Website gehackt — was tun? Der Erste-Hilfe-Plan

Wenn Ihre Website gehackt wurde, zählt die Reihenfolge: erst den Zugriff des Angreifers stoppen, dann den Schaden begrenzen, dann sauber wiederherstellen — und erst zum Schluss aufräumen und vorbeugen. Der häufigste Fehler ist, in Panik sofort „irgendwas zu löschen": Damit vernichten Sie Spuren, die Sie später brauchen, und die Hintertür des Angreifers bleibt oft trotzdem drin.

Dieser Beitrag führt Sie in neun Schritten durch den Ernstfall — von der ersten Minute bis zur Frage, wie Sie einen zweiten Vorfall verhindern. Vorab die gute Nachricht: Die allermeisten gehackten Firmenwebsites sind kein gezielter Angriff, sondern automatisierte Massenware, die veraltete Software ausnutzt. Das macht den Vorfall nicht schöner, aber gut behebbar.

Woran Sie einen Hack überhaupt erkennen

Viele Hacks bleiben wochenlang unbemerkt, weil die Startseite normal aussieht. Typische Warnzeichen:

• Fremde Unterseiten: In der Google-Suche nach site:ihredomain.de tauchen plötzlich Seiten auf, die Sie nie erstellt haben — oft Spam für Medikamente, Wettanbieter oder gefälschte Markenprodukte, teils in fremden Sprachen.
• Weiterleitungen: Besucher landen auf dubiosen Drittseiten, manchmal nur beim Aufruf über die Google-Suche oder nur auf dem Handy — der Betreiber selbst sieht davon nichts.
• Browser- und Suchwarnungen: Der Browser zeigt vor Ihrer Seite eine rote Warnseite, oder Google markiert sie in den Suchergebnissen als möglicherweise gehackt.
• Ranking-Einbruch: Ihre Platzierungen sacken ohne erkennbaren Grund ab, weil Suchmaschinen die Spam-Inhalte mitbewerten.
• Technische Auffälligkeiten: Die Seite wird plötzlich langsam, der Speicherverbrauch beim Hoster steigt, unbekannte Administratorkonten oder geänderte Dateien tauchen auf.
• Post vom Hoster: Viele Vorfälle fallen zuerst dem Hosting-Anbieter auf, der wegen Spam-Versands oder Schadcode-Meldungen mahnt oder die Seite sperrt.

Schon eines dieser Zeichen rechtfertigt eine gründliche Prüfung.

Der Erste-Hilfe-Plan in 9 Schritten

1. Ruhe bewahren und dokumentieren

Machen Sie Screenshots von allem Auffälligen — fremde Seiten, Weiterleitungen, Warnmeldungen — und notieren Sie Datum und Uhrzeit. Das hilft später bei der Ursachensuche, gegenüber dem Hoster und falls der Vorfall gemeldet werden muss. Löschen Sie in dieser Phase nichts.

2. Alle Zugangsdaten ändern

Der Angreifer hat mindestens einen Zugang — nehmen Sie ihm alle: Verwaltungszugang der Website, Hosting-Kundenkonto, FTP/SFTP, Datenbank, und sicherheitshalber das E-Mail-Postfach, über das sich diese Zugänge zurücksetzen lassen. Neue, lange, einzigartige Passwörter, am besten aus einem Passwort-Manager. Prüfen Sie außerdem, ob unbekannte Benutzerkonten angelegt wurden, und entfernen Sie diese.

3. Seite gegebenenfalls offline nehmen

Verbreitet die Website aktiv Schadcode oder leitet Besucher auf Betrugsseiten weiter, nehmen Sie sie vorübergehend vom Netz — eine schlichte Wartungsseite ist besser als eine Seite, die Ihre Besucher gefährdet und Ihren Ruf beschädigt. Der Hoster kann dabei helfen, ohne dass Beweise verloren gehen.

