Veröffentlicht: 2026-11-01
Autor: Marcel Christen | Seoholics
Lesezeit: 3 min
Was ist passiert?
Angreifer haben die DNS-Einträge des Tools DebugBear manipuliert. DNS ist das Telefonbuch des Internets und weist Domainnamen einer bestimmten IP-Adresse zu. Durch diesen Zugriff konnten Hacker bösartigen JavaScript-Code in ein Monitoring-Skript einschleusen. Dieses Skript wurde auf den Webseiten von Kunden ausgeführt.
Die Fakten
- Am 29. Oktober 2026 wurde bösartiges JavaScript im Monitoring-Skript von DebugBear entdeckt.
- Die Angreifer verschafften sich über den Domain-Registrar Zugriff auf die DNS-Einträge des Anbieters.
- Das Ziel des Angriffs war laut ersten Untersuchungen die Webseite eines einzelnen Kunden.
- Bei dem betroffenen Kunden, Polymarket, wurden durch das Skript Positionen verkauft und Gelder von Nutzer-Wallets entwendet.
- Das bösartige Skript nutzte die bestehenden Berechtigungen von bereits angemeldeten Besuchern und benötigte keine Passwörter.
Was bedeutet das für Dich?
Diese Sicherheitswarnung betrifft ausschließlich Website-Betreiber, die das Real User Monitoring-Skript von DebugBear zur Messung der Core Web Vitals nutzen. Core Web Vitals sind Kennzahlen von Google zur Messung der Nutzererfahrung. Wer dieses spezifische Tool nicht eingebunden hat, ist von diesem Vorfall nicht betroffen.
Für kleine Websites
- Entfernen Sie den Embed-Code des DebugBear-Skripts sofort aus Ihrem HTML oder dem Header-Bereich. Sie erkennen den Erfolg daran, dass das Skript im Quellcode der Seite nicht mehr auftaucht. Der Aufwand ist gering und dauert wenige Minuten.
- Löschen Sie alle zwischengespeicherten Versionen Ihrer Seiten im Cache. Ein Cache ist ein temporärer Speicher für Daten, um Ladezeiten zu verkürzen. Prüfen Sie im Browser, ob das Skript endgültig verschwunden ist. Der Aufwand ist gering.
- Setzen Sie die Passwörter Ihrer Administratoren zurück. Dies ist wichtig, falls Sitzungsdaten durch das Skript abgegriffen wurden. Der Aufwand ist gering.
Für Onlineshops
- Entfernen Sie das DebugBear-Skript aus allen Templates, Plugins oder dem Tag-Manager. Ein Tag-Manager ist ein Werkzeug zur zentralen Verwaltung von Tracking-Codes. Prüfen Sie die Netzwerk-Anfragen im Browser-Inspektor auf den Aufruf von cdn.debugbear.com. Der Aufwand ist mittel.
- Ungültig machen Sie alle aktiven Nutzer-Sitzungen und erzwingen Sie einen Passwort-Reset für privilegierte Nutzer. Eine Sitzung ist die Verbindung zwischen Browser und Server während eines Logins. Prüfen Sie, ob alte Sitzungen wirklich abgelehnt werden. Der Aufwand ist hoch.
- Überprüfen Sie die Historie Ihres Tag-Managers und Ihrer Plugins auf unbefugte Änderungen. Vergleichen Sie die aktuelle Version mit einer sauberen Sicherung. Suchen Sie nach neuen Administrator-Konten oder fremden Skripten. Der Aufwand ist hoch.
Wenn Sie nicht handeln, bleibt die Tür für Angreifer offen. Das Skript kann weiterhin Daten von Ihren angemeldeten Nutzern stehlen.
Experten-Meinung
Dieser Vorfall zeigt die Gefahr von Third-Party-Skripten. Ein Third-Party-Skript ist ein Programm, das auf einem fremden Server liegt und auf der eigenen Seite geladen wird. Die Angreifer mussten nicht Ihre Webseite hacken. Sie haben die Quelle des Skripts manipuliert.
Das bösartige Skript nutzte den Zugang, den ein angemeldeter Besucher bereits hatte.
Das bedeutet, dass die Sicherheit Ihrer Nutzer direkt von der Sicherheit Ihrer Tool-Anbieter abhängt. Ein kompromittierter DNS-Eintrag beim Anbieter hebelt alle Sicherheitsmaßnahmen auf Ihrer eigenen Seite aus.
Daten und Zahlen
Der Angriff wurde am 29. Oktober 2026 festgestellt. In einem Vorfallbericht vom 30. Oktober bestätigte Polymarket den Diebstahl von Geldern. Die Angreifer nutzten den Zugriff auf Trading-Accounts. Es gibt bisher keine Belege dafür, dass die internen Systeme von DebugBear selbst kompromittiert wurden. Der Fokus lag auf der Manipulation der DNS-Einträge über den Registrar. Die Auswirkungen beschränkten sich primär auf die Ausführung von Code im Browser der Endnutzer.
Ausblick
Die Untersuchung der Sicherheitsfirma Hudson Rock lieferte bereits erste Indikatoren für den bösartigen Code. Es bleibt zu klären, ob weitere Kunden außer Polymarket gezielt angegriffen wurden. Website-Betreiber müssen nun prüfen, ob Hintertüren in ihren Systemen hinterlassen wurden. Eine Hintertür ist ein versteckter Zugang für Hacker. In Zukunft wird die Überprüfung der Integrität von Drittanbieter-Skripten eine noch wichtigere Rolle in der technischen Onpage-Optimierung spielen.