Was ist eine Backdoor? Bedeutung, Gefahren und Schutz

Eine Backdoor – auf Deutsch „Hintertür“ – ist ein versteckter oder nicht dokumentierter Zugang zu einem Computer, einer Website, einem Netzwerk oder einer Software. Über diese Hintertür können reguläre Anmelde- und Sicherheitsmechanismen umgangen werden.

Angreifer nutzen Backdoors, um dauerhaft auf ein kompromittiertes System zuzugreifen. Dabei können sie Daten auslesen, Dateien verändern, zusätzliche Schadsoftware installieren oder das betroffene Gerät aus der Ferne steuern. Da eine Backdoor möglichst unbemerkt bleiben soll, wird sie häufig erst spät entdeckt.

Auch Vereinswebsites können betroffen sein – beispielsweise durch veraltete WordPress-Plugins, unsichere Zugangsdaten oder manipulierte Erweiterungen.

Was bedeutet Backdoor?

Der englische Begriff „Backdoor“ bedeutet wörtlich übersetzt „Hintertür“. In der IT bezeichnet er einen Zugang, der die normalerweise vorgesehenen Sicherheitskontrollen umgeht.

Reguläre Benutzer melden sich beispielsweise mit einem Benutzernamen, einem Passwort und gegebenenfalls einem zweiten Faktor an. Eine Backdoor ermöglicht dagegen einen alternativen Zugang, der nicht dem vorgesehenen Anmeldeverfahren folgt.

Eine solche Hintertür kann unter anderem aus folgenden Elementen bestehen:

• einem versteckten Benutzerkonto,
• einem fest hinterlegten Passwort,
• einem manipulierten Programm,
• einem unauffälligen Skript auf einem Webserver,
• einem heimlich geöffneten Netzwerkzugang,
• einer veränderten Firmware oder
• einem Schadprogramm für den Fernzugriff.

Nicht jeder administrative Fernzugang ist automatisch eine Backdoor. Ein dokumentierter, abgesicherter und vom Betreiber eingerichteter Wartungszugang ist eine reguläre Funktion. Von einer Backdoor spricht man insbesondere dann, wenn ein Zugang verborgen bleibt, nicht ausreichend kontrolliert wird oder die vorgesehenen Sicherheitsmechanismen umgeht.

Wie funktioniert eine Backdoor?

Eine Backdoor verschafft einem Angreifer einen alternativen Zugang zu einem System. Der typische Ablauf sieht folgendermaßen aus:

1. Der Angreifer nutzt eine Sicherheitslücke, gestohlene Zugangsdaten oder eine manipulierte Datei.
2. Er installiert oder aktiviert einen versteckten Zugang.
3. Die Backdoor wird so eingerichtet, dass sie möglichst unauffällig bleibt.
4. Der Angreifer kann später erneut auf das System zugreifen.
5. Über den Zugang lassen sich Daten auslesen, Befehle ausführen oder weitere Schadprogramme installieren.

Eine Backdoor ist für Angreifer besonders wertvoll, weil sie einen dauerhaften Zugang ermöglichen kann. Selbst wenn die ursprünglich ausgenutzte Sicherheitslücke geschlossen wurde, bleibt die Hintertür möglicherweise bestehen.

Deshalb reicht es nach einem Angriff nicht immer aus, lediglich ein unsicheres Passwort zu ändern oder ein betroffenes Plugin zu aktualisieren. Zusätzlich muss geprüft werden, ob der Angreifer weitere Dateien, Benutzerkonten oder Zugänge angelegt hat.

Wie gelangt eine Backdoor auf einen Computer oder eine Website?

Backdoors können auf unterschiedlichen Wegen eingeschleust werden. Zu den häufigsten Ursachen gehören:

Manipulierte E-Mail-Anhänge

Eine scheinbar harmlose Rechnung, Bewerbung oder andere Datei kann Schadsoftware enthalten. Wird sie geöffnet, kann sie unbemerkt eine Backdoor installieren.

Unsichere Downloads

Programme aus unbekannten Quellen können verändert worden sein. Das gilt insbesondere für vermeintlich kostenlose Versionen kostenpflichtiger Software sowie für Plugins und Themes aus nicht vertrauenswürdigen Downloadportalen.