4. Hoster kontaktieren

Ihr Hosting-Anbieter sieht mehr als Sie: Server-Logs, Zeitpunkt des Einbruchs, betroffene Dateien. Viele Hoster haben Standardprozesse für kompromittierte Websites, stellen Logfiles bereit und sagen Ihnen, ob weitere Kunden oder Nachbarsysteme betroffen sind. Je früher Sie anrufen, desto mehr Log-Daten sind noch vorhanden.

5. Schadcode und fremde Inhalte identifizieren

Jetzt wird untersucht: Welche Dateien wurden verändert, welche Unterseiten angelegt, welche Hintertüren versteckt? Anhaltspunkte liefern Dateien mit jüngstem Änderungsdatum, unbekannte Skripte in Upload-Ordnern und die Logfiles des Hosters. Bei Systemen mit Datenbank gehören auch dort abgelegte Inhalte und Konten auf den Prüfstand. Wer sich das nicht zutraut, holt hier einen Fachmann dazu — halb entfernte Hintertüren sind der Hauptgrund für Wiederholungsfälle.

6. Aus einem sauberen Backup wiederherstellen

Der zuverlässigste Weg zurück ist ein Backup von einem Zeitpunkt vor dem Einbruch. Deshalb war Schritt 4 wichtig: Ohne den ungefähren Einbruchszeitpunkt riskieren Sie, ein bereits verseuchtes Backup einzuspielen. Nach der Wiederherstellung gilt: Inhalte, die seither entstanden sind, manuell nachpflegen — niemals Dateien aus dem gehackten Stand „rüberkopieren".

7. Die Lücke schließen

Ein wiederhergestelltes Backup mit derselben alten Lücke wird in Tagen erneut gehackt. Also: System, Design-Vorlagen und sämtliche Erweiterungen auf den neuesten Stand bringen, nicht mehr Benötigtes vollständig entfernen, Zwei-Faktor-Anmeldung für alle Verwaltungszugänge aktivieren. Automatisierte Angriffe suchen gezielt nach bekannten Schwachstellen in veralteten Erweiterungen — genau dort kommen die meisten Einbrüche her.

8. Google Search Console und Blacklists prüfen

Melden Sie sich in der Google Search Console an (falls noch nicht geschehen: jetzt einrichten) und prüfen Sie die Bereiche für Sicherheitsprobleme und manuelle Maßnahmen. Steht Ihre Domain auf einer Warnliste, können Sie nach der Bereinigung direkt dort eine Überprüfung beantragen — erst danach verschwinden Browser-Warnungen und Suchmarkierungen. Kontrollieren Sie außerdem, ob die Spam-Unterseiten aus dem Google-Index verschwinden.

9. Prüfen, ob Kunden informiert werden müssen

Wenn über die Website personenbezogene Daten verarbeitet wurden — Kontaktformulare, Kundenkonten, Bestellungen —, prüfen Sie, ob durch den Vorfall Daten abgeflossen sein können und ob datenschutzrechtliche Meldepflichten gegenüber der Aufsichtsbehörde und Informationspflichten gegenüber Betroffenen bestehen. Das hängt vom Einzelfall ab und ist teils fristgebunden — klären Sie es zügig und im Zweifel mit fachkundiger Unterstützung, statt es auszusitzen.

Hinweis: Dieser Beitrag ist eine technische Orientierung und keine Rechtsberatung. Ob und wie ein Vorfall meldepflichtig ist, klären Sie mit Ihrem Datenschutzbeauftragten oder einer spezialisierten Kanzlei.

Vorbeugen: So kommt es nicht zum zweiten Mal

Die Ursachen fast aller Website-Hacks sind banal — entsprechend banal ist die Vorbeugung:

• Updates, Updates, Updates. Veraltete Systeme und Erweiterungen sind das Einfallstor Nummer eins. Wer nicht monatlich aktualisieren will, braucht jemanden, der es tut.
• Starke, einzigartige Passwörter für jeden Zugang, verwaltet in einem Passwort-Manager. Ein Passwort, das irgendwo anders schon geleakt wurde, ist keins.
• Zwei-Faktor-Anmeldung für alle Verwaltungs- und Hosting-Zugänge — der wirksamste Einzelschritt gegen gestohlene Passwörter.
• Regelmäßige Backups, automatisch, mit mehreren Ständen und mindestens einer Kopie außerhalb des Webservers. Ein Backup, das neben der gehackten Seite liegt, wird mitgehackt.
• Weniger ist mehr: Jede installierte Erweiterung ist potenzielle Angriffsfläche. Was nicht gebraucht wird, fliegt raus.

Die ehrliche Grundsatzfrage: Braucht Ihre Website überhaupt ein Angriffsziel?

Zum Schluss ein Gedanke, der bei der Aufarbeitung oft untergeht: Die meisten Hacks auf Firmenwebsites funktionieren nur, weil dort ein komplettes Redaktionssystem mit Datenbank, Anmeldemaske und Dutzenden Erweiterungen läuft — für eine Website, deren Inhalte sich zweimal im Jahr ändern. Eine statisch gebaute Website hat all das nicht: keine Datenbank, kein Login im Netz, keine Erweiterungen mit Sicherheitslücken. Es gibt schlicht kaum etwas, das man hacken könnte, und Updates entfallen fast vollständig.

Wir bauen unsere Kundenwebsites aus genau diesem Grund statisch — Beispiele sehen Sie im Showroom. Wenn Ihre Website nach einem Vorfall ohnehin neu aufgesetzt werden muss, lohnt sich die Prüfung, ob es der richtige Moment für den Umstieg ist; was ein Neuaufbau kostet, haben wir im Beitrag Website neu machen lassen: die Kosten transparent aufgeschlüsselt.

Häufige Fragen

Woher weiß ich, wie die Angreifer reingekommen sind?

Meist über eine von drei Türen: veraltete Software mit bekannter Lücke, gestohlene oder schwache Zugangsdaten, oder eine unsichere Erweiterung. Die Server-Logs Ihres Hosters und das Änderungsdatum der manipulierten Dateien grenzen den Zeitpunkt ein — daraus lässt sich der Weg oft rekonstruieren. Ohne diese Analyse bleibt jede Bereinigung Stückwerk.

Reicht es, die sichtbaren Spam-Seiten zu löschen?

Nein. Sichtbare Spam-Inhalte sind das Symptom, nicht die Ursache. Angreifer hinterlegen fast immer versteckte Hintertüren, über die sie nach der „Bereinigung" zurückkommen. Ohne Wiederherstellung aus einem sauberen Backup oder eine gründliche forensische Prüfung ist die Seite nicht sauber.

Wie lange dauert es, bis Google die Warnung entfernt?

Nach der vollständigen Bereinigung können Sie in der Google Search Console eine Überprüfung beantragen. Die Bearbeitung dauert erfahrungsgemäß einige Tage; Voraussetzung ist, dass wirklich alle Schadinhalte entfernt sind — sonst wird der Antrag abgelehnt und der Prozess beginnt von vorn.

Muss ich den Vorfall melden?

Das hängt davon ab, ob personenbezogene Daten betroffen sein können und wie hoch das Risiko für die Betroffenen ist. Prüfen Sie das zügig — datenschutzrechtliche Meldepflichten sind teils fristgebunden — und holen Sie sich im Zweifel fachkundigen Rat. Für die reine Verunstaltung einer Website ohne Datenbezug gelten andere Maßstäbe als für ein kompromittiertes Kundenkonto-System.

Schützt mich ein Sicherheits-Plugin zuverlässig?

Sicherheits-Erweiterungen können Angriffe erschweren und Alarm schlagen, aber sie heilen keine veraltete Software und sind selbst Code, der Lücken haben kann. Die Rangfolge bleibt: aktuelle Software, starke Zugänge mit Zwei-Faktor-Anmeldung, funktionierende Backups — und erst danach zusätzliche Schutzschichten.