Website gehackt, was tun? Notfallplan für die ersten Stunden

Manchmal ruft ein Kunde an und fragt, warum deine Seite auf ein Casino umleitet. Manchmal zeigt Google unter deinem Eintrag den Hinweis „Diese Website wurde möglicherweise gehackt“. Und manchmal merkt es niemand, bis der Hoster das Paket wegen Spamversand sperrt. Für die Frage „Website gehackt, was tun?“ gibt es eine bewährte Reihenfolge, und sie beginnt nicht mit dem Löschen von Dateien.

Website gehackt: was du jetzt sofort tust

1. Besucher schützen. Schalte den Wartungsmodus ein oder bitte den Hoster, die Seite vorübergehend zu sperren. Wer jetzt deine Seite besucht, kann sich Schadcode einfangen.
2. Den Zustand sichern. Lade alle Dateien, einen Datenbank-Dump und die Zugriffslogs herunter. Ja, auch die infizierten Dateien. Ohne sie findest du später nicht heraus, wie der Angreifer reinkam.
3. Zugänge ändern. Hosting-Kundenkonto, SFTP und SSH, Datenbank-Passwort (und in der Konfigurationsdatei anpassen), alle Admin-Konten im CMS. Mach das von einem Rechner aus, dem du vertraust.
4. Hoster informieren. Er sieht Dinge, die du nicht siehst, etwa andere betroffene Pakete auf demselben Server oder Spam aus deinem Konto.
5. Erst jetzt bereinigen. Mehr dazu unten.

Falls die Website gar nicht verändert wurde, aber die Domain auf einen fremden Server zeigt, liegt das Problem eine Ebene höher. Dann ist der Ratgeber Domain gehackt der richtige.

Woran du einen Hack erkennst

Nicht jeder Einbruch ist sichtbar. Diese Anzeichen kommen in der Praxis immer wieder vor:

Der zweite Punkt fällt Inhabern oft als Letztes auf, weil die Startseite unverändert aussieht. Eine Suche nach site:deine-domain.de bei Google zeigt, ob Seiten im Index sind, die du nie angelegt hast.

Schadcode finden: Befehle für die Shell

Mit SSH-Zugang kommst du schneller zu Ergebnissen als über das Hosting-Panel. Alle PHP-Dateien, die in den letzten sieben Tagen geändert wurden:

find /pfad/zur/website -name "*.php" -mtime -7 -ls

PHP-Dateien in Upload-Verzeichnissen gehören dort fast nie hin:

find /pfad/zur/website/wp-content/uploads -name "*.php"

Bei WordPress hilft WP-CLI. Diese Befehle vergleichen deine Dateien mit den offiziellen Prüfsummen und zeigen jede Abweichung:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator

Der Plugin-Abgleich funktioniert nur für Plugins aus dem offiziellen Verzeichnis auf wordpress.org. Gekaufte Premium-Plugins musst du mit einer frisch heruntergeladenen Kopie vergleichen.

Ein Suchen nach base64_decode oder eval( liefert Hinweise, aber auch Fehlalarme, weil legitime Plugins diese Funktionen ebenfalls nutzen. Verdächtig wird es, wenn lange, unlesbare Zeichenketten daneben stehen.

Sauber wiederherstellen statt flicken

Wer nur die auffälligen Dateien löscht, findet die Hintertür nicht, die im Datenbankfeld einer Widget-Option liegt. Der sichere Weg:

• Backup vor dem Einbruch. Wenn du weißt, seit wann der Hack besteht, spielst du ein älteres Backup ein. Viele Hoster halten Sicherungen der letzten 7 bis 30 Tage vor.
• Kein sauberes Backup? Dann installierst du CMS-Kern, Plugins und Themes frisch aus der Originalquelle und übernimmst nur Inhalte: Uploads (nach Prüfung auf PHP-Dateien) und die Datenbank (nach Prüfung auf fremde Admins und verdächtige Optionen).
• Danach die Lücke schließen. Alles auf den aktuellen Stand, ungenutzte Plugins löschen statt deaktivieren, PHP-Version prüfen.

