INTELLIGENT
piXel

Sie wurden gehackt. Oder Sie wollen wissen, ob.

Ich sichere Server, bevor jemand hineinkommt, und ich rekonstruiere den Fall, wenn es passiert ist. Dazu baue ich die Software, die darauf läuft. Seit 1998, für Unternehmen, Behörden und Freiberufler, weltweit.

Die wenigsten meiner Kunden erfahren von mir, dass sie gehackt wurden. Sie erfahren es von Google, vom Hoster oder von einem Kunden, der fragt, warum die Firmenwebsite jetzt Potenzmittel verkauft.

Wenn es passiert ist, entscheidet die Reihenfolge. Erst feststellen, dann schließen, dann aufräumen. Wer sofort aufräumt, löscht genau das, was 2 Wochen später beweisen soll, dass er nicht fahrlässig war.

Wenn es noch nicht passiert ist, sind Sie in der besseren und in der erheblich günstigeren Position. Vorbeugen heißt nicht, ein Produkt zu installieren und zu hoffen. Es heißt, Systeme so zu härten und zu überwachen, dass ein Angriff auffällt, während er läuft, und nicht erst, wenn der Hoster abschaltet.

Schreiben Sie, was los ist.

Wer sollte ausgerechnet mich angreifen?

Die häufigste Frage, und sie ist berechtigt. Sie haben 14 Mitarbeiter, Sie verkaufen Zahnersatz oder Zahnräder, und nichts an Ihrer Firma schreit nach Geheimdienst. Also rechnen wir. Nicht mit Gefühl. Mit Adressen.

Das Internet hat 4.294.967.296 Adressen. Das ist keine Schätzung, das ist 2 hoch 32. Die Zahl steht fest, seit man das Ding gebaut hat. Ihre Firma ist eine davon.

2013 haben 3 Forscher der University of Michigan ein Werkzeug namens ZMap veröffentlicht. Es tastet sämtliche 4,29 Milliarden Adressen ab. Von einem einzigen Rechner, über eine gewöhnliche Gigabit-Leitung, in unter 45 Minuten. Das war 2013.

45 Minuten. Ein Rechner schafft damit 32 vollständige Durchläufe pro Tag. Durch das gesamte Internet. Jeden Tag. Und das ist ein Rechner.

Es ist nicht ein Rechner.

Ihr Router in Starnberg, ein Server der NASA und die Überwachungskamera einer Tankstelle bei Rosenheim stehen in derselben Liste und werden in derselben Sekunde durchgezählt. Der Scanner weiß nicht, was eine NASA ist. Er weiß, dass Port 22 geantwortet hat.

Damit ist Ihre Frage beantwortet, nur anders, als Sie sie gestellt haben. Niemand hat sich für Sie entschieden. Sie waren dran.

Ich zähle mit. Über meine gesamte Serverflotte laufen in 24 Stunden im Schnitt 20.000 ernstzunehmende Angriffe. Ernstzunehmend heißt: Das Grundrauschen ist bereits abgezogen. Keine harmlosen Scans, keine Suchmaschinen, keine falsch konfigurierten Drucker in Ohio. 20.000 Versuche von jemandem, der etwas will.

Das ist einer alle 4,3 Sekunden. Während Sie diesen Abschnitt gelesen haben, waren es 14.

Sie werden nicht angegriffen, weil Sie interessant sind. Sie werden angegriffen, weil Sie erreichbar sind. Das ist kein Urteil über Ihre Firma. Das ist eine Schleife.

Was davon heute Ihre Systeme betrifft, steht im Lagebild. Viermal am Tag geprüft, von Hand eingeordnet.

Zum Lagebild

Eine Firma, ein Standard, ein Ansprechpartner.

Server
Härtung, Überwachung, Frühwarnung, auf Wunsch der komplette Betrieb in EU-Rechenzentren unter meiner Kontrolle. Mein System dafür heißt IPServerSec.

WordPress
Reparatur nach einem Einbruch, Umzug auf meine Infrastruktur, Updates und Überwachung, Plugins und Themes nach Bedarf.

Software
Apps für iOS und macOS, Serversysteme, Webanwendungen und die Schnittstellen dazwischen. Darunter die Infrastruktur: eigener DNS-Server, eigener Mailserver, jede Domain, die Sie brauchen.

KI
Systeme, Sprachagenten und Chatbots, in der EU gehostet, verbunden mit den Werkzeugen, die Sie ohnehin nutzen. Dazu Datenbanken und Vektordatenbanken, damit Ihre eigenen Bestände durchsuchbar werden und nicht nur Ihre Ordnerstruktur.

