IT & Sicherheit · Angriffserkennung

Logdatei-Analyse: Server-Logs auswerten, Angriffsversuche auf Ihre Website erkennen und gezielt abwehren

Eine Logdatei-Analyse zeigt, was auf Ihrem Server wirklich passiert. Jede Website wird täglich von automatisierten Programmen abgeklopft: Anmeldeversuche, Suche nach veralteten Plugins, Einschleusversuche in Formulare. Das meiste davon bleibt unbemerkt. Wir werten Ihre Server-Logs aus, erklären auffällige Zugriffsmuster und unterscheiden Angriffsversuche von technischen Problemen. Daraus erstellen wir eine priorisierte Maßnahmenliste und setzen die vereinbarte Absicherung auf Wunsch um.

Logdatei-Analyse anfragen
! ! !

Was ist eine Logdatei-Analyse?

Kurz gesagt: Ihr Webserver schreibt jeden Zugriff in eine Logdatei: wann, von welcher Adresse, welche Seite, mit welchem Ergebnis. Bei der Logdatei-Analyse filtern wir aus Tausenden Zeilen die auffälligen Muster heraus und übersetzen sie in eine klare Einschätzung: Was wurde versucht, wie oft, woher, und ist etwas davon gefährlich?

Für die meisten Betreiber ist eine Logdatei ein unlesbarer Textberg. Für die Sicherheit und auch für die Suchmaschinenoptimierung steckt darin wertvolles Wissen.

Angriffe sichtbar

Sie sehen, was Angreifer bei Ihnen versuchen, statt nur zu hoffen.

Lücken schließen

Aus den Mustern folgt, welche Schutzmaßnahme wirklich nötig ist.

Server entlasten

Schädliche Bots gefiltert, bevor sie Leistung kosten.

Crawler verstehen

Wie oft Google und KI-Crawler Ihre Seiten besuchen.

Sicherheitsanalyse oder SEO-Logfile-Analyse: was brauchen Sie?

Bei verdächtigen Anmeldungen, Formular-Spam oder Lastspitzen beginnen wir mit der Sicherheitsanalyse. Wir untersuchen auffällige Zugriffsmuster und prüfen, welche zusätzlichen Protokolle für die Einordnung benötigt werden.

Bei Crawling-Problemen liegt der Schwerpunkt auf Suchmaschinen: Welche URLs werden abgerufen, welche Antworten erhalten die Crawler und wo treten wiederholt technische Fehler auf? Bei Bedarf verbinden wir beide Untersuchungen. Untersuchungsziel, Zeitraum und Logquellen stehen im Angebot.

Access-Log und Error-Log: welche Server-Logs es gibt

Kurz gesagt: Die meisten Webserver schreiben mindestens zwei Logdateien. Beide sind für die Analyse wichtig.

Logdatei Was darin steht Wofür sie hilft
Access-Log (Zugriffsprotokoll) jeder Aufruf mit Zeit, Adresse, Seite, Statuscode und Programmkennung Angriffsmuster, Bots, Crawler, Lastspitzen
Error-Log (Fehlerprotokoll) Fehler von Server, PHP und Plugins defekte Plugins, fehlgeschlagene Angriffe, technische Probleme
Weitere Protokolle etwa Anmeldungen am Server oder Meldungen der Firewall Zugriffe auf den Server selbst, nicht nur auf die Website

Eine Logzeile einfach erklärt

So sieht eine typische Zeile im Access-Log aus, hier mit einer Beispieladresse:

203.0.113.24 - - [29/Sep/2026:14:02:11 +0200] "POST /wp-login.php HTTP/1.1" 200 4521 "-" "Mozilla/5.0"
  • 203.0.113.24: die IP-Adresse, von der der Zugriff kam.
  • Zeitpunkt: Datum und Uhrzeit mit Zeitzone.
  • POST /wp-login.php: ein Versuch, sich bei WordPress anzumelden.
  • 200: der Statuscode, also die Antwort des Servers auf die Anfrage. Er sagt nichts darüber, ob die Anmeldung erfolgreich war.
  • Mozilla/5.0: die Programmkennung, die sich leicht fälschen lässt.

