Website gehackt, was tun? Die 7 Schritte in der richtigen Reihenfolge

1. Ruhe bewahren, nichts löschen

Es ist verlockend, die Seite sofort abzuschalten oder ein Backup einzuspielen. Beides beseitigt aber Hinweise darauf, was passiert ist. Wenn Besucher gefährdet sind, zum Beispiel weil die Seite Schadsoftware ausliefert oder auf Betrugsseiten weiterleitet, kannst du eine einfache Wartungsseite schalten. Dateien und Datenbank bleiben dabei unangetastet.

2. Den aktuellen Stand sichern

Lade alle Dateien und einen Export der Datenbank herunter, bevor du irgendetwas änderst. Dieser infizierte Stand ist das Beweisstück. An ihm lässt sich später ablesen, welche Dateien verändert wurden, seit wann und über welchen Weg. Speichere die Sicherung getrennt und öffne sie nicht auf deinem Arbeitsrechner, als wäre es eine normale Website.

3. Alle Passwörter ändern

Ändere jedes Passwort, das Zugriff auf die Seite gibt:

• Kundenlogin beim Hoster
• FTP bzw. SFTP und SSH
• Datenbank (danach in der Konfigurationsdatei anpassen, bei WordPress in der wp-config.php)
• Admin-Zugänge im CMS
• E-Mail-Postfächer, über die sich Passwörter zurücksetzen lassen

Mach das von einem Gerät, das sicher sauber ist. Bei Hostern wie STRATO gibt es dazu einige Besonderheiten. Mehr dazu: WordPress bei STRATO gehackt.

4. Fremde Benutzer und Zugänge prüfen

Schau in der Benutzerverwaltung deines CMS nach Administratoren, die du nicht kennst. Notiere sie, bevor du sie löschst, denn Name, E-Mail und Anlagedatum helfen bei der Suche nach dem Einfallstor.

Prüfe außerdem in der Google Search Console unter „Einstellungen“ › „Nutzer und Berechtigungen“, ob sich jemand Fremdes als Inhaber eingetragen hat. Angreifer tun das gern, um ihre Spam-Seiten bei Google schneller indexieren zu lassen.

5. Ausmaß feststellen

Nicht jeder Hack ist sichtbar. Die häufigsten Formen:

• Weiterleitungen, oft nur für Besucher vom Handy oder aus der Google-Suche
• Fremde Seiten unter deiner Domain, oft auf Japanisch oder mit Pharma-Begriffen. Mehr dazu: Japanese Keyword Hack entfernen.
• Versteckte Links im Quelltext, die du im Browser nicht siehst
• Schadcode, der Besuchern Malware unterschiebt
• Spam-Versand über deinen Server

Wie du das in etwa 15 Minuten selbst prüfst, steht hier: Website gehackt? So überprüfst du es.

6. Einfallstor finden und schließen, dann bereinigen

Das ist der Schritt, an dem die meisten Bereinigungen scheitern. Wer nur den sichtbaren Schadcode entfernt, hat die Seite oft wenige Tage später wieder infiziert. Typische Einfallstore:

• veraltete Plugins, Themes oder Erweiterungen mit bekannter Sicherheitslücke
• schwache oder mehrfach verwendete Passwörter
• vergessene Testinstallationen auf demselben Webspace
• unsichere Datei- und Verzeichnisrechte

Erst wenn die Lücke geschlossen ist, lohnt die eigentliche Bereinigung: verseuchte Dateien ersetzen, Core-Dateien neu einspielen, Backdoors entfernen, die Datenbank auf eingeschleuste Inhalte prüfen. Ein Backup kann hier der schnellste Weg sein, aber nur, wenn es nachweislich aus der Zeit vor dem Befall stammt und die Lücke danach geschlossen wird.

Lücke zu heißt nicht Seite sauber

Ein häufiger Denkfehler: „Das Plugin ist aktualisiert, also ist das Problem gelöst.“ Das Update schließt die Tür, durch die der Angreifer kam. Was er in der Zwischenzeit auf dem Server abgelegt hat, bleibt liegen. Deshalb gehören immer beide Schritte zusammen: Einfallstor schließen und alles entfernen, was seitdem eingeschleust wurde.

Aus der Praxis

Bei einer kleinen Unternehmens-Website, die ich bereinigt habe, kam der Angreifer sehr wahrscheinlich über die Sicherheitslücke eines Plugins für Blätterkataloge. Er schrieb seinen Code in eine Kerndatei von WordPress und legte eine zweite Kopie als Reserve ab. Knapp drei Wochen später aktualisierte sich das Plugin automatisch, die Lücke war zu. Der Schadcode lief trotzdem weiter, weil Plugin-Updates die Kerndateien gar nicht anfassen. Bemerkt hat es rund vier Wochen lang niemand, denn die Seite sah für Besucher völlig normal aus.

7. Google informieren

Wenn Google den Hack bemerkt hat, siehst du in der Search Console unter „Sicherheit und manuelle Maßnahmen“ › „Sicherheitsprobleme“ eine Meldung, und unter deinem Suchergebnis steht womöglich „Diese Website wurde möglicherweise gehackt“. Sobald alle Probleme behoben sind, forderst du dort eine Überprüfung an. Google nennt dafür einige Tage bis mehrere Wochen. Mehr dazu: Google-Warnung „Diese Website wurde möglicherweise gehackt“.

Die Warnung ist aber nur ein Teil. Hat der Hack Spam-Seiten erzeugt, stehen die oft noch lange im Google-Index, auch wenn die Seite längst sauber ist. Google entfernt eine Adresse erst, wenn es sie erneut aufruft und dabei „nicht gefunden“ (404) oder „entfernt“ (410) bekommt. Bei vielen tausend Spam-URLs dauert das Wochen bis Monate. Hilfreich sind:

• Saubere Statuscodes: Jede Spam-Adresse liefert 404 oder 410, auch für Google und nicht nur im Browser. Prüfen kannst du das mit der URL-Prüfung der Search Console.
• Eigene Spam-Sitemaps löschen, die der Angreifer angelegt hat, und die eigene Sitemap auf fremde Adressen prüfen.
• Geduld beim Verlauf: Im Bericht „Seiten“ der Search Console siehst du, wie die Zahl der indexierten Seiten sinkt.

Wie das bei einem großen Spam-Befall konkret aussieht, zeigt der Ratgeber zum Japanese Keyword Hack. Mehr dazu: Japanese Keyword Hack entfernen.

Was du lieber nicht tun solltest

• Nur ein Sicherheits-Plugin laufen lassen und es dabei belassen. Plugins finden bekannte Muster in Dateien, aber oft keine Backdoors in der Datenbank und keine fremden Zugänge bei Google.
• Ein Backup einspielen, ohne die Lücke zu schließen. Dann beginnt das Spiel von vorn.
• Eine Überprüfung bei Google anfordern, bevor alles sauber ist. Google warnt ausdrücklich, dass das die Bearbeitung verlängern kann.
• Sich auf „sieht doch normal aus“ verlassen. Viele Hacks zeigen ihren Inhalt nur Google oder Besuchern vom Handy. Dass du im Browser nichts siehst, heißt nichts.
• Verdächtige Dateien löschen, ohne sie vorher zu sichern. Dann fehlt später der Beweis, über welchen Weg der Angriff lief.

Wie du verhinderst, dass es wieder passiert

Die meisten Hacks laufen über veraltete Software und schwache Zugänge. Regelmäßige Updates, Zwei-Faktor-Anmeldung und Backups außerhalb des Servers verhindern den Großteil. Mehr dazu: WordPress gegen Hacker schützen und laufende Betreuung.

Selbst machen oder machen lassen?

Schritte 1 bis 5 kannst du selbst erledigen. Schritt 6 und 7 brauchen Erfahrung mit Server, Datenbank und Search Console. Wenn deine Seite auf WordPress läuft, übernehme ich das komplett, vom Befund bis zur erneuten Prüfung bei Google. Mehr dazu: gehackte WordPress-Seite bereinigen lassen.