Veraltete Software

Nicht installierte Sicherheitsupdates können bekannte Schwachstellen offenlassen. Angreifer suchen automatisiert nach verwundbaren Websites, Servern und Geräten.

Gestohlene Zugangsdaten

Schwache, mehrfach verwendete oder durch Phishing erbeutete Passwörter ermöglichen den ersten Zugriff. Danach kann ein Angreifer eine zusätzliche Hintertür anlegen, um auch nach einer Passwortänderung zurückkehren zu können.

Kompromittierte Erweiterungen

Manipulierte Plugins, Themes oder Softwarebibliotheken können Schadcode enthalten. In diesem Fall gelangt die Backdoor über die Software-Lieferkette auf das System.

Fehlerhafte Konfigurationen

Offene Fernzugänge, unnötige Dienste oder falsch gesetzte Zugriffsrechte können einen Angriff erleichtern.

Welche Arten von Backdoors gibt es?

Backdoors unterscheiden sich danach, wo sie eingerichtet werden und wie Angreifer darauf zugreifen.

Software-Backdoor

Eine Software-Backdoor befindet sich direkt in einem Programm oder Betriebssystem. Sie kann beispielsweise bestimmte Befehle, Zugangsdaten oder Funktionen enthalten, über die reguläre Sicherheitsprüfungen umgangen werden.

Backdoor-Trojaner

Ein Backdoor-Trojaner tarnt sich als nützliche oder harmlose Datei. Nach der Ausführung richtet er einen Fernzugriff ein, über den ein Angreifer das Gerät kontrollieren kann.

Webshell

Eine Webshell ist ein Skript, das auf einem Webserver abgelegt wird. Darüber können Angreifer Befehle ausführen, Dateien verändern oder weitere Schadsoftware hochladen. Webshells sind insbesondere bei kompromittierten Websites relevant.

Verstecktes Benutzerkonto

Ein Angreifer kann einen zusätzlichen Benutzer mit Administratorrechten erstellen. Wird dieses Konto nicht bemerkt, bleibt der Zugriff auch dann möglich, wenn die Passwörter der bekannten Benutzer geändert werden.

Hardware- oder Firmware-Backdoor

Eine Hintertür kann sich auch in der Firmware eines Routers, Servers oder anderen Geräts befinden. Solche Backdoors sind häufig schwerer zu erkennen und zu entfernen als reine Schadsoftware.

Backdoor in einer Software-Lieferkette

Bei einem Lieferkettenangriff wird eine Software oder eine verwendete Komponente bereits vor der Installation manipuliert. Anwender installieren dann scheinbar vertrauenswürdige Software, die in Wirklichkeit einen versteckten Zugang enthält.

Was kann ein Angreifer mit einer Backdoor tun?

Welche Möglichkeiten eine Backdoor eröffnet, hängt von den erlangten Berechtigungen ab. Ein Angreifer kann unter anderem:

• Passwörter und Zugangsdaten auslesen,
• personenbezogene Daten stehlen,
• Dateien kopieren, verändern oder löschen,
• E-Mails und Spam versenden,
• weitere Schadsoftware installieren,
• die Website auf betrügerische Seiten umleiten,
• Kamera oder Mikrofon eines Geräts missbrauchen,
• das System aus der Ferne steuern,
• Besucher einer Website mit Schadsoftware infizieren,
• den Computer in ein Botnetz aufnehmen oder
• weitere Geräte im Netzwerk angreifen.

Bei Vereinswebsites können beispielsweise Mitgliederdaten, Kontaktdaten oder interne Dokumente betroffen sein. Außerdem kann eine manipulierte Website das Vertrauen von Mitgliedern und Besuchern erheblich beschädigen.

Was ist der Unterschied zwischen Backdoor, Trojaner und Sicherheitslücke?

Die Begriffe werden häufig miteinander verwechselt, bezeichnen aber unterschiedliche Dinge:

Begriff	Bedeutung
Backdoor	Ein versteckter Zugang, der reguläre Sicherheitskontrollen umgeht
Trojaner	Ein Schadprogramm, das sich als harmlose oder nützliche Datei tarnt
Sicherheitslücke	Ein unbeabsichtigter Fehler, der für einen Angriff ausgenutzt werden kann
Rootkit	Programme oder Techniken, die Schadaktivitäten und Zugriffe verbergen
Webshell	Ein Skript, über das Befehle auf einem Webserver ausgeführt werden können
Virus	Schadsoftware, die sich an Dateien oder Programme anhängt und weiterverbreitet

Ein Trojaner kann eine Backdoor installieren. Eine Sicherheitslücke kann wiederum dazu genutzt werden, einen Trojaner oder eine Webshell einzuschleusen. Die Begriffe sind deshalb miteinander verbunden, aber nicht gleichbedeutend.

