Website gehackt, was tun? Die ersten Schritte

WindowsMacAktualisiert

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beginnt seine Erste-Hilfe-Anleitung für kompromittierte Websites mit „Bewahren Sie Ruhe“ und dann: die Website offline schalten. Danach folgen Logdateien sichern, den eigenen Computer prüfen, den Server untersuchen, alle Passwörter ändern und die Website sauber neu aufsetzen. Kundendaten und Strafanzeige kommen am Ende.

Kurze Antwort

Nimm die Website offline und ersetze sie durch eine statische Hinweisseite, wie das BSI rät. Informiere deinen Hoster, sichere die Logdateien und prüf deinen eigenen PC auf Schadprogramme. Ändere alle Passwörter, bring PHP und WordPress oder dein CMS auf den neuesten Stand und spiel ein sauberes Backup ein. Waren Kundendaten betroffen, gilt die DSGVO.

Was mache ich zuerst, wenn meine Website gehackt wurde?

Das BSI rät, die betroffene Website offline zu schalten und durch eine statische Informationsseite zu ersetzen. Am besten nimmst du den befallenen Server ganz vom Netz, damit sich herausfinden lässt, wie der Angreifer hineinkam. Die Anleitung enthält am Ende einen Mustertext für deine Besucher.

  1. Notiere, was du siehst und wann es dir aufgefallen ist. WordPress nennt das Dokumentieren den ersten konkreten Schritt.
  2. Informiere deinen Hoster. Laut Googles Anleitung kann er prüfen, ob andere Kunden betroffen sind, und dir eventuell bei der Wiederherstellung helfen. WordPress ergänzt, dass ein Hack bei Shared Hosting mehr als deine Website betroffen haben kann.
  3. Bitte ihn, die Website offline zu nehmen, oder dir dabei zu helfen. Google sagt, eine Sperre über die robots.txt reiche nicht, weil sie nur Suchmaschinen aufhält.
  4. Sichere die Logdateien der Website, also die Zugriffe auf den Webserver und gegebenenfalls Datenbank-Logs. Das ist Schritt 3 beim BSI.
  5. Entscheide, ob du die Reparatur selbst schaffst. Laut Google braucht es dafür die Fähigkeit, Code zu lesen und Server-Werkzeuge auf der Kommandozeile zu nutzen. Wenn nicht, hol deinen Hoster oder einen Fachmann dazu.

Warum soll ich zuerst meinen eigenen Computer prüfen?

Weil der Angriff dort angefangen haben kann. Das BSI schreibt, alle Web-Administratoren müssten ihren PC auf Schadprogramme untersuchen, um auszuschließen, dass der Computer der Ausgangspunkt war. Melde dich erst wieder am Webserver oder an der Web-Oberfläche an, wenn feststeht, dass der PC sauber ist. Sonst könnte ein Angreifer die neuen Passwörter gleich wieder abgreifen. WordPress rät ebenfalls, den eigenen Rechner mit einem Virenscanner zu prüfen.

Welche Passwörter muss ich ändern, und was ist mit Admin-Konten?

Alle, die zur Website führen. Das BSI nennt den Zugang zum Webserver, den Zugang zum CMS und weitere verwendete Software. Googles Anleitung nennt FTP, Datenbank, Systemadministration und CMS und rät, nach Benutzerkonten zu suchen, die der Angreifer angelegt hat. WordPress ergänzt cPanel und andere Hosting-Oberflächen, für jeden Nutzer mit Zugang.

  1. Ändere das Passwort deines Hosting-Kontos und deines Kundenmenüs.
  2. Ändere die Passwörter für FTP oder SFTP.
  3. Ändere das Datenbank-Passwort. WordPress weist darauf hin, dass das neue Passwort auch in die wp-config.php muss.
  4. Öffne die Benutzerliste deiner Website (in WordPress unter Benutzer im Dashboard). Notiere Konten, die du nicht kennst, und lösch sie.
  5. Setz die Passwörter aller übrigen Administratoren neu.
  6. Ändere alle Passwörter noch einmal, wenn die Website sauber ist. WordPress rät ausdrücklich zu dieser zweiten Runde nach der Bereinigung.

Für die Zukunft empfiehlt das BSI, Standard-Logins zu ändern, nur sichere Passwörter zu verwenden und eine Mehrfaktor-Authentisierung einzurichten.

Soll ich ein Backup einspielen?

Ja, wenn du eines von vor dem Angriff hast. Das BSI rät, den kompletten Webspace zu löschen und das aktuellste Backup von vor der Manipulation einzuspielen; vor dem Online-Schalten soll das System auf dem aktuellen Stand sein. Ein Vergleich mit einem Backup hilft außerdem, veränderte Dateien zu erkennen. WordPress rät, vorher noch eine Kopie der infizierten Website zu ziehen, als Referenz, falls etwas schiefgeht.

  1. Erstell zuerst diese Momentaufnahme des jetzigen Zustands.
  2. Wähl ein Backup, das vor dem Tag liegt, an dem dir das Problem aufgefallen ist.
  3. Spiel es ein, oder lass es deinen Hoster tun.
  4. Aktualisiere alles, bevor die Website wieder online geht. Ein altes Backup enthält auch die alte Software, über die der Angreifer vielleicht hineinkam.

Hast du kein Backup, rät das BSI, die Daten des Servers auf einem lokalen System zu sichern; in der Regel lassen sich viele Daten wiederherstellen.

Muss ich PHP und WordPress aktualisieren?