Diese einzelne Zeile reicht nicht aus, um einen Angriff oder eine erfolgreiche Anmeldung festzustellen. Viele ähnliche Anfragen in kurzer Zeit können auf automatisierte Anmeldeversuche hindeuten. Zur Bewertung prüfen wir weitere Muster und, soweit vorhanden, die Anmeldeprotokolle der Anwendung.

HTTP-Statuscodes im Log: was die Zahlen bedeuten

Kurz gesagt: Der Statuscode zeigt, wie der Server auf eine Anfrage geantwortet hat. Auffällige Häufungen einzelner Codes verraten viel.

Statuscode Bedeutung Worauf achten
200 Anfrage erfolgreich auffällige Häufungen prüfen; HTTP 200 allein belegt weder einen erfolgreichen Login noch einen erfolgreichen Angriff
301 und 302 Weiterleitung lange Weiterleitungsketten, die Crawling kosten
403 Zugriff verweigert Anfrage wurde verweigert; ob eine Schutzregel wirkt oder berechtigte Zugriffe blockiert werden, zeigt erst der Zusammenhang
404 Seite nicht gefunden massenhaft bei der Suche nach Lücken, einzeln bei defekten Links
429 zu viele Anfragen Anfrage wurde begrenzt; Ursache und Wirkung ergeben sich aus dem Zusammenhang
500 und 503 Serverfehler oder Überlastung defekte Plugins oder Lastspitzen

Logdateien selbst auswerten: ein erster Blick

Wer einen eigenen Server hat, kann mit einfachen Linux-Befehlen einen ersten Eindruck gewinnen. Dieser Befehl zählt zum Beispiel, von welchen Adressen die meisten Anmeldeversuche kamen:

grep "POST /wp-login.php" access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head

Das Ergebnis ist eine Liste der Adressen mit der Anzahl ihrer Versuche. Für eine gründliche Auswertung über Wochen, mit Einordnung und Abgleich bekannter Muster, lohnt sich eine strukturierte Analyse mit passenden Werkzeugen.

Logdatei-Analyse: was wir typischerweise finden

Anmeldeversuche

Massenhafte Versuche, Passwörter für die WordPress-Anmeldung zu erraten, oft über Tausende Adressen verteilt.

Suche nach Schwachstellen

Gezielte Abfragen nach bekannten Lücken in Plugins, Themes oder Konfigurationsdateien.

Einschleusversuche

Auffällige URL-Parameter können auf SQL-Injection-Versuche oder andere manipulierte Eingaben hindeuten. Ein gewöhnliches Access-Log enthält jedoch meist nicht den vollständigen Inhalt abgesendeter Formulare. Ob eine Schwachstelle vorhanden ist oder ausgenutzt wurde, prüfen wir anhand zusätzlicher Befunde.

Bot-Netzwerke

Automatisierte Zugriffe, die Server belasten, Inhalte abgreifen oder Formulare mit Spam füllen.

Auffällige Fehlerseiten

Viele Aufrufe nicht vorhandener Adressen zeigen, wonach Angreifer suchen.

Ungewöhnliche Lastspitzen

Plötzliche Zugriffswellen, die auf einen Angriff oder fehlerhafte Crawler hindeuten.

WordPress-Angriffe in den Logs erkennen

Bei WordPress wiederholen sich bestimmte Angriffsmuster. Diese Adressen tauchen in Logdateien besonders häufig auf:

Aufgerufene Adresse Was dahinter steckt
/wp-login.php reguläre Anmeldung oder automatisierte Anmeldeversuche; auffällig durch Häufigkeit, zeitliche Muster und weitere Befunde
/xmlrpc.php alte Schnittstelle, über die viele Anmeldeversuche auf einmal möglich sind
/wp-content/plugins/… Suche nach Plugins mit bekannten Sicherheitslücken
/.env, /wp-config.php.bak Suche nach versehentlich offenen Konfigurationsdateien mit Zugangsdaten
/?author=1 Auslesen von Benutzernamen für spätere Anmeldeversuche

Der aufgerufene Pfad allein beweist keinen Angriff. Wir bewerten die Anfragen im Zusammenhang mit Methode, Häufigkeit, Antwort und vorhandenen Anwendungsprotokollen.

