# attachment[].name
WordPress gehackt – Meine Seite im Ausnahmezustand

# attachment[].name
WordPress gehackt – Meine Seite im Ausnahmezustand

# content
Format | Größe | Download
MP3 Audio | 25 MB | Download
AAC m4a | 13 MB | Download

Transkript

00:00 – 0:00:02
*Musik*

0:00:02 – 0:00:31
[Musik]

0:00:31 – 0:00:40
Hallo und willkommen zu einer neuen Ausgabe der Abschweifung, da wo ich gelegentlich vom

0:00:40 – 0:00:55
Thema abschweife. Uiuiui, was für Tage! Die waren ziemlich intensiv. Kurz gesagt,

0:00:55 – 0:01:02
Es gab einen Hack auf die Lautfunk-Webseite.

0:01:02 – 0:01:08
Jo, das musste ich erst mal sacken lassen.

0:01:08 – 0:01:10
Was ist passiert?

0:01:10 – 0:01:17
Ich habe mich schon in der letzten Zeit gewundert,

0:01:17 – 0:01:24
warum die Last auf den Server so hoch war.

0:01:24 – 0:01:32
Man muss verstehen, um so eine Webseite im Internet zu haben, braucht man halt irgendeinen Anbieter,

0:01:32 – 0:01:41
im einfachsten Fall so ein Webhosting. Auf Seiten, wo man eine größere Last hat,

0:01:41 – 0:01:50
bietet es sich an, dass man einen eigenen Server hat. Und das ist halt wie zu Hause so ein Computer,

0:01:50 – 0:01:57
wo halt ein Betriebssystem draufläuft und dort halt eine spezielle Software, die halt eine

0:01:57 – 0:02:10
Web-Service anbietet. Also man kann dann von außerhalb oder auch bei Firmen intern auf diesen

0:02:10 – 0:02:19
Server zugreifen, kann dann halt Dienste nutzen und in meinem Fall ist das halt ein WordPress.

0:02:19 – 0:02:32
Meine Webseite besteht aus einem WordPress-Hintergrund oder setzt darauf auf. Dieses WordPress kann man

0:02:32 – 0:02:43
halt mit Plugins erweitern. Was sind Plugins? Plugins sind ein Softwarecode, der die Funktionalität

0:02:43 – 0:02:54
von WordPress erweitert. Und wie es halt schon immer war, Software ist einfach nicht sicher.

0:02:54 – 0:03:03
Es gibt immer irgendwo eine Schwachstelle. Und auch wenn man sein System regelmäßig pflegt

0:03:03 – 0:03:09
und auch immer die Updates einspielt – und das geht mittlerweile auch bei WordPress automatisch.

0:03:09 – 0:03:20
WordPress kommt ursprünglich aus der Blogging-Szene, also war für personalisierte Blogs.

0:03:20 – 0:03:28
Die Leute haben quasi wie so ein Online-Tagebuch geführt und dafür wurde das ausgelegt. Es ist

0:03:28 – 0:03:35
weiter gewachsen, dann wurde es ein sogenanntes Content-Management-System. Man konnte halt

0:03:35 – 0:03:41
Bilder reinladen, kurze Audio-Files, kleine Videoclips und das hat dieses WordPress alles

0:03:41 – 0:03:48
verwaltet und das macht es heute zu einem besonders mächtigen Werkzeug, wenn man besonders

0:03:48 – 0:03:59
vielseitige Webseiten haben will. Es gibt schnellere Lösungen für Webseiten, die nicht so viel

0:03:59 – 0:04:05
Funktionalität haben sollen, sprich, wenn da einfach nur ein kleines Video angezeigt werden

0:04:05 – 0:04:10
soll oder auch nur Bilder, dann kann man das mit anderen Lösungen viel schneller machen. Die Seiten

0:04:10 – 0:04:13
sind dann hochgradig schnell.

0:04:13 – 0:04:17
Aber so ein WordPress hat den Vorteil,

0:04:17 – 0:04:21
dass man Kommentare schreiben kann,

0:04:21 – 0:04:24
die dann sofort verfügbar sind.

0:04:24 – 0:04:26
Beiträge sind

0:04:26 – 0:04:29
ja mit den veröffentlicht und sofort verfügbar.

0:04:29 – 0:04:33
Also das System ist dynamisch und erweitert sich.

0:04:33 – 0:04:37
Und das macht das halt auch extrem komplex

0:04:37 – 0:04:40
und auch anfällig.

0:04:40 – 0:04:46
Man merkt es einfach so, dass wenn es eine neuere Version von WordPress gibt,

0:04:46 – 0:04:52
gibt es in den ersten paar Wochen alle nasslang irgendwelche Updates mit Fehlerbehebungen.

0:04:52 – 0:04:59
Und so ist das auch bei den Plugins, diese Erweiterung für neue Funktionen.

0:04:59 – 0:05:06
Und zum Beispiel gibt es dort einen Plugin, was viele benutzen, die auch einen Podcast haben

0:05:06 – 0:05:18
haben und den selber bereitstellen. Das nennt sich halt "Podlove Publisher" und das bildet

0:05:18 – 0:05:24
sämtliche Funktionen ab, die man für einen Podcast braucht. Einmal, dass das halt auf

0:05:24 – 0:05:31
der Webseite dargestellt wird, aber was viel wichtiger ist, dass der Feed, also eine spezielle

0:05:31 – 0:05:40
Datei generiert wird, die halt Dienste oder auch halt die Person selber, wenn sie die hören wollen,

0:05:40 – 0:05:47
mit einem Podcaster abonnieren können. Jetzt ist das ja so, weswegen sich halt

0:05:47 – 0:05:56
Systeme wie WordPress halt anbieten, dass Kommentare schnell kommen und die werden

0:05:56 – 0:06:02
dann auch in den Feed hinzugefügt. Wenn man neue Beiträge macht, jedes Mal wird das in

0:06:02 – 0:06:11
diesen Feed hinzugefügt. In den frühen Anfängen von der Podcasterei hat man diesen Feed noch

0:06:11 – 0:06:17
selber geschrieben. Das war eine XML-Datei, wo man halt alles per Hand eingetragen hat.

0:06:17 – 0:06:24
Wo ist die Audio-Datei, wo ist die Bild-Datei und so weiter und so fort. Das war schon aufwendig

0:06:24 – 0:06:32
und eine Fleißarbeit, wenn man halt viele Folgen hatte, weil man das halt immer wieder an oberster

0:06:32 – 0:06:39
Stelle dran setzen musste. Und das nimmt einen Pottlauf einfach ab. Man hat halt eine schöne

0:06:39 – 0:06:49
Webseite, auf den Besucher Kommentare hinterlassen können. Man kann dort wesentlich mehr darstellen,

0:06:49 – 0:06:54
wie in den Feed. Und man hat halt auch so ein bisschen die spielerische Freiheit,

0:06:54 – 0:07:02
dass man gestalten kann, dass es halt so ein persönliches Brand gibt, was halt auf Spotify

0:07:02 – 0:07:12
oder bei RTL Plus, Amazon, überall da, wo man Podcasts hören kann, einfach nicht gegeben ist,

0:07:12 – 0:07:20
weil es halt eine standardisierte Oberfläche ist. Kurz gesagt, viele in Deutschland benutzen halt

0:07:20 – 0:07:30
den Potlov Publisher und genau der hatte jetzt eine Schwachstelle. Das jetzt großartig zu erklären,

0:07:30 – 0:07:39
was da passiert ist oder so, macht ja wenig Sinn, weil wir rutschen ganz gewaltig ins Fachchinesisch

0:07:39 – 0:07:50
Aber kurz gesagt, es war möglich gewesen, durch einen einfachen Befehl, den man einfach nur die

0:07:50 – 0:07:57
Webseite geschickt hat, eine Datei in einen speziellen Bereich zu platzieren, mit der man

0:07:57 – 0:08:03
halt die Möglichkeit hatte, Kontrolle über das System zu kriegen. Man konnte also eine