Erst wenn die Lücke zu ist, nimmst du den Wartungsmodus raus. Sonst bist du in einer Woche wieder hier.

Google-Warnung entfernen

Hat Google deine Seite markiert, siehst du in der Google Search Console unter „Sicherheitsprobleme“ die betroffenen URLs. Nach der Bereinigung beantragst du dort eine Überprüfung und beschreibst kurz, was du getan hast: welcher Schadcode, wie entfernt, welche Lücke geschlossen. Je konkreter, desto besser.

Wird deine Domain gleichzeitig für Phishing gegen andere missbraucht, kann es zusätzlich Meldungen beim Registrar oder Hoster geben. Wie diese Meldewege funktionieren, steht im Artikel Phishing-Seite melden.

Website gehackt und DSGVO: die 72-Stunden-Frist

Betreibst du einen Shop, ein Mitgliederportal oder speicherst Formulareingaben, sind möglicherweise personenbezogene Daten abgeflossen. Art. 33 DSGVO verlangt dann eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden, nachdem dir die Verletzung bekannt wurde. Ausgenommen sind Fälle, in denen voraussichtlich kein Risiko für die Betroffenen besteht.

Die Frist läuft auch am Wochenende. Wenn du noch nicht alles weißt, meldest du, was du weißt, und reichst den Rest nach. Bei hohem Risiko müssen nach Art. 34 auch die Betroffenen selbst informiert werden.

Daneben ist eine Anzeige bei der Onlinewache der Polizei sinnvoll, vor allem wenn Kundendaten betroffen sind oder Geld geflossen ist. Für allgemeine Fragen zur IT-Sicherheit erreichst du das Service-Center des BSI kostenlos unter 0800 274 1000.

Damit es beim nächsten Mal schneller geht

Ein Hack ist auch ein Test deiner Vorbereitung. Was die Wiederherstellung am stärksten verkürzt: automatische Backups außerhalb des Webspaces, eine Liste aller Zugänge an einem sicheren Ort und Zwei-Faktor-Anmeldung überall, wo sie angeboten wird, auch beim Hoster und beim Registrar. Wie du das für das Domain-Konto einrichtest, zeigt Zwei-Faktor-Anmeldung fürs Domain-Konto.

Liegen Domain und Hosting beim selben Anbieter, hat ein Angreifer mit einem einzigen Passwort beides. Viele trennen das deshalb: die Domain bei einem reinen Registrar, das Hosting woanders. Bei betadomain kannst du deine .de-Domain separat vom Hosting verwalten und DNSSEC aktivieren, zu einem Preis, der auch bei der Verlängerung gleich bleibt.

Und weil gehackte Seiten oft für Phishing unter ähnlichen Namen genutzt werden: Prüfe, ob naheliegende Schreibvarianten deiner Domain noch frei sind, bevor es jemand anderes tut.

Schritt für Schritt

1. Website isolierenWartungsmodus aktivieren oder die Seite beim Hoster sperren lassen, damit Besucher keine Schadsoftware bekommen.
2. Beweise sichernEine Kopie aller Dateien, der Datenbank und der Server-Logs anlegen, bevor du etwas löschst.
3. Alle Zugänge ändernPasswörter für Hosting, SFTP, SSH, Datenbank und alle CMS-Admins ändern, SSH-Schlüssel prüfen, fremde Admin-Konten löschen.
4. Sauber wiederherstellenEin Backup von vor dem Einbruch einspielen oder Core, Plugins und Themes frisch aus der Originalquelle installieren.
5. Lücke schließenCMS, Plugins und PHP-Version aktualisieren, ungenutzte Plugins entfernen, Dateirechte prüfen.
6. Meldungen und GoogleBei Datenpannen die Aufsichtsbehörde binnen 72 Stunden informieren und in der Google Search Console eine Überprüfung beantragen.