Sie möchten wissen, was auf Ihrer Website passiert? Nennen Sie uns kurz Ihre Website und Ihren Hoster.

Server-Logs prüfen lassen

Gute Bots, schlechte Bots: Besucher, Crawler und Angreifer unterscheiden

Nicht jeder automatische Zugriff ist schädlich. Suchmaschinen-Crawler sollen Ihre Seiten finden, echte Besucher sollen sie ungehindert erreichen. Schädliche Bots dagegen werden gefiltert, bevor sie Ihren Server belasten.

Logfile-Analyse für SEO: wie Google Ihre Website crawlt

Kurz gesagt: Logdateien zeigen nicht nur Angriffe, sondern auch, welche Seiten der Googlebot wie oft besucht. Das ist eine Informationsquelle, die kein SEO-Werkzeug von außen liefern kann.

  • Welche Seiten gecrawlt werden: Wichtige Leistungsseiten sollten regelmäßig besucht werden.
  • Verschwendetes Crawling: Aufrufe von Parameter-Adressen, Weiterleitungsketten oder Fehlerseiten.
  • Fehlerseiten: Liefert der Server dem Googlebot 404- oder 500-Fehler?
  • Echten Googlebot erkennen: Wir prüfen Googlebot-Zugriffe anhand der veröffentlichten IP-Bereiche oder durch einen Reverse-DNS-Lookup mit anschließender Vorwärtsprüfung auf dieselbe IP-Adresse. Die Programmkennung allein reicht nicht aus.

KI-Crawler in den Server-Logs: wer liest Ihre Inhalte?

Kurz gesagt: Neben Suchmaschinen besuchen heute auch KI-Dienste Websites. In den Logs erscheinen sie mit eigenen Programmkennungen, zum Beispiel GPTBot von OpenAI, ClaudeBot von Anthropic oder PerplexityBot.

  • Sichtbar machen: Wie oft und welche Seiten KI-Crawler abrufen.
  • Entscheiden: Ob Sie einzelne KI-Crawler über die robots.txt zulassen oder aussperren möchten.
  • Einordnen: Ob ein Zugriff wirklich vom genannten Dienst kommt, prüfen wir nach den Angaben des jeweiligen Anbieters.
  • Training und Suche unterscheiden: KI-Crawler erfüllen unterschiedliche Aufgaben. Bei OpenAI dient GPTBot dem möglichen Modelltraining, OAI-SearchBot der Suche. Ein protokollierter Abruf belegt weder eine spätere Zitierung noch Sichtbarkeit in einer KI-Antwort.

Mehr dazu, wie Inhalte in KI-Antworten sichtbar werden: GEO – Sichtbarkeit in KI-Suchmaschinen.

Werkzeuge für die Logfile-Analyse

Je nach Größe der Website und Ziel der Auswertung kommen unterschiedliche Werkzeuge zum Einsatz.

Werkzeug Einsatz
Linux-Befehle wie grep und awk schnelle gezielte Abfragen und eigene Skripte
GoAccess übersichtliche Auswertung von Webserver-Logs im Terminal oder Browser
Fail2ban liest Logs laufend und sperrt Adressen nach wiederholten Fehlversuchen
Cloudflare-Statistiken zeigt gefilterte Anfragen, bevor sie den Server erreichen
SEO-Logfile-Werkzeuge Auswertung des Crawlings durch Suchmaschinen

Logdateien bei Shared Hosting, eigenem Server und Cloudflare

  • Shared Hosting: Die Logs stellt der Hoster im Kundenbereich bereit, oft nur für wenige Tage. Wir zeigen Ihnen, wo Sie sie finden.
  • Eigener Server: Zugriff auf die verfügbaren Webserver-, Anmelde- und Firewall-Protokolle. Wir prüfen Konfiguration und Aufbewahrung und richten auf Wunsch eine automatische Überwachung ein.
  • Mit Cloudflare: Ein Teil der schädlichen Anfragen wird schon vorher gefiltert und erscheint nicht mehr im Server-Log. Für ein möglichst aussagekräftiges Bild beziehen wir verfügbare Cloudflare-Ereignisse und Statistiken ein. Umfang und Aufbewahrung hängen vom Tarif und der Konfiguration ab. Wir prüfen außerdem, ob der Webserver die ursprüngliche Besucher-IP aus vertrauenswürdigen Proxy-Informationen korrekt protokolliert.

Welche Logdateien brauchen wir für eine aussagekräftige Analyse?

Wir klären zuerst den Untersuchungszeitraum und welche Protokolle dafür verfügbar sind: Access-Logs, Error-Logs und bei Bedarf Anmelde- oder Firewall-Protokolle. Wichtig sind Zeitzone, Logformat, Aufbewahrung und mögliche Lücken durch Rotation, Caching oder vorgeschaltete Dienste.

Nennen Sie uns Website, Hoster, eingesetzte Schutzdienste und den ungefähren Zeitpunkt beobachteter Auffälligkeiten. Die Dateien übermitteln Sie über einen vereinbarten sicheren Weg. Im Bericht unterscheiden wir belegte Ereignisse, begründete Verdachtsmomente und offene Fragen. Maßnahmen werden nach Dringlichkeit und erwarteter Wirkung priorisiert.

Spam und Lastspitzen in den Logs erkennen

  • Formular-Spam: viele Absendungen desselben Formulars in kurzer Zeit, oft von wechselnden Adressen.
  • Lastspitzen: plötzliche Zugriffswellen auf einzelne Seiten. Ob echte Besucher, ein fehlerhafter Crawler oder ein Angriff dahinterstecken, zeigt die Verteilung der Adressen und Programmkennungen.
  • Inhaltsdiebstahl: Bots, die systematisch alle Seiten abrufen, um Inhalte zu kopieren.

Nach der Logdatei-Analyse: gezielt absichern

Die Auswertung ist nur der erste Schritt. Entscheidend ist, was daraus folgt:

  • Anmeldung schützen: Begrenzung von Anmeldeversuchen, Zwei-Faktor-Anmeldung und Cloudflare Turnstile.
  • Angriffsflächen schließen: ungenutzte Schnittstellen wie xmlrpc.php abschalten, veraltete Plugins aktualisieren oder entfernen.
  • Regeln in Cloudflare: auffällige Muster und Länder bei Bedarf filtern, bevor sie Ihren Server erreichen.
  • Automatisch sperren: Auf eigenen Servern sperrt ein Werkzeug wie Fail2ban Adressen nach wiederholten Fehlversuchen.
  • Formulare absichern: Spamfalle und Turnstile gegen automatisierte Eingaben.
  • Regelmäßig wiederholen: Neue Angriffsmuster tauchen ständig auf.

Schutzregeln testen und ihre Wirkung prüfen

Nach Änderungen prüfen wir die betroffenen Anmeldungen, Formulare und Schnittstellen. Berechtigte Besucher und verifizierte Suchmaschinen-Crawler sollen weiterhin zugreifen können.

Anschließend vergleichen wir passende Zeiträume und betrachten blockierte Anfragen, Fehlermeldungen und Serverbelastung. Weniger Einträge im Server-Log allein beweisen keine Verbesserung: Anfragen können bereits beim vorgeschalteten Schutzdienst abgewiesen worden sein.

Log-Monitoring: Warnungen bei Auffälligkeiten

Statt die Logs nur einmal auszuwerten, kann ein Skript sie laufend prüfen und bei auffälligen Mustern eine Meldung schicken.

  • Schwellenwerte: etwa ungewöhnlich viele Anmeldeversuche oder Fehlerseiten in kurzer Zeit.
  • Meldung: per E-Mail oder über einen Telegram-Bot aufs Smartphone.
  • Wenige, wichtige Warnungen: Nicht jeder einzelne Angriffsversuch braucht eine Nachricht.

Warnungen einordnen und Fehlalarme reduzieren

Schwellenwerte passen wir an den normalen Betrieb Ihrer Website an. Eine Zugriffsspitze kann auch durch eine Kampagne oder einen fehlerhaften Dienst entstehen. Deshalb legen wir fest, welche Ereignisse nur dokumentiert werden und welche eine Prüfung auslösen.

Für jede vereinbarte Warnung ist geklärt, wer sie erhält und was als Nächstes geprüft wird. Laufendes Log-Monitoring bedeutet nicht automatisch eine rund um die Uhr besetzte Sicherheitsüberwachung. Erreichbarkeit und Reaktionsumfang werden separat vereinbart.