0:08:03 – 0:08:10
sogenannte Backdoor, also eine Hintertür installieren. Und genau das ist passiert. Und

0:08:10 – 0:08:18
das Erschreckende ist, das passierte innerhalb weniger Stunden auf ganz vielen Seiten,

0:08:18 – 0:08:29
weil dieser Scan-Prozess und das Platzieren dieser Hintertür automatisiert stattgefunden hat. Also

0:08:29 – 0:08:38
Bei allen Leuten, mit denen ich darüber gesprochen habe und die mir Teile ihrer Protokolle zur

0:08:38 – 0:08:45
Verfügung gestellt haben, also aus den Logdateien, war halt immer dasselbe Muster zu sehen. Und so

0:08:45 – 0:08:52
hat sich ein Bild abgezeichnet, auch aus den Verhalten der Seite. Aber was macht man jetzt,

0:08:52 – 0:08:59
jetzt, wenn die eigene Webseite betroffen ist, das Wichtigste an erster Stelle

0:08:59 – 0:09:04
Kühlengroß bewahren. Ich habe mich damit etwas schwer getan,

0:09:04 – 0:09:09
weil es war Dienstag gewesen. Ich hatte Dienstag sowieso schon als

0:09:09 – 0:09:14
ziemlich beschissenen Tag gehabt und als ich mich abends dann vorm Rechner

0:09:14 – 0:09:19
gesetzt habe, habe ich gemerkt, dass irgendwas mit der Webseite nicht stimmt.

0:09:19 – 0:09:31
Ich wollte noch was kurz checken, weil halt spätestens am Donnerstag ein neuer Blogbeitrag freigeschaltet wird, der online geht.

0:09:31 – 0:09:43
Und ich noch quasi noch einen Podcast hatte, der am Dienstag online gehen sollte, aber am Dienstag irgendwie nicht online gegangen ist.

0:09:43 – 0:09:48
Und dann habe ich gemerkt, die Seite reagiert komisch, die ist tierisch langsam.

0:09:48 – 0:09:54
Es ist eine zu unwahrscheinlich hohe Last auf dem System.

0:09:54 – 0:10:01
Und dann habe ich mich an meinen Anbieter gewendet, der den Server betreut.

0:10:01 – 0:10:05
Und die sagten auch so, da ist was komisch, da stimmt was nicht.

0:10:05 – 0:10:09
Wir haben uns geeinigt, dass wir die Webseite offline nehmen.

0:10:09 – 0:10:17
Der schnellste Weg war gewesen, einfach das Verzeichnis, wo halt die Webseite ist, kurz umzubenennen,

0:10:17 – 0:10:23
so dass die halt nicht mehr zur Verfügung steht, ich aber Zugriff auf alle Daten habe.

0:10:23 – 0:10:29
Also habe ich mich halt mit einem anderen Programm auf die Seite geschaltet

0:10:29 – 0:10:35
und habe dann halt angefangen, mir die Sachen alle runterzuziehen, damit ich sie lokal habe.

0:10:35 – 0:10:41
Und da sind mir halt aufgefallen, dass in bestimmten Verzeichnissen bestimmte Dateien

0:10:41 – 0:10:42
waren.

0:10:42 – 0:10:48
Nachdem ich das halt identifiziert hatte, habe ich mir gedacht, gut, dann machst du

0:10:48 – 0:10:55
jetzt halt ein Backup von vor drei Tagen, da müsstest du ja quasi nur noch ein paar

0:10:55 – 0:11:00
bestimmte Dateien ersetzen, Bilder vor allen Dingen, und dann müsste es laufen.

0:11:00 – 0:11:06
Am nächsten Tag, gegen 10 Uhr, war die Seite wieder infiziert.

0:11:06 – 0:11:10
Und dann war mir klar gewesen, das muss eine größere Sache sein.

0:11:10 – 0:11:17
Ich habe dann die Seite wieder offline genommen, habe geguckt gehabt, gut, in den Verzeichnissen,

0:11:17 – 0:11:23
wo vorher schon Sachen drin waren, waren jetzt auch Sachen drin, die waren vorher nicht da.

0:11:23 – 0:11:24
Ich hatte ja ein sauberes Backup installiert.

0:11:24 – 0:11:33
Und dann war gut, jetzt musste ich gucken, wo dran es liegt. Ich mich nochmal mit meinen

0:11:33 – 0:11:40
Anbietern in Verbindung gesetzt. Wir haben zusammen die Protokolle, die Logdateien durchgesehen und da

0:11:40 – 0:11:46
sind uns ein paar Sachen aufgefallen. Das wäre jetzt auch wieder zu technisch, das zu erzählen,

0:11:46 – 0:11:54
aber kurzum, man hat gesehen gehabt, dass halt immer der gleiche Weg gegangen ist. Über einen

0:11:54 – 0:12:01
speziellen Bereich, den Cache-Bereich vom Potlov, wurde eine Datei platziert, danach wurde eine

0:12:01 – 0:12:07
andere Datei in einen anderen Verzeichnis platziert und damit war halt die Backdoor komplett da.

0:12:07 – 0:12:18
Ja, damit wussten wir jetzt was und wie. Wir wussten nur nicht halt, wie groß der Schaden ist. Also

0:12:18 – 0:12:24
habe ich mich hingesetzt und habe mal kurzerhand den Erik angeschrieben, den Hauptentwickler von

0:12:24 – 0:12:31
On Pod Love. Der hatte mir gesagt gehabt, dass er schon vor ein paar Tagen von der Lücke wusste,

0:12:31 – 0:12:40
auch ein Patch veröffentlicht hat, den aber bei – oh Gott, wie heißt die Seite? – auf jeden Fall

0:12:40 – 0:12:49
bei einem Anbieter, der für Internetsicherheit verantwortlich ist, einer Organisation genauer

0:12:49 – 0:12:56
gesagt, und hat dort die Dateien eingereicht und hat gesagt, könnt ihr mir checken, ob das immer

0:12:56 – 0:13:03
noch möglich ist, diesen Angriff zu machen. Kurz gesagt, die neue Version, die gefixte, war sauber.

0:13:03 – 0:13:10
Wir hatten noch ein bisschen mit hergeschrieben, weil ich ja auch Beta-Tester bin und quasi auch

0:13:10 – 0:13:17
eine neuere Version, die Funktionalität-Tester, ob das auch in der Version wäre. Da saßte er,

0:13:17 – 0:13:22
nee, das hat er noch nicht gemacht, aber er macht das gleich und eine Viertelstunde später war die

0:13:22 – 0:13:31
aktualisierte Revision da. Daraufhin habe ich mich halt hingesetzt gehabt und habe mich hingesetzt

0:13:31 – 0:13:39
und habe statt ein Backup wieder aufzuspielen, habe ich einfach ein neues WordPress installiert,

0:13:39 – 0:13:46
das geht relativ einfach, habe dann aus den Ordner, wo die ganzen Bilder sind,

0:13:46 – 0:13:51
mit denen nochmal akribisch durchgegangen und alles was nicht im Bild ist gelöscht,

0:13:51 – 0:13:59
habe den dann hochgeladen, habe dann den Ordner mir aufgemacht, wo die ganzen Erweiterungen drin

0:13:59 – 0:14:06
sind, die Plugins, habe die alle nacheinander sauber installiert und sehe da, die Webseite

0:14:06 – 0:14:16
ist wieder da, sehr performant und bis jetzt habe ich halt noch keine Re-Infektion, weil ich beobachte,

0:14:16 – 0:14:24
ich das System sehr genau, auch die gesamten Prozesse, die laufen und bin echt froh, dass

0:14:24 – 0:14:31
das so einfach ging. Im Endeffekt hat das Ganze jetzt zwei Tage gedauert und es tut mir leid,

0:14:31 – 0:14:40
dass die Webseite, der Podcast oder die Podcast-T, weil es laufen ja mehrere darüber,

0:14:40 – 0:14:48
eine Zeit lang halt einfach mal offline waren und in keinster Weise irgendwie jemand wusste,

0:14:48 – 0:14:55
was Sache ist, weil ich hätte noch nicht einmal großartig jetzt halt einen sogenannten Main

0:14:55 – 0:15:02
Trends – scheiße, spricht man anders aus – auf jeden Fall eine Meldung machen können,

0:15:02 – 0:15:11
dass die Seite gerade offline ist, sondern umgebaut wird oder sowas. Hätte ich zwar

0:15:11 – 0:15:15
halt als HTML machen können, aber dann hätte ich jetzt halt nicht zwischendurch testen können,

0:15:15 – 0:15:19
weil dann ja immer die HTML-Seite da ist. Oder ich hätte mir zu Hause halt einen kleinen

0:15:19 – 0:15:30
Webserver virtuell machen müssen. Ja, was soll ich dazu sagen? Ist halt eine ziemlich dumme Sache,

0:15:30 – 0:15:36
dass das so gelaufen ist und das mit der Infektion ist auch eine ziemlich blöde Sache.

0:15:36 – 0:15:46
Mir tut der Entwickler leid, der Software, weil der jetzt einen Haufen Leute hat,

0:15:46 – 0:15:54
die sich Hilfe suchen an den Wänden. Ja, da muss man jetzt mal abwarten, was passiert. Aber das ist

0:15:54 – 0:16:03
ungefähr das zu, was ich jetzt gemacht habe und das war auch mit Absprache des Anbieters

0:16:03 – 0:16:12
meines Servers die gescheitere Version, weil nochmal ein Backup zu installieren und gegebenenfalls das

0:16:12 – 0:16:17
Problem haben, dass da schon eine Backdoor installiert war und dass dann darüber wieder

0:16:17 – 0:16:25
Reinfektion kommt, der Seite ist einfach so hoch. Ich kenne jetzt mehrere Leute, die betroffen sind.

0:16:25 – 0:16:34
Ich bin mir sicher, es sind auch noch viele Leute unterwegs, die keine Ahnung haben, dass sie halt

0:16:34 – 0:16:40
das Problem haben. Das wird sich in der nächsten Zeit zeigen. Was lernen wir aus dieser Sache?

0:16:40 – 0:16:55
Sache, dass in der Informatik, dass in der IT, dass in den Programmierwesen eine Weisheit immer

0:16:55 – 0:17:07
recht hatte und immer eine große Konstante ist. Kein System ist umheckbar. Man kann noch so weit

0:17:07 – 0:17:14
denken, noch so weit in die Zukunft denken. Und da würde ich auch gerne den Erik zitieren,

0:17:14 – 0:17:21
der gestern, nee, heute geschrieben hatte, dass er sich darüber jetzt einen Riesenkopf macht,

0:17:21 – 0:17:29
ob er damit hätte einfach anders umgehen sollen, ob er die Lücke nicht vielleicht schon eher

0:17:29 – 0:17:35
kommunizieren sollen, aber dann im Endeffekt aber auch halt riskieren, dass halt noch mehr Leute

0:17:35 – 0:17:41
darauf aufmerksam werden, dass es diese Lücke gibt. Und da man ja sieht, dass dieser Angriff

0:17:41 – 0:17:48
vollkommen automatisiert war, hätte diese frühzeitige Kommunikation höchstens dazu

0:17:48 – 0:17:56
geführt, dass die Leute schneller darauf aufmerksam geworden wären und nicht zu dem

0:17:56 – 0:18:06
Zeitpunkt, wo es ja quasi schon ein Patch gab. Tja, es ist wirklich blöd. Ich habe jetzt zwei

0:18:06 – 0:18:14
Tage, also zwei Arbeitstage für mich, was keine Relation ist zu einem normalen Arbeitstag,

0:18:14 – 0:18:21
damit verbracht. Die Seite wieder zum Laufen bringen, einmal ohne Erfolg, weil ich wurde

0:18:21 – 0:18:29
wieder reinfiziert und dann einmal der saubere Weg. Das längste, was bei dieser Prozedur gedauert hat,

0:18:29 – 0:18:40
ist einfach die unglaubliche Menge an Daten. Ich glaube, die infizierte Version herunterzuladen

0:18:40 – 0:18:49
waren ungefähr 72.000 Dateien. Die sind winzig klein, das ist nicht viel. Also die gesamte Seite

0:18:49 – 0:18:59
hat mit den Bildern so ungefähr 1,2 Gigabyte Daten gehabt. Aber dadurch, dass halt so viele

0:18:59 – 0:19:05
Dateien sind, ist der Download-Vorgang halt schon ein bisschen länger. Auch wenn ich vier Stück

0:19:05 – 0:19:11
gleichzeitig heruntergeladen habe, dauert das halt seinerzeit. Und das Gleiche ist ja auch mit dem

0:19:11 – 0:19:18
Hochladen. Ich habe zwar schon eine ziemlich schnelle Internetverbindung, aber es ist ein

0:19:18 – 0:19:30
Unterschied ob ich jetzt mit 250 Megabit herunterlade, aber mit 50 hochlade. Da hat

0:19:30 – 0:19:33
das natürlich ein bisschen länger gedauert. Jetzt muss man aber sagen, ich habe ja nicht

0:19:33 – 0:19:38
alles wieder hochgeladen, sondern nur den Ordner mit den mit den Bildern. Das waren

0:19:38 – 0:19:44
dann nur knapp 20.000 Dateien. Jetzt fragt man sich, wie bitte, wie viele Bilder hast du auf

0:19:44 – 0:19:49
dieser Seite. Ja, jedes Bild hat mehrere

0:19:49 – 0:19:52
Visionen in verschiedenen Größen, weil ich

0:19:52 – 0:19:53
muss ja nicht eine riesige Datei

0:19:53 – 0:19:56
übertragen, die auf dem PC mit einem großen

0:19:56 – 0:19:59
Monitor richtig toll aussieht, aber auf

0:19:59 – 0:20:01
dem Handy ja winzig kleines. Da kann ich

0:20:01 – 0:20:03
ja auch eine kleine Datei nehmen.

0:20:03 – 0:20:07
Also habe ich mindestens vier Größen von

0:20:07 – 0:20:09
jedem Bild. Und dann kommen ja noch die

0:20:09 – 0:20:14
Vorschaubilder, die irgendwo klein sind,

0:20:14 – 0:20:21
und da noch und da noch und schubdiwupps hat man aus einem Bild mal eben zehn Dateien. Und so addiert

0:20:21 – 0:20:30
sich das. Dieser Blog, beziehungsweise der Podcast, gibt es seit 2018, seit April 2018. In diesem

0:20:30 – 0:20:37
Zeitraum ist ungefähr regelmäßig, manchmal wöchentlich, manchmal zwei oder dreimal in der

0:20:37 – 0:20:44
Woche, irgendetwas gepostet worden, wo Bilder drin waren. Und so ergibt sich einfach diese Menge. Dann

0:20:44 – 0:20:52
Die Seite selber hat ja auch Bilder. Es werden automatisch diese Vorschaubilder noch gemacht,

0:20:52 – 0:21:01
also für die Seite, wo die Bilder angezeigt werden für die Beiträge. Also es sind einfach eine

0:21:01 – 0:21:06
Unmenge an Bilder, die gemacht werden. Das sind zwar alles kleine Dateien, weil die halt auf

0:21:06 – 0:21:15
eine sehr niedrige Auflösung sind, aber es sind halt Dateien. So viel dazu. Also man kann sehen,

0:21:15 – 0:21:21
wenn man eine eigene Webseite betreibt und kein Unternehmen ist, wo man 24 Stunden

0:21:21 – 0:21:31
irgendwelche Ansprechpartner hat, dann hat man, wenn man morgens aufwacht, schon was ordentliches,

0:21:31 – 0:21:40
was man erleben kann. Ich bedanke mich für eure Aufmerksamkeit und sage Tschüss, euer Sascha.

