Ratgeber
Website gehackt – was tun? Die ersten Schritte für kleine Unternehmen
Wenn Ihre Website gehackt wurde, gilt: erst Spuren sichern, dann Zugänge sperren, dann bereinigen. Konkret heißt das: nichts überstürzt löschen, Hoster oder Agentur informieren, alle Passwörter von einem sauberen Gerät aus ändern, die Seite bei Bedarf in den Wartungsmodus nehmen und sie anschließend aus einem Backup von vor dem Angriff wiederherstellen. Danach lassen Sie eine Google-Warnung über die Search Console prüfen und klären, ob Sie den Vorfall nach der DSGVO melden müssen. Dieser Ratgeber führt Sie Schritt für Schritt durch die ersten Stunden und Tage, ohne IT-Abteilung.
- Typische Anzeichen sind Weiterleitungen auf fremde Seiten, Spam-Seiten in den Google-Ergebnissen, Browser-Warnungen, unbekannte Administratorkonten und Mails vom Hoster.
- Nicht sofort löschen: Dateien, Datenbank und Protokolle zuerst sichern. Sie zeigen später, wie der Angreifer hereinkam.
- Passwörter nur von einem Gerät ändern, das nicht betroffen sein kann. Ein Passwort, das auf dem gehackten Server lag, gilt als bekannt.
- Am sichersten ist ein Backup von vor dem Angriff. Ohne geschlossene Lücke ist die Seite aber bald wieder gehackt.
- Waren personenbezogene Daten betroffen, etwa aus Kontaktformularen oder einem Shop, kann eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig sein (Art. 33 DSGVO).
Anzeichen erkennen
Woran Sie einen Hack bemerken.
Zum AbschnittDie ersten Stunden
Sieben Schritte in der richtigen Reihenfolge.
Zum AbschnittPrüfen und bereinigen
Backup, Dateien, Datenbank, Konten.
Zum AbschnittGoogle-Warnung entfernen
Überprüfung in der Search Console beantragen.
Zum AbschnittMelden und Haftung
DSGVO, Polizei, Dokumentation.
Zum AbschnittWann Sie Hilfe holen sollten
Die Grenze des Selbermachens.
Zum AbschnittWoran Sie erkennen, dass Ihre Website gehackt wurde
Die meisten Angriffe auf kleine Websites sind nicht persönlich gemeint: Programme suchen automatisch nach Seiten mit bekannten Lücken. Der Angreifer will Ihre Seite meist unauffällig nutzen, für Spam, Weiterleitungen auf Betrugsseiten oder Schadsoftware. Deshalb fällt ein Hack oft spät auf, und oft zuerst anderen.
| Anzeichen | Was dahinterstecken kann | Wie Sie es prüfen |
|---|---|---|
| Besucher landen auf fremden Seiten | Eingeschleuster Code, der nur manche Besucher umleitet, etwa nur Mobilgeräte oder nur Besucher, die von Google kommen | Seite auf dem Smartphone über die Google-Suche aufrufen, nicht nur direkt im Browser |
| Fremde Seiten in den Google-Ergebnissen | Spam-Seiten, etwa mit Werbung für Medikamente oder mit japanischen Schriftzeichen, unter Ihrer Domain | In Google site:ihre-domain.de eingeben und die Treffer durchsehen |
| Warnung im Browser oder in der Search Console | Google hat Schadsoftware, Phishing oder gehackte Inhalte auf Ihrer Seite gefunden | Search Console, Bereich „Sicherheitsprobleme“; ohne Konto: Website-Status im Google Transparency Report |
| Unbekannte Administratorkonten | Der Angreifer hat sich einen eigenen, dauerhaften Zugang angelegt | Benutzerliste im Backend Ihrer Website nach Konten durchsehen, die Sie nicht kennen |
| Mail vom Hoster | Der Hoster hat Schadcode, Spam-Versand oder auffällige Last bemerkt und die Seite eventuell schon gesperrt | Mail genau lesen, beim Hoster über die bekannte Telefonnummer oder das Kundenkonto nachfragen, nicht über Links in der Mail |
| Kunden melden seltsame Mails oder Formularantworten | Ihr Kontaktformular oder Mailkonto wird für Spam missbraucht | Gesendete Mails und Formulareinstellungen prüfen |
Ein einzelnes Anzeichen ist noch kein Beweis. Achten Sie aber auf eine Falle: Eine Mail, die „Ihre Website wurde gehackt“ meldet und auf einen Link drängt, kann selbst ein Betrugsversuch sein. Prüfen Sie solche Meldungen immer über einen Weg, den Sie selbst kennen.