Website gehackt? Was die Logs zeigen können

Bei einem Verdacht auf einen erfolgreichen Angriff helfen Logdateien, den Ablauf einzugrenzen: Wann tauchten ungewöhnliche Anfragen auf, welche Dateien wurden aufgerufen, von welchen Adressen? Voraussetzung ist, dass Logs aus dem betroffenen Zeitraum noch vorhanden sind und nicht verändert wurden.

  • Nichts vorschnell löschen: Logs und betroffene Dateien zuerst sichern.
  • Zugänge ändern: Passwörter für WordPress, Hosting und Datenbank von einem sauberen Gerät aus.
  • Ursache schließen: Die Lücke finden, bevor die Website aus einer Sicherung wiederhergestellt wird.

Beispiel: Auswertung einer WordPress-Website

Ein frei gewähltes, vereinfachtes Beispiel, wie ein Bericht aussehen kann:

Befund Einschätzung Maßnahme
viele Anmeldeversuche über xmlrpc.php Muster automatisierter Anmeldeversuche Schnittstelle abschalten, Anmeldeversuche begrenzen
Abfragen nach einem Plugin, das nicht installiert ist harmlose Suche nach einer bekannten Lücke keine, zur Beobachtung vermerkt
Fehlermeldungen eines veralteten Plugins mögliche Schwachstelle Plugin aktualisieren oder ersetzen
Googlebot erhält Fehlerseiten auf alten Adressen Crawling wird verschwendet Weiterleitungen einrichten

Das Beispiel zeigt nur das Prinzip. Was bei Ihnen auffällt, zeigt die Auswertung.

So läuft die Logdatei-Analyse ab

01

Logs bereitstellen

Wir zeigen Ihnen, wo Ihr Hoster die Logdateien ablegt, oder holen sie mit Ihrer Freigabe selbst ab.

02

Schriftliches Angebot

Zeitraum, Umfang der Auswertung und gewünschte Absicherung.

03

Auswertung

Auffällige Muster filtern, zusammenfassen und nach Gefahr einordnen.

04

Bericht

Verständliche Übersicht: was versucht wurde, was gefährlich ist, was harmlos.

05

Absicherung

Auf Wunsch setzen wir die vereinbarten Schutzmaßnahmen um. Danach prüfen wir ihre Wirkung und ob berechtigte Zugriffe weiterhin funktionieren.

06

Überwachung auf Wunsch

Regelmäßige Auswertung oder automatische Warnungen.

Was Sie bei einer Logdatei-Analyse bekommen

  • Bericht: verständlich, mit den wichtigsten Befunden und ihrer Einordnung.
  • Maßnahmenliste: was sofort zu tun ist und was warten kann.
  • Umgesetzte Absicherung: auf Wunsch direkt eingerichtet.
  • SEO-Hinweise: auffällige Fehlerseiten und Crawling-Muster.

Umfang und Kosten stehen im schriftlichen Angebot.

Was kostet eine Logdatei-Analyse?

Kurz gesagt: Die Kosten hängen vom ausgewerteten Zeitraum, der Größe der Website, der Zahl der Logquellen und davon ab, ob wir die Absicherung gleich mit umsetzen.

  • Einmalige Analyse: Auswertung eines vereinbarten Zeitraums mit Bericht und Maßnahmenliste.
  • Mit Absicherung: zusätzlich die Umsetzung der Schutzmaßnahmen.
  • Laufende Überwachung: regelmäßige Auswertung oder automatische Warnungen, auf Wunsch.

Nach einem kurzen Gespräch erhalten Sie ein schriftliches Angebot.

Logdatei-Analyse: Grenzen und Datenschutz

  • Keine Garantie: Die Analyse zeigt, was versucht wurde. Sie kann nicht ausschließen, dass ein Angriff unbemerkt blieb.
  • Kein Ersatz für Forensik: Bei einem bestätigten Einbruch helfen wir bei der ersten Einschätzung. Eine gerichtsfeste Untersuchung übernehmen spezialisierte Dienstleister.
  • Datenschutz: Logdateien enthalten IP-Adressen. Wir vereinbaren den Zweck der Auswertung, etwa Sicherheitsanalyse oder technische SEO, und beschränken Zugriff und Speicherung darauf. Soweit wir personenbezogene Daten in Ihrem Auftrag verarbeiten, schließen wir vor Beginn die erforderliche Vereinbarung zur Auftragsverarbeitung.
  • Aufbewahrung: Wie lange Logs gespeichert werden, legen Sie fest. Kurz genug für den Datenschutz, lang genug, um einen Vorfall noch nachvollziehen zu können. Wir helfen bei der Abwägung, die rechtliche Bewertung übernimmt eine Rechtsanwältin oder ein Rechtsanwalt.

Logdatei-Analyse: passende Leistungen

Alle Leistungen dieses Bereichs finden Sie unter IT & Sicherheit.

Logdatei-Analyse: häufige Fragen

Wird meine Website wirklich angegriffen?

Fast jede öffentlich erreichbare WordPress-Website erhält täglich automatisierte Angriffsversuche. Die meisten scheitern, zeigen aber, wo Angreifer ansetzen.

Wo finde ich die Logdateien meiner Website?

Die meisten Hoster stellen sie im Kundenbereich zum Download bereit. Wo genau, zeigen wir Ihnen für Ihren Hoster.

Was ist der Unterschied zwischen Access-Log und Error-Log?

Das Access-Log protokolliert jeden Zugriff auf die Website, das Error-Log Fehler von Server, PHP und Plugins. Für eine vollständige Analyse werden beide ausgewertet.

Wie erkenne ich einen Brute-Force-Angriff auf WordPress?

Hinweise sind viele Anmeldeversuche auf wp-login.php oder xmlrpc.php in kurzer Zeit, oft von wechselnden Adressen. Ob eine Anmeldung erfolgreich war, zeigen erst die Anmeldeprotokolle der Anwendung. Eine Begrenzung der Anmeldeversuche und Zwei-Faktor-Anmeldung helfen dagegen.

Kann ich in den Logs sehen, ob KI-Crawler meine Website besuchen?

Ja. KI-Crawler wie GPTBot, ClaudeBot oder PerplexityBot erscheinen mit eigener Programmkennung. Ob der Zugriff echt ist, lässt sich zusätzlich prüfen.

Welche Werkzeuge gibt es für die Logdatei-Analyse?

Für schnelle Abfragen reichen Linux-Befehle wie grep und awk, für Übersichten eignet sich GoAccess, und Fail2ban sperrt auffällige Adressen automatisch. Für SEO gibt es eigene Logfile-Werkzeuge.

Was bedeutet der Statuscode 404 im Log?

Die aufgerufene Seite existiert nicht. Einzelne 404-Fehler deuten auf defekte Links hin, massenhafte 404-Aufrufe auf Adressen wie Plugin-Ordner oft auf die Suche nach Sicherheitslücken.

Wie oft sollte eine Logdatei-Analyse gemacht werden?

Einmal gründlich zum Start, danach in regelmäßigen Abständen oder automatisiert mit Warnungen bei Auffälligkeiten.

Meine Website wurde gehackt. Hilft die Logdatei-Analyse?

Sie kann helfen, den Ablauf einzugrenzen und die Lücke zu finden, sofern Logs aus dem Zeitraum vorhanden und unverändert sind. Für eine gerichtsfeste Untersuchung ziehen Sie zusätzlich einen Forensik-Dienstleister hinzu.

Darf ich Logdateien mit IP-Adressen auswerten lassen?

Die Auswertung zur Sicherheit wird häufig auf das berechtigte Interesse gestützt. Wichtig sind ein klarer Zweck, begrenzte Speicherdauer und ein Hinweis in der Datenschutzerklärung. Die rechtliche Bewertung im Einzelfall übernimmt eine Rechtsanwältin oder ein Rechtsanwalt.

Logdatei-Analyse anfragen

Nennen Sie uns kurz Ihre Website, Ihren Hoster und ob Ihnen bereits etwas aufgefallen ist, zum Beispiel Spam, Lastspitzen oder verdächtige Anmeldungen. Wir melden uns mit einer ersten Einschätzung.

Anfrage stellen