Website gehackt: Was tun? Erste Schritte im Ernstfall

Wenn Deine Website gehackt wurde, zählt vor allem eines: Ruhe bewahren, die Seite vom Netz nehmen oder in den Wartungsmodus setzen, alle Zugänge ändern und ein sauberes Backup einspielen. Je schneller Du in dieser Reihenfolge handelst, desto kleiner bleibt der Schaden für Besucher, Kunden und Dein Google-Ranking.

Dieser Ratgeber zeigt Dir, woran Du einen Hack erkennst, was in den ersten Stunden zu tun ist, wie die Bereinigung abläuft und was Du tun kannst, damit es nicht noch einmal passiert. Er ersetzt keine forensische Untersuchung, gibt Dir aber eine klare Reihenfolge an die Hand.

Woran Du erkennst, dass Deine Website gehackt wurde

Nicht jeder Hack ist sichtbar. Manche Angreifer wollen Deine Seite gar nicht verunstalten, sondern unbemerkt nutzen – für Spam, Weiterleitungen oder zum Verteilen von Schadsoftware. Typische Anzeichen:

Unbekannte Inhalte: Seiten oder Beiträge, die Du nie angelegt hast, oft mit Werbung für Medikamente, Glücksspiel oder Markenfälschungen.
Weiterleitungen: Besucher landen auf fremden Seiten, häufig nur auf dem Smartphone oder wenn sie über Google kommen.
Browser- oder Google-Warnung: “Diese Website könnte Ihren Computer beschädigen” oder eine rote Warnseite.
Fremde Nutzer: Neue Administratoren im Backend, die Du nicht kennst.
Auffällige Suchergebnisse: Bei der Suche nach Deiner Domain tauchen in Google fremdsprachige oder unsinnige Seitentitel auf.
Plötzliche Langsamkeit oder Ausfälle: Der Server wird für Angriffe oder Spam-Versand missbraucht.
Hinweis vom Hoster: Viele Anbieter sperren Konten bei Schadcode oder Spam-Versand und melden sich per E-Mail.
Spam-Mails in Deinem Namen: Kunden melden verdächtige Nachrichten mit Deiner Absenderadresse.

Wichtig: Ein einzelnes Anzeichen beweist noch keinen Hack. Wenn aber zwei oder drei zusammenkommen, solltest Du von einem Vorfall ausgehen und die Schritte unten durchgehen.

Die ersten Schritte: Schaden begrenzen

1. Beweise sichern, bevor Du etwas löschst

Mach Screenshots der Auffälligkeiten und notiere, wann Du sie bemerkt hast. Bitte Deinen Hoster oder Dienstleister außerdem, Server-Logfiles aufzubewahren. Sie helfen später zu klären, wie die Angreifer hineingekommen sind.

2. Seite offline nehmen oder Wartungsmodus aktivieren

Solange Schadcode läuft, gefährdest Du Besucher und Deinen Ruf. Ein Wartungsmodus mit kurzem Hinweistext ist die bessere Wahl als eine verseuchte Seite im Netz. Viele Hoster bieten dafür einen Schalter im Kundenbereich.

3. Alle Zugänge ändern

Ändere Passwörter für das Website-Backend, FTP/SFTP, die Datenbank, das Hosting-Konto und die E-Mail-Adresse, mit der Du Dich dort anmeldest. Nutze lange, nur dafür verwendete Passwörter und aktiviere, wo möglich, die Zwei-Faktor-Anmeldung. Ändere auch Passwörter von Personen, die Zugriff hatten, und lösche Konten, die nicht mehr gebraucht werden.

4. Den Hoster informieren

Der Hoster sieht Dinge, die Du nicht siehst: Serverlogs, Malware-Scans, auffällige Prozesse. Er kann oft sagen, ob nur Deine Seite betroffen ist oder ein ganzes Konto. Frag nach einem Backup-Stand vor dem Vorfall.

5. Betroffene Dienste prüfen

Prüfe, ob über Deine Website auch andere Systeme erreichbar waren: Newsletter-Tool, Zahlungsanbieter, Cloud-Speicher. Ändere auch dort Zugangsdaten oder API-Schlüssel, falls sie auf dem Server lagen.

Bereinigen: Backup einspielen oder neu aufsetzen?

Es gibt grundsätzlich zwei Wege. Welcher passt, hängt davon ab, ob Du ein sauberes Backup hast und wie sicher Du bist, wann der Angriff begann.

	Sauberes Backup einspielen	Manuell bereinigen
Voraussetzung	Backup aus der Zeit vor dem Hack	Zugriff auf Dateien und Datenbank
Aufwand	Meist gering	Hoch, braucht Erfahrung
Risiko	Lücke bleibt offen, wenn sie nicht geschlossen wird	Versteckte Hintertüren bleiben unentdeckt
Geeignet für	Klar eingrenzbarer Zeitpunkt	Kein verwendbares Backup

Wichtig ist in beiden Fällen: Das Einspielen allein behebt nicht die Ursache. Wurde die Seite über ein veraltetes Plugin gehackt, ist sie nach dem Backup in wenigen Stunden wieder offen, wenn Du das Update nicht vorher einspielst.

Typische Bereinigungsschritte

WordPress-Kern, Themes und Plugins neu aus den offiziellen Quellen installieren, statt alte Dateien weiterzuverwenden.
Nicht genutzte Plugins und Themes ganz entfernen, nicht nur deaktivieren.
Nach unbekannten Administratoren und Dateien suchen, besonders in Upload-Ordnern und in der Datei wp-config.php.
Die Datenbank nach eingeschleusten Skripten durchsuchen.
Alle Geheimschlüssel (Salts) und Passwörter neu setzen.
Die Seite mit einem Sicherheits-Scanner und einem zweiten Blick eines Profis prüfen.

Wenn Du selbst nicht sicher bist, wo Schadcode versteckt sein kann, lass die Bereinigung von jemandem machen, der das regelmäßig tut. Ein halb gesäubertes System ist riskanter als ein Systemneustart.

Google, Besucher und Kunden informieren

Wurde Deine Seite von Google als gefährlich markiert, findest Du in der Search Console einen Bericht zu Sicherheitsproblemen. Nach der Bereinigung kannst Du dort eine erneute Prüfung beantragen. Das dauert erfahrungsgemäß einige Tage, ist aber der offizielle Weg, die Warnung loszuwerden.

Überleg außerdem, wen Du informieren musst:

Kunden und Newsletter-Empfänger, wenn in ihrem Namen Spam verschickt wurde oder Zugangsdaten betroffen sein könnten.
Deinen Datenschutzbeauftragten oder, falls Du keinen hast, Dich selbst: Sind personenbezogene Daten betroffen (zum Beispiel Kontaktformular-Einträge oder Kundenkonten), kann eine Meldepflicht nach Art. 33 DSGVO an die zuständige Aufsichtsbehörde bestehen, in der Regel binnen 72 Stunden nach Bekanntwerden. Ob das bei Dir der Fall ist, hängt vom Einzelfall ab.

Das ist keine Rechtsberatung. Bei Unsicherheit, ob eine Meldepflicht besteht, wende Dich an eine Anwältin oder einen Anwalt für Datenschutzrecht. Mehr zu den Grundlagen findest Du auf unserer Seite zur DSGVO-Optimierung.

Wer haftet, wenn die Website gehackt wurde?

Die Frage lässt sich nicht pauschal beantworten. Grundsätzlich bist Du als Betreiber der Website für sie verantwortlich, besonders gegenüber Besuchern und Kunden, deren Daten betroffen sind. Ob Dein Hoster oder eine Agentur mithaftet, hängt davon ab, was vertraglich vereinbart war – zum Beispiel, ob sie Updates und Sicherheit übernommen haben oder nur den Server stellen. Prüfe deshalb Deine Verträge: Wer war für Updates zuständig, und was steht zu Backups und Reaktionszeiten drin? Für verbindliche Aussagen brauchst Du eine rechtliche Beratung.

So sicherst Du Deine Website künftig ab

Die meisten erfolgreichen Angriffe nutzen Standardlücken: veraltete Software, schwache Passwörter, ungepflegte Plugins. Mit diesen Maßnahmen schließt Du die häufigsten Türen:

Regelmäßige Updates für Kern, Themes und Plugins, mit Test danach. Wie das geht, beschreiben wir in WordPress-Plugins sicher und aktuell halten.
Automatische Backups, die getrennt vom Server liegen. Ein Backup auf demselben Server ist im Ernstfall wertlos.
Starke Zugänge: Zwei-Faktor-Anmeldung, keine Standard-Benutzernamen wie “admin”, begrenzte Anmeldeversuche.
Schlanke Installation: Alles löschen, was Du nicht brauchst.
Aktuelle PHP-Version und gültiges Zertifikat, siehe SSL-Zertifikat einrichten und erneuern.
Monitoring: Eine Überwachung, die Dir Bescheid gibt, wenn die Seite offline geht oder sich Dateien unerwartet ändern.

Wenn Du das nicht selbst übernehmen willst, lohnt sich ein Blick auf unseren Beitrag WordPress-Wartungsvertrag: Lohnt sich das wirklich? und unsere Seite zur Website-Wartung. Die laufenden Kosten findest Du in Website-Pflege und Wartung: Kosten im Überblick.

Häufige Fragen

Wie finde ich heraus, ob meine Website gehackt wurde?

Prüfe zuerst, ob die Seite sich ungewöhnlich verhält: Weiterleitungen, fremde Inhalte, unbekannte Nutzer im Backend oder eine Warnung im Browser. Ein Sicherheits-Scanner und die Search Console liefern zusätzliche Hinweise. Letzte Sicherheit bringt eine Prüfung der Dateien und Logfiles durch jemanden mit Erfahrung.

Kann ich die Bereinigung selbst machen?

Bei einfachen Fällen mit sauberem Backup ja, solange Du die Ursache beseitigst und alle Passwörter änderst. Sind Hintertüren oder Datenbankmanipulationen im Spiel, ist die Fehlersuche ohne Erfahrung schwierig. Dann ist ein Profi die sicherere Wahl.

Wie lange dauert es, bis Google die Warnung entfernt?

Das hängt davon ab, wie schnell Du die Seite bereinigst und eine erneute Prüfung beantragst. Meist dauert die Prüfung einige Tage. Sicher zusagen können wir keinen Zeitpunkt, die Entscheidung liegt bei Google.

Muss ich einen Hack melden?

Wenn personenbezogene Daten betroffen sein könnten, kann nach Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde nötig sein, in der Regel innerhalb von 72 Stunden. Ob das bei Dir gilt, hängt vom Einzelfall ab. Hole im Zweifel rechtlichen Rat ein.

Wie verhindere ich, dass es wieder passiert?

Regelmäßige Updates, getrennte Backups, starke Zugänge und Monitoring decken die häufigsten Einfallstore ab. Absolute Sicherheit gibt es nicht, aber die Wahrscheinlichkeit und der Schaden sinken deutlich.

Du willst Deine Website nach einem Vorfall sauber aufsetzen oder künftig absichern lassen? Dann melde Dich für ein unverbindliches Erstgespräch. Wir schauen uns Deine Situation an und sagen Dir ehrlich, was nötig ist.