Website-Sicherheit · Soforthilfe

Website gehackt: was jetzt zu tun ist

Spam-Weiterleitungen, eine Warnung bei Google oder eine Sperre durch den Hoster: Was Sie in den ersten Stunden tun sollten, was warten kann und wie es nicht wieder passiert.

Anzeichen

Woran Sie einen Hack erkennen

Viele Angriffe fallen dem Betreiber selbst lange nicht auf. Die Schadsoftware zeigt sich oft nur bestimmten Besuchern, etwa denen, die über Google oder vom Handy kommen.

Weiterleitungen auf fremde Seiten

Besucher landen auf Gewinnspielen, Apotheken- oder Casino-Seiten. Häufig nur von Google aus oder nur auf dem Handy, deshalb sieht man es selbst oft nicht.

Fremde Treffer bei Google

Bei der Suche nach „site:ihre-domain.de“ erscheinen Seiten mit japanischen Zeichen, Markenware oder Arzneimitteln, die Sie nie angelegt haben.

Warnung im Browser oder bei Google

„Diese Website wurde möglicherweise gehackt“ in den Suchergebnissen oder eine rote Seite „Gefährliche Website“ im Browser. Mehr zur Google-Warnung

Post vom Hoster

Der Hoster meldet Schadsoftware, sperrt das Konto oder drosselt den Mailversand, weil vom Server Spam verschickt wird.

Fremde Benutzer und Dateien

Neue Administratoren im CMS, unbekannte PHP-Dateien im Upload-Ordner, geänderte Konfigurationsdateien.

Plötzlicher Einbruch

Besucherzahlen oder Anfragen brechen ohne erkennbaren Grund ein, Seiten laden sehr langsam oder zeigen leere Bereiche.

Die ersten 24 Stunden

Was jetzt zu tun ist

  1. Ruhe bewahren und nichts löschen. Der aktuelle Zustand wird gebraucht, um das Einfallstor zu finden und zu klären, ob Daten betroffen sind. Eine Kopie von Dateien und Datenbank sichern, bevor jemand aufräumt.
  2. Website vom Netz nehmen. Wartungsmodus oder Sperre beim Hoster, damit Besucher nicht weiter auf schädliche Seiten geleitet werden.
  3. Alle Zugänge ändern. Hosting, FTP und SSH, Datenbank, CMS-Administratoren und die E-Mail-Postfächer der Domain. Von einem sauberen Gerät aus.
  4. Hoster informieren. Er sieht in den Protokollen oft, wann und wie der Angriff begann, und kann eine Sperre wieder aufheben.
  5. Datenschutz prüfen. Wurden über die Website personenbezogene Daten verarbeitet, etwa Formulare, Kundenkonten oder Newsletter, läuft ab jetzt die 72-Stunden-Frist. Zur Meldepflicht nach DSGVO
  6. Säubern und das Einfallstor schließen. Schadcode entfernen, Hintertüren finden, CMS, Plugins und Themes aktualisieren oder ersetzen. Erst dann wieder online gehen.
  7. Google Bescheid geben. In der Search Console eine Überprüfung beantragen, damit die Warnung verschwindet.

Häufiger Fehler

Warum es oft wieder passiert

Die naheliegende Reaktion ist, ein altes Backup einzuspielen und weiterzumachen. Das wirkt für ein paar Tage. Das Backup enthält aber dieselbe Lücke, über die der Angriff kam, und Angreifer hinterlassen fast immer eine Hintertür: eine unscheinbare Datei, einen zusätzlichen Benutzer, einen geplanten Task. Wer nur die sichtbaren Symptome entfernt, ist bald wieder betroffen.

Das eigentliche Einfallstor ist bei Firmenwebsites meist unspektakulär: ein Plugin, das seit Monaten nicht aktualisiert wurde, ein Theme, das niemand mehr pflegt, eine CMS-Version ohne Sicherheitsupdates. Der Angriff kommt dann nicht gezielt, sondern automatisiert. Bots durchsuchen das Netz nach genau diesen Versionen. Mehr zu veralteten Plugins

Nach System

Ihr System im Detail

WordPress gehackt

Typische Muster, wo der Schadcode sitzt und wie die Seite wieder sauber wird.

TYPO3 und Joomla gehackt

Was bei anderen CMS anders ist und wann eine Version keine Updates mehr bekommt.

Google-Warnung entfernen

„Diese Website wurde möglicherweise gehackt“: woher die Warnung kommt und wie sie wieder verschwindet.

Meldepflicht nach DSGVO

Wann ein Hack der Datenschutzbehörde gemeldet werden muss und was in 72 Stunden zu tun ist.

Veraltete Plugins

Warum die meisten Angriffe über Erweiterungen laufen und was Wartung wirklich bedeutet.

Soforthilfe

Website gehackt? Wir helfen sofort.

  • Erste Einschätzung am Telefon: was jetzt zu tun ist und was warten kann
  • Schadcode entfernen, Einfallstor finden und schließen
  • Passwörter, Zugänge und Backups prüfen
  • Google-Warnung entfernen lassen, Hoster-Sperre aufheben
  • Unterlagen für die Datenschutzprüfung, falls Daten betroffen sein könnten
Jetzt anrufen: +49 7461 150 97 42innovation@sq.de

Danach

Aufräumen oder neu aufbauen?

Aufräumen hilft heute. Wenn die Website aber auf einem CMS mit vielen Plugins läuft, bleibt das Risiko beim nächsten verpassten Update dasselbe. Mit Phönix bauen wir die bestehende Website ohne CMS, Datenbank und Plugins neu auf: Inhalte und Adressen bleiben, gepflegt wird per Chat, Pflichtupdates gibt es nicht mehr.

Das macht eine Website nicht unangreifbar, aber die Angriffsfläche wird sehr viel kleiner.

Mehr zu Phönixphoenix.sq.de

Häufige Fragen

Fragen, die wir in solchen Fällen oft hören

Soll ich die gehackte Website sofort löschen?
Nein. Nehmen Sie die Website offline oder in den Wartungsmodus, aber löschen Sie nichts. Der aktuelle Zustand wird gebraucht, um das Einfallstor zu finden und zu klären, ob Daten betroffen sind.
Reicht es, ein Backup einzuspielen?
Meist nicht. Das Backup enthält dieselbe Lücke, über die der Angriff kam, und oft liegt der Schadcode schon länger auf dem Server als das letzte Backup alt ist. Ohne geschlossene Lücke ist die Seite in wenigen Tagen wieder befallen.
Muss ich einen Hack der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sein könnten, etwa aus Kontaktformularen, Kundenkonten oder einem Newsletter, prüfen Sie die Meldepflicht nach Art. 33 DSGVO. Die Frist beträgt 72 Stunden ab Kenntnis. Mehr zur Meldepflicht
Warum wird meine Website immer wieder gehackt?
Fast immer, weil das Einfallstor offen geblieben ist oder eine versteckte Hintertür auf dem Server liegt. Häufigste Ursache sind veraltete Plugins, Themes oder CMS-Versionen.