Weiterleitungsketten auf Praxiswebsites untersuchen: Unerwartete Bonuslinks technisch zurückverfolgen

Eine Physiotherapiepraxis erwartet auf ihrer Website Informationen zu Behandlungen, Öffnungszeiten und Terminvereinbarungen. Tauchen dort plötzlich Links zu sachfremden Angeboten auf oder wird ein Seitenaufruf an eine unerwartete Adresse weitergeleitet, ist eine technische Prüfung sinnvoll. Entscheidend ist, den Weg vom ersten Aufruf bis zum endgültigen Ziel nachvollziehbar zu dokumentieren, statt aus einem einzelnen Link vorschnell auf Ursache oder Verantwortlichkeit zu schließen.

Was eine Weiterleitungskette sichtbar macht

Eine Weiterleitungskette besteht aus mehreren Stationen, die ein Browser nacheinander aufruft. Ein Server kann mit den HTTP-Statuscodes 301 oder 302 auf eine andere URL verweisen. Auch Weiterleitungen über HTML-Metadaten oder JavaScript sind möglich. In diesen Fällen ist die Ursache nicht zwingend in einer einzelnen Serverantwort zu sehen: Ein Skript, ein Plugin oder eingebundener Drittanbieter-Inhalt kann erst im Browser eine weitere Navigation auslösen.

Zu prüfen sind deshalb mindestens die ursprüngliche URL, jede Zwischenadresse, der jeweilige Statuscode und die ausgelöste Aktion. Unterschiede zwischen Mobilgerät und Desktop, eingeloggtem und ausgeloggtem Zustand oder verschiedenen Browsern können Hinweise liefern. Sie beweisen für sich genommen jedoch weder einen Angriff noch einen Fehler. Zwischengespeicherte Inhalte, A/B-Tests und wechselnde Drittanbieterantworten können das Ergebnis ebenfalls beeinflussen.

Erste Untersuchung ohne Risiko

Beginnen sollte die Analyse mit einer Sicherung des aktuellen Zustands: Datum und Uhrzeit, vollständige URL, Browser und Gerät sowie ein Screenshot der sichtbaren Seite. Im Browser lassen sich über die Entwicklertools im Bereich „Netzwerk“ die angefragten Ressourcen und Weiterleitungen beobachten. Die Option, den Netzwerkverlauf zu behalten, hilft dabei, auch kurze Zwischenschritte festzuhalten. Für eine erste Serverprüfung können Administratoren ein HTTP-Werkzeug verwenden, das Weiterleitungen anzeigt, etwa mit einer Anfrage, die zunächst nur die Antwortköpfe abruft und anschließend der Kette folgt.

Ein protokollierter HTML- oder Netzwerkbefund kann einen Linktext wie bonus ohne einzahlung zusammen mit einer fachfremden Zieladresse enthalten; dieser einzelne Befund beschreibt zunächst nur, was zum Prüfzeitpunkt ausgeliefert wurde. Für die Einordnung müssen Quellcode, Herkunft des Elements und Verhalten beim Aufruf getrennt betrachtet werden.

Quelle statt nur Zieladresse zurückverfolgen

Ist ein unerwarteter Link sichtbar, sollte geklärt werden, ob er im ausgelieferten HTML steht oder erst nachträglich erscheint. Ein Vergleich des Seitenquelltexts mit dem DOM in den Entwicklertools kann dynamisch eingefügte Elemente offenlegen. Die Suche nach der Zieladresse in Vorlagen, Beiträgen, Widgets und Datenbankinhalten grenzt ein, ob der Eintrag im redaktionellen Inhalt liegt. Taucht er dort nicht auf, kommen unter anderem Erweiterungen, Theme-Dateien, Tag-Manager oder fremde Skripte als Quelle infrage.

Auch die zeitliche Reihenfolge ist wichtig. Ein ungewöhnlicher Link kann direkt im HTML stehen, während eine Weiterleitung erst nach dem Laden eines Drittanbieter-Skripts erfolgt. Die Netzwerkansicht zeigt häufig, welche Ressource unmittelbar vor dem Wechsel geladen wurde. Eine Zuordnung ist aber nicht automatisch ein Beweis für Absicht: Kompromittierte Zugangsdaten, veraltete Komponenten, fehlerhafte Konfigurationen oder externe Einbindungen müssen als unterschiedliche Möglichkeiten geprüft werden.

Befunde sichern und gezielt bereinigen

Vor Änderungen sollten relevante Dateien, Protokolle und Datenbankauszüge gesichert werden. Das erleichtert den Vergleich und erhält Hinweise, die bei einer schnellen Bereinigung verloren gehen könnten. Danach empfiehlt sich eine Prüfung von Administrator-Konten, installierten Erweiterungen, Änderungen an Vorlagen sowie Server- und DNS-Konfiguration. Passwörter sollten über ein vertrauenswürdiges Gerät geändert und nicht benötigte Zugänge entfernt werden. Updates sind wichtig, ersetzen jedoch keine Ursachenanalyse.

Nach der Bereinigung sollte die Weiterleitungskette erneut unter den Bedingungen getestet werden, unter denen der Vorfall auftrat. Zusätzlich lohnt sich eine Kontrolle über mehrere Geräte und Netzwerke sowie ein Blick auf die Serverprotokolle. Bei unklaren oder wiederkehrenden Veränderungen kann eine qualifizierte Sicherheitsfachkraft die Untersuchung unterstützen. Eine nachvollziehbare Dokumentation hilft Praxisbetreibern, technische Maßnahmen von Vermutungen zu trennen und die Website anschließend kontrolliert wieder bereitzustellen.