Die ersten Stunden: sieben Schritte in der richtigen Reihenfolge
Im Ernstfall ist der Reflex, sofort alles Verdächtige zu löschen. Genau das sollten Sie nicht tun. Wer zuerst aufräumt, vernichtet die Spuren, die zeigen, wie der Angreifer hereinkam, und ohne diese Antwort steht die Tür beim nächsten Mal wieder offen.
1. Ruhe bewahren und mitschreiben
Notieren Sie mit Uhrzeit, was Sie bemerkt haben, wen Sie informiert haben und was Sie tun, ergänzt um Screenshots. Diese Notiz brauchen Sie später für Hoster, Versicherung und eine mögliche Datenschutzmeldung.
2. Beweise sichern statt löschen
Lassen Sie eine vollständige Kopie der Website-Dateien und einen Export der Datenbank ziehen, dazu die Protokolle des Webservers (Logs). Viele Hoster bewahren Logs nur wenige Tage auf. Die Kopie legen Sie getrennt ab und spielen sie nie wieder ein, sie ist nur zur Untersuchung da.
3. Hoster, Agentur oder Plattform informieren
Ihr Hoster sieht Dinge, die Sie nicht sehen, etwa Zugriffe auf Server-Ebene, und hat oft selbst schon reagiert. Betreut eine Agentur die Seite, informieren Sie sie sofort. Bei Baukästen wie Shopify, Wix oder Jimdo ist der Support der Plattform der erste Ansprechpartner.
4. Passwörter von einem sauberen Gerät ändern
Ändern Sie die Zugänge zu Website-Backend, Hosting-Konto, Datenbank, FTP/SFTP, Domain-Verwaltung und dem Mailpostfach, über das Passwörter zurückgesetzt werden. Tun Sie das von einem Gerät, das nicht betroffen sein kann, zum Beispiel einem anderen Rechner oder dem Smartphone. Liegt Schadsoftware auf Ihrem Arbeitsrechner, liest sie das neue Passwort sonst gleich mit. Wo möglich, schalten Sie dabei die Zwei-Faktor-Anmeldung ein, also einen zweiten Code zusätzlich zum Passwort.
5. Seite vorübergehend vom Netz nehmen
Liefert die Seite Schadcode aus oder leitet Besucher auf Betrugsseiten, schalten Sie sie in den Wartungsmodus oder lassen sie vom Hoster sperren. Das schützt Ihre Besucher und verhindert, dass der Angreifer weiterarbeitet. Eine kurze Wartungsseite ist für Ihren Ruf deutlich besser als eine Seite, die Kunden auf Betrugsseiten schickt.
6. Fremde Zugänge entfernen
Unbekannte Benutzerkonten sperren und dokumentieren, bevor Sie sie löschen. Prüfen Sie auch, wer sonst noch Zugriff hat: frühere Dienstleister, verbundene Apps, Schnittstellen-Schlüssel. Bei Baukästen heißen diese Zugänge oft „Mitarbeiterkonten“ oder „Apps“.
7. Die Uhr für die Datenschutzmeldung im Blick haben
Ab dem Zeitpunkt, zu dem Sie von einer Verletzung personenbezogener Daten wissen, läuft eine Frist von 72 Stunden. Klären Sie früh, ob Formulardaten, Kundenkonten oder Bestellungen betroffen sein können. Details im Abschnitt Melden und Haftung.
Baukasten oder Agentur: was sich ändert
Bei Baukästen wie Shopify, Wix oder Jimdo kümmert sich die Plattform um Server und Software. Ein „Hack“ ist dort meist ein übernommenes Konto: Jemand hat Ihr Passwort erraten oder abgefischt. Die wichtigsten Schritte sind dann Passwort ändern, Zwei-Faktor-Anmeldung einschalten, Mitarbeiterkonten und installierte Apps prüfen und den Support der Plattform einschalten. Dateien und Server müssen Sie nicht selbst untersuchen.
Wird Ihre Seite von einer Agentur betreut, bleibt die Verantwortung für die Daten trotzdem bei Ihnen. Fragen Sie konkret nach: Welche Lücke war der Einstieg? Welche Daten waren erreichbar? Welcher Backup-Stand wurde zurückgespielt? Lassen Sie sich die Antworten schriftlich geben.