0:21:40 – 0:21:43
[Musik]

0:21:43 – 0:21:46
[Musik]

0:21:46 – 0:21:52
[Musik]

0:21:52 – 0:21:58
[Musik]

0:21:58 – 0:22:04
[Musik]

0:22:04 – 0:22:10
[Musik]

0:22:10 – 0:22:13
[Musik]

0:22:13 – 0:22:19
[Musik]

0:22:19 – 0:22:25
[Musik]

0:22:25 – 0:22:31
[Musik]

0:22:31 – 0:22:37
[Musik]

0:22:37 – 0:22:40
[Musik]

0:22:40 – 0:22:46
[Musik]

0:22:46 – 0:22:52
[Musik]

0:22:52 – 0:22:58
[Musik]

0:22:58 – 0:23:04
[Musik]

0:23:04 – 0:23:07
[Musik]

0:23:07 – 0:23:13
[Musik]

0:23:13 – 0:23:19
[Musik]

0:23:19 – 0:23:25
[Musik]

0:23:25 – 0:23:31
[Musik]

0:23:31 – 0:23:34
[Musik]

0:23:34 – 0:23:40
[Musik]

0:23:40 – 0:23:46
[Musik]

0:23:46 – 0:23:52
[Musik]

0:23:52 – 0:23:58
[Musik]

0:23:58 – 0:24:01
[Musik]

0:24:01 – 0:24:07
[Musik]

0:24:07 – 0:24:13
[Musik]

0:24:13 – 0:24:19
[Musik]

0:24:19 – 0:24:25
[Musik]

0:24:25 – 0:24:28
[Musik]

0:24:28 – 0:24:35
[Musik]

0:24:35 – 0:24:41
[Musik]

0:24:41 – 0:24:48
[Musik]

0:24:53 – 0:24:56
[Musik]

0:24:56 – 0:25:02
[Musik]

0:25:02 – 0:25:08
[Musik]

0:25:08 – 0:25:14
[Musik]

0:25:14 – 0:25:21
[Musik]

0:25:21 – 0:25:24
[Musik]

0:25:24 – 0:25:30
[Musik]

0:25:30 – 0:25:36
[Musik]

0:25:36 – 0:25:42
[Musik]

0:25:42 – 0:25:48
[Musik]

0:25:48 – 0:25:59
[Musik]

0:25:59 – 0:26:01
[Musik]

In dieser Folge von Die Abschweifung erzähle ich, wie meine Webseite von einem Hack betroffen war – ausgelöst durch eine Sicherheitslücke im beliebten Podcast-Plugin Podlove Publisher.

Ich nehme euch mit auf die Reise durch chaotische Tage voller Fehlersuche, Backups, Neuinstallationen und der Frage: Wie geht man als kleiner Betreiber mit so einem Angriff um?

Es geht um:

Wie ich den Angriff entdeckt habe

Warum WordPress und Plugins ein Sicherheitsrisiko sein können

Was genau bei der Podlove-Lücke passiert ist

Meine Schritte, um die Seite wieder sauber aufzubauen

Welche Lehren ich daraus gezogen habe

Eine sehr persönliche Folge über IT-Sicherheit, Verantwortung und die Grenzen von Software.

📖 Zum Nachlesen auf dem LautFunk Blog

Wenn du tiefer in die Details eintauchen möchtest: Auf dem LautFunk Blog habe ich den gesamten Vorfall rund um den Podlove-Exploit ausführlich dokumentiert. Dort findest du Schritt-für-Schritt erklärt, was passiert ist, wie ich den Angriff bemerkt habe und welche Maßnahmen ich ergriffen habe, um die Seite wieder abzusichern.

👉 Hier geht’s zum Artikel: LautFunk Blog – Podlove Exploit

🗂 Themengliederung für Die Abschweifung 61

1. Intro & Begrüßung
– Vorstellung der Episode
– Kurzer Rückblick: „intensive Tage“

2. Der Hack auf LautFunk
– Erste Anzeichen: Serverlast und langsame Webseite
– Kontakt mit dem Hoster

3. WordPress und Plugins
– Was WordPress ist und warum es so beliebt ist
– Stärken und Schwächen von Plugins
– Beispiel: Podlove Publisher

4. Die Sicherheitslücke in Podlove
– Erklärung: Was ist passiert?
– Automatisierte Angriffe und Backdoors
– Wie andere Webseiten betroffen waren

5. Mein erster Versuch der Rettung
– Backup einspielen
– Schnelle Re-Infektion

6. Der saubere Weg
– Neuinstallation von WordPress
– Manuelles Prüfen und Hochladen der Bildordner
– Neuaufsetzen der Plugins

7. Kontakt zum Entwickler
– Austausch mit Erik von Podlove
– Patch und gefixte Version
– Rolle der Security-Organisationen

8. Herausforderungen beim Wiederaufbau
– Datenmenge (72.000 Dateien)
– Upload- und Download-Zeiten
– Technische Hürden für Einzelpersonen

9. Reflexion & Learnings
– Kein System ist wirklich sicher
– Kommunikation von Sicherheitslücken
– Verantwortung von Entwicklern vs. Anwendern

10. Ausblick & Abschluss
– Lehren für Podcaster und Webseitenbetreiber
– Dank an die Hörer:innen
– Verabschiedung

Links zur Ausgabe:

uberspace.de: "There is a security issues affecting Podlove Publ…" - Uberspace Mastodon

Podlove Podcast Publisher – WordPress-Plugin | WordPress.org Deutsch

Blog Tool, Publishing Platform, and CMS – WordPress.org

Unterstütze unseren Podcast

Paypal

Amazon Wishlist

Folge uns auf

Mastodon

Pixelfed

WhatsApp Kanal

PeerTube

Facebook

XTwitter

YouTube

Tumblr

Instagram

Werbung:
Feedback zur Ausgabe hinterlassen? ✍️ Dann schreib doch ein Kommentar Audio Feedback zur Sendung? ☎️ 0231 53075818

Trustpilot

Mitwirkende dieser Episode

Sascha

Anzahl der Downloads: 252
Spieldauer: 0:26:02
Tag der Aufnahme: 25.09.25
Diese Folge stammt aus der Staffel 4, es gibt insgesamt 4 Staffeln.

Eine LautFunk Publikationskartell Produktion - Wo Geschichten unüberhörbar übermittelt werden.

Vorschau auf eine kommende Veröffentlichung im LautFunk Podcast:

Die nächste Episode "Die Abschweifung 80 Der Wal, die Wut und das Korsett der Natur" erscheint am 30. April 2026 um 10:31 Uhr und hat 3 Kapitelmarken, unter anderem: "Die Abschweifung" . Du kannst dich auf 0:27:45 feinste Unterhaltung freuen.

Podcast Lizenz:

This work is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International License

Hinweis: Dieser Beitrag enthält Affiliate-Links. Wenn du über diese Links einkaufst, erhalte ich eine kleine Provision ohne zusätzliche Kosten für dich.

# contentMap.de
Format | Größe | Download
MP3 Audio | 25 MB | Download
AAC m4a | 13 MB | Download

Transkript

00:00 – 0:00:02
*Musik*

0:00:02 – 0:00:31
[Musik]

0:00:31 – 0:00:40
Hallo und willkommen zu einer neuen Ausgabe der Abschweifung, da wo ich gelegentlich vom

0:00:40 – 0:00:55
Thema abschweife. Uiuiui, was für Tage! Die waren ziemlich intensiv. Kurz gesagt,

0:00:55 – 0:01:02
Es gab einen Hack auf die Lautfunk-Webseite.

0:01:02 – 0:01:08
Jo, das musste ich erst mal sacken lassen.

0:01:08 – 0:01:10
Was ist passiert?

0:01:10 – 0:01:17
Ich habe mich schon in der letzten Zeit gewundert,

0:01:17 – 0:01:24
warum die Last auf den Server so hoch war.

