Website gehackt: Was das heißt, woran du es erkennst und was du jetzt tust

„Gehackt“ heißt: Jemand Fremdes kann auf deiner Website oder deinem Server etwas tun, das er nicht dürfte. Er hat Dateien verändert, eigenen Code abgelegt oder sich einen Zugang angelegt. Oft siehst du davon erst mal nichts. Genau das ist meist gewollt.

Was Angreifer mit einer gehackten Website machen

Eine kleine Firmenwebsite ist selten das eigentliche Ziel. Interessant ist der Server dahinter und der gute Ruf deiner Adresse. Typisch sind:

• Spam und fremde Seiten: Der Angreifer legt Hunderte Seiten mit Werbung an, oft für Medikamente, Glücksspiel oder Fälschungen. Google findet sie unter deiner Adresse.
• Weiterleitungen: Besucher, besonders vom Handy oder von Google, landen auf einer fremden Seite.
• Phishing: Auf deinem Server liegt eine nachgebaute Login-Seite einer Bank oder eines Paketdienstes.
• Daten abgreifen: Kundendaten, Passwörter oder im Online-Shop die Zahlungsdaten beim Bezahlen.
• Spam-Mails: Dein Server verschickt Massenmails. Danach landen auch deine echten Mails im Spam.
• Eine Hintertür: Ein versteckter Zugang, über den der Angreifer jederzeit wiederkommt, auch nach einem Update.

Woran du es erkennst

• Google oder der Browser warnt vor deiner Website.
• Bei Google tauchen unter deiner Adresse Seiten auf, die du nicht kennst, manchmal in fremder Schrift. Prüfen kannst du das mit der Suche site:deine-domain.de.
• Besucher landen auf einer anderen Seite oder sehen Pop-ups.
• Im CMS gibt es Admin-Konten, die niemand angelegt hat.
• Dein Hoster meldet Malware oder hat die Website gesperrt.
• Deine Mails kommen nicht mehr an oder landen im Spam.
• Die Website ist plötzlich langsam oder zeigt Fehler, ohne dass jemand etwas geändert hat.

Keins dieser Zeichen ist ein sicherer Beweis. Mehrere zusammen sind es fast.

Was du jetzt tun solltest

1. Nichts löschen und nichts neu aufsetzen. Die Spuren zeigen, wie der Angreifer reinkam. Ohne sie bleibt die Lücke offen, und er kommt wieder.
2. Die Website vom Netz nehmen oder hinter eine Wartungsseite stellen, wenn Besucher gefährdet sind, etwa durch Weiterleitungen oder im Online-Shop.
3. Passwörter ändern: Hosting, FTP, Datenbank und alle Admin-Konten im CMS. Am besten von einem anderen Gerät als dem, mit dem du sonst arbeitest.
4. Den Hoster informieren. Er sieht oft mehr, etwa in den Protokollen des Servers.
5. Prüfen, ob personenbezogene Daten betroffen sind. Dann kann eine Meldepflicht bei der Datenschutzbehörde gelten, nach der DSGVO innerhalb von 72 Stunden. Das ist keine Rechtsberatung: Lass das im Zweifel von deinem Datenschutzbeauftragten oder einem Anwalt prüfen.

Ein Backup einzuspielen klingt nach der schnellsten Lösung. Es hilft aber nur, wenn das Backup sauber ist und die Lücke danach geschlossen wird. Sonst ist die Website nach ein paar Tagen wieder gehackt.

Wie es zum Hack kommt

Meist über eine bekannte Lücke, für die es längst ein Update gibt: eine alte PHP-Version, ein veraltetes CMS, ein Plugin, das niemand mehr pflegt. Seltener über ein erratenes oder gestohlenes Passwort. Aktuell ist es PHP2Shell, eine Lücke in PHP selbst, die fast jede Website auf PHP betrifft.

Deshalb gehört zur Bereinigung immer die Frage, wie der Angreifer reinkam. Erst wenn dieser Weg zu ist, ist die Website wieder sicher.