Website gehackt? Erste Hilfe und Vorbeugung

Woran merke ich, dass meine Website gehackt wurde?

Nicht jeder Hack ist offensichtlich. Manche Angreifer verunstalten die Startseite, die meisten arbeiten aber bewusst unauffällig: Sie verstecken Spam-Links im Quelltext, leiten Besucher auf dubiose Shops um oder versenden über Ihren Server Phishing-Mails. Typische Warnzeichen sind unerklärliche Weiterleitungen, fremde Inhalte oder neue Admin-Benutzer, die niemand angelegt hat.

Oft kommt der Hinweis von außen: Google markiert die Seite in den Suchergebnissen mit „Diese Website wurde möglicherweise gehackt“, der Browser zeigt eine rote Warnseite, der Hoster meldet auffälligen Datenverkehr oder Kunden berichten von seltsamen E-Mails. Nehmen Sie solche Hinweise ernst — je länger Schadcode aktiv ist, desto größer der Schaden für Ranking und Ruf.

Erste Hilfe: Was in den ersten 24 Stunden zu tun ist

Erster Schritt: Die Website vorübergehend offline nehmen oder in den Wartungsmodus schalten. Das schützt Ihre Besucher vor Schadcode und stoppt die Verbreitung. Informieren Sie sofort Ihren Hoster oder Ihre Website-Agentur — gute Anbieter haben Prozesse für genau diesen Fall und können Logfiles sichern, bevor Spuren verloren gehen.

Dokumentieren Sie den Vorfall: Screenshots, Zeitpunkt der Entdeckung, betroffene Bereiche. Das brauchen Sie später für eine mögliche Meldung an die Datenschutzbehörde, für die Versicherung oder eine Strafanzeige. Und: Prüfen Sie von einem sauberen Gerät aus, ob Ihre E-Mail-Konten und andere Dienste mit demselben Passwort betroffen sein könnten.

• Website offline nehmen oder Wartungsmodus aktivieren
• Hoster bzw. Website-Betreuer informieren, Logfiles sichern lassen
• Alle Passwörter ändern: Admin, FTP, Datenbank, Hosting-Panel, E-Mail
• Vorfall mit Screenshots und Zeitangaben dokumentieren
• Eigenen Rechner auf Schadsoftware prüfen — oft ist er das Einfallstor

Bereinigen: Backup einspielen oder Schadcode entfernen

Der sicherste Weg zurück ist ein sauberes Backup von einem Zeitpunkt vor dem Angriff — deshalb sind regelmäßige, extern gespeicherte Backups so wichtig. Vor dem Einspielen muss allerdings die Lücke geschlossen werden, durch die der Angreifer kam, sonst steht er in wenigen Tagen wieder im System. Danach: alle Zugangsdaten erneut ändern und Software auf den neuesten Stand bringen.

Gibt es kein brauchbares Backup, muss der Schadcode manuell entfernt werden. Kostenlose Scanner wie Sucuri SiteCheck liefern eine erste Einschätzung, ersetzen aber keine gründliche Prüfung — Angreifer hinterlassen gern mehrere Hintertüren. Für Laien ist das kaum zu leisten; eine professionelle Bereinigung durch Spezialisten kostet je nach Umfang typischerweise einige Hundert bis über tausend Euro. Wer eine betreute Website im Abo hat, ist hier im Vorteil: Bereinigung und Wiederherstellung sind Sache des Anbieters.

Meldepflichten: Wann DSGVO und Polizei ins Spiel kommen

Wurden personenbezogene Daten kompromittiert — etwa Kundendaten aus einem Kontaktformular, Kundenkonten oder ein Newsletter-Verteiler — greift Artikel 33 DSGVO: Sie müssen die Datenpanne innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Landesdatenschutzbehörde melden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko, zum Beispiel geleakten Zugangsdaten oder Zahlungsinformationen, sind nach Artikel 34 zusätzlich die betroffenen Personen selbst zu benachrichtigen. Ein Verstoß gegen die Meldepflicht kann teurer werden als der Hack selbst.

Unabhängig davon können Sie Strafanzeige stellen: Jedes Bundesland hat eine Zentrale Ansprechstelle Cybercrime (ZAC) für Unternehmen. Eine Anzeige ist auch für Versicherung und Dokumentation sinnvoll. Das BSI stellt für IT-Sicherheitsvorfälle kostenlose Checklisten und Erste-Hilfe-Dokumente bereit — eine gute Orientierung, ob Sie den Vorfall allein bewältigen können.

Google-Warnung entfernen und Reputation retten

Hat Google Schadsoftware auf Ihrer Seite erkannt, landet die Domain auf der Safe-Browsing-Liste — Browser wie Chrome und Firefox zeigen dann eine bildschirmfüllende rote Warnung. Für Besucher ist das ein Totalausfall, selbst wenn die Seite technisch wieder läuft. Die Warnung verschwindet nicht von allein: Nach der vollständigen Bereinigung stellen Sie in der Google Search Console unter „Sicherheitsprobleme“ einen Antrag auf Überprüfung.

Die Prüfung dauert erfahrungsgemäß einige Tage. Wichtig: Erst bereinigen, dann Antrag stellen — wird noch Schadcode gefunden, verlängert sich die Sperre. Rankingverluste durch einen Hack erholen sich meist wieder, wenn die Seite sauber ist und bleibt. Kommunizieren Sie gegenüber betroffenen Kunden offen und sachlich; ein souverän gemanagter Vorfall schadet dem Vertrauen weniger als Schweigen.

Vorbeugung: So kommt es gar nicht erst so weit

Die allermeisten Hacks auf kleine Websites sind keine gezielten Angriffe, sondern automatisierte Massen-Scans nach bekannten Schwachstellen — veraltete CMS-Versionen, verwundbare Plugins, schwache Passwörter. Genau deshalb ist Vorbeugung so wirksam: Wer Software aktuell hält, einzigartige Passwörter mit Zwei-Faktor-Authentifizierung nutzt und regelmäßige externe Backups hat, ist für Automaten schlicht kein lohnendes Ziel mehr.

Die ehrliche Frage lautet: Wer kümmert sich darum — jede Woche, jahrein, jahraus? Bei einer selbst verwalteten WordPress-Installation liegt das bei Ihnen. Bei einem betreuten Website-Abo wie unserem (ab 79 € im Monat) sind Updates, Sicherheit, Backups und Monitoring Teil des Pakets — und im Ernstfall gibt es einen Verantwortlichen, der den Vorfall behebt, statt eines Schuldigen, der gesucht wird.

• CMS, Plugins und Themes zeitnah aktualisieren — die häufigste Einfallstür
• Einzigartige, lange Passwörter plus Zwei-Faktor-Authentifizierung für alle Admin-Zugänge
• Automatische Backups an einem externen Ort, regelmäßig auf Wiederherstellbarkeit getestet
• Nicht genutzte Plugins, Themes und Benutzerkonten konsequent löschen
• SSL, aktuelle PHP-Version und ein Hoster mit Sicherheits-Monitoring