Der Hoster meldet sich normalerweise sehr schnell bei solchen Vorgängen, nur diesmal nicht.

Du hast natürlich Recht, dass er nicht dafür verantwortlich ist. Verantwortlich ist einzig und allein der Kunde.

Zitat von Antestor

Der Hoster meldet sich normalerweise sehr schnell bei solchen Vorgängen, nur diesmal nicht.

Wenn falscher Code auf die Webseiten kommen?
Habe ich noch nie gehört. Nur wenn dieser Code den Betrieb (den Serverbetrieb) merkbar stört oder per Brute-Force-Angriff auf den Webspace (bzw. den FTP-Account) gekommen ist (oder man eben kostenpflichtig einen AV-Scanner im Vertrag hat, aber dann meldet eigentlich der AV-Scanner). Dies ist hier aber wohl nicht der Fall:

Dieser Virus/Trojaner läuft auf Deinem lokalen Rechner oder auf dem Deiner Kollegen. Der eigentliche Code auf dem lokalen System schnappt sich FTP-Zugangsdaten, die er finden kann und loggt sich damit auf die FTP-Server ein. Dort werden die PHP-Files modifiziert
...
Mit anderen Worten: Wer auf seinem Server modifizierte PHP-Files entdeckt, sollte definitiv erst einmal auf der eigenen Maschine suchen

(Quelle: (über Ecken: Mirko Weiße – Facebook)

Der Hoster hat zB mal ein Webpaket abgeschaltet, auf dem eine Phishing-Attacke lief.

Dieser Virus/Trojaner läuft auf Deinem lokalen Rechner oder auf dem Deiner Kollegen. Der eigentliche Code auf dem lokalen System schnappt sich FTP-Zugangsdaten, die er finden kann und loggt sich damit auf die FTP-Server ein. Dort werden die PHP-Files modifiziert
...
Mit anderen Worten: Wer auf seinem Server modifizierte PHP-Files entdeckt, sollte definitiv erst einmal auf der eigenen Maschine suchen

Hatte ich auch schon gefunden. Allerdings wurde lokal hier nichts gefunden. Komisch ist auch, dass kaum eine Virensoftware beim Besuch einer infizierten Seite eine Warnung ausgibt! Und das obwohl der Code schon seit Dezember 2011 bekannt ist!

Es sind komischerweise auch nicht alle Webs befallen. Hauptsächlich die Webs eines bestimmten Hosters...

Zitat von Antestor

Der Hoster hat zB mal ein Webpaket abgeschaltet, auf dem eine Phishing-Attacke lief.

Es gibt durchaus Nutzer die einem Hoster melden, wenn sie vermeintliche oder echte Attacke auf/von einem Webspace oder Mailserver bekommen.
Auch sind schon einzelne Server (IP-Adresse - dies kann durchaus Hunderte von Domains dann betreffen) eines Hoster oder sogar komplette Hoster (IP-Adressbereiche) aus solchen Gründen in Filtern gelandet. Wenn sich dann Kunden anfangen zu beschweren, dann werden die meisten Hoster doch agil.

Zitat von Antestor

Allerdings wurde lokal hier nichts gefunden.

Dann solltest du mal überlegen wer noch per FTP Zugang hat oder mal hatte (und vielleicht doch noch hat).
Ich habe aber auch schon Fälle gehabt (und dadurch neue Kunden bekommen), dass (bei anderen bösen Web-Scripts) unbekannte Personen wohl zu simple FTP-Zugangskennung geknackt haben und dann (vermutlich) darüber Code auf den Webspace gekommen ist.
Aber auch im Verlauf von Jahren und diversen Webadmins/-entwicklern niemals geänderte Passwörter habe ich schon gesehen.

Zitat von Antestor

Komisch ist auch, dass kaum eine Virensoftware beim Besuch einer infizierten Seite eine Warnung ausgibt!

Viele AV-Programme und vor allem Free-AV-Programme machen keinen Vorabscan im Web. Und vorallem ein PHP-Script läuft auf dem Server (kann selber also von Web-Clients/Besuchern nicht "gesehen" werden) und wenn die Ausführung des serverseitigen Scripts von Bedingungen auf dem Client abhängig sein sollte (aktiviertes JavaScript, bestimmte Browser-Versionen o.ä.) dann kann ein Client-AV-Programm manchmal auch nichts feststellen.

Zitat von Antestor

Hauptsächlich die Webs eines bestimmten Hosters...

Ohne explizite Informationen kann ich dazu natürlich rein gar nichts sagen.