Prüfen und bereinigen: zurück zu einem sauberen Stand
Für die Bereinigung gibt es zwei Wege. Welcher passt, hängt davon ab, ob Sie ein Backup haben, das sicher vor dem Angriff entstanden ist.
| Weg | Wann er passt | Worauf Sie achten müssen |
|---|---|---|
| Backup von vor dem Angriff zurückspielen | Es gibt ein vollständiges Backup, das nachweislich vor dem ersten Anzeichen entstanden ist | Inhalte, die seitdem dazugekommen sind, gehen verloren oder müssen von Hand nachgetragen werden. Direkt danach alle Updates einspielen und die Lücke schließen, sonst ist die Seite bald wieder gehackt. |
| Laufendes System bereinigen | Kein sauberes Backup vorhanden, oder der Angriff begann vor dem ältesten Backup | Aufwendig und fehleranfällig. Angreifer hinterlassen meist mehrere Hintertüren, eine übersehene reicht für den nächsten Einbruch. |
Wichtig ist der Zeitpunkt. Viele Einbrüche werden erst Wochen später bemerkt. Das letzte Backup vor dem Bemerken ist dann oft schon kompromittiert. Gleichen Sie das Backup-Datum mit dem frühesten Anzeichen ab, etwa dem Anlagedatum eines unbekannten Kontos oder dem Änderungsdatum einer fremden Datei.
Unabhängig vom Weg gehört diese Prüfung dazu:
- Benutzer: Alle Konten mit Administrator- oder Redaktionsrechten durchgehen. Jedes Konto muss einer bekannten Person zugeordnet sein.
- Dateien: Neue oder kürzlich geänderte Programmdateien, besonders an Stellen, an denen eigentlich nur Bilder liegen sollten, etwa im Upload-Ordner.
- Datenbank: Eingeschleuste Skripte und Links in Seiten, Beiträgen und Einstellungen, neue Weiterleitungen, fremde Inhalte.
- Erweiterungen: Plugins, Themes oder Apps, die Sie nicht kennen, und solche, die lange kein Update bekommen haben. Ein Update allein entfernt keine bereits eingeschleusten Dateien oder Konten.
- Server-Einstellungen: Geänderte Umleitungsregeln (bei Apache-Servern in der Datei
.htaccess) und neue zeitgesteuerte Aufgaben. - Domain und Mail: Ob die Einträge in der Domain-Verwaltung (DNS) noch auf Ihren Server zeigen und ob im Postfach Weiterleitungsregeln angelegt wurden, die Sie nicht kennen.
Bei WordPress haben wir die technischen Details schon beschrieben: die Reihenfolge nach einem Einbruch im Abschnitt „Verdacht auf einen Einbruch“ unseres PHP2Shell-Artikels und die dauerhafte Härtung im Leitfaden WordPress absichern, einschließlich Prüfsummen-Abgleich der Dateien und Erneuerung der Sicherheitsschlüssel in der wp-config.php.
Die wichtigste Frage der Bereinigung ist nicht „Was hat der Angreifer hinterlassen?“, sondern „Wie ist er hereingekommen?“. Typische Antworten sind ein veraltetes Plugin, ein erratenes oder wiederverwendetes Passwort, ein gestohlenes Konto eines früheren Dienstleisters oder veraltete Server-Software. Solange diese Frage offen ist, ist jede Bereinigung nur vorläufig.
Google-Warnung entfernen lassen
Hat Google Ihre Seite als gehackt oder gefährlich markiert, verschwindet die Warnung nicht von selbst, sobald die Seite sauber ist. Sie müssen eine Überprüfung beantragen. Laut Google läuft das so:
Search Console einrichten
Voraussetzung ist, dass Sie Ihre Website in der Google Search Console als Inhaber bestätigt haben. Hat das bisher Ihre Agentur gemacht, lassen Sie sich als Inhaber hinzufügen.
Bericht „Sicherheitsprobleme“ lesen
Dort nennt Google die Art des Problems und Beispiel-Adressen. Die Liste ist nicht vollständig: Das Problem muss auf der ganzen Website behoben sein, nicht nur auf den genannten Seiten.
Erst bereinigen, dann beantragen
Alle gemeldeten Probleme beheben, die Lücke schließen und die Korrekturen testen. Ein Antrag bei noch bestehendem Problem verlängert laut Google die Bearbeitung.
„Überprüfung anfordern“
Im Bericht die Überprüfung anfordern und beschreiben, was das Problem war, was Sie unternommen haben und woran man den Erfolg erkennt. Danach keinen zweiten Antrag stellen, bis die Entscheidung per Mail kommt.
Google gibt für die Prüfung einige Tage bis mehrere Wochen an, je nach Art des Problems. Ohne Search-Console-Konto können Sie den aktuellen Stand Ihrer Domain im Website-Status des Google Transparency Report nachsehen.
Melden und Haftung
Dieser Abschnitt gibt einen Überblick und ist keine Rechtsberatung. Im Einzelfall klären Sie die Fragen mit Ihrem Datenschutzbeauftragten oder einer Anwältin bzw. einem Anwalt.
Meldung an die Datenschutzaufsicht (Art. 33 DSGVO)
Waren personenbezogene Daten betroffen, etwa Anfragen aus dem Kontaktformular, Kundenkonten, Bestellungen oder Newsletter-Adressen, müssen Sie die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben, der zuständigen Aufsichtsbehörde melden. In Deutschland ist das in der Regel die Datenschutzaufsicht Ihres Bundeslandes. Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt. Wer später meldet, muss die Verzögerung begründen.
- Dokumentieren müssen Sie immer. Auch wenn Sie nicht melden, verlangt Art. 33 Abs. 5 DSGVO, dass Sie den Vorfall mit Fakten, Auswirkungen und ergriffenen Maßnahmen festhalten. Ihre Notizen aus Schritt 1 sind der Anfang.
- Betroffene benachrichtigen müssen Sie nach Art. 34 DSGVO, wenn voraussichtlich ein hohes Risiko für die Personen besteht, etwa wenn Zugangsdaten oder Zahlungsinformationen abgeflossen sein können.
- Lieber früh als vollständig. Liegen noch nicht alle Informationen vor, dürfen Sie diese nach Art. 33 Abs. 4 DSGVO ohne unangemessene Verzögerung schrittweise nachreichen.
Anzeige bei der Polizei
Eine Strafanzeige ist freiwillig, kann aber sinnvoll sein, etwa für Ihre Versicherung oder wenn Kundendaten missbraucht werden. Für Unternehmen gibt es in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC) bei der Polizei, die eine erste Einschätzung gibt und die Strafverfolgung einleitet. Die Übersicht steht auf polizei.de.
Was das BSI bereitstellt
Das Bundesamt für Sicherheit in der Informationstechnik bietet für kleine und mittlere Unternehmen die IT-Notfallkarte „Verhalten bei IT-Notfällen“ an, einen Aushang zum Ausdrucken, ergänzt um einen Maßnahmenkatalog zum Notfallmanagement. Beides hilft vor allem, das nächste Mal vorbereitet zu sein.
Haftung, kurz eingeordnet
Wer durch einen Verstoß gegen die DSGVO einen Schaden erleidet, kann nach Art. 82 DSGVO Schadenersatz verlangen. Von der Haftung befreit ist nur, wer nachweist, dass er für den Vorfall in keiner Weise verantwortlich ist. Ob und wie das in Ihrem Fall greift, hängt von den Umständen ab. Praktisch heißt das: Eine saubere Dokumentation dessen, was Sie vor und nach dem Vorfall getan haben, ist Ihre beste Grundlage. Haben Sie eine Cyber-Versicherung, lesen Sie in der Police nach, bis wann Sie einen Schaden melden müssen, und informieren Sie die Versicherung früh.
Danach: damit es nicht wieder passiert
Eine bereinigte Seite ist nur sicher, wenn der Einstieg geschlossen ist. Die Grundlagen gelten für jede Website: Software und Erweiterungen aktuell halten und Ungenutztes löschen, Zwei-Faktor-Anmeldung für alle Verwaltungskonten, Backups außerhalb des Servers mit geprobter Wiederherstellung und die Search Console als Frühwarnsystem. Für WordPress gehen wir alle Punkte im Leitfaden WordPress absichern mit Checkliste durch.
Wann Sie Hilfe holen sollten
Vieles in diesem Ratgeber können Sie als Inhaber selbst erledigen: Passwörter ändern, Hoster informieren, Konten prüfen, ein Backup zurückspielen lassen. Fachliche Hilfe lohnt sich, sobald eine dieser Situationen zutrifft:
- Sie wissen nicht, wie der Angreifer hereingekommen ist, oder die Seite wurde nach einer Bereinigung erneut gehackt.
- Es gibt kein Backup, das sicher vor dem Angriff entstanden ist.