Woran erkennt man eine Backdoor?

Backdoors sollen möglichst lange unbemerkt bleiben. Eine eindeutige Erkennung ist daher nicht immer einfach. Folgende Auffälligkeiten können auf ein kompromittiertes System hindeuten:

• unbekannte Benutzer oder Administratoren,
• ungewöhnliche Anmeldeversuche,
• veränderte System- oder Website-Dateien,
• unbekannte Prozesse und Programme,
• unerklärliche Netzwerkverbindungen,
• auffällig hohe Server- oder CPU-Auslastung,
• deaktivierte Sicherheitssoftware,
• unerwarteter Versand von E-Mails,
• Weiterleitungen auf fremde Websites,
• neue Dateien in ungewöhnlichen Verzeichnissen,
• wiederkehrende Schadsoftware nach einer Bereinigung oder
• Sicherheitswarnungen des Hosting-Anbieters.

Diese Anzeichen sind noch kein Beweis für eine Backdoor. Sie sollten jedoch untersucht werden. Eine professionelle Analyse von Dateien, Protokollen und Netzwerkverbindungen kann notwendig sein, um den versteckten Zugang zu finden.

Was tun bei Verdacht auf eine Backdoor?

Bei einem begründeten Verdacht sollte schnell, aber überlegt gehandelt werden:

1. Trennen Sie den betroffenen Computer möglichst vom Netzwerk.
2. Informieren Sie bei einer Website den Hosting-Anbieter oder Administrator.
3. Ändern Sie Zugangsdaten über ein nachweislich sauberes Gerät.
4. Sichern Sie vorhandene Protokolle und andere Informationen zum Vorfall.
5. Prüfen Sie Benutzerkonten, Dateien, Prozesse und Netzwerkverbindungen.
6. Lassen Sie das System mit aktueller Sicherheitssoftware untersuchen.
7. Entfernen Sie unbekannte Administratoren und nicht benötigte Zugänge.
8. Stellen Sie das System gegebenenfalls aus einem sauberen Backup wieder her.
9. Installieren Sie alle verfügbaren Sicherheitsupdates.
10. Ermitteln und schließen Sie die ursprünglich ausgenutzte Schwachstelle.

Bei sensiblen Daten oder einem geschäftlich genutzten System empfiehlt es sich, einen IT-Sicherheitsexperten hinzuzuziehen. Werden lediglich einzelne auffällige Dateien gelöscht, kann eine weitere Hintertür unentdeckt bleiben.

Falls personenbezogene Daten betroffen sein könnten, sollten zudem mögliche Informations- und Meldepflichten geprüft werden.

Wie schützt man sich vor Backdoors?

Einen vollständigen Schutz gibt es nicht. Das Risiko lässt sich jedoch deutlich reduzieren:

• Betriebssysteme und Programme regelmäßig aktualisieren,
• Sicherheitsupdates zeitnah installieren,
• Software nur aus vertrauenswürdigen Quellen beziehen,
• starke und unterschiedliche Passwörter verwenden,
• Mehrfaktor-Authentifizierung aktivieren,
• Administratorrechte auf wenige Benutzer beschränken,
• ungenutzte Programme, Plugins und Konten entfernen,
• regelmäßige externe Backups erstellen,
• Dateien und Anmeldeprotokolle überwachen,
• Sicherheitssoftware und Firewalls einsetzen,
• Fernzugänge absichern und
• Benutzer für Phishing und schädliche Anhänge sensibilisieren.

Backups sollten nicht dauerhaft mit dem betroffenen System verbunden sein. Andernfalls können sie bei einem Angriff ebenfalls verändert oder verschlüsselt werden.

Backdoors in WordPress und auf Vereinswebsites

WordPress ist aufgrund seiner großen Verbreitung ein häufiges Angriffsziel. Das bedeutet nicht, dass WordPress grundsätzlich unsicher ist. Probleme entstehen vor allem durch veraltete Installationen, unsichere Passwörter oder Erweiterungen aus unbekannten Quellen.

