammeln wir in einer Liste, um den Katalog nach und nach zu erweitern.
Diese Liste haben wir gegen zwei frei verfügbare Quellen abgeglichen: URLhaus und ThreatFox, beide von abuse.ch. Dort werden Server geführt, die nachweislich Schadsoftware ausliefern oder als Steuerzentrale für infizierte Rechner dienen. Gematcht haben wir ausschließlich auf den exakten Hostnamen. Treffer, bei denen nur die registrierte Domain übereinstimmt, haben wir verworfen — sie sagen zu wenig aus.
Ein Detail, das den Unterschied zwischen einer belastbaren und einer unbrauchbaren Auswertung macht: Wir haben geteilte Plattformen komplett ausgeschlossen. Code-Hoster, Paste-Dienste und Filehoster stehen in diesen Datenbanken, weil dort eine einzelne Datei gemeldet wurde — nicht, weil der Dienst selbst bösartig wäre. Eine Website, die etwas von einer solchen Plattform lädt, ist deshalb nicht kompromittiert. Acht solcher Domains und 24 Fundstellen sind aus diesem Grund aus der Auswertung geflogen.
Was auf diesen Seiten lief
Die Klassifikation der Datenbanken nennt bekannte Kampagnen. Am häufigsten ClickFix: Besucher sehen eine gefälschte Fehlermeldung oder ein nachgebautes CAPTCHA und werden aufgefordert, einen vorbereiteten Befehl in ihr System zu kopieren — die Infektion passiert also am Ende beim Besucher, nicht auf dem Server. Daneben SmartApeSG und ClearFake, die Besuchern gefälschte Browser-Updates unterschieben, sowie vereinzelt Vidar (Datendiebstahl) und Magecart (Abgreifen von Zahlungsdaten im Bestellprozess).
Eingebunden war der fremde Code weit überwiegend als reguläres Skript im Seitenquelltext, daneben über Nachlade-Aufrufe. Betroffen sind ganz normale Seiten: Handwerksbetriebe, Arztpraxen, Ferienwohnungen, Mittelstand. Also Websites, hinter denen niemand mit einer IT-Abteilung steht.
Der Zusammenhang, den wir nicht gesucht haben
Nachdem die Liste stand, haben wir eine naheliegende Frage gestellt: Wie war es um diese Seiten eigentlich sonst bestellt? Für 959 von ihnen lag ein auswertbarer Scan vor.
Anteil der Websites mit mindestens einem kritischen Datenschutzbefund. Links die 959 Seiten mit Schadcode-Loader, rechts eine Vergleichsstichprobe von 27.288 Seiten aus demselben Korpus und demselben Zeitraum.
89,3 % der Seiten mit Schadcode hatten bereits mindestens einen kritischen Datenschutzmangel. Im übrigen Korpus sind es 41,8 %. Mehr als doppelt so oft, bei ansonsten identischer Messung.
Warum das kein Zirkelschluss ist
Der naheliegende Einwand lautet: Erzeugt der Schadcode diese Mängel nicht selbst? Er tut es nicht. Ein nicht zuordenbarer Fremdserver erscheint in unserer Systematik als Hinweis, nicht als kritischer Befund — er kann die Zahl also gar nicht nach oben treiben. Die kritischen Befunde kommen aus anderen Ecken: fehlendes oder wirkungsloses Cookie-Banner, unvollständiges Impressum, Tracking vor der Einwilligung.
Der zweite Einwand: Vergleicht man hier nicht einfach frisch gescannte mit älteren Seiten? Unsere Prüfungen sind über die Zeit mehr geworden, ein neuerer Scan findet strukturell mehr. Wir haben deshalb beide Gruppen auf dasselbe Zeitfenster eingeschränkt, jeweils nur den neuesten Scan pro Website gezählt und Fehlscans ausgeschlossen. Der Faktor bleibt praktisch unverändert.
