Der Moment, in dem Sie merken, dass Ihre Website gehackt wurde, ist der Moment, in dem die meisten Fehler passieren. Aus verständlicher Panik wird gelöscht, neu gestartet und überschrieben — und dabei genau das vernichtet, was man für die Aufklärung und eine saubere Wiederherstellung gebraucht hätte. Dieser Leitfaden gibt die richtige Reihenfolge für die ersten Stunden vor: