Website gehackt: was jetzt zu tun ist – Schritt für Schritt

Der Moment, in dem klar wird, dass die eigene Website kompromittiert ist, fühlt sich selten dramatisch an – häufig beginnt es mit einer unauffälligen Warnung im Browser, einer Kundenmail über seltsame Weiterleitungen oder einer plötzlich spürbar langsameren Seite. Wie in den ersten Stunden reagiert wird, entscheidet oft darüber, ob aus einem eingrenzbaren Vorfall ein monatelanges Problem wird.

Dieser Artikel beschreibt einen strukturierten Ablauf für den Ernstfall: von den ersten Anzeichen über die Bereinigung bis zu der Frage, wann eine Meldepflicht besteht und wie verlorenes Vertrauen bei Suchmaschinen und Kunden zurückgewonnen wird.

Typische Anzeichen, dass etwas nicht stimmt

Ein kompromittierter Zustand zeigt sich selten offensichtlich. Häufige Warnsignale sind eine Warnmeldung des Browsers oder der Google Search Console zu schädlichen Inhalten, unerklärliche Weiterleitungen auf fremde Seiten, neue Administrator-Konten, die niemand angelegt hat, plötzlich auftauchende Werbeeinblendungen oder eine spürbar verlangsamte Website ohne erkennbaren Grund.

Auch scheinbar unabhängige Signale können auf einen Hack hindeuten: Kunden melden Spam-Mails, die offenbar von der eigenen Domain stammen, oder ein plötzlicher, unerklärlicher Einbruch der organischen Sichtbarkeit, wie er auch im Beitrag Warum bricht mein Google-Traffic ein? beschrieben wird. Nicht jeder Traffic-Einbruch ist ein Hack, aber jeder unerklärliche gehört auf die Prüfliste.

Manchmal fällt der Vorfall zuerst extern auf: ein Hosting-Anbieter meldet ungewöhnlichen Datenverkehr, oder eine Sicherheitswarnung eines Browser-Herstellers erreicht Besucher noch bevor der Betreiber selbst etwas bemerkt. Wer solche externen Hinweise ernst nimmt, statt sie als Fehlalarm abzutun, gewinnt wertvolle Zeit.

Sofortmaßnahmen: isolieren und Zugänge sperren

Erster Schritt ist nicht die Fehlersuche im Detail, sondern das Eindämmen weiteren Schadens. Dazu gehören: alle Passwörter der Verwaltungskonten sofort ändern – Content-Management-System, Hosting, Datenbank, FTP –, unbekannte Administrator-Konten identifizieren und sperren, und, sofern die Seite aktiv schädliche Inhalte ausliefert, kurzzeitig einen Wartungsmodus oder eine vollständige Offline-Schaltung in Betracht ziehen.

Diese Schritte verhindern, dass sich ein Angreifer während der laufenden Aufräumarbeiten erneut Zugriff verschafft oder der Schaden für Besucher weiter anwächst, während im Hintergrund an der eigentlichen Bereinigung gearbeitet wird.

Das Ausmaß feststellen

Bevor bereinigt wird, hilft ein möglichst genauer Überblick: Welche Dateien wurden verändert oder neu angelegt, wann fand die früheste erkennbare Manipulation statt, und sind neben Dateien auch Datenbankinhalte betroffen, etwa eingeschleuster Spam-Content oder manipulierte Nutzerkonten?

Ein Abgleich mit dem letzten bekannt sauberen Stand ist dabei die verlässlichste Methode, um den tatsächlichen Umfang zu erkennen. Ohne einen solchen Referenzpunkt bleibt die Einschätzung des Schadens zwangsläufig unvollständig.

Hilfreich ist außerdem ein Blick in vorhandene Server-Protokolle: Sie zeigen oft, über welchen Weg und zu welchem Zeitpunkt der erste unbefugte Zugriff stattfand, und helfen dabei, zwischen einem einmaligen Vorfall und einem seit Längerem bestehenden, unbemerkten Zugang zu unterscheiden.

Bereinigen mit einem sauberen Backup

Existiert ein nachweislich sauberes, aktuelles Backup von vor dem Vorfall, ist die Wiederherstellung meist der schnellste und zuverlässigste Weg zurück zu einer funktionierenden, unbelasteten Website. Wichtig ist, vorher sicherzustellen, dass das gewählte Backup tatsächlich vor der Kompromittierung entstanden ist – sonst wird der Angriff mitsamt seinen Spuren einfach reaktiviert.

