Startseite / Ratgeber / Website gehackt: was tun?

— Ratgeber

Website gehackt: was jetzt zu tun ist

Wenn Ihre Website gehackt wurde, zählt die Reihenfolge: Seite sperren, Daten und Protokolle sichern, Zugänge ändern, Lücke finden, bereinigen oder ein sauberes Backup einspielen, Lücke schließen, absichern und erst dann wieder freigeben. Wer sofort Dateien löscht oder die Seite einfach weiterlaufen lässt, macht die Lage meist schlimmer. Dieser Ratgeber führt Sie Schritt für Schritt durch die ersten Stunden und zeigt, wann Fachhilfe sinnvoll ist.

Veröffentlicht am 07.10.2026 · Von Rico Jacobs, DISOTECH GmbH, Berlin

Woran Sie erkennen, dass die Website gehackt wurde

Nicht jeder Hack ist sofort sichtbar. Viele Angreifer wollen gerade nicht auffallen, weil die Seite als Spam-Schleuder oder Phishing-Versteck für sie wertvoller ist, solange sie unbemerkt läuft. Ein einzelnes Anzeichen ist noch kein Beweis, mehrere zusammen sind ein klarer Anlass, sofort zu handeln. Typische Hinweise aus unserer Erfahrung:

• Besucher landen auf fremden Seiten, meist mit Werbung für Medikamente, Glücksspiel oder Kredite.
• Google zeigt unter Ihrer Domain Treffer mit fremden Texten, oft in anderen Sprachen, oder markiert die Seite in den Suchergebnissen mit „Diese Website wurde möglicherweise gehackt“.
• Der Browser blockiert den Aufruf mit einer roten Warnseite.
• Es tauchen unbekannte Admin-Benutzer, Plugins oder Dateien auf, die niemand angelegt hat.
• Die Seite ist deutlich langsamer, zeigt Fehlermeldungen oder lädt Inhalte von fremden Domains nach.
• Kunden berichten von seltsamen E-Mails, die scheinbar von Ihrer Domain kommen.

Sofortmaßnahmen: die richtige Reihenfolge in acht Schritten

Die Reihenfolge ist wichtiger als das Tempo. Die ersten drei Schritte gehören in die ersten Stunden. Arbeiten Sie die Punkte nacheinander ab und notieren Sie, was Sie wann getan haben.

1. Seite sperren: Sperren Sie den Zugriff auf Serverebene, etwa über einen Passwortschutz oder eine statische Hinweisseite im Hosting-Kundenbereich. Ein Wartungsmodus-Plugin im CMS reicht nicht, weil die Installation samt Schadcode dann weiterläuft. So stoppen Sie die Verbreitung an Besucher und schützen Ihren Ruf bei Google.
2. Daten und Protokolle sichern: Laden Sie eine vollständige Kopie der aktuellen Dateien und der Datenbank herunter, dazu Server-Logs, Zugriffsprotokolle und E-Mail-Logs, bevor Sie weitere Änderungen vornehmen. Überschreiben Sie dabei keine vorhandenen Backups. Ohne Logs lässt sich der Einstiegsweg oft nicht finden, und viele Hoster halten sie nur kurz vor.
3. Zugänge ändern: Admin-Logins, FTP/SFTP, Datenbank, Hosting-Kundenbereich, E-Mail-Postfächer und API-Schlüssel. Nutzen Sie neue, lange Passwörter und aktivieren Sie die Zwei-Faktor-Anmeldung, wo sie angeboten wird. Fremde Benutzer im CMS und im Hosting sperren Sie erst jetzt, also nach dem Sichern. Löschen Sie sie noch nicht, denn sie können Spuren enthalten.
4. Lücke finden: Werten Sie die gesicherten Protokolle aus und prüfen Sie veraltete Plugins, schwache Passwörter und offene Upload-Funktionen. Melden Sie den Vorfall auch beim Hosting-Support: Viele Anbieter haben Log-Dateien, die Sie selbst nicht sehen, und können den Angriffsweg eingrenzen.
5. Bereinigen oder sauberes Backup einspielen: Suchen Sie das letzte Backup, das eindeutig vor dem Einbruch liegt. Oft ist das älter, als man denkt, weil viele Infektionen wochenlang unbemerkt bleiben. Gibt es keines, bleibt die Bereinigung von Hand. Beide Wege beschreibt der nächste Abschnitt.
6. Lücke schließen: Spielen Sie Updates ein, entfernen Sie ungenutzte Erweiterungen und vergeben Sie die Zugänge neu. Sonst kann der Angreifer über denselben Weg zurückkommen.
7. Absichern: Setzen Sie vorbeugende Maßnahmen um, etwa zu Updates, Backups und Überwachung, und halten Sie in einem Plan für die Zukunft fest, wer sich worum kümmert. Die wichtigsten Maßnahmen stehen weiter unten.
8. Freigeben: Schalten Sie die Seite erst jetzt wieder frei und prüfen Sie Formulare, Kasse und E-Mails.

