Website gehackt: was Sie in der ersten Stunde tun sollten
Ihre Seite zeigt Spam, leitet Besucher woandershin oder Google warnt vor ihr. Hier ist eine Checkliste für die nächste Stunde, in der Reihenfolge, die den Schaden am stärksten begrenzt. Technisches Vorwissen ist nicht nötig.
Löschen Sie noch nichts. Rufen Sie Ihren Hoster an oder schreiben Sie ihm, und bitten Sie ihn, den Hack zu bestätigen und die Seite offline zu nehmen, falls Besucher zu Schaden kommen. Ändern Sie von einem vertrauenswürdigen Computer aus alle Passwörter, die zur Seite gehören. Sichern Sie eine Kopie der gehackten Seite als Beweis. Spielen Sie dann ein sauberes Backup von vor dem Hack ein oder lassen Sie die Seite bereinigen, aktualisieren Sie alles und beantragen Sie bei Google eine Überprüfung. Könnten Kundendaten betroffen sein, läuft die 72-Stunden-Frist der DSGVO bereits.
Senden Sie mir die Adresse und was Sie sehen. Ich sage Ihnen, was wahrscheinlich passiert ist und was jetzt zu tun ist. Kostenlos, kein Verkaufsgespräch, Antwort auf Englisch.
Anzeichen, dass es wirklich ein Hack ist
- Spam-, Pharma- oder Casino-Texte auf Ihren Seiten oder in Ihren Google-Ergebnissen.
- Besucher werden auf eine andere Seite umgeleitet, oft nur aus Google heraus oder nur auf dem Handy.
- Eine Warnung im Browser oder von Google, dass die Website gehackt oder betrügerisch sein könnte.
- Admin-Nutzer, die Sie nicht angelegt haben, oder Sie können sich nicht mehr anmelden.
- Ihr Hoster hat das Konto gesperrt, oder Ihre E-Mails landen plötzlich im Spam.
Wenn Sie die Google Search Console nutzen, zeigt der Bericht zu Sicherheitsproblemen, was Google gefunden hat. Eine Seite, die nur langsam oder nicht erreichbar ist, ist nicht unbedingt gehackt. Ihr Hoster kann den Unterschied meist erkennen.
Die erste Stunde, der Reihe nach
- Ruhe bewahren und aufschreiben, was Sie sehen.Screenshots, wann Sie es bemerkt haben und ob vorher etwas Ungewöhnliches passiert ist. Das brauchen Sie für den Hoster, eine Versicherung oder eine Meldung.
- Den Hoster kontaktieren.Viele Hoster haben ein Sicherheitsteam, können einen Hack bestätigen und die Seite offline oder in den Wartungsmodus nehmen, damit sie Besuchern nicht weiter schadet.
- Passwörter ändern, von einem sauberen Computer.Hosting-Konto, alle Admins der Website, FTP oder SFTP, die Datenbank und die E-Mail-Konten der Domain. Aktivieren Sie die Zwei-Faktor-Anmeldung, wo sie angeboten wird. Könnte Ihr eigener Computer infiziert sein, nutzen Sie einen anderen.
- Eine Kopie der gehackten Seite sichern.Laden Sie Dateien und Datenbank im jetzigen Zustand herunter oder bitten Sie den Hoster darum. Die Bereinigung zerstört die Spuren, wie der Angreifer hereinkam.
- Ein sauberes Backup einspielen oder die Seite bereinigen lassen.Nur ein Backup von vor dem Hack hilft. Ohne eines muss die Seite Datei für Datei bereinigt werden, und das ist Arbeit für einen Profi.
- Alles aktualisieren.WordPress oder Ihr CMS, alle Plugins und Themes und die PHP-Version darunter. Entfernen Sie ungenutzte Plugins. Ein veraltetes Plugin ist der häufigste Weg hinein.
- Google bitten, die Warnung zu entfernen.Wenn die Seite sauber ist, nutzen Sie "Überprüfung beantragen" im Bericht zu Sicherheitsproblemen in der Search Console.
Wenn Kundendaten betroffen sein könnten
Ein Webshop, ein Buchungsformular oder ein Mitgliederbereich enthält personenbezogene Daten. Nach Artikel 33 DSGVO muss das Unternehmen, das die Seite betreibt, eine Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Datenschutzbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen. In Deutschland ist das die Datenschutzbehörde Ihres Bundeslandes. Verantwortlich ist in der Regel der Betreiber der Website, nicht der Hoster. Dies ist keine Rechtsberatung, ziehen Sie im Zweifel Ihren Anwalt hinzu.
Warum Seiten erneut gehackt werden
Wer ein Backup einspielt, ohne die Lücke zu schließen, holt den Angreifer zurück, oft innerhalb weniger Tage. Die üblichen Lücken sind ein veraltetes Plugin, ein wiederverwendetes oder geleaktes Passwort oder alte Serversoftware wie eine ungepatchte PHP-Version. Auf Ihrem eigenen VPS oder Server patcht niemand das System, außer Sie oder Ihr Entwickler. Genau das übernimmt Wardio: Patches, Überwachung geänderter Dateien und Backups, die wir durch Wiederherstellen testen. Siehe auch PHP-Version aktualisieren.
Stolperfallen
- Der Hack zeigt sich vielleicht nur manchen Besuchern. Viele Umleitungen greifen nur für Besucher aus Google oder auf dem Handy, sodass die Seite gut aussieht, wenn Sie die Adresse selbst eintippen. Prüfen Sie es auf dem Handy über eine Google-Suche.
- Infizierte Dateien zu löschen reicht nicht. Angreifer hinterlassen meist eine versteckte Hintertür, etwa einen falschen Admin-Nutzer oder eine zusätzliche Datei. Ohne Updates und neue Passwörter wird die Seite erneut infiziert.
- Nicht von einem infizierten Computer anmelden. Hat Schadsoftware auf Ihrem PC das Passwort gestohlen, wird auch ein neues Passwort, auf demselben PC eingegeben, gestohlen.
So wurde es geprüft. Am 23. Oktober 2026 haben wir die Schritte mit der offiziellen WordPress-FAQ "My site was hacked" und Googles Dokumentation zum Bericht über Sicherheitsprobleme und zu Überprüfungsanträgen abgeglichen, die Meldepflicht mit dem Text von Artikel 33 DSGVO. Diese Seite ist eine allgemeine Orientierung, keine Rechtsberatung.
Quellen
- FAQ My site was hacked, WordPress-Dokumentation
- Security issues report, Search Console Hilfe
- Security issues and hacked sites, Google Search Central
- Art. 33 GDPR: Notification of a personal data breach to the supervisory authority
Häufige Fragen
Was tun, wenn die Website gehackt wurde?
Ruhe bewahren und noch nichts löschen. Kontaktieren Sie Ihren Hoster, der einen Hack oft bestätigen und die Seite offline nehmen kann. Ändern Sie von einem vertrauenswürdigen Computer aus die Passwörter für das Hosting-Konto, alle Admin-Konten der Website, FTP oder SFTP, die Datenbank und die E-Mail-Konten der Domain. Sichern Sie danach eine Kopie der gehackten Seite als Beweis, bevor jemand mit der Bereinigung beginnt.
Wie erkenne ich, ob meine Website gehackt wurde?
Typische Anzeichen sind Spam oder fremdsprachiger Text auf Seiten oder in den Suchergebnissen, Besucher, die auf andere Seiten umgeleitet werden, eine Warnung von Google oder dem Browser, dass die Website gehackt oder betrügerisch sein könnte, neue Admin-Nutzer, die Sie nicht angelegt haben, eine Sperrung durch den Hoster oder E-Mails, die plötzlich im Spam landen. Die Google Search Console zeigt im Bericht zu Sicherheitsproblemen, was Google gefunden hat.
Muss ich eine gehackte Website melden, und wer haftet?
Wenn personenbezogene Daten wie Namen, E-Mail-Adressen, Anschriften oder Bestellungen betroffen sein könnten, verlangt die DSGVO vom Unternehmen, das die Seite betreibt, eine Meldung an die Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen. In Deutschland ist das die Datenschutzbehörde Ihres Bundeslandes. Verantwortlich im Sinne der DSGVO ist in der Regel der Betreiber der Website. Dies ist keine Rechtsberatung.
Reicht es, ein Backup einzuspielen?
Nur ein Backup von vor dem Hack, und nur zusammen mit neuen Passwörtern und aktualisierter Software. Sonst kommt der Angreifer auf demselben Weg zurück, oft innerhalb weniger Tage. Ein Restore entfernt außerdem die Spuren, sichern Sie also zuerst den gehackten Zustand, wenn Sie den Vorfall melden oder die Ursache finden müssen.
Senden Sie mir die Adresse und was passiert ist. Sie erhalten eine klare Antwort, was zu tun ist, und auf Wunsch räumen wir auf und halten die Seite gepatcht. Antwort auf Englisch. Preise (EN).