0:01:24 – 0:01:32
Man muss verstehen, um so eine Webseite im Internet zu haben, braucht man halt irgendeinen Anbieter,

0:01:32 – 0:01:41
im einfachsten Fall so ein Webhosting. Auf Seiten, wo man eine größere Last hat,

0:01:41 – 0:01:50
bietet es sich an, dass man einen eigenen Server hat. Und das ist halt wie zu Hause so ein Computer,

0:01:50 – 0:01:57
wo halt ein Betriebssystem draufläuft und dort halt eine spezielle Software, die halt eine

0:01:57 – 0:02:10
Web-Service anbietet. Also man kann dann von außerhalb oder auch bei Firmen intern auf diesen

0:02:10 – 0:02:19
Server zugreifen, kann dann halt Dienste nutzen und in meinem Fall ist das halt ein WordPress.

0:02:19 – 0:02:32
Meine Webseite besteht aus einem WordPress-Hintergrund oder setzt darauf auf. Dieses WordPress kann man

0:02:32 – 0:02:43
halt mit Plugins erweitern. Was sind Plugins? Plugins sind ein Softwarecode, der die Funktionalität

0:02:43 – 0:02:54
von WordPress erweitert. Und wie es halt schon immer war, Software ist einfach nicht sicher.

0:02:54 – 0:03:03
Es gibt immer irgendwo eine Schwachstelle. Und auch wenn man sein System regelmäßig pflegt

0:03:03 – 0:03:09
und auch immer die Updates einspielt – und das geht mittlerweile auch bei WordPress automatisch.

0:03:09 – 0:03:20
WordPress kommt ursprünglich aus der Blogging-Szene, also war für personalisierte Blogs.

0:03:20 – 0:03:28
Die Leute haben quasi wie so ein Online-Tagebuch geführt und dafür wurde das ausgelegt. Es ist

0:03:28 – 0:03:35
weiter gewachsen, dann wurde es ein sogenanntes Content-Management-System. Man konnte halt

0:03:35 – 0:03:41
Bilder reinladen, kurze Audio-Files, kleine Videoclips und das hat dieses WordPress alles

0:03:41 – 0:03:48
verwaltet und das macht es heute zu einem besonders mächtigen Werkzeug, wenn man besonders

0:03:48 – 0:03:59
vielseitige Webseiten haben will. Es gibt schnellere Lösungen für Webseiten, die nicht so viel

0:03:59 – 0:04:05
Funktionalität haben sollen, sprich, wenn da einfach nur ein kleines Video angezeigt werden

0:04:05 – 0:04:10
soll oder auch nur Bilder, dann kann man das mit anderen Lösungen viel schneller machen. Die Seiten

0:04:10 – 0:04:13
sind dann hochgradig schnell.

0:04:13 – 0:04:17
Aber so ein WordPress hat den Vorteil,

0:04:17 – 0:04:21
dass man Kommentare schreiben kann,

0:04:21 – 0:04:24
die dann sofort verfügbar sind.

0:04:24 – 0:04:26
Beiträge sind

0:04:26 – 0:04:29
ja mit den veröffentlicht und sofort verfügbar.

0:04:29 – 0:04:33
Also das System ist dynamisch und erweitert sich.

0:04:33 – 0:04:37
Und das macht das halt auch extrem komplex

0:04:37 – 0:04:40
und auch anfällig.

0:04:40 – 0:04:46
Man merkt es einfach so, dass wenn es eine neuere Version von WordPress gibt,

0:04:46 – 0:04:52
gibt es in den ersten paar Wochen alle nasslang irgendwelche Updates mit Fehlerbehebungen.

0:04:52 – 0:04:59
Und so ist das auch bei den Plugins, diese Erweiterung für neue Funktionen.

0:04:59 – 0:05:06
Und zum Beispiel gibt es dort einen Plugin, was viele benutzen, die auch einen Podcast haben

0:05:06 – 0:05:18
haben und den selber bereitstellen. Das nennt sich halt "Podlove Publisher" und das bildet

0:05:18 – 0:05:24
sämtliche Funktionen ab, die man für einen Podcast braucht. Einmal, dass das halt auf

0:05:24 – 0:05:31
der Webseite dargestellt wird, aber was viel wichtiger ist, dass der Feed, also eine spezielle

0:05:31 – 0:05:40
Datei generiert wird, die halt Dienste oder auch halt die Person selber, wenn sie die hören wollen,

0:05:40 – 0:05:47
mit einem Podcaster abonnieren können. Jetzt ist das ja so, weswegen sich halt

0:05:47 – 0:05:56
Systeme wie WordPress halt anbieten, dass Kommentare schnell kommen und die werden

0:05:56 – 0:06:02
dann auch in den Feed hinzugefügt. Wenn man neue Beiträge macht, jedes Mal wird das in

0:06:02 – 0:06:11
diesen Feed hinzugefügt. In den frühen Anfängen von der Podcasterei hat man diesen Feed noch

0:06:11 – 0:06:17
selber geschrieben. Das war eine XML-Datei, wo man halt alles per Hand eingetragen hat.

0:06:17 – 0:06:24
Wo ist die Audio-Datei, wo ist die Bild-Datei und so weiter und so fort. Das war schon aufwendig

0:06:24 – 0:06:32
und eine Fleißarbeit, wenn man halt viele Folgen hatte, weil man das halt immer wieder an oberster

0:06:32 – 0:06:39
Stelle dran setzen musste. Und das nimmt einen Pottlauf einfach ab. Man hat halt eine schöne

0:06:39 – 0:06:49
Webseite, auf den Besucher Kommentare hinterlassen können. Man kann dort wesentlich mehr darstellen,

0:06:49 – 0:06:54
wie in den Feed. Und man hat halt auch so ein bisschen die spielerische Freiheit,

0:06:54 – 0:07:02
dass man gestalten kann, dass es halt so ein persönliches Brand gibt, was halt auf Spotify

0:07:02 – 0:07:12
oder bei RTL Plus, Amazon, überall da, wo man Podcasts hören kann, einfach nicht gegeben ist,

0:07:12 – 0:07:20
weil es halt eine standardisierte Oberfläche ist. Kurz gesagt, viele in Deutschland benutzen halt

0:07:20 – 0:07:30
den Potlov Publisher und genau der hatte jetzt eine Schwachstelle. Das jetzt großartig zu erklären,

0:07:30 – 0:07:39
was da passiert ist oder so, macht ja wenig Sinn, weil wir rutschen ganz gewaltig ins Fachchinesisch

0:07:39 – 0:07:50
Aber kurz gesagt, es war möglich gewesen, durch einen einfachen Befehl, den man einfach nur die

0:07:50 – 0:07:57
Webseite geschickt hat, eine Datei in einen speziellen Bereich zu platzieren, mit der man

0:07:57 – 0:08:03
halt die Möglichkeit hatte, Kontrolle über das System zu kriegen. Man konnte also eine

0:08:03 – 0:08:10
sogenannte Backdoor, also eine Hintertür installieren. Und genau das ist passiert. Und

0:08:10 – 0:08:18
das Erschreckende ist, das passierte innerhalb weniger Stunden auf ganz vielen Seiten,

0:08:18 – 0:08:29
weil dieser Scan-Prozess und das Platzieren dieser Hintertür automatisiert stattgefunden hat. Also

0:08:29 – 0:08:38
Bei allen Leuten, mit denen ich darüber gesprochen habe und die mir Teile ihrer Protokolle zur

0:08:38 – 0:08:45
Verfügung gestellt haben, also aus den Logdateien, war halt immer dasselbe Muster zu sehen. Und so

0:08:45 – 0:08:52
hat sich ein Bild abgezeichnet, auch aus den Verhalten der Seite. Aber was macht man jetzt,

0:08:52 – 0:08:59
jetzt, wenn die eigene Webseite betroffen ist, das Wichtigste an erster Stelle

0:08:59 – 0:09:04
Kühlengroß bewahren. Ich habe mich damit etwas schwer getan,

0:09:04 – 0:09:09
weil es war Dienstag gewesen. Ich hatte Dienstag sowieso schon als

0:09:09 – 0:09:14
ziemlich beschissenen Tag gehabt und als ich mich abends dann vorm Rechner

0:09:14 – 0:09:19
gesetzt habe, habe ich gemerkt, dass irgendwas mit der Webseite nicht stimmt.

0:09:19 – 0:09:31
Ich wollte noch was kurz checken, weil halt spätestens am Donnerstag ein neuer Blogbeitrag freigeschaltet wird, der online geht.

0:09:31 – 0:09:43
Und ich noch quasi noch einen Podcast hatte, der am Dienstag online gehen sollte, aber am Dienstag irgendwie nicht online gegangen ist.

0:09:43 – 0:09:48
Und dann habe ich gemerkt, die Seite reagiert komisch, die ist tierisch langsam.

0:09:48 – 0:09:54
Es ist eine zu unwahrscheinlich hohe Last auf dem System.

0:09:54 – 0:10:01
Und dann habe ich mich an meinen Anbieter gewendet, der den Server betreut.

0:10:01 – 0:10:05
Und die sagten auch so, da ist was komisch, da stimmt was nicht.

0:10:05 – 0:10:09
Wir haben uns geeinigt, dass wir die Webseite offline nehmen.

0:10:09 – 0:10:17
Der schnellste Weg war gewesen, einfach das Verzeichnis, wo halt die Webseite ist, kurz umzubenennen,

0:10:17 – 0:10:23
so dass die halt nicht mehr zur Verfügung steht, ich aber Zugriff auf alle Daten habe.

0:10:23 – 0:10:29
Also habe ich mich halt mit einem anderen Programm auf die Seite geschaltet

0:10:29 – 0:10:35
und habe dann halt angefangen, mir die Sachen alle runterzuziehen, damit ich sie lokal habe.

0:10:35 – 0:10:41
Und da sind mir halt aufgefallen, dass in bestimmten Verzeichnissen bestimmte Dateien

0:10:41 – 0:10:42
waren.

0:10:42 – 0:10:48
Nachdem ich das halt identifiziert hatte, habe ich mir gedacht, gut, dann machst du

0:10:48 – 0:10:55
jetzt halt ein Backup von vor drei Tagen, da müsstest du ja quasi nur noch ein paar

0:10:55 – 0:11:00
bestimmte Dateien ersetzen, Bilder vor allen Dingen, und dann müsste es laufen.

0:11:00 – 0:11:06
Am nächsten Tag, gegen 10 Uhr, war die Seite wieder infiziert.

0:11:06 – 0:11:10
Und dann war mir klar gewesen, das muss eine größere Sache sein.

0:11:10 – 0:11:17
Ich habe dann die Seite wieder offline genommen, habe geguckt gehabt, gut, in den Verzeichnissen,

0:11:17 – 0:11:23
wo vorher schon Sachen drin waren, waren jetzt auch Sachen drin, die waren vorher nicht da.

0:11:23 – 0:11:24
Ich hatte ja ein sauberes Backup installiert.

0:11:24 – 0:11:33
Und dann war gut, jetzt musste ich gucken, wo dran es liegt. Ich mich nochmal mit meinen

0:11:33 – 0:11:40
Anbietern in Verbindung gesetzt. Wir haben zusammen die Protokolle, die Logdateien durchgesehen und da

0:11:40 – 0:11:46
sind uns ein paar Sachen aufgefallen. Das wäre jetzt auch wieder zu technisch, das zu erzählen,

0:11:46 – 0:11:54
aber kurzum, man hat gesehen gehabt, dass halt immer der gleiche Weg gegangen ist. Über einen

0:11:54 – 0:12:01
speziellen Bereich, den Cache-Bereich vom Potlov, wurde eine Datei platziert, danach wurde eine

0:12:01 – 0:12:07
andere Datei in einen anderen Verzeichnis platziert und damit war halt die Backdoor komplett da.

0:12:07 – 0:12:18
Ja, damit wussten wir jetzt was und wie. Wir wussten nur nicht halt, wie groß der Schaden ist. Also

0:12:18 – 0:12:24
habe ich mich hingesetzt und habe mal kurzerhand den Erik angeschrieben, den Hauptentwickler von

0:12:24 – 0:12:31
On Pod Love. Der hatte mir gesagt gehabt, dass er schon vor ein paar Tagen von der Lücke wusste,

0:12:31 – 0:12:40
auch ein Patch veröffentlicht hat, den aber bei – oh Gott, wie heißt die Seite? – auf jeden Fall

0:12:40 – 0:12:49
bei einem Anbieter, der für Internetsicherheit verantwortlich ist, einer Organisation genauer

0:12:49 – 0:12:56
gesagt, und hat dort die Dateien eingereicht und hat gesagt, könnt ihr mir checken, ob das immer

0:12:56 – 0:13:03
noch möglich ist, diesen Angriff zu machen. Kurz gesagt, die neue Version, die gefixte, war sauber.

0:13:03 – 0:13:10
Wir hatten noch ein bisschen mit hergeschrieben, weil ich ja auch Beta-Tester bin und quasi auch

0:13:10 – 0:13:17
eine neuere Version, die Funktionalität-Tester, ob das auch in der Version wäre. Da saßte er,

0:13:17 – 0:13:22
nee, das hat er noch nicht gemacht, aber er macht das gleich und eine Viertelstunde später war die

0:13:22 – 0:13:31
aktualisierte Revision da. Daraufhin habe ich mich halt hingesetzt gehabt und habe mich hingesetzt

0:13:31 – 0:13:39
und habe statt ein Backup wieder aufzuspielen, habe ich einfach ein neues WordPress installiert,

0:13:39 – 0:13:46
das geht relativ einfach, habe dann aus den Ordner, wo die ganzen Bilder sind,

0:13:46 – 0:13:51
mit denen nochmal akribisch durchgegangen und alles was nicht im Bild ist gelöscht,

0:13:51 – 0:13:59
habe den dann hochgeladen, habe dann den Ordner mir aufgemacht, wo die ganzen Erweiterungen drin

0:13:59 – 0:14:06
sind, die Plugins, habe die alle nacheinander sauber installiert und sehe da, die Webseite

0:14:06 – 0:14:16
ist wieder da, sehr performant und bis jetzt habe ich halt noch keine Re-Infektion, weil ich beobachte,

0:14:16 – 0:14:24
ich das System sehr genau, auch die gesamten Prozesse, die laufen und bin echt froh, dass

0:14:24 – 0:14:31
das so einfach ging. Im Endeffekt hat das Ganze jetzt zwei Tage gedauert und es tut mir leid,

0:14:31 – 0:14:40
dass die Webseite, der Podcast oder die Podcast-T, weil es laufen ja mehrere darüber,

0:14:40 – 0:14:48
eine Zeit lang halt einfach mal offline waren und in keinster Weise irgendwie jemand wusste,

0:14:48 – 0:14:55
was Sache ist, weil ich hätte noch nicht einmal großartig jetzt halt einen sogenannten Main

0:14:55 – 0:15:02
Trends – scheiße, spricht man anders aus – auf jeden Fall eine Meldung machen können,

0:15:02 – 0:15:11
dass die Seite gerade offline ist, sondern umgebaut wird oder sowas. Hätte ich zwar

0:15:11 – 0:15:15
halt als HTML machen können, aber dann hätte ich jetzt halt nicht zwischendurch testen können,

0:15:15 – 0:15:19
weil dann ja immer die HTML-Seite da ist. Oder ich hätte mir zu Hause halt einen kleinen

0:15:19 – 0:15:30
Webserver virtuell machen müssen. Ja, was soll ich dazu sagen? Ist halt eine ziemlich dumme Sache,

0:15:30 – 0:15:36
dass das so gelaufen ist und das mit der Infektion ist auch eine ziemlich blöde Sache.