Am aufschlussreichsten ist ein dritter Wert: Die Cookie-Banner-Quote ist in beiden Gruppen fast gleich — 50,6 % gegenüber 46,5 %. Der Unterschied lässt sich also nicht damit erklären, dass die betroffenen Seiten einfach gar kein Banner hätten. Sie haben eines. Es funktioniert nur so schlecht wie der Rest der Seite.
Was übrig bleibt, ist ein Zusammenhang, keine Ursache. Beides sind Symptome derselben Lage: Auf diesen Seiten kümmert sich niemand mehr. Niemand aktualisiert das CMS, niemand sieht sich das Banner an, niemand bemerkt das eingeschleuste Skript.
Für Betreiber ist das auch eine Datenpanne
Ein fremder Server, der beim Seitenaufruf kontaktiert wird, empfängt personenbezogene Daten — mindestens die IP-Adresse jedes Besuchers, oft mehr. Bei einem gebuchten Dienst regelt das ein Auftragsverarbeitungsvertrag, er steht im Verarbeitungsverzeichnis und in der Datenschutzerklärung. Bei einem eingeschleusten Server existiert nichts davon.
Damit ist der Vorgang nicht nur ein Sicherheitsproblem, sondern eine unbefugte Offenlegung personenbezogener Daten im Sinne von Art. 33 DSGVO — mit einer Meldefrist von 72 Stunden, die zu laufen beginnt, sobald der Verantwortliche davon Kenntnis erlangt. Wer eine entsprechende Meldung erhält, sollte sie deshalb nicht als reinen Security-Hinweis behandeln.
Für Agenturen: der Compliance-Zustand als Frühindikator
Die praktische Erkenntnis liegt in der Blickrichtung. Wenn eine Kundenwebsite die Datenschutzprüfung nicht besteht, ist das selten ein isoliertes Rechtsthema. Es ist meistens ein Hinweis darauf, dass die Seite insgesamt niemanden mehr hat, der sich um sie kümmert.
Wer mehrere Dutzend Kundenprojekte betreut, kennt das Problem: Man weiß nicht, welche davon seit Jahren unangetastet vor sich hin laufen. Ein Datenschutz-Scan ist billig, schnell und lässt sich über das ganze Portfolio fahren — und er zeigt nach dieser Auswertung ziemlich zuverlässig, wo Wartungsschulden liegen. Das ist ein besseres Argument für regelmäßige Prüfungen als jede Bußgelddrohung.
Was wir mit der Liste gemacht haben
Betroffene Seiten nennen wir nicht. Die Betreiber wissen in aller Regel nichts davon, sie sind Opfer und nicht Verursacher, und eine öffentliche Namensliste würde ihnen schaden statt zu helfen.
Wir haben die Aufstellung stattdessen verschlüsselt an CERT-Bund beim BSI übergeben — mit vollständiger Methodik und allen Einschränkungen. Die Antwort war, dass aus dortiger Sicht die Hosting-Anbieter die richtigen Adressaten sind. Das ist der Weg, den wir jetzt gehen: Die betroffenen Domains werden nach Anbieter gruppiert und den jeweiligen Missbrauchsstellen gemeldet. Dort sitzen die Leute, die einen Kunden tatsächlich erreichen und ihm helfen können.
Was diese Zahlen nicht sagen
- 1.058 ist eine Untergrenze. Unsere Erfassung speichert pro Schadcode-Domain höchstens 100 betroffene Websites. Die tatsächliche Zahl liegt höher — allein die häufigste Domain wurde über 2.000 Mal beobachtet.
- Wir haben keinen einzigen Server untersucht. Ausgewertet wurde nur, was ein Browser beim normalen Aufruf der öffentlich zugänglichen Startseite lädt. Über Einfallstor, Infektionsweg oder betroffene CMS-Versionen können wir nichts sagen.
- Ein Eintrag in einer Datenbank ist eine Momentaufnahme. Ein Teil unserer Beobachtungen ist einige Wochen alt; ob die Seite inzwischen bereinigt wurde, wissen wir nicht. Deshalb führen wir das Alter jeder Beobachtung mit und melden es offen mit.
