Website gehackt: Die ersten Schritte zur Bereinigung

Wurde Ihre Website gehackt, zählen die ersten Stunden: Website vom Netz nehmen oder in den Wartungsmodus schalten, Zustand sichern, alle Passwörter von einem sauberen Gerät aus ändern und den Hoster informieren. Danach folgt die eigentliche Bereinigung, die bei den meisten Fällen am zuverlässigsten als Neuaufbau aus Originaldateien gelingt. Parallel prüfen Sie, ob personenbezogene Daten betroffen sind, denn dann können Meldepflichten nach der DSGVO greifen. Dieser Notfallplan führt Sie Schritt für Schritt durch. Vorbeugende Maßnahmen sammelt die Seite Hosting-Sicherheit.

Woran Sie einen Hack erkennen

Nicht jeder Angriff ist auf den ersten Blick sichtbar. Viele Kompromittierungen zielen darauf, unbemerkt zu bleiben und die Website für Spam oder Weiterleitungen zu missbrauchen. Typische Anzeichen:

• Besucher werden auf fremde Seiten umgeleitet, oft nur vom Smartphone oder nur aus der Google-Suche
• In den Suchergebnissen erscheinen Seiten mit fremden Inhalten, häufig in anderer Sprache oder zu Arzneimitteln, Glücksspiel oder gefälschten Markenwaren
• Browser oder Google zeigen eine Warnung vor einer gefährlichen Website
• Unbekannte Administratorkonten im CMS
• Neue oder veränderte Dateien, die Sie nicht angelegt haben, etwa PHP-Dateien im Upload-Ordner
• Der Hoster meldet Malware-Funde, sperrt das Konto oder warnt vor massenhaftem Mailversand
• Ungewöhnlich hohe Serverlast oder ein plötzlich stark gestiegener Traffic
• E-Mails von Ihrer Domain landen bei Empfängern im Spam oder werden abgewiesen

Sofortmaßnahmen in den ersten Stunden

1. Ruhe bewahren und dokumentieren

Notieren Sie, wann und wie Sie den Vorfall bemerkt haben. Machen Sie Screenshots von Warnungen und verdächtigen Seiten. Lassen Sie Server-Logs und, wenn möglich, eine Kopie des aktuellen Zustands sichern. Diese Daten helfen bei der Suche nach dem Einfallstor und sind wichtig, falls Sie den Vorfall melden oder anzeigen.

2. Website vom Netz nehmen

Schalten Sie die Website in den Wartungsmodus oder sperren Sie den Zugriff vorübergehend, zum Beispiel mit einem Passwortschutz auf Serverebene. So verhindern Sie, dass Besucher Schadcode laden oder umgeleitet werden. Bei einem Onlineshop schützt das auch vor weiteren abgegriffenen Zahlungs- oder Kundendaten.

3. Zugangsdaten ändern, und zwar alle

Nutzen Sie dafür ein Gerät, von dem Sie sicher sind, dass es nicht infiziert ist. Ändern Sie:

• Passwort des Hosting-Kundenkontos, Zwei-Faktor-Anmeldung aktivieren
• SFTP- und SSH-Zugänge, nicht benötigte Zugänge löschen, hinterlegte SSH-Schlüssel prüfen
• Datenbank-Passwort, anschließend in der Konfigurationsdatei der Anwendung anpassen
• Alle Administrator- und Redakteurskonten im CMS, unbekannte Konten entfernen
• E-Mail-Postfächer der Domain
• API-Schlüssel, etwa für Zahlungsanbieter, Newsletter-Dienste oder Schnittstellen
• Zugang zum Domain-Registrar und zum DNS

4. Hoster informieren

Ihr Hoster kann oft mehr sehen als Sie: Zugriffsprotokolle, Malware-Scans, Backups aus der Zeit vor dem Angriff. Fragen Sie konkret nach dem Zeitpunkt der ersten verdächtigen Änderung und nach verfügbaren Sicherungen. Im Shared Hosting ist es außerdem wichtig, dass der Anbieter prüft, ob andere Konten betroffen sind.

Umfang und Einfallstor ermitteln

Bevor Sie bereinigen, brauchen Sie eine Vorstellung davon, was passiert ist. Häufige Einfallstore sind:

Einfallstor	Typischer Hinweis
Veraltetes Plugin, Theme oder CMS	Bekannte Sicherheitslücke in der installierten Version
Gestohlene oder schwache Passwörter	Anmeldungen von unbekannten IP-Adressen in den Logs
Unverschlüsseltes FTP	Gestohlene Zugangsdaten, Dateiänderungen per FTP
Nulled Themes oder Plugins aus inoffiziellen Quellen	Schadcode bereits im installierten Paket
Infizierter Rechner eines Redakteurs	Zugangsdaten aus dem Browser abgegriffen
Andere kompromittierte Website im selben Konto	Schadcode in mehreren Projekten gleichzeitig

Hilfreich sind die Zugriffslogs des Webservers, die Änderungsdaten der Dateien und bei WordPress ein Abgleich der Kerndateien mit den Originalen, etwa mit wp core verify-checksums aus WP-CLI. Wie Sie per SSH auf den Server zugreifen, erklärt der Ratgeber SSH und SFTP.

Die Bereinigung: neu aufsetzen statt flicken

Es gibt zwei Wege. Welcher passt, hängt davon ab, ob ein sauberes Backup existiert und wie gut Sie den Angriff verstanden haben.

Weg	Vorgehen	Wann sinnvoll
Backup zurückspielen	Stand von vor dem Angriff wiederherstellen, danach alle Updates einspielen	Zeitpunkt des Einbruchs bekannt, Backup sicher älter
Neuaufbau	CMS, Plugins und Theme frisch aus offiziellen Quellen installieren, nur geprüfte Inhalte übernehmen	Zeitpunkt unklar, Backups möglicherweise ebenfalls infiziert

Für einen Neuaufbau gehen Sie so vor:

1. Frische Installation des CMS in derselben Version oder aktueller, in einem neuen Verzeichnis oder auf einer Testumgebung.
2. Plugins und Themes neu laden, ausschließlich aus offiziellen Quellen oder vom Hersteller. Verzichten Sie auf alles, was nicht unbedingt nötig ist.
3. Uploads prüfen: Bilder und Dokumente übernehmen, aber keine ausführbaren Dateien wie .php im Upload-Verzeichnis.
4. Datenbank prüfen: Nach unbekannten Administratoren, eingeschleusten Skripten in Beiträgen und Einstellungen sowie fremden Weiterleitungen suchen.
5. Konfiguration neu anlegen, mit neuen Sicherheitsschlüsseln und dem neuen Datenbank-Passwort.
6. Serverseitig aufräumen: Cronjobs, .htaccess-Dateien und Weiterleitungen im Kundenmenü auf fremde Einträge prüfen.

Eine Testumgebung hilft, die bereinigte Version zu prüfen, bevor sie live geht. Wie Sie eine solche Kopie geschützt einrichten, beschreibt der Ratgeber Staging-Umgebung einrichten. Bei Shops, großen Datenbanken oder wiederholtem Befall lohnt es sich, einen spezialisierten Dienstleister für Incident Response hinzuzuziehen.

Lücke schließen, bevor die Seite wieder online geht

Eine bereinigte Website mit derselben Schwachstelle wird erneut kompromittiert, oft innerhalb weniger Tage. Vor dem Neustart:

• Alle Komponenten auf aktuellem Stand, nicht mehr gepflegte Plugins ersetzt
• Zwei-Faktor-Anmeldung für alle Administratoren
• Dateizugriff nur noch per SFTP, FTP abgeschaltet
• Ausführung von PHP im Upload-Verzeichnis unterbunden
• Web Application Firewall aktiv, Anmeldeversuche begrenzt
• Automatische Backups mit Kopie außerhalb des Hosting-Kontos
• Rechner aller Personen mit Zugang auf Schadsoftware geprüft

Meldepflichten und Datenschutz

Ein Hack ist rechtlich in der Regel eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), wenn Angreifer auf solche Daten zugreifen, sie verändern oder abgreifen konnten. Betroffen sind etwa Kundenkonten, Bestellungen, Newsletter-Listen, Formulareingaben oder Kommentare mit E-Mail-Adressen. Für Verantwortliche gilt dann:

Pflicht	Grundlage	Inhalt
Meldung an die Aufsichtsbehörde	Art. 33 DSGVO	Unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, außer ein Risiko für Betroffene ist unwahrscheinlich
Benachrichtigung der Betroffenen	Art. 34 DSGVO	Wenn voraussichtlich ein hohes Risiko für die Betroffenen besteht
Dokumentation	Art. 33 Abs. 5 DSGVO	Jede Datenpanne mit Fakten, Auswirkungen und Abhilfemaßnahmen, auch wenn keine Meldung erfolgt

Die Meldung können Sie auch schrittweise abgeben, wenn noch nicht alle Informationen vorliegen. Die zuständige Behörde ist in der Regel die Datenschutzaufsicht des Bundeslandes, in dem Ihr Unternehmen oder Verein seinen Sitz hat; viele bieten ein Online-Formular an. Diese Übersicht ersetzt keine Rechtsberatung, bei Unsicherheit über die Bewertung sollten Sie fachlichen Rat einholen. Hintergründe zu Auftragsverarbeitung und Datenschutz beim Hosting finden Sie unter Serverstandort und DSGVO.

Unabhängig davon können Sie Anzeige bei der Polizei erstatten. Für Unternehmen haben die Landeskriminalämter eigene Ansprechstellen für Cybercrime.

Nach dem Neustart: Vertrauen zurückgewinnen

1. Google informieren: In der Google Search Console unter Sicherheitsprobleme die Bereinigung bestätigen und eine Überprüfung anfordern. Fremde Spam-Seiten, die indexiert wurden, sollten anschließend den Statuscode 404 oder 410 liefern.
2. E-Mail-Reputation prüfen: Wurde über Ihre Domain Spam versendet, prüfen Sie, ob Ihre Server-IP oder Domain auf Sperrlisten steht.
3. Überwachung einrichten: Dateiänderungs-Überwachung, regelmäßige Malware-Scans und einen externen Uptime-Monitor.
4. Nachbereitung: Halten Sie fest, wie es zum Vorfall kam und was sich ändert, etwa ein fester Update-Rhythmus oder weniger Administratorkonten.

Neben Einbrüchen kann auch gezielte Überlastung eine Website lahmlegen. Was dagegen hilft, erklärt der Ratgeber DDoS-Schutz für kleine Websites.

Fazit

Bei einem Hack hilft ein klarer Ablauf: abschalten, dokumentieren, alle Zugänge ändern, Hoster einbinden, Einfallstor finden und die Website aus sauberen Quellen neu aufsetzen. Erst wenn die Lücke geschlossen ist, geht die Seite wieder online. Sind personenbezogene Daten betroffen, gehört die Prüfung der Meldepflicht innerhalb von 72 Stunden zu den ersten Aufgaben, nicht zu den letzten.