Forensik
Wenn es passiert ist: was geschah, wie kam der andere hinein, was hat er drinnen getan, und wie belegen Sie das hinterher. Denn wir wurden gehackt ist keine Dokumentation. Das ist ein Gefühl.

Geräte
Smartphone, Laptop, die Geräte, die ein halbes Leben tragen. Die offene Tür ist selten der Server. Sie ist meistens das Telefon in Ihrer Tasche.

Serverschutz, den ich selbst geschrieben habe.

IPServerSec ist mein Härtungs- und Frühwarnsystem für Linux-Server. Kein zugekauftes Plugin, kein Abonnement, sondern ein System, das über Jahre aus echten Angriffen auf echte Server gewachsen ist. Es läuft auf meiner gesamten Flotte und auf den Systemen meiner Kunden. Getestet wird es bei mir, und die 20.000 von oben sind das Protokoll dieser Tests.

Es wehrt ab, es erkennt, es meldet und es protokolliert. Der letzte Punkt ist der, den alle unterschätzen. Im Ernstfall fragt Sie niemand, ob Sie ein Schutzsystem hatten. Man fragt Sie, ob Sie es belegen können. Zwischen diesen beiden Fragen liegt ungefähr eine Versicherungssumme.

Was mit 20.000 Versuchen am Tag passiert

Sie werden sortiert. Einzelne bekommen eine Sperre für ein paar Stunden und sind wieder weg. Interessanter ist die zweite Gruppe: dieselben Netze, immer wieder, wochenlang, dieselbe Handschrift, oft dieselbe Uhrzeit. Meistens gehören sie großen Anbietern in Übersee, die Server zu Zehntausenden vermieten und nicht dazu kommen, nachzusehen, was darauf läuft.

Wenn aus so einem Netz zum dritten Mal derselbe Angriff kommt, sperre ich nicht die Adresse. Ich sperre das Netz. Für 10 Jahre.

Bleibt die Antwort auf meine Abuse-Meldungen aus und ist sich ein Betreiber seiner Verantwortung nicht bewusst, entscheide ich für ihn.

Genau darum geht es: ein Regelwerk, das jemand für Ihren Server schreibt. Keine Voreinstellung, die ein Hersteller einmal für alle geschrieben hat.

Von der Stange kommt deshalb nichts. Jeder Server bekommt sein eigenes Regelwerk, aufgebaut an Ihrem echten Verkehr, weil ein Mailserver andere Regeln braucht als ein Shop und ein Datenbankserver andere als ein VPN-Gateway.

Absolute Sicherheit gibt es nicht. Wer sie Ihnen verkauft, verkauft Ihnen etwas anderes.

IPServerSec im Detail

Ihre Website läuft. Das ist keine Aussage über ihre Sicherheit.

Rund 4 von 10 Websites weltweit laufen auf WordPress. Genau deshalb lohnt es sich, Angriffe darauf zu automatisieren: Wer eine Lücke findet, findet Millionen Ziele auf einmal. Es ist wieder nichts Persönliches.

Wie schnell das geht, hat das BSI im Juli 2026 dokumentiert. Cyber-Sicherheitswarnung zu WordPress, Kritikalitätsstufe 3 von 4, 2 verkettete Schwachstellen, unauthentifizierte Codeausführung. Zwischen Veröffentlichung und den ersten Ausnutzungen lag ein Wochenende.

Die durchschnittliche Installation trägt Erweiterungen, die jemand 2019 eingebaut hat, um ein Kontaktformular zu bekommen, und die seitdem niemand mehr angefasst hat. Der Entwickler übrigens auch nicht.

Ich repariere gehackte Installationen, hole sie auf meine Infrastruktur, halte sie aktuell, überwache sie und sichere sie mit IPServerSec für WordPress ab. Wo Standard nicht reicht, programmiere ich Plugins und Themes.

Den vollständigen Quellcode von allem, was ich für Sie baue, bekommen Sie. Wer Sie an sich bindet, indem er Ihnen den Code vorenthält, hat kein Problem gelöst. Er hat ein zweites geschaffen.

WordPress

Die beste Fälschung, die ich je gesehen habe, kam von einer Geschäftsführerin, die sie nie geschrieben hat.

Vor wenigen Tagen erreichte eine Mitarbeiterin eines Kunden eine E-Mail. Absender: ihre Geschäftsführerin. Name korrekt, Handynummer in der Signatur korrekt, das Layout eins zu eins kopiert, bis zur Schriftgröße. Sie wurde persönlich mit ihrem Namen angesprochen. Gefragt wurde nach dem aktuellen Kontostand.

