Website gehackt: Sofortmaßnahmen

Meine Website wurde gehackt — was tun?

Zuerst Ruhe bewahren und nichts vorschnell löschen. Setzen Sie die Seite offline oder in den Wartungsmodus, ändern Sie alle Passwörter und Schlüssel von einem sauberen Gerät aus, und prüfen Sie, ob ein sauberer Backup-Stand existiert. Erst danach folgt die eigentliche Bereinigung: Schadcode und Backdoors finden, sauber wiederherstellen und das Einfallstor schließen — sonst kommt der nächste Einbruch in wenigen Tagen zurück.

Die Sofortmaßnahmen in der richtigen Reihenfolge

Die Reihenfolge ist bewusst gewählt: zuerst Schaden begrenzen und Spuren sichern, dann bereinigen, zuletzt das eigentliche Problem beheben. Wer die Reihenfolge umdreht, riskiert entweder verlorene Hinweise oder eine Seite, die zwar wieder normal aussieht, aber weiterhin offensteht.

1. Ruhe bewahren, nichts überstürzt löschen. Der erste Impuls ist oft, alles Verdächtige sofort zu entfernen. Das vernichtet aber genau die Spuren, die später zeigen, wie der Angreifer hineinkam. Machen Sie stattdessen zuerst eine Kopie des aktuellen (kompromittierten) Zustands — Dateien und Datenbank —, bevor Sie irgendetwas verändern.
2. Seite offline nehmen oder in den Wartungsmodus setzen. Das stoppt weiteren Schaden an Besuchern (z. B. Malware-Auslieferung, Weiterleitungen, Phishing) und nimmt Ihnen den Zeitdruck, alles in Panik gleichzeitig zu tun.
3. Alle Passwörter und Keys ändern — von einem sauberen Gerät aus. Hosting-Zugang, CMS-Admin, Datenbank, FTP/SFTP, API-Keys, Security-Keys/Salts. Wichtig: nicht vom möglicherweise selbst infizierten Rechner aus, sonst landen die neuen Zugangsdaten direkt wieder beim Angreifer.
4. Backup-Stand prüfen. Existiert ein Backup von vor dem Einbruch, und ist es nachweislich sauber? Ein Backup, das den Schadcode bereits enthält, hilft nicht weiter — deshalb mehrere Zeitpunkte prüfen, nicht nur den letzten.
5. Schadcode und Backdoors systematisch suchen. Angreifer hinterlassen oft mehr als das sichtbare Defacement: versteckte Dateien, manipulierte Core-Dateien, zusätzliche Admin-Accounts, geplante Aufgaben (Cronjobs). Ein Dateivergleich gegen eine bekannt saubere Version des CMS/der Software hilft, Abweichungen zu finden.
6. Sauber wiederherstellen statt nur Kosmetik entfernen. Nur den sichtbaren Defacement-Text zu löschen reicht nicht — wenn die Backdoor bleibt, ist die Seite in Tagen wieder befallen. Im Zweifel lieber komplett aus einem geprüft sauberen Backup neu aufsetzen, statt im laufenden (möglicherweise noch infizierten) System zu reparieren.
7. Das Einfallstor finden und schließen. Ohne die eigentliche Ursache zu kennen — veraltetes Plugin, schwaches Passwort, ungepatchte Lücke, kompromittierter Drittanbieter-Zugang — bleibt jede Bereinigung nur vorübergehend. Erst wenn die Lücke geschlossen ist, ist der Vorfall wirklich vorbei.
8. Hoster informieren, ggf. Betroffene und Behörden. Der Hoster kann bei der Analyse helfen und ist oft ohnehin vom Vorfall betroffen (Server-Ressourcen, andere Kunden). Sind personenbezogene Daten abgeflossen, kann unter Umständen eine DSGVO-Meldepflicht an die Aufsichtsbehörde bestehen — das ist im konkreten Fall juristisch zu prüfen, wir geben hier keine Rechtsberatung.
9. Danach: Monitoring einrichten, statt auf den nächsten Vorfall zu warten. Der beste Zeitpunkt, einen Hack zu bemerken, ist der Moment, in dem er passiert — nicht Wochen später, wenn Google die Seite bereits als gefährlich einstuft. Laufende Überwachung schließt genau diese Lücke.

WordPress gehackt: eine Besonderheit

Bei WordPress lohnt ein gezielter Blick auf drei Stellen: die Liste der Benutzer (hat der Angreifer einen zusätzlichen Admin-Account angelegt?), die installierten Plugins (steckt der Schadcode in einem manipulierten oder unbekannten Plugin?) und die geplanten Aufgaben/Cronjobs (lädt sich die Backdoor selbst wieder nach?). Eine saubere WordPress-Installation lässt sich außerdem gegen die offizielle Core-Version vergleichen, um manipulierte Dateien schnell zu finden. Eine ausführliche Grundabsicherung danach finden Sie in der WordPress-Sicherheitscheckliste.

Wenn die eigene Bereinigung nicht reicht

Nicht jede Backdoor ist mit bloßem Auge zu finden, und ein sauber wiederhergestelltes System bleibt nur sauber, wenn auch das Einfallstor wirklich geschlossen wurde. Wenn Sie sich unsicher sind, ob die Bereinigung vollständig war, oder herausfinden wollen, wie der Angreifer überhaupt hineinkam, hilft ein gezielter Penetrationstest als externer, unabhängiger Blick auf die verbliebenen Lücken.