Website gehackt – was tun?

Website gehackt? So erkennen und überprüfen Sie es

Nicht jeder Angriff ist sofort sichtbar. Typische Anzeichen sind fremde Inhalte oder Spam-Seiten auf Ihrer Website, unerwartete Weiterleitungen, Warnhinweise im Browser oder in den Google-Suchergebnissen, unbekannte Administratorkonten im CMS oder ein plötzlich auffällig langsamer Server. Oft melden sich auch Kunden, denen etwas Merkwürdiges aufgefallen ist, oder Ihr Hoster sperrt das Paket wegen ungewöhnlicher Aktivitäten.

Einen ersten Hinweis gibt die Google Search Console: Im Bericht zu Sicherheitsproblemen meldet Google erkannte Schadsoftware oder gehackte Inhalte. Auch eine Suche nach „site:ihredomain.de“ kann fremde Seiten mit Spam-Begriffen sichtbar machen. Eine sichere Diagnose ersetzt das nicht – die gründliche Prüfung von Dateien, Datenbank und Benutzerkonten sollten Fachleute übernehmen. Auch ungewöhnliche Einträge in den Zugriffsstatistiken Ihres Hosters können ein Hinweis sein.

• Fremde Inhalte, Links oder Spam-Seiten
• Weiterleitungen auf unbekannte Websites
• Warnhinweise im Browser oder bei Google
• Unbekannte Benutzerkonten im CMS
• Hoster meldet Auffälligkeiten oder sperrt das Paket
• E-Mails Ihrer Domain landen plötzlich im Spam

Die ersten Schritte: Ruhe bewahren und Hoster informieren

Der wichtigste erste Schritt klingt banal: Ruhe bewahren und nichts übereilt löschen. Wer in Panik Dateien entfernt oder ungeprüft ein altes Backup einspielt, vernichtet Spuren, die für die Ursachensuche wichtig sind – und die Lücke bleibt offen. Notieren Sie stattdessen, was Ihnen aufgefallen ist, seit wann das so ist und welche Meldungen oder Hinweise Sie erhalten haben.

Informieren Sie anschließend Ihren Hoster. Er kann Protokolle sichern, die Website vorübergehend sperren oder in einen Wartungsmodus versetzen und weiß, ob weitere Pakete betroffen sind. Ist ein Dienstleister für Ihre Website zuständig, binden Sie ihn sofort ein. Nehmen Sie die Website vom Netz, wenn Besucher gefährdet sein könnten, etwa durch Schadcode oder manipulierte Formulare.

Zugänge ändern lassen – aber von einem sicheren Gerät

Nach einem Angriff müssen alle Zugangsdaten als kompromittiert gelten: Hosting-Kundenkonto, FTP- oder SFTP-Zugänge, Datenbank, CMS-Administratoren und die E-Mail-Postfächer der Domain. Ändern Sie diese Zugänge oder lassen Sie sie von Ihrem Dienstleister ändern – und zwar von einem Gerät, das nachweislich sauber ist. Ist der eigene Rechner infiziert, landen sonst auch die neuen Passwörter beim Angreifer.

Nutzen Sie für jeden Zugang ein eigenes, starkes Passwort und aktivieren Sie, wo möglich, die Zwei-Faktor-Authentifizierung. Prüfen Sie im CMS, welche Benutzer existieren, und entfernen Sie unbekannte oder nicht mehr benötigte Konten. Auch ehemalige Mitarbeitende, frühere Agenturen oder Freelancer mit noch aktiven Zugängen sind ein Risiko, das Sie jetzt schließen sollten.

Gehackte Website reparieren: Sicherung, Bereinigung, Ursa­chen­suche

Bevor bereinigt wird, sollte der aktuelle Zustand gesichert werden – Dateien, Datenbank und Protokolle. Diese Sicherung dient der Analyse und gegebenenfalls als Nachweis, nicht der Wiederherstellung. Danach klären Fachleute, ob es ein sauberes Backup aus der Zeit vor dem Angriff gibt, auf welchem Weg die Angreifer eingedrungen sind und ob versteckte Zugänge zurückgeblieben sind.

Ein Backup einzuspielen, ohne die Ursache zu kennen, hilft oft nur für kurze Zeit: Ist die Lücke noch offen, kann die Website erneut befallen werden. Häufige Ursachen sind veraltete Plugins, Themes oder Erweiterungen, nicht mehr gepflegte Komponenten und schwache oder mehrfach genutzte Passwörter. Mit unserer Hilfe bei gehackter Website übernehmen wir Bereinigung, Ursachenanalyse und Absicherung – damit der Angriff ein Einzelfall bleibt.

Gehackte Website melden: Datenschutz, Polizei und Google

Sind personenbezogene Daten betroffen – etwa Kundendaten, Formulareinträge oder Konten in einem Shop –, kann eine Meldepflicht nach Art. 33 DSGVO bestehen. Die Meldung an die zuständige Datenschutzaufsichtsbehörde muss dann möglichst binnen 72 Stunden nach Bekanntwerden erfolgen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei hohem Risiko sind auch die Betroffenen zu informieren.

Lassen Sie diese Frage zeitnah von Ihrem Datenschutzbeauftragten oder einem Rechtsanwalt prüfen. Unabhängig davon können Sie Anzeige bei der Polizei erstatten; die Landeskriminalämter bieten Unternehmen dafür eigene Ansprechstellen für Cybercrime. Hat Google Ihre Website als gefährlich markiert, beantragen Sie nach der vollständigen Bereinigung in der Search Console eine Überprüfung. Diese Hinweise ersetzen keine Rechtsberatung.

Website gehackt – wer haftet?

Als Betreiber sind Sie grundsätzlich für Ihre Website verantwortlich – auch dafür, dass personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen geschützt sind, wie es Art. 32 DSGVO verlangt. Werden über eine gehackte Website Schadsoftware verbreitet oder Daten abgegriffen, können daraus Ansprüche Dritter oder Maßnahmen von Behörden entstehen. Wie groß das Risiko ist, hängt stark von den Umständen ab.

Ob ein Dienstleister mithaftet, richtet sich nach dem Vertrag: Wer etwa Wartung und Sicherheitsupdates übernommen hat, muss diese auch erbringen. Prüfen Sie außerdem, ob eine Cyber-Versicherung besteht und welche Meldefristen sie vorsieht. Informieren Sie Kunden oder Partner, falls in Ihrem Namen verdächtige E-Mails verschickt wurden. Verbindliche Antworten zur Haftung gibt nur eine Rechtsberatung – dieser Abschnitt ersetzt sie nicht.

Gehackte Website besucht – und wie schnell droht ein Angriff?

Haben Sie als Besucher eine gehackte Website aufgerufen, schließen Sie die Seite, laden Sie nichts herunter und geben Sie keine Daten ein. Lassen Sie einen aktuellen Virenscanner laufen und halten Sie Browser und Betriebssystem auf dem neuesten Stand. Haben Sie dort Zugangsdaten eingegeben, ändern Sie diese umgehend. Den Betreiber erreichen Sie über die Kontaktdaten im Impressum.

Für Betreiber gilt: Automatisierte Programme durchsuchen das Internet laufend nach erreichbaren Websites und bekannten Schwachstellen. Eine neue, öffentlich erreichbare Website kann deshalb schon kurz nach dem Livegang erste Zugriffsversuche erhalten – ganz unabhängig davon, wie bekannt das Unternehmen ist. Regelmäßige Updates, sichere Zugänge, getrennte Backups und eine Schwachstellenanalyse sind deshalb keine Kür, sondern Grundausstattung.