Es war nicht die Geschäftsführerin. Es war jemand, der vorher zusammengetragen hatte, wer in dieser Firma mit wem spricht, wie man dort schreibt und wer wem etwas beantwortet, ohne nachzufragen. Ich habe in 25 Jahren Hunderte gefälschte Nachrichten gesehen. Diese war die beste.

Ihr Spamfilter hätte sie ebenfalls durchgelassen, denn an dieser Nachricht war technisch nichts falsch. Kein Anhang, kein verseuchter Link, keine krumme Absenderadresse. Nur ein Satz, der jemanden zu etwas bewegen sollte. Wer nur nach Schadsoftware sucht, findet so etwas nie.

Wo Ihre Post heute liegt

Ein kostenloses Postfach ist kein Dienst, den jemand für Sie betreibt. Es ist ein Regal, in das Ihre Post gelegt wird. Niemand dort kennt Ihren Namen, niemand sieht nach, und im Ernstfall erreichen Sie ein Formular.

Ich schicke keine vertraulichen Daten an ein Freemail-Postfach. An niemanden. Das wäre, als sägte ich den Ast ab, auf dem ich sitze. Eine Praxis, eine Kanzlei, ein Betrieb mit Personalakten hinter einer Adresse wie @billig.xxx hat mir schon etwas gesagt, bevor ich die erste Zeile gelesen habe. Gesundheitsdaten gehören zu den besonders geschützten Kategorien (Art. 9 DSGVO), die Schweigepflicht ist strafbewehrt (§ 203 StGB), und angemessene technische Maßnahmen verlangt Art. 32 DSGVO ausdrücklich. Das gilt für Ärzte, Kanzleien, Steuerberater, Psychotherapeuten und für jeden, der Personalakten in seinem Postfach liegen hat.

Ich bin kein Anwalt und gebe keine Rechtsberatung. Aber die Frage, wer Ihr Postfach eigentlich betreibt und wer dort hineinsieht, wird Ihnen im Ernstfall gestellt. Nicht von mir, sondern von einer Aufsichtsbehörde.

Was in Ihrem Postfach liegt

Machen Sie eine Probe. Öffnen Sie Ihr Postfach und scrollen Sie bis ganz nach unten, zur ältesten Nachricht. Bei den meisten fängt die Jahreszahl dort mit 201 an. 10 Jahre, 15, bei manchen mehr.

Was in dieser Zeit zusammengekommen ist, hat noch nie jemand am Stück betrachtet. Rechnungen und Verträge. Kontoauszüge, die Ihnen jemand schnell geschickt hat. Bewerbungen mit Lebenslauf und Geburtsdatum. Krankmeldungen von Mitarbeitern. Kundenlisten im Anhang einer Tabelle. Der Schriftwechsel mit Ihrem Anwalt, Ihrem Steuerberater, Ihrer Bank. Und irgendwo darin Zugangsdaten im Klartext, weil es einmal schnell gehen musste.

Das meiste davon gehört nicht Ihnen. Es sind die Daten anderer Menschen, die Ihnen geschrieben haben, weil sie Ihnen vertrauen.

Dazu der Teil, den fast niemand auf dem Zettel hat: Ihr Postfach ist der Generalschlüssel zu allem anderen. Bei nahezu jedem Dienst können Sie das Passwort zurücksetzen, und der Link dafür kommt per E-Mail. Onlinebanking, Steuerportal, Warenwirtschaft, Cloudspeicher, Domainverwaltung, Sozialversicherung. Wer Ihr Postfach hat, braucht Ihre anderen Passwörter nicht. Er lässt sie sich schicken.

Und jetzt der Ablauf, wie er tatsächlich stattfindet. Der Angreifer räumt nichts ab und löscht nichts, denn das würde auffallen. Er liest mit. Wochenlang. Er lernt, wie Sie schreiben, wer Ihnen ohne Rückfrage antwortet, welche Rechnung gerade offen ist und an wen sie geht. Dann schreibt er einmal, im richtigen Vorgang, mitten im laufenden Gespräch, im richtigen Ton. So entstehen die Fälschungen, die niemand mehr erkennt: aus echten Mails, die vorher jemand mitgelesen hat.

Auffallen wird es Ihnen an einer Kleinigkeit. Ein Kunde antwortet auf etwas, das Sie nie geschrieben haben. Eine Überweisung geht auf ein Konto, das Sie nicht kennen. Bis dahin ist es meistens ein paar Wochen her.

