Website gehackt? Die ersten 60 Minuten

Wurde Ihre Website gehackt, gehen Sie in dieser Reihenfolge vor: Wartungsmodus einschalten, den aktuellen Stand komplett sichern, alle Passwörter ändern und erst danach bereinigen und die Lücke suchen. Spielen Sie nicht einfach ein altes Backup ein, denn die Schwachstelle, durch die der Angreifer kam, bleibt bestehen. Die erste Stunde hat großen Einfluss darauf, wie groß der Schaden wird. Meist ist aber nichts verloren.

Woran erkenne ich, dass meine Website gehackt wurde?

Oft erfahren die Inhaber es als Letzte. Ein Besucher meldet sich, Google zeigt eine Warnung, oder der Hoster schickt eine Sperrmeldung. Typische Anzeichen:

• Besucher landen auf Casino-, Pharma- oder anderen Spam-Seiten, meist aber nur, wenn sie von Google kommen oder ein Smartphone nutzen.
• Ihre Website zeigt eine rote Browser-Warnung wie „Betrügerische Website voraus“, oder Google meldet „Diese Website wurde möglicherweise gehackt“.
• In den Suchergebnissen zu Ihrer Marke tauchen fremde Titel auf, oft in einer anderen Sprache.
• Es tauchen neue Admin-Benutzer auf, die Sie nie angelegt haben.
• Auf Ihrem Webspace liegen Dateien, die Sie nicht hochgeladen haben, oder die Startseite wurde ersetzt.
• Ihr Hoster meldet Spam-Versand von Ihrem Konto oder einen Fund beim Malware-Scan.

Sie öffnen Ihre Startseite, und alles sieht normal aus. Ein Bekannter tippt dagegen auf dem Handy ein Google-Ergebnis an und landet in einem gefälschten Online-Pharmashop. Das ist ein typischer Weiterleitungs-Hack, der sich absichtlich vor dem Inhaber versteckt.

Was tun Sie in der ersten Stunde nach einem Hack?

Bleiben Sie ruhig und gehen Sie Schritt für Schritt vor. Die Reihenfolge zählt mehr als das Tempo.

1. Eindämmen. Schalten Sie den Wartungsmodus ein oder bitten Sie Ihren Hoster, die Website vom Netz zu nehmen. So schützen Sie Besucher und stoppen die Ausbreitung.
2. Den aktuellen Stand kopieren. Laden Sie alle Dateien herunter und exportieren Sie die Datenbank, auch wenn sie infiziert sind. Bewahren Sie die Kopie sicher auf und öffnen oder starten Sie sie nicht. Sie hilft später zu klären, wie der Angreifer hereinkam.
3. Alle Passwörter ändern. Das betrifft die Verwaltung beim Hoster, die Admin-Konten im CMS, die Datenbank, FTP/SFTP/SSH und die E-Mail-Adresse der Website. Tun Sie das an einem Gerät, dem Sie vertrauen, und vergeben Sie für jeden Zugang ein anderes, langes Passwort.
4. Zwei-Faktor-Authentifizierung aktivieren, wo immer sie angeboten wird, zuerst beim Hosting und bei der E-Mail.
5. Hoster informieren. Er sieht oft Logs, die Ihnen verborgen bleiben, und hat womöglich ein sauberes Backup aus der Zeit vor dem Hack.
6. Prüfen, was die Website speichert. Ein Onlineshop mit Kundenkonten oder Zahlungen braucht besondere Sorgfalt, mehr dazu im Hinweis weiter unten.

Was sollten Sie nach einem Hack besser nicht tun?

Der Fehler mit dem Backup passiert am häufigsten. Ein Backup bringt eine lauffähige Website zurück, aber auch das veraltete Plugin oder das gestohlene Passwort, durch das der Angriff möglich wurde. Und war der Angreifer schon Wochen im System, kann auch das Backup infiziert sein.

Wie werden Websites gehackt?

Die meisten Angriffe sind nicht raffiniert, sondern automatisiert: Programme suchen auf Tausenden Websites gleichzeitig nach bekannten Schwachstellen. Ihre Website muss nicht bekannt sein, um ein Ziel zu werden.

Phishing verdient besondere Aufmerksamkeit. Eine E-Mail, die aussieht wie vom Hoster, und ein eingetipptes Passwort reichen, um die ganze Website zu übergeben. Mehr dazu lesen Sie in Phishing erkennen: So schützen Sie Ihre Website, zu veralteter Software in Veraltete Plugins und PHP: Risiken und sichere Updates.

Was kostet es, wenn Sie abwarten?

Ein Hack bleibt selten klein. Mit jedem Tag, den die Seite online ist, wird es schlimmer.

• Sichtbarkeit in der Suche. Google kann Ihre Website als unsicher markieren, und Spam-Seiten tauchen unter Ihrem Namen auf. Das wieder loszuwerden, dauert länger als die Bereinigung.
• Kunden. Besucher, die auf eine rote Warnung stoßen, kommen selten zurück. Steckt in einem Shop ein Skimmer (Schadcode, der Zahlungsdaten abgreift), können Zahlungsdaten abfließen.
• E-Mail. Verschickt der Server Spam, kann Ihre Domain auf Sperrlisten landen, und Ihre echten Mails enden im Spam-Ordner.
• Hosting. Hoster sperren Konten, von denen Angriffe ausgehen, oft ohne lange Vorwarnung.
• Aufwand für die Bereinigung. Je länger der Angreifer drin ist, desto mehr Hintertüren legt er an.

Kann ich eine gehackte Website selbst bereinigen?

Manchmal. Bei einer kleinen Visitenkarten-Seite mit einem klar infizierten Plugin, einem sauberen aktuellen Backup und schnell gefundener Ursache ist das machbar. Installieren Sie dann WordPress-Kern und Plugins aus frischen Kopien neu, prüfen Sie die Benutzer, ändern Sie alle Passwörter und beobachten Sie die Seite einige Wochen.

Holen Sie sich Hilfe, wenn es ein Onlineshop ist, Kundendaten betroffen sind, die Infektion immer wiederkommt oder Sie nicht sagen können, wie der Angreifer hereinkam. Wir bereinigen gehackte Websites aus der Ferne, wie, steht unter So gehen wir bei einer gehackten Website vor. Die Erstdiagnose ist kostenlos, den Festpreis erfahren Sie vor Arbeitsbeginn (ab 450 € netto bei gehackten Websites), und wir sichern vor jeder Änderung. Nach der Diagnose zahlen Sie per Vorkasse.

Wie verhindern Sie, dass es wieder passiert?

Sicherheit funktioniert in Schichten. Kein einzelnes Plugin schützt Sie, erst mehrere kleine Gewohnheiten zusammen.

• Halten Sie WordPress-Kern, Plugins und Themes aktuell und löschen Sie, was Sie nicht nutzen.
• Nutzen Sie für jeden Zugang ein eigenes Passwort und Zwei-Faktor-Authentifizierung bei Hoster, CMS und E-Mail.
• Erstellen Sie täglich Backups und bewahren Sie sie außerhalb des Servers auf.
• Geben Sie jeder Person ein eigenes Konto mit nur den nötigen Rechten.
• Scannen Sie regelmäßig und lassen Sie sich bei Änderungen benachrichtigen.

Das meiste davon ist Routinearbeit, für die im Alltag selten jemand Zeit hat. Unsere Wartungspläne (ab 99 € netto pro Monat) umfassen tägliche Backups außerhalb des Hostings, Erreichbarkeitsprüfungen, Updates mit Rollback und Sicherheitsscans. Möchten Sie vorher etwas besprechen, schreiben Sie uns. Weitere Gewohnheiten finden Sie in Website-Sicherheit für kleine Unternehmen: 7 Schritte.