Bereinigen: Schadcode entfernen oder sauberes Backup zurückspielen

Es gibt zwei Wege. Der schnellere ist das Zurückspielen eines sauberen Backups: Seite dabei gesperrt lassen, Updates einspielen, die Lücke schließen, die Zugänge neu vergeben und absichern, erst dann wieder freischalten. Der aufwendigere ist die manuelle Bereinigung, wenn kein sauberes Backup existiert oder seitdem zu viel Inhalt dazugekommen ist. Bei WordPress heißt das, die Grunddateien des Systems (Core), Themes und Plugins durch frische Originale zu ersetzen und Uploads sowie Datenbank auf Schadcode zu prüfen; im Upload-Ordner gehören nur Bilder und Dokumente hin, keine ausführbaren PHP-Dateien. Bei beiden Wegen gilt:

• Die Einfallslücke (veraltetes Plugin, schwaches Passwort, offene Upload-Funktion) vor dem Bereinigen finden und danach schließen, bevor die Seite wieder online geht. Sonst ist der Angreifer nach unserer Erfahrung oft in wenigen Tagen wieder da.
• Nach der Bereinigung alle Passwörter ein zweites Mal ändern, weil der Angreifer die ersten neuen Zugänge mitgelesen haben kann.
• Hintertüren suchen: kleine PHP-Dateien mit harmlosen Namen in Upload- und Cache-Ordnern, geänderte .htaccess-Dateien, Cron-Jobs, die niemand kennt.
• Google Search Console prüfen und, falls eine Warnung angezeigt wird, nach der Bereinigung eine Überprüfung beantragen.

Mehr dazu unter WordPress gehackt.

Diese Fehler machen es schlimmer

• Fremde Benutzer oder verdächtige Dateien löschen, bevor gesichert ist. Erst sichern, dann fremde Benutzer sperren.
• Nur das sichtbare Symptom löschen, etwa die Weiterleitung, und den Rest laufen lassen.
• Die Seite weiterlaufen lassen, weil gerade eine Kampagne läuft. Jeder Besucher, der in dieser Zeit Schadcode abbekommt, schadet Ihrem Ruf; werden dabei Daten abgegriffen, kann das ein Datenschutzvorfall sein.
• Nur das Admin-Passwort ändern, aber FTP, Datenbank und Hosting-Zugang vergessen.
• Ein Sicherheits-Plugin installieren und darauf vertrauen, dass damit alles erledigt ist. Scanner finden bekannte Muster, individuell versteckte Hintertüren übersehen sie häufig.
• Keine Dokumentation anlegen. Wer später gegenüber Kunden, Versicherung oder Behörde erklären muss, was passiert ist, braucht Zeitpunkte und Schritte.

Datenschutz: was Sie allgemein beachten sollten

Sobald die Website personenbezogene Daten verarbeitet, etwa über Kontaktformulare, Kundenkonten, Newsletter oder einen Shop, kann ein Hack auch eine Datenschutzverletzung sein. Die DSGVO sieht dafür Melde- und Informationspflichten mit Fristen vor, die je nach Risiko für die Betroffenen greifen; eine Meldung an die Aufsichtsbehörde kann innerhalb von 72 Stunden nötig sein. Ob und wen Sie informieren müssen, hängt vom Einzelfall ab: Welche Daten lagen auf dem System, konnte der Angreifer sie lesen oder kopieren, und wie lange hatte er Zugriff?