Ab diesem Moment ist es kein IT-Problem mehr, sondern ein Vorgang mit Fristen. Ein fremder Zugriff auf ein Postfach mit personenbezogenen Daten ist binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Bei hohem Risiko müssen Sie zusätzlich jeden Betroffenen selbst benachrichtigen (Art. 34 DSGVO). Im Klartext: Sie schreiben Ihren eigenen Kunden, Ihren Bewerbern, Ihren Mitarbeitern, dass deren Daten in fremden Händen sind. Diese eine Mail ist das, was von Ihrer Sorgfalt in Erinnerung bleibt, und sie spricht sich in Ihrer Branche schneller herum als jede Anzeige, die Sie je geschaltet haben.

Und dann die Frage, die alles entscheidet: Was hatten Sie eigentlich getan, um das zu verhindern? Ein Freemail-Postfach, ein Hoster für 2 Euro im Monat, ein Passwort, das Sie auch im Onlineshop verwenden, und kein zweiter Faktor, obwohl er nichts kostet und in 2 Minuten eingerichtet ist. Nach § 43 GmbHG schuldet die Geschäftsführung die Sorgfalt eines ordentlichen Geschäftsmanns, und dazu gehören angemessene Schutzmaßnahmen für die IT. Genau in dieser Konstellation wird über grobe Fahrlässigkeit gestritten, und die kann dazu führen, dass eine Versicherung nicht zahlt und die Haftung persönlich wird.

Die Reihenfolge ist fast immer dieselbe: zuerst der Satz, das könne doch gar nicht sein, dann die Frage, seit wann das schon geht, und dann die Stille, wenn jemand versteht, wer alles benachrichtigt werden muss.

vipmail

Deshalb betreibe ich einen eigenen Mailserver, in der EU, unter meiner Kontrolle. Jede eingehende Nachricht durchläuft dort mehrere voneinander unabhängige Prüfungen.

Am Anfang steht die Frage, ob der Absender überhaupt der sein darf, der er zu sein behauptet. SPF, DKIM und DMARC sind bei uns für jede Domain und jedes Konto eingerichtet. Ausnahmslos. Das ist die Grundlage dafür, dass Ihre eigenen Mails beim Empfänger ankommen und dass Fälschungen in Ihrem Namen auffliegen.

Dazu kommen öffentliche Sperrlisten, für Absender und für die Adressen, auf die eine Mail verlinkt. Eine Filtersoftware, die den Inhalt bewertet. Und eine eigene Prüfstufe, in der ein Sprachmodell die Nachricht liest und beurteilt, ob es ein Betrugsversuch ist. Genau diese Stufe erkennt einen Angriff wie den oben beschriebenen, weil sie nicht auf die Absenderadresse schaut, sondern auf die Absicht im Text.

Das Sprachmodell bekommt keine personenbezogenen Daten zu sehen. Namen, Adressen, Telefonnummern, Kontonummern und Aktenzeichen werden vorher automatisch entfernt. Bewertet werden Struktur und Absicht einer Nachricht, nie die Personen darin. Misslingt diese Schwärzung auch nur teilweise, unterbleibt die Prüfung vollständig. Lieber lassen wir eine Mail ungeprüft, als dass Inhalte unser Haus verlassen.

Darunter liegt der Schutz des Servers selbst. 8 getrennte Wachposten überwachen, wer sich anzumelden versucht, an welchem Dienst, wie oft und wie schnell. Dreimal falsch, und der Betreffende ist draußen, automatisch, in Sekunden. Darüber liegt IPServerSec. Es sperrt nicht nur einzelne Adressen, sondern ganze Netzbereiche von Anbietern, aus denen dauerhaft Angriffe kommen. Aktuell sind das 3.765 Netze mit zusammen über 306 Millionen Adressen, die diesen Mailserver nicht mehr erreichen. Die Liste wächst täglich.

Die Sicherung Ihrer Daten läuft auf 3 getrennten Systemen, stündlich statt täglich. Sollte etwas passieren, steht im schlimmsten Fall eine Stunde auf dem Spiel und nicht ein ganzer Arbeitstag.

Und der Teil, den keine Software ersetzt: Wir sehen uns die Protokolle jeden Tag von Hand an. Was ist durchgekommen, was ist hängen geblieben, was hätte hängen bleiben sollen, wo war eine Regel zu scharf. Daraus wird das System jeden Tag ein Stück besser. Hier schaut jeden Tag ein Mensch hin, der weiß, wie Sie heißen.

