01 / Ratgeber
Website gehackt? Woran du es erkennst
Nicht jeder Hack ist offensichtlich. Viele Angreifer wollen gar nicht auffallen, sondern deinen Server unbemerkt für Spam oder Weiterleitungen nutzen. Typische Anzeichen:
- Besucher, die über Google oder vom Handy kommen, werden auf fremde Seiten umgeleitet, während du am Rechner nichts merkst
- Bei einer Google-Suche nach site:deinedomain.de tauchen Seiten mit japanischen Zeichen, Pharma- oder Casino-Begriffen auf
- Chrome oder Firefox zeigen eine rote Warnung wie „Achtung, betrügerische Website“ oder „Diese Website könnte gehackt worden sein“
- In WordPress gibt es Administratoren, die niemand angelegt hat, oder du kannst dich nicht mehr anmelden
- Dein Hoster sperrt die Seite oder meldet ungewöhnlich viel E-Mail-Versand oder Serverlast
- Die Google Search Console meldet unter „Sicherheit und manuelle Maßnahmen“ ein Sicherheitsproblem
02 / Ratgeber
Website gehackt überprüfen
Drei kostenlose Prüfungen geben dir in wenigen Minuten ein klares Bild. In der Google Search Console zeigt der Bericht „Sicherheitsprobleme“, ob Google Malware, Phishing oder gehackte Inhalte gefunden hat, oft mit Beispiel-URLs. Der Google Transparenzbericht (Safe Browsing, Website-Status) zeigt, ob deine Domain als unsicher gilt. Ein externer Scanner wie Sucuri SiteCheck findet sichtbaren Schadcode und Blacklist-Einträge.
Diese Tools sehen nur, was von außen sichtbar ist. Eine unauffällige Hintertür auf dem Server finden sie nicht. Ein grünes Ergebnis heißt deshalb nicht, dass alles sauber ist, wenn du andere Anzeichen siehst.
03 / Ratgeber
Die erste Stunde: was du jetzt tun solltest
- 01
Nichts löschen, erst dokumentieren
Mach Screenshots von Warnungen, Weiterleitungen und fremden Inhalten, mit Datum und Uhrzeit. Notiere, wann und wie du den Hack bemerkt hast. Ab diesem Zeitpunkt läuft die 72-Stunden-Frist der DSGVO.
- 02
Website vom Netz nehmen
Verbreitet die Seite Schadcode, Phishing oder liest sie Zahlungsdaten aus, nimm sie sofort offline. Dein Hoster kann das, oder du sperrst den Zugriff per .htaccess und zeigst eine kurze Wartungsseite.
- 03
Hoster informieren
Der Support hat Server-Logs, Backups und sieht oft, über welchen Weg der Angreifer kam. Frag ausdrücklich nach Backups von vor dem Angriff und lass sie nicht überschreiben.
- 04
Passwörter ändern, von einem sauberen Gerät
Hosting-Konto, SFTP oder FTP, Datenbank, alle WordPress-Administratoren, E-Mail-Konten und der Zugang zum Domain-Registrar. Aktiviere überall, wo es geht, die Zwei-Faktor-Anmeldung.
- 05
Den gehackten Zustand sichern
Lade eine Kopie aller Dateien und der Datenbank herunter, getrennt von deinen sauberen Backups. Du brauchst sie, um später den Einstiegspunkt zu finden.
- 06
Klären, ob Daten betroffen sind
Gibt es Kundenkonten, einen Shop, Kontaktformulare mit gespeicherten Anfragen oder eine Newsletter-Liste? Dann prüfe die Meldepflicht weiter unten, bevor die 72 Stunden ablaufen.
04 / Ratgeber
Gehackte Website reparieren: die Bereinigung
Ein Backup einzuspielen reicht allein nicht, denn die Lücke, durch die der Angreifer kam, ist danach noch offen. So gehen wir bei WordPress vor, bei anderen Systemen sinngemäß:
- 01
Sauberes Backup finden
Bestimme anhand von Logs und Dateidaten, wann der Angriff begann, und nimm ein Backup von davor. Ohne sauberes Backup geht es mit den folgenden Schritten von Hand weiter.
- 02
Kern, Plugins und Theme neu installieren
Die Ordner wp-admin und wp-includes durch frische Dateien von wordpress.org ersetzen, Plugins und Themes nur aus offiziellen Quellen neu installieren. Raubkopierte („nulled“) Themes und Plugins sind ein häufiger Einstieg und fliegen raus.
- 03
Versteckten Code suchen
PHP-Dateien im Ordner wp-content/uploads gehören dort nicht hin. Prüf außerdem .htaccess, wp-config.php und index.php auf eingeschleusten Code sowie die Cronjobs im Hosting-Konto.
- 04
Datenbank prüfen
Unbekannte Benutzer in der Tabelle wp_users entfernen, die Einträge siteurl und home in wp_options kontrollieren, nach eingeschleusten Skripten und Spam-Links in Beiträgen suchen.
- 05
Sicherheitsschlüssel erneuern
Neue Salts in der wp-config.php meldet alle Sitzungen ab, auch die des Angreifers. Danach erneut alle Passwörter setzen.
- 06
Einstiegspunkt schließen
Veraltetes Plugin, schwaches Passwort, eine vergessene alte Website im selben Hosting-Konto? Ohne diese Antwort kommt der Angreifer meist innerhalb von Tagen zurück.
- 07
Aktualisieren und überwachen
Alles auf den neuesten Stand, eine aktuelle PHP-Version, eine Firewall wie Wordfence und in den folgenden Wochen täglich prüfen, ob neue Dateien auftauchen.
05 / Ratgeber
Google-Warnung entfernen und Spam-Seiten aus dem Index holen
Wenn Google deine Seite als gefährlich markiert hat, beantragst du nach der Bereinigung in der Search Console im Bericht „Sicherheitsprobleme“ eine Überprüfung. Beschreibe kurz, was passiert ist und was du getan hast. Die Prüfung dauert in der Regel einige Tage. Beantrage sie erst, wenn die Seite wirklich sauber ist, sonst dauert die nächste länger.
Hat der Angreifer tausende Spam-Seiten angelegt, sollen diese URLs jetzt den Status 404 oder 410 liefern. Entferne sie aus der Sitemap und reiche die saubere Sitemap neu ein. Es dauert ein paar Wochen, bis Google sie vergessen hat. Hat dein Server Spam verschickt, prüf auch die Zustellbarkeit deiner Mails, wie im Ratgeber E-Mails landen im Spam beschrieben.
06 / Ratgeber
Datenschutz: Meldepflicht nach Art. 33 DSGVO
Ein Hack ist eine Verletzung des Schutzes personenbezogener Daten, sobald Angreifer auf Daten wie Namen, E-Mail-Adressen, Bestellungen oder Formular-Anfragen zugreifen konnten. Dann gelten diese Pflichten:
| Pflicht | Wann | Grundlage |
|---|---|---|
| Meldung an die Datenschutz-Aufsichtsbehörde | Unverzüglich, möglichst innerhalb von 72 Stunden, nachdem du davon erfahren hast. Ausnahme: Ein Risiko für die Betroffenen ist unwahrscheinlich | Art. 33 Abs. 1 DSGVO |
| Begründung bei verspäteter Meldung | Wenn du die 72 Stunden nicht schaffst. Fehlende Angaben darfst du nachreichen | Art. 33 Abs. 1 und 4 DSGVO |
| Benachrichtigung der betroffenen Personen | Unverzüglich, wenn voraussichtlich ein hohes Risiko besteht, etwa bei Passwörtern, Zahlungs- oder Gesundheitsdaten | Art. 34 DSGVO |
| Interne Dokumentation | Immer, auch wenn du nicht melden musst: was passiert ist, welche Folgen, welche Maßnahmen | Art. 33 Abs. 5 DSGVO |
Zuständig ist in Deutschland die Datenschutzbehörde deines Bundeslandes, in Nordrhein-Westfalen etwa die LDI NRW. Die meisten Behörden haben ein Online-Formular für Datenpannen. Betreut eine Agentur oder ein Hoster deine Website als Auftragsverarbeiter, muss sie dich ihrerseits unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Melden musst aber du als Verantwortlicher.