Nach der Wiederherstellung müssen zusätzlich alle Zugänge erneut geändert werden, selbst wenn das alte Backup sie noch enthält, da nicht ausgeschlossen werden kann, dass bereits vorher Zugangsdaten abgeflossen sind. Wie eine belastbare Backup-Strategie überhaupt aussieht, beschreibt der Beitrag Website absichern: Backups, Updates und Sicherheit.

Bereinigen ohne sauberes Backup

Fehlt ein brauchbares Backup, bleibt nur die manuelle Bereinigung: verdächtige oder unbekannte Dateien identifizieren und entfernen, veränderte Kerndateien der genutzten Software durch bekannt saubere Originalversionen ersetzen, und die Datenbank auf eingeschleuste Inhalte oder manipulierte Konten durchsuchen.

Dieser Weg ist deutlich aufwendiger und fehleranfälliger, weil sich versteckte Schadcodes leicht übersehen lassen. In komplexeren Fällen lohnt sich hier fachkundige Unterstützung, statt auf eigene Faust Symptome zu bekämpfen, ohne die eigentliche Ursache zu kennen.

Die Ursache verstehen, bevor die Seite wieder online geht

Eine bereinigte Website, die auf demselben Weg wieder kompromittiert werden kann, über den der Angreifer ursprünglich hineinkam, ist keine dauerhafte Lösung. Häufige Ursachen sind veraltete Software mit bekannten Sicherheitslücken, ein über Phishing erbeutetes Passwort, oder eine unsichere Erweiterung beziehungsweise ein unsicheres Plugin.

Vor dem erneuten Livegang sollte deshalb geprüft werden, ob alle Softwarekomponenten aktuell sind, ob betroffene Zugänge tatsächlich neu und ausreichend komplex vergeben wurden, und ob die ursprüngliche Schwachstelle konkret identifiziert und geschlossen ist – nicht nur ihre sichtbaren Auswirkungen beseitigt wurden.

Lässt sich die genaue Ursache trotz Prüfung nicht zweifelsfrei bestimmen, ist besondere Vorsicht angebracht: In solchen Fällen lohnt sich eine engmaschigere Beobachtung der Website in den Wochen nach der Bereinigung, um einen erneuten Vorfall frühzeitig zu erkennen.

Rechtliche Meldepflichten prüfen

Wurden bei dem Vorfall personenbezogene Daten betroffen – etwa Kundendaten aus einer Datenbank oder einem Formular –, kann eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde bestehen. Nach der Datenschutz-Grundverordnung gilt dafür grundsätzlich eine Frist von 72 Stunden ab Kenntnis der Verletzung.

Ob im konkreten Fall tatsächlich eine Meldepflicht besteht und in welchem Umfang auch Betroffene selbst informiert werden müssen, hängt von den Umständen des Einzelfalls ab und sollte im Zweifel mit einer fachkundigen Stelle geklärt werden. Grundlagen zum Umgang mit personenbezogenen Daten liefert der Beitrag DSGVO-konforme Website.

Nach dem Vorfall: Vertrauen bei Suchmaschinen und Kunden zurückgewinnen

Hat Google die Website als schädlich markiert, bleibt diese Markierung auch nach der Bereinigung zunächst bestehen, bis eine Überprüfung angefordert und die Seite als sauber bestätigt wird. Dieser Schritt läuft über die Google Search Console und sollte erst erfolgen, nachdem die eigentliche Ursache tatsächlich behoben ist, nicht nur die sichtbaren Symptome.

Gegenüber Kunden lohnt sich eine sachliche, transparente Kommunikation, sofern deren Daten betroffen waren – Schweigen wirkt im Nachhinein meist schädlicher für das Vertrauen als eine ehrliche, zeitnahe Information über den Vorfall und die getroffenen Gegenmaßnahmen.

Abschließend lohnt sich eine kurze Manöverkritik: welcher Schritt hat gut funktioniert, wo hat gefehlt, und was lässt sich verbessern, damit ein ähnlicher Vorfall künftig schneller erkannt oder von vornherein verhindert wird. Diese Auswertung ist oft der wertvollste Teil der gesamten Aufarbeitung.

Häufige Fragen