Ja. Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Lücken bekannt gegeben, CVE-2026-109618 und CVE-2026-109619, die Codeausführung aus der Ferne ohne Anmeldung ermöglichen können. Laut PHP-Hinweis sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben, und das Update ist die einzige sichere Wahl. Stand 23. Oktober 2026 schreibt das BSI, Berichte über Ausnutzungsversuche zeigten, dass Angriffe versucht werden; eine erfolgreiche Ausnutzung in der Breite sei ihm noch nicht bekannt.

  1. Frag deinen Hoster, welche PHP-Version deine Website nutzt und ob sie jetzt auf einer korrigierten Version läuft.
  2. Läuft sie mit PHP 8.1 oder älter, gibt es vom PHP-Projekt keine Updates mehr. Frag nach dem Wechsel auf eine unterstützte Version.
  3. Aktualisiere WordPress. Laut WordPress sind ältere Versionen anfälliger für Hacks als neuere.
  4. Aktualisiere auch Themes und Plugins. Das BSI rät, nicht benötigte Software, Plugins und Erweiterungen zu deinstallieren.

Das BSI nennt als allgemeine Anzeichen eines kompromittierten Webservers neu erstellte oder veränderte PHP-Dateien, ausführbare Dateien und mögliche Webshells. Ein Update schließt die Lücke, entfernt aber nichts, was ein Angreifer schon hinterlassen hat.

Wie bekomme ich die Google-Warnung wieder weg?

Der Bericht „Sicherheitsprobleme“ in der Google Search Console zeigt, ob Google auf deiner Website gehackte Inhalte, Malware oder Phishing gefunden hat, mit Beispiel-URLs. Betroffene Seiten können in den Suchergebnissen oder im Browser eine Warnung zeigen.

  1. Öffne den Bericht „Sicherheitsprobleme“ in der Search Console.
  2. Finde mit den Beispiel-URLs die betroffenen Seiten und behebe das Problem auf der ganzen Website. Laut Google reicht es nicht, nur einige Seiten zu bereinigen.
  3. Wenn die Website sauber, die Lücke geschlossen und die Website wieder online ist, klick auf „Überprüfung anfordern“.
  4. Beschreibe, was du gefunden und was du getan hast. Laut Google dauern die meisten Überprüfungen mehrere Tage oder Wochen, und du sollst den Antrag bis zur Entscheidung nicht erneut senden.

Was, wenn Kundendaten betroffen sein könnten?

Liegen auf dem Server Kunden- oder Nutzerdaten, etwa Anschriften, E-Mail-Adressen oder Passwörter, rät das BSI zu prüfen, ob ein Datenabfluss möglich war. Dann greift die Datenschutz-Grundverordnung (DSGVO).

  1. Melde die Datenpanne der zuständigen Aufsichtsbehörde. Der Bundesbeauftragte für den Datenschutz (BfDI) erklärt, nach Art. 33 DSGVO müsse das unverzüglich und möglichst binnen 72 Stunden geschehen, nachdem die Verletzung bekannt wurde. Fehlen anfangs Informationen, können sie schrittweise nachgereicht werden.
  2. Finde die richtige Behörde. Laut BfDI werden Privatunternehmen meist von den Landesbehörden beaufsichtigt, mit einigen Ausnahmen. Der BfDI listet die Datenschutzbehörden der Länder mit Kontaktdaten.
  3. Informiere die Betroffenen. Nach Art. 34 DSGVO müssen sie laut BfDI unverzüglich benachrichtigt werden, wenn der Vorfall voraussichtlich ein hohes Risiko für sie zur Folge hat.

In Österreich nimmt die Datenschutzbehörde Meldungen entgegen, laut ihrer Seite unverzüglich und möglichst binnen 72 Stunden, über ein Online-Formular. In der Schweiz gilt das Datenschutzgesetz: Der EDÖB nimmt Meldungen von Verantwortlichen über sein Portal entgegen, wenn eine Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt.

Weitere Fragen

Soll ich die gehackte Website bei der Polizei anzeigen?

Ja, das BSI rät nach der Wiederherstellung ausdrücklich zu einer Strafanzeige. Für Unternehmen verweist es auf die Zentralen Ansprechstellen Cybercrime der Polizei. Privatpersonen können laut BSI die Onlinewachen der Polizei ihres Bundeslandes nutzen.

Ist meine Website von PHP2Shell betroffen?

Wenn sie mit PHP läuft und Webseiten ausliefert, ist sie betroffen, bis sie auf einer korrigierten Version läuft. So prüfst du die PHP-Version deiner Website zeigt, wo du nachsiehst.

Reicht es, ein Backup einzuspielen und weiterzumachen?

Ein Backup entfernt, was der Angreifer hinzugefügt hat, aber nicht die Lücke, die er genutzt hat. Das BSI sagt, das System solle vor dem Online-Schalten auf dem aktuellen Stand sein. WordPress rät, nach der Bereinigung die Passwörter noch einmal zu ändern, und Google, die Überprüfung erst anzufordern, wenn die Lücke geschlossen ist.

Woran erkenne ich, dass meine Website gehackt wurde?

WordPress nennt klare Anzeichen: Google oder Bing markieren die Website, dein Hoster hat sie gesperrt, sie wird als Malware-Quelle gemeldet, der Virenscanner von Besuchern warnt, oder es gibt Änderungen, die niemand freigegeben hat, etwa neue Benutzer. Das BSI nennt außerdem neue oder veränderte PHP-Dateien auf dem Server.

Was schreibe ich meinen Besuchern?

Das BSI bietet in seiner Anleitung einen Mustertext an. Er nennt den Zeitraum der Kompromittierung, empfiehlt Besuchern, ihr Gerät mit einem Virenschutzprogramm zu prüfen, und verweist auf die Verbraucherseiten des BSI.

Quellen