0:15:36 – 0:15:46
Mir tut der Entwickler leid, der Software, weil der jetzt einen Haufen Leute hat,

0:15:46 – 0:15:54
die sich Hilfe suchen an den Wänden. Ja, da muss man jetzt mal abwarten, was passiert. Aber das ist

0:15:54 – 0:16:03
ungefähr das zu, was ich jetzt gemacht habe und das war auch mit Absprache des Anbieters

0:16:03 – 0:16:12
meines Servers die gescheitere Version, weil nochmal ein Backup zu installieren und gegebenenfalls das

0:16:12 – 0:16:17
Problem haben, dass da schon eine Backdoor installiert war und dass dann darüber wieder

0:16:17 – 0:16:25
Reinfektion kommt, der Seite ist einfach so hoch. Ich kenne jetzt mehrere Leute, die betroffen sind.

0:16:25 – 0:16:34
Ich bin mir sicher, es sind auch noch viele Leute unterwegs, die keine Ahnung haben, dass sie halt

0:16:34 – 0:16:40
das Problem haben. Das wird sich in der nächsten Zeit zeigen. Was lernen wir aus dieser Sache?

0:16:40 – 0:16:55
Sache, dass in der Informatik, dass in der IT, dass in den Programmierwesen eine Weisheit immer

0:16:55 – 0:17:07
recht hatte und immer eine große Konstante ist. Kein System ist umheckbar. Man kann noch so weit

0:17:07 – 0:17:14
denken, noch so weit in die Zukunft denken. Und da würde ich auch gerne den Erik zitieren,

0:17:14 – 0:17:21
der gestern, nee, heute geschrieben hatte, dass er sich darüber jetzt einen Riesenkopf macht,

0:17:21 – 0:17:29
ob er damit hätte einfach anders umgehen sollen, ob er die Lücke nicht vielleicht schon eher

0:17:29 – 0:17:35
kommunizieren sollen, aber dann im Endeffekt aber auch halt riskieren, dass halt noch mehr Leute

0:17:35 – 0:17:41
darauf aufmerksam werden, dass es diese Lücke gibt. Und da man ja sieht, dass dieser Angriff

0:17:41 – 0:17:48
vollkommen automatisiert war, hätte diese frühzeitige Kommunikation höchstens dazu

0:17:48 – 0:17:56
geführt, dass die Leute schneller darauf aufmerksam geworden wären und nicht zu dem

0:17:56 – 0:18:06
Zeitpunkt, wo es ja quasi schon ein Patch gab. Tja, es ist wirklich blöd. Ich habe jetzt zwei

0:18:06 – 0:18:14
Tage, also zwei Arbeitstage für mich, was keine Relation ist zu einem normalen Arbeitstag,

0:18:14 – 0:18:21
damit verbracht. Die Seite wieder zum Laufen bringen, einmal ohne Erfolg, weil ich wurde

0:18:21 – 0:18:29
wieder reinfiziert und dann einmal der saubere Weg. Das längste, was bei dieser Prozedur gedauert hat,

0:18:29 – 0:18:40
ist einfach die unglaubliche Menge an Daten. Ich glaube, die infizierte Version herunterzuladen

0:18:40 – 0:18:49
waren ungefähr 72.000 Dateien. Die sind winzig klein, das ist nicht viel. Also die gesamte Seite

0:18:49 – 0:18:59
hat mit den Bildern so ungefähr 1,2 Gigabyte Daten gehabt. Aber dadurch, dass halt so viele

0:18:59 – 0:19:05
Dateien sind, ist der Download-Vorgang halt schon ein bisschen länger. Auch wenn ich vier Stück

0:19:05 – 0:19:11
gleichzeitig heruntergeladen habe, dauert das halt seinerzeit. Und das Gleiche ist ja auch mit dem

0:19:11 – 0:19:18
Hochladen. Ich habe zwar schon eine ziemlich schnelle Internetverbindung, aber es ist ein

0:19:18 – 0:19:30
Unterschied ob ich jetzt mit 250 Megabit herunterlade, aber mit 50 hochlade. Da hat

0:19:30 – 0:19:33
das natürlich ein bisschen länger gedauert. Jetzt muss man aber sagen, ich habe ja nicht

0:19:33 – 0:19:38
alles wieder hochgeladen, sondern nur den Ordner mit den mit den Bildern. Das waren

0:19:38 – 0:19:44
dann nur knapp 20.000 Dateien. Jetzt fragt man sich, wie bitte, wie viele Bilder hast du auf

0:19:44 – 0:19:49
dieser Seite. Ja, jedes Bild hat mehrere

0:19:49 – 0:19:52
Visionen in verschiedenen Größen, weil ich

0:19:52 – 0:19:53
muss ja nicht eine riesige Datei

0:19:53 – 0:19:56
übertragen, die auf dem PC mit einem großen

0:19:56 – 0:19:59
Monitor richtig toll aussieht, aber auf

0:19:59 – 0:20:01
dem Handy ja winzig kleines. Da kann ich

0:20:01 – 0:20:03
ja auch eine kleine Datei nehmen.

0:20:03 – 0:20:07
Also habe ich mindestens vier Größen von

0:20:07 – 0:20:09
jedem Bild. Und dann kommen ja noch die

0:20:09 – 0:20:14
Vorschaubilder, die irgendwo klein sind,

0:20:14 – 0:20:21
und da noch und da noch und schubdiwupps hat man aus einem Bild mal eben zehn Dateien. Und so addiert

0:20:21 – 0:20:30
sich das. Dieser Blog, beziehungsweise der Podcast, gibt es seit 2018, seit April 2018. In diesem

0:20:30 – 0:20:37
Zeitraum ist ungefähr regelmäßig, manchmal wöchentlich, manchmal zwei oder dreimal in der

0:20:37 – 0:20:44
Woche, irgendetwas gepostet worden, wo Bilder drin waren. Und so ergibt sich einfach diese Menge. Dann

0:20:44 – 0:20:52
Die Seite selber hat ja auch Bilder. Es werden automatisch diese Vorschaubilder noch gemacht,

0:20:52 – 0:21:01
also für die Seite, wo die Bilder angezeigt werden für die Beiträge. Also es sind einfach eine

0:21:01 – 0:21:06
Unmenge an Bilder, die gemacht werden. Das sind zwar alles kleine Dateien, weil die halt auf

0:21:06 – 0:21:15
eine sehr niedrige Auflösung sind, aber es sind halt Dateien. So viel dazu. Also man kann sehen,

0:21:15 – 0:21:21
wenn man eine eigene Webseite betreibt und kein Unternehmen ist, wo man 24 Stunden

0:21:21 – 0:21:31
irgendwelche Ansprechpartner hat, dann hat man, wenn man morgens aufwacht, schon was ordentliches,

0:21:31 – 0:21:40
was man erleben kann. Ich bedanke mich für eure Aufmerksamkeit und sage Tschüss, euer Sascha.

0:21:40 – 0:21:43
[Musik]

0:21:43 – 0:21:46
[Musik]

0:21:46 – 0:21:52
[Musik]

0:21:52 – 0:21:58
[Musik]

0:21:58 – 0:22:04
[Musik]

0:22:04 – 0:22:10
[Musik]

0:22:10 – 0:22:13
[Musik]

0:22:13 – 0:22:19
[Musik]

0:22:19 – 0:22:25
[Musik]

0:22:25 – 0:22:31
[Musik]

0:22:31 – 0:22:37
[Musik]

0:22:37 – 0:22:40
[Musik]

0:22:40 – 0:22:46
[Musik]

0:22:46 – 0:22:52
[Musik]

0:22:52 – 0:22:58
[Musik]

0:22:58 – 0:23:04
[Musik]

0:23:04 – 0:23:07
[Musik]

0:23:07 – 0:23:13
[Musik]

0:23:13 – 0:23:19
[Musik]

0:23:19 – 0:23:25
[Musik]

0:23:25 – 0:23:31
[Musik]

0:23:31 – 0:23:34
[Musik]

0:23:34 – 0:23:40
[Musik]

0:23:40 – 0:23:46
[Musik]

0:23:46 – 0:23:52
[Musik]

0:23:52 – 0:23:58
[Musik]

0:23:58 – 0:24:01
[Musik]

0:24:01 – 0:24:07
[Musik]

0:24:07 – 0:24:13
[Musik]

0:24:13 – 0:24:19
[Musik]

0:24:19 – 0:24:25
[Musik]

0:24:25 – 0:24:28
[Musik]

0:24:28 – 0:24:35
[Musik]

0:24:35 – 0:24:41
[Musik]

0:24:41 – 0:24:48
[Musik]

0:24:53 – 0:24:56
[Musik]

0:24:56 – 0:25:02
[Musik]

0:25:02 – 0:25:08
[Musik]

0:25:08 – 0:25:14
[Musik]

0:25:14 – 0:25:21
[Musik]

0:25:21 – 0:25:24
[Musik]

0:25:24 – 0:25:30
[Musik]

0:25:30 – 0:25:36
[Musik]

0:25:36 – 0:25:42
[Musik]

0:25:42 – 0:25:48
[Musik]

0:25:48 – 0:25:59
[Musik]

0:25:59 – 0:26:01
[Musik]

In dieser Folge von Die Abschweifung erzähle ich, wie meine Webseite von einem Hack betroffen war – ausgelöst durch eine Sicherheitslücke im beliebten Podcast-Plugin Podlove Publisher.

Ich nehme euch mit auf die Reise durch chaotische Tage voller Fehlersuche, Backups, Neuinstallationen und der Frage: Wie geht man als kleiner Betreiber mit so einem Angriff um?

Es geht um:

Wie ich den Angriff entdeckt habe

Warum WordPress und Plugins ein Sicherheitsrisiko sein können

Was genau bei der Podlove-Lücke passiert ist

Meine Schritte, um die Seite wieder sauber aufzubauen

Welche Lehren ich daraus gezogen habe

Eine sehr persönliche Folge über IT-Sicherheit, Verantwortung und die Grenzen von Software.

📖 Zum Nachlesen auf dem LautFunk Blog

Wenn du tiefer in die Details eintauchen möchtest: Auf dem LautFunk Blog habe ich den gesamten Vorfall rund um den Podlove-Exploit ausführlich dokumentiert. Dort findest du Schritt-für-Schritt erklärt, was passiert ist, wie ich den Angriff bemerkt habe und welche Maßnahmen ich ergriffen habe, um die Seite wieder abzusichern.

👉 Hier geht’s zum Artikel: LautFunk Blog – Podlove Exploit

🗂 Themengliederung für Die Abschweifung 61

1. Intro & Begrüßung
– Vorstellung der Episode
– Kurzer Rückblick: „intensive Tage“

2. Der Hack auf LautFunk
– Erste Anzeichen: Serverlast und langsame Webseite
– Kontakt mit dem Hoster

3. WordPress und Plugins
– Was WordPress ist und warum es so beliebt ist
– Stärken und Schwächen von Plugins
– Beispiel: Podlove Publisher

4. Die Sicherheitslücke in Podlove
– Erklärung: Was ist passiert?
– Automatisierte Angriffe und Backdoors
– Wie andere Webseiten betroffen waren

5. Mein erster Versuch der Rettung
– Backup einspielen
– Schnelle Re-Infektion

6. Der saubere Weg
– Neuinstallation von WordPress
– Manuelles Prüfen und Hochladen der Bildordner
– Neuaufsetzen der Plugins

7. Kontakt zum Entwickler
– Austausch mit Erik von Podlove
– Patch und gefixte Version
– Rolle der Security-Organisationen

8. Herausforderungen beim Wiederaufbau
– Datenmenge (72.000 Dateien)
– Upload- und Download-Zeiten
– Technische Hürden für Einzelpersonen

9. Reflexion & Learnings
– Kein System ist wirklich sicher
– Kommunikation von Sicherheitslücken
– Verantwortung von Entwicklern vs. Anwendern

10. Ausblick & Abschluss
– Lehren für Podcaster und Webseitenbetreiber
– Dank an die Hörer:innen
– Verabschiedung

Links zur Ausgabe:

uberspace.de: "There is a security issues affecting Podlove Publ…" - Uberspace Mastodon

Podlove Podcast Publisher – WordPress-Plugin | WordPress.org Deutsch

Blog Tool, Publishing Platform, and CMS – WordPress.org

Unterstütze unseren Podcast

Paypal

Amazon Wishlist

Folge uns auf

Mastodon

Pixelfed

WhatsApp Kanal

PeerTube

Facebook

XTwitter

YouTube

Tumblr

Instagram

Werbung:
Feedback zur Ausgabe hinterlassen? ✍️ Dann schreib doch ein Kommentar Audio Feedback zur Sendung? ☎️ 0231 53075818

Trustpilot

Mitwirkende dieser Episode

Sascha

Anzahl der Downloads: 252
Spieldauer: 0:26:02
Tag der Aufnahme: 25.09.25
Diese Folge stammt aus der Staffel 4, es gibt insgesamt 4 Staffeln.

Eine LautFunk Publikationskartell Produktion - Wo Geschichten unüberhörbar übermittelt werden.

Vorschau auf eine kommende Veröffentlichung im LautFunk Podcast:

Die nächste Episode "Die Abschweifung 80 Der Wal, die Wut und das Korsett der Natur" erscheint am 30. April 2026 um 10:31 Uhr und hat 3 Kapitelmarken, unter anderem: "Die Abschweifung" . Du kannst dich auf 0:27:45 feinste Unterhaltung freuen.

Podcast Lizenz:

This work is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International License

Hinweis: Dieser Beitrag enthält Affiliate-Links. Wenn du über diese Links einkaufst, erhalte ich eine kleine Provision ohne zusätzliche Kosten für dich.

# name
Die Abschweifung 61 WordPress gehackt – Meine Seite im Ausnahmezustand

# nameMap.de
Die Abschweifung 61 WordPress gehackt – Meine Seite im Ausnahmezustand

# preview.content
In dieser Folge von Die Abschweifung erzähle ich, wie meine Webseite von einem Hack betroffen war – ausgelöst durch eine Sicherheitslücke im beliebten Podcast-Plugin Podlove Publisher.

Ich nehme euch mit auf die Reise durch chaotische Tage voller Fehlersuche, Backups, Neuinstallationen und der Frage: Wie geht man als kleiner Betreiber mit so einem Angriff um?

Es geht um:

Wie ich den Angriff entdeckt habe

Warum WordPress und Plugins ein Sicherheitsrisiko sein können

Was genau bei […]

# summary
In dieser Folge von Die Abschweifung erzähle ich, wie meine Webseite von einem Hack betroffen war – ausgelöst durch eine Sicherheitslücke im beliebten Podcast-Plugin Podlove Publisher.

Ich nehme euch mit auf die Reise durch chaotische Tage voller Fehlersuche, Backups, Neuinstallationen und der Frage: Wie geht man als kleiner Betreiber mit so einem Angriff um?

Es geht um:

Wie ich den Angriff entdeckt habe

Warum WordPress und Plugins ein Sicherheitsrisiko sein können

Was genau bei […]

# summaryMap.de
In dieser Folge von Die Abschweifung erzähle ich, wie meine Webseite von einem Hack betroffen war – ausgelöst durch eine Sicherheitslücke im beliebten Podcast-Plugin Podlove Publisher.

Ich nehme euch mit auf die Reise durch chaotische Tage voller Fehlersuche, Backups, Neuinstallationen und der Frage: Wie geht man als kleiner Betreiber mit so einem Angriff um?

Es geht um:

Wie ich den Angriff entdeckt habe

Warum WordPress und Plugins ein Sicherheitsrisiko sein können

Was genau bei […]