Unabhängig davon kannst du Strafanzeige bei der Polizei stellen, in den meisten Bundesländern online. Eine Cyberversicherung verlangt das oft. Dieser Abschnitt ist eine Orientierung und keine Rechtsberatung. Bei Unsicherheit hilft dein Datenschutzbeauftragter oder ein Anwalt.
08 / Ratgeber
Was du Kunden sagst
Schweigen wirkt schlimmer als der Hack. Wenn Kunden betroffen sein könnten, informiere sie kurz, sachlich und ohne Vermutungen:
- Was passiert ist, in einem Satz und ohne Fachbegriffe, mit Datum
- Welche Daten betroffen sein könnten und welche sicher nicht, etwa weil Zahlungen über einen externen Zahlungsanbieter laufen
- Was du bereits getan hast: Seite bereinigt, Passwörter erneuert, Behörde informiert
- Was Kunden tun sollten: Passwort ändern, wenn sie es woanders auch nutzen, und bei Mails in deinem Namen vorsichtig sein, die zur Zahlung oder Anmeldung auffordern
- Eine Ansprechperson mit E-Mail-Adresse oder Telefonnummer für Rückfragen
09 / Ratgeber
WordPress wird ständig gehackt? So bleibt die Seite sauber
Wird eine Website immer wieder gehackt, wurde fast immer der Einstiegspunkt nicht gefunden oder eine zweite Hintertür übersehen. Danach geht es um Routine: Updates für Kern, Plugins und Themes innerhalb weniger Tage, so wenige Plugins wie möglich, keine raubkopierten Erweiterungen, Zwei-Faktor-Anmeldung für alle Administratoren und Backups, die außerhalb des Hosting-Kontos liegen.
Ist die Website alt, voller ungepflegter Plugins und baulich am Ende, ist ein sauberer Neuaufbau oft günstiger als die dritte Bereinigung. Woran du das erkennst, steht in unserem Artikel über Anzeichen für einen Website-Relaunch. Genau so arbeiten wir: Eine gehackte WordPress-Seite holen wir im Notfall zurück und sichern die Daten, danach ziehen wir sie auf eine selbst programmierte Website ohne Plugin-Ballast um, als Teil unserer Webentwicklung. WordPress dauerhaft zu betreiben und zu pflegen bieten wir nicht an.
FAQ
Häufige Fragen
01Wie erkenne ich, ob meine Website gehackt wurde?
Typisch sind Weiterleitungen auf fremde Seiten (oft nur für Besucher von Google oder vom Handy), Spam-Seiten bei einer Suche nach site:deinedomain.de, Browser-Warnungen, unbekannte Administratoren und Meldungen in der Google Search Console unter Sicherheitsprobleme.
02Reicht es, ein Backup einzuspielen?
Nur als erster Schritt. Das Backup muss von vor dem Angriff stammen, und danach musst du die Lücke schließen, durch die der Angreifer kam. Sonst ist die Seite oft nach wenigen Tagen wieder gehackt.
03Muss ich einen Hack der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sind und ein Risiko für die Betroffenen nicht unwahrscheinlich ist, ja: unverzüglich und möglichst innerhalb von 72 Stunden nach Art. 33 DSGVO. Dokumentieren musst du den Vorfall in jedem Fall. Das ist keine Rechtsberatung.
04Wie lange dauert es, eine gehackte Website zu reparieren?
Eine typische WordPress-Seite mit sauberem Backup ist oft am selben Tag wieder online. Ohne Backup oder bei großen Shops kann die Bereinigung ein bis drei Tage dauern. Die Google-Prüfung nach der Bereinigung dauert zusätzlich einige Tage.
05Warum wird meine WordPress-Seite ständig gehackt?
Meist ist der Einstiegspunkt noch offen: ein veraltetes oder raubkopiertes Plugin, ein schwaches Passwort, eine vergessene zweite Website im selben Hosting-Konto oder eine Hintertür, die bei der Bereinigung übersehen wurde.
06Was kostet die Reparatur einer gehackten Website?
Das hängt von Größe, Backups und Schaden ab. Wir nennen dir nach einem kurzen Gespräch einen Festpreis, bevor wir anfangen.