Website gehackt überprüfen: 8 Tests, die du selbst machen kannst

Warum du den Hack oft nicht siehst

Angreifer wollen möglichst lange unentdeckt bleiben. Deshalb zeigen viele Hacks ihren Schadinhalt nur bestimmten Besuchern: der Suchmaschine, Besuchern aus der Google-Suche oder Smartphones. Eingeloggte Administratoren bekommen dagegen die normale Seite zu sehen. Das nennt man Cloaking, und deshalb reicht ein Blick auf die Startseite nicht.

Aus der Praxis

Bei einer Website, die ich bereinigt habe, prüfte der Schadcode bei jedem Aufruf, wer anfragt. Bing, SEO-Tools wie Ahrefs und Kommandozeilen-Programme bekamen die normale Seite, damit Prüfwerkzeuge nichts finden. Anfragen vom Googlebot und von echten Besuchern gingen an den Server der Angreifer, aber nur Google bekam spanische Fake-Shop-Seiten zu sehen. Rund vier Wochen fiel das niemandem auf. Erst die site:-Suche und die Search Console zeigten, was los war: über 218.000 indexierte Seiten bei einer Website mit wenigen Dutzend echten Seiten.

Deshalb kombinierst du die Tests unten: Einige zeigen dir, was Google sieht, andere, was auf dem Server liegt.

Test 1: Die site:-Suche bei Google

Gib bei Google site:deinedomain.de ein. Scrolle durch die Ergebnisse und achte auf:

• Titel in fremder Sprache, oft Japanisch
• Begriffe wie Markenschuhe, Potenzmittel, Casino oder Kredit
• Verzeichnisse, die du nie angelegt hast

Findest du so etwas, ist der Fall ziemlich klar. Mehr dazu: Japanese Keyword Hack entfernen.

Test 2: Google Search Console, Bericht „Sicherheitsprobleme“

Unter „Sicherheit und manuelle Maßnahmen“ › „Sicherheitsprobleme“ meldet Google, wenn es gehackte Inhalte, Malware oder Social Engineering erkannt hat. Steht dort etwas, zeigt Google auch unter deinem Suchergebnis womöglich „Diese Website wurde möglicherweise gehackt“. Mehr dazu: Google-Warnung „Diese Website wurde möglicherweise gehackt“.

Test 3: Fremde Inhaber in der Search Console

Unter „Einstellungen“ › „Nutzer und Berechtigungen“ siehst du, wer Zugriff auf deine Property hat. Ein unbekannter Inhaber ist laut Google ein starkes Zeichen dafür, dass die Seite kompromittiert wurde. Angreifer tragen sich ein, um ihre Spam-Seiten schneller indexieren zu lassen.

Test 4: Der Handy-Test über die Google-Suche

Nimm dein Smartphone, verbinde es am besten über das Mobilfunknetz statt über dein WLAN, suche bei Google nach deinem Firmennamen und tippe auf dein Ergebnis. Landest du auf deiner Seite? Oder auf einem Gewinnspiel, einem Shop oder einer Warnseite? Viele Weiterleitungs-Hacks greifen nur genau in dieser Situation.

Test 5: Die URL-Prüfung der Search Console

Gib eine verdächtige Adresse, zum Beispiel aus Test 1, in das Suchfeld oben in der Search Console ein und lass die Live-URL testen. Du siehst dann den Quelltext so, wie Google ihn bekommt. Das entlarvt Cloaking, bei dem dein Browser eine 404-Seite zeigt, Google aber Spam.

Test 6: Benutzer im Backend

Öffne die Benutzerverwaltung deines CMS, bei WordPress unter „Benutzer“. Gibt es Administratoren, die du nicht angelegt hast, oder Konten mit seltsamen Namen und Wegwerf-Adressen? Nicht sofort löschen, sondern notieren. Die Angaben helfen später, das Einfallstor zu finden.

Test 7: Dateien und Änderungsdaten

Wenn du per SFTP auf den Server kommst, sortiere die Dateien nach Änderungsdatum. Verdächtig sind:

• kürzlich geänderte Dateien, die du nicht angefasst hast, etwa index.php oder wp-config.php
• PHP-Dateien im Upload-Ordner, bei WordPress wp-content/uploads
• Dateien mit zufälligen Namen
• eine veränderte .htaccess mit Weiterleitungen, die du nicht kennst
• lange, unlesbare Zeichenketten zusammen mit Funktionen wie base64_decode, eval oder gzinflate

Achtung, Datum kann lügen: Angreifer setzen das Änderungsdatum ihrer Dateien gern zurück, damit sie zwischen den echten Dateien nicht auffallen. In einem meiner Fälle trug die Backdoor ein Datum, das zwei Jahre vor dem Angriff lag. Verlässlicher ist der Abgleich mit den Originaldateien: Bei WordPress prüft der Befehl wp core verify-checksums (WP-CLI), ob die Kerndateien mit der offiziellen Version übereinstimmen. Dateien, die es im Original gar nicht gibt, sind besonders verdächtig. Ohne Kommandozeile hilft ein Vergleich mit einem frisch heruntergeladenen WordPress derselben Version.

Test 8: Online-Scanner und Safe-Browsing-Status

Kostenlose Werkzeuge geben eine zweite Meinung:

• Google Transparenzbericht, Safe Browsing: zeigt, ob Google deine Domain als unsicher einstuft
• Sucuri SiteCheck und VirusTotal: prüfen die öffentlich sichtbare Seite auf bekannte Schadmuster

Wichtig: Diese Scanner sehen nur, was von außen erreichbar ist. Google selbst weist darauf hin, dass sie nicht alles erkennen. Ein „sauber“ heißt also nicht, dass die Seite sauber ist. Schadcode, der Prüfwerkzeuge gezielt ausnimmt, zeigt ihnen schlicht die normale Seite.

Bonus: Der Bericht „Seiten“ in der Search Console

Unter „Indexierung“ › „Seiten“ siehst du, wie viele Seiten Google von deiner Website kennt. Vergleiche die Zahl mit der Anzahl deiner echten Seiten und Beiträge. Hast du 40 Seiten und Google meldet 4.000 indexierte, stimmt etwas nicht. Ein plötzlicher Sprung im Verlauf zeigt oft sogar, wann der Hack begonnen hat.

Weitere Hinweise, die oft übersehen werden

• Dein Hoster schickt eine Warnung oder sperrt das Paket.
• Dein Mailserver landet auf Sperrlisten, weil über die Seite Spam verschickt wird.
• Die Ladezeit steigt plötzlich ohne erkennbaren Grund.
• Rankings und Klicks brechen ein, ohne dass du etwas geändert hast.

Ergebnis: Was jetzt?

• Kein Test schlägt an: gut. Eine regelmäßige Kontrolle, etwa monatlich die site:-Suche und die Search Console, ist trotzdem sinnvoll.
• Mindestens ein Test schlägt an: Behandle die Seite als gehackt. Was du in welcher Reihenfolge tust, steht hier: Website gehackt, was tun?.
• Du bist unsicher: Schick mir die Adresse. Ich schaue mir WordPress-Seiten an und sage dir, ob und wie stark sie betroffen sind. Mehr dazu: Befund für deine WordPress-Seite.