Dies ist keine Rechtsberatung. Halten Sie den Vorfall sauber fest, prüfen Sie, welche Daten betroffen sein könnten, und lassen Sie im Zweifel rechtlich prüfen, ob eine Meldung an die Aufsichtsbehörde oder eine Information der Betroffenen nötig ist.

Wann Fachhilfe nötig ist

Vieles aus der Sofortliste können Sie selbst erledigen. Wir helfen Betreibern aus Berlin und ganz Deutschland bei der Bereinigung und beim Schließen der Lücke; wie wir dabei vorgehen, steht unter Website-Sicherheit. Wichtig ist, dass die Hilfe mit einer Analyse beginnt und nicht mit dem Löschen. Spätestens an diesen Punkten lohnt sich Unterstützung:

• Es gibt kein sauberes Backup, oder Sie wissen nicht, ab wann die Seite infiziert war.
• Die Infektion kommt nach dem Zurückspielen wieder.
• Ein Onlineshop oder Kundenlogins sind betroffen, also Zahlungs- oder Kontodaten im Spiel.
• Der Hoster hat den Account gesperrt und fordert eine Bereinigung als Bedingung für die Freischaltung.
• Google oder der Browser warnen vor der Seite, und die Warnung bleibt auch nach Ihrer Bereinigung sichtbar.

Nach dem Hack: so sinkt das Risiko für das nächste Mal

Eine bereinigte Website ist nicht automatisch eine geschützte Website. Deshalb steht vor der Freigabe ein eigener Schritt: vorbeugende Maßnahmen und ein Plan für die Zukunft. Die meisten Einbrüche, die wir sehen, laufen über veraltete Erweiterungen, wiederverwendete Passwörter oder vergessene Testinstallationen auf demselben Server. Was das Risiko senkt:

• Regelmäßige Updates von CMS, Themes und Plugins, idealerweise als feste Routine über eine WordPress-Wartung, mit Prüfung nach jedem Update.
• Automatische Backups an einem Ort, den der Webserver nicht überschreiben kann, und ein Test, ob sich das Backup wirklich zurückspielen lässt.
• Zwei-Faktor-Anmeldung für alle Admin-Konten, keine geteilten Logins, Rollen mit minimalen Rechten.
• Ungenutzte Plugins, Themes und Testinstallationen löschen, nicht nur deaktivieren.
• Eine Hosting-Umgebung mit getrennten Accounts je Website, damit ein Einbruch nicht auf Nachbarprojekte übergreift; das ist einer der Gründe für ein Managed Hosting.
• Ein vorgeschalteter Filter, etwa über einen Managed Service für Cloudflare, hält bekannte Angriffsmuster und Bots ab. Er ersetzt aber weder Updates noch Backups und ist kein vollständiger Schutz.
• Ein Monitoring, das Änderungen an Dateien und neue Benutzer meldet, damit der nächste Versuch nach Stunden statt nach Wochen auffällt.

Steht nach dem Vorfall ohnehin ein Neubau an, hilft der Ratgeber Relaunch ohne Rankingverlust dabei, die vorhandene Sichtbarkeit mitzunehmen.

Häufige Fragen

Das könnte auch passen

WordPress gehacktSchnelle Hilfe bei gehackter Website: sperren, sichern, bereinigen, Lücke schließen, absichern. SicherheitAudit, Härtung, Überwachung und Hilfe im Ernstfall. Wartung & SupportGeprüfte Updates, getestete Backups, Überwachung und Support. Cookie-Banner-PflichtWann Ihre Website ein Cookie-Banner braucht, wann nicht und welche Fehler bei Banner und Consent-Tool nach unserer Erfahrung häufig vorkommen.28.10.2026