Warum bei uns manche Absender scheitern

Wir halten uns strikt an die Regeln, die für den Mailverkehr gelten, und setzen sie durch. Ein Server ohne SPF, ohne DKIM, ohne DMARC und ohne passenden Reverse-DNS-Eintrag kommt hier nicht an. Genau diese Lücken sind das Einfallstor für Fälschungen: Wer nicht nachweisen kann, dass er senden darf, ist von einem Angreifer nicht zu unterscheiden.

Im Dunkeln bleibt dabei niemand. Der Absender bekommt eine Antwort im Klartext, in der steht, was seinem Server fehlt und was sein Administrator tun muss. Wer sich darum kümmert, ist danach nicht nur bei uns wieder zustellbar, sondern auch bei Google und Microsoft, die seit Jahren dasselbe verlangen. Wir sind nicht streng. Wir sind nur früher dran.

Wo die Hürde endet

Es gibt keine hundertprozentige Sicherheit. Wir haben die Hürde sehr hoch gelegt, und sie endet bei Ihnen. Ein Anruf unter der Nummer, die in Ihrem Telefonbuch steht und nicht in der Signatur, hat schon sehr viele fünfstellige Überweisungen verhindert.

Zu jedem Postfach gehört bei uns die Zwei-Faktor-Anmeldung. Sie kostet nichts, sie ist in 2 Minuten eingerichtet, und nach allem, was oben steht, ist sie das Billigste, was Sie heute für Ihre Firma tun können. Dazu ein Passwort, das Sie sonst nirgends verwenden. Ob Ihre Adresse bereits in Leaksammlungen steht, sehen Sie in 10 Sekunden im Leaktest.

Der Umzug kostet Sie nichts. MX-Einträge, DNS, Export der alten Postfächer, Einrichtung auf Ihren Geräten: Das machen wir. Im besten Fall merken Sie davon nichts, außer dass ab dem ersten Tag jemand hinsieht.

vipmail ansehen

Der teuerste Code ist der, der sich leicht schreiben ließ.

Ein Sprachmodell schreibt Ihnen in 20 Sekunden ein Anmeldeformular. Es schreibt Ihnen in denselben 20 Sekunden auch die Lücke hinein. Es sagt Ihnen das nicht, denn es weiß es nicht. Fragen Sie hinterher nach, ob der Code sicher ist. Es wird ja sagen. Es sagt immer ja.

Es fühlt sich produktiv an. Es sieht aus, als funktioniere es. Und fast jedes Mal entsteht dabei etwas, das keiner der Beteiligten erkennt.

Eine einzige Lücke in einer solchen Anwendung ist selten das Ende. Wer dort hineinkommt, bleibt nicht bei der einen Seite stehen. Er arbeitet sich seitwärts weiter, durch jede Anwendung und alle Daten auf demselben Server. Hängt dieser Server auch noch im Firmennetz, ist das kein Webseitenproblem mehr. Dann ist es ein Firmenproblem.

Irgendwann in der dritten Stunde vor einer gehackten Maschine verstehe ich, wie der andere gedacht hat. Manche dieser Angriffe sind sparsam, verschachtelt, mit einem Griff, auf den nur kommt, wer das System besser verstanden hat als die Leute, die es gebaut haben. Dann sehe ich nach, wer das war. Und der ist 16.

Ich nutze dieselben Modelle wie die Leute, die Ihre Anwendung gebaut haben. Der Unterschied sind 42 Jahre, in denen ich gesehen habe, wo diese Modelle danebenliegen. Und ein Review, bevor irgendetwas live geht.

1984 das erste Programm. 1998 das erste Gewerbe. 25 Jahre gerichtlich bestellter Sachverständiger.

Wann ich der Falsche für Sie bin

Die eine Tür, die offen sein soll.

Auftrag, Evaluierung, Ausführung. In dieser Reihenfolge, schriftlich. Eine Telefonnummer gibt es nicht.

Der schnellste Weg für eine erste unverbindliche Anfrage ist Telegram. Telegram wird von einem Anbieter in den Vereinigten Arabischen Emiraten betrieben. Ein Angemessenheitsbeschluss nach Art. 45 DSGVO liegt dafür nicht vor. Für vertrauliche oder personenbezogene Inhalte nutzen Sie das Kontaktformular oder die E-Mail.

Anonyme Erstanfragen sind über jeden dieser Wege willkommen. Für eine Antwort brauche ich technisch eine Mailadresse. Die muss nichts über Sie verraten.

Telegram: @intelligentpixel
E-Mail: my@intelligent-pixel.com