Angreifer können beispielsweise:

• eine PHP-Webshell hochladen,
• vorhandene Dateien manipulieren,
• ein verstecktes Administratorkonto anlegen,
• Schadcode in ein Theme integrieren,
• Besucher auf fremde Seiten umleiten oder
• eine manipulierte Aufgabe zur regelmäßigen Ausführung einrichten.

Besonders tückisch ist, dass eine Backdoor nach einer oberflächlichen Bereinigung bestehen bleiben kann. Wird nur der sichtbare Schadcode entfernt, kann der Angreifer die Website später erneut kompromittieren.

Vereine sollten deshalb:

• WordPress, Plugins und Themes aktuell halten,
• nicht verwendete Erweiterungen vollständig löschen,
• Plugins nur aus vertrauenswürdigen Quellen installieren,
• individuelle Benutzerkonten statt gemeinsamer Zugänge verwenden,
• Administratorrechte sparsam vergeben,
• Mehrfaktor-Authentifizierung aktivieren,
• regelmäßige Backups außerhalb des Webservers speichern und
• verdächtige Dateiänderungen sowie Anmeldungen überwachen.

Gerade wenn über eine Vereinswebsite personenbezogene Daten verarbeitet werden, sollte die Sicherheit nicht erst nach einem Vorfall überprüft werden.

Sind Backdoors immer absichtlich eingebaut?

Eine Backdoor ist ein Zugang, der Sicherheitskontrollen umgeht. Dieser kann absichtlich durch einen Entwickler oder Angreifer eingerichtet werden. Daneben können Programmierfehler und Fehlkonfigurationen unbeabsichtigt einen vergleichbaren Zugang ermöglichen.

Eine gewöhnliche Sicherheitslücke wird jedoch nicht allein dadurch zur Backdoor, dass sie ausgenutzt werden kann. Entscheidend ist, ob ein versteckter oder nicht vorgesehener Zugangsweg eingerichtet beziehungsweise bereitgehalten wird.

Ist eine Backdoor ein Virus?

Nein. Eine Backdoor ist zunächst ein versteckter Zugangsweg. Ein Virus ist dagegen eine Form von Schadsoftware, die sich an Dateien oder Programme anhängen und weiterverbreiten kann.

Ein Virus oder Trojaner kann allerdings eine Backdoor installieren. Deshalb treten die Begriffe in der Praxis häufig gemeinsam auf.

Kann ein Virenscanner eine Backdoor erkennen?

Ein aktueller Virenscanner kann viele bekannte Backdoor-Programme erkennen. Einen vollständigen Schutz bietet er jedoch nicht.

Individuell angepasste oder gut versteckte Backdoors können einer automatischen Erkennung entgehen. Außerdem kann ein Angreifer legitime Systemfunktionen missbrauchen, ohne eine bekannte Schadprogrammdatei zu hinterlassen. Bei einem ernsthaften Verdacht ist daher eine umfassendere Untersuchung erforderlich.

Kann eine Backdoor nach einem Update bestehen bleiben?

Ja. Ein Update kann die ursprünglich ausgenutzte Sicherheitslücke schließen. Eine bereits installierte Backdoor wird dadurch aber nicht zwangsläufig entfernt.

Nach einer Kompromittierung müssen daher sowohl die Ursache als auch alle möglicherweise vorgenommenen Änderungen untersucht werden.

Fazit: Backdoors sind eine ernst zu nehmende Sicherheitsgefahr

Eine Backdoor ist eine versteckte digitale Hintertür, über die reguläre Sicherheitsmechanismen umgangen werden. Sie kann Angreifern einen dauerhaften Zugriff auf Computer, Netzwerke, Software und Websites ermöglichen.

Zum Schutz sind aktuelle Software, sichere Zugangsdaten, Mehrfaktor-Authentifizierung, eingeschränkte Benutzerrechte und getrennte Backups besonders wichtig. Bei einem konkreten Verdacht sollte nicht nur die sichtbare Schadsoftware entfernt werden. Entscheidend ist, alle versteckten Zugänge zu finden und die ursprüngliche Ursache des Angriffs zu schließen.