- Zusammenhang ist keine Ursache. Wir zeigen, dass beides gemeinsam auftritt. Wir zeigen nicht, dass ein schlechtes Cookie-Banner zu einer Infektion führt.
- Der Korpus ist nicht das deutsche Web. Ausgewertet wurden überwiegend deutschsprachige Seiten aus unserem Scan-Bestand, nicht eine gezogene Zufallsstichprobe aller .de-Domains.
Die eigene Seite prüfen
Wer wissen will, welche fremden Server die eigene Website kontaktiert — und welche davon das schon tun, bevor jemand auf "Akzeptieren" geklickt hat — braucht dafür keinen Vertrag. Der kostenlose Scan von Complianty zeigt pro Seite, welche Dienste vor und welche nach der Einwilligung feuern, und markiert Verbindungen, die sich keinem bekannten Anbieter zuordnen lassen. Genau aus diesen Markierungen ist diese Auswertung entstanden.
Häufige Fragen
Wie wurden die betroffenen Websites gefunden?
Unser Scanner protokolliert bei jedem Website-Scan alle Drittanbieter-Server, die eine Seite kontaktiert. Server, die keinem bekannten Dienst zugeordnet werden können, landen auf einer internen Liste — aktuell 236.406 Domains. Diese Liste wurde gegen die öffentlichen Malware-Datenbanken URLhaus und ThreatFox von abuse.ch abgeglichen, ausschließlich auf exakte Hostnamen. 171 Domains waren dort verzeichnet, beobachtet auf 1.058 überwiegend deutschen Websites.
Sind 89,3 % gegenüber 41,8 % ein Beweis dafür, dass schlechter Datenschutz zu Infektionen führt?
Nein. Das ist ein Zusammenhang, keine Ursache. Beides sind Symptome derselben Lage: eine Website, um die sich niemand mehr kümmert. Wir haben allerdings geprüft, dass sich die Zahlen nicht gegenseitig erzeugen — ein nicht zuordenbarer Fremdserver erscheint in unserer Systematik als Hinweis, nie als kritischer Befund. Auch der Verdacht, hier würden frisch gescannte mit älteren Seiten verglichen, ließ sich ausräumen: Bei gleichem Zeitfenster bleibt der Faktor unverändert.
Muss ich eine Datenpanne melden, wenn auf meiner Website Schadcode gefunden wurde?
Das ist im Einzelfall zu prüfen, aber der Ausgangspunkt ist klar: Ein eingeschleuster Fremdserver empfängt personenbezogene Daten Ihrer Besucher, mindestens deren IP-Adresse, ohne Rechtsgrundlage und ohne Auftragsverarbeitungsvertrag. Das erfüllt regelmäßig den Tatbestand einer Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO. Die 72-Stunden-Frist beginnt mit der Kenntnisnahme. Dieser Artikel ersetzt keine Rechtsberatung.
Warum werden die betroffenen Websites nicht genannt?
Weil die Betreiber Opfer sind und nichts davon wissen. Eine öffentliche Namensliste würde sie schädigen, ohne ihnen zu helfen. Wir haben die Aufstellung verschlüsselt an CERT-Bund beim BSI übergeben; von dort kam der Hinweis, die Hosting-Anbieter zu informieren. Genau das ist der nächste Schritt: Meldung an die Missbrauchsstellen der jeweiligen Provider, die ihre Kunden tatsächlich erreichen können.
Wie kann ich meine eigene Website auf solche Verbindungen prüfen?
Mit einem Scan, der den Netzwerkverkehr der Seite mitschneidet und die kontaktierten Server benennt. Der kostenlose DSGVO-Scanner von Complianty zeigt, welche Dienste vor und welche nach der Cookie-Einwilligung Verbindungen aufbauen, und markiert Ziele, die sich keinem bekannten Anbieter zuordnen lassen. Diese Markierungen sind die Datengrundlage dieser Auswertung.