- Kundendaten, Zahlungsinformationen oder Zugangsdaten können abgeflossen sein, und Sie müssen den Umfang für eine Meldung einschätzen.
- Über die Website sind weitere Systeme erreichbar, etwa ein Shop-Backend, eine Warenwirtschaft oder Kundenportale.
- Ihr Dienstleister kann die Fragen nach Einstieg, Umfang und Bereinigung nicht schriftlich beantworten.
Wir unterstützen kleine Unternehmen dabei, einen Vorfall technisch einzuordnen, die Frage nach dem Einstieg zu beantworten und die Seite danach abzusichern, auf Wunsch mit einem Last- und Stresstest im vereinbarten Umfang. Nach der Bereinigung prüfen wir in einem Penetrationstest im schriftlich vereinbarten Umfang, ob die Lücke geschlossen ist und ob es weitere Wege hinein gibt. Jeder Befund kommt mit Nachweis und Korrektur-Vorschlag, nach Ihren Korrekturen folgt ein Nachtest. Den Umfang stimmen wir auf Ihre Seite ab, das Angebot erstellen wir individuell.
Ihre Website wurde gehackt?
Schildern Sie uns im Erstgespräch, was Sie bemerkt haben und was schon passiert ist. Wir sagen Ihnen offen, welche Schritte jetzt sinnvoll sind und wobei wir helfen können.
Website-Notfall-Check anfragenDie Inhalte dieses Ratgebers ersetzen keine Prüfung Ihres Einzelfalls. CyberSec42 ist eine unabhängige technische Sicherheitsprüfung, keine akkreditierte Zertifizierungsstelle und keine Rechtsberatung.
Häufige Fragen
Wie finde ich heraus, ob meine Website gehackt wurde?
Rufen Sie die Seite auf dem Smartphone über die Google-Suche auf, suchen Sie in Google nach site:ihre-domain.de, prüfen Sie in der Search Console den Bereich „Sicherheitsprobleme“ und sehen Sie die Benutzerliste im Backend nach unbekannten Konten durch. Viele Hacks sind bewusst unauffällig, deshalb reicht ein Blick auf die Startseite nicht.
Soll ich die gehackte Seite sofort löschen?
Nein. Sichern Sie zuerst Dateien, Datenbank und Server-Protokolle. Sonst gehen die Spuren verloren, die zeigen, wie der Angreifer hereinkam. Schalten Sie die Seite stattdessen in den Wartungsmodus oder lassen Sie sie vom Hoster sperren.
Reicht es, ein Backup zurückzuspielen?
Nur wenn das Backup sicher von vor dem Angriff stammt und Sie danach die Lücke schließen. Ein Backup bringt die alte Seite zurück, aber auch die alte Schwachstelle. Ohne Updates und neue Passwörter ist die Seite oft schnell wieder gehackt.
Muss ich einen Website-Hack der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sein können, etwa aus Kontaktformularen, Kundenkonten oder einem Shop, in der Regel ja: unverzüglich und möglichst binnen 72 Stunden (Art. 33 DSGVO). Die Pflicht entfällt nur, wenn voraussichtlich kein Risiko für die betroffenen Personen besteht. Dokumentieren müssen Sie den Vorfall in jedem Fall. Dies ist keine Rechtsberatung.
Wie lange dauert es, bis Google die Warnung entfernt?
Nachdem Sie in der Search Console die Überprüfung angefordert haben, gibt Google je nach Art des Problems einige Tage bis mehrere Wochen an. Stellen Sie den Antrag erst, wenn die ganze Seite bereinigt ist, sonst verlängert sich die Bearbeitung.
Weiterlesen
- Website-Sicherheit prüfen
- Shopify-Shop absichern: was Sie als Händler selbst tun müssen
- WordPress absichern: der praktische Leitfaden für Unternehmen
- PHP2Shell: Was die kritischen PHP-Lücken für WordPress-Seiten bedeuten
- Schwachstellenanalyse: was sie ist und wann Sie eine brauchen
- Leistung: Penetrationstest mit verifizierten Befunden
Quellen
- EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Art. 33, 34 und 82
- Google Search Console-Hilfe: Bericht „Sicherheitsprobleme“
- Google: Request a review (Hilfe für gehackte Websites)
- Google Transparency Report: Website-Status
- Polizei: Zentrale Ansprechstellen Cybercrime (ZAC) für Unternehmen
- BSI: IT-Notfallkarte „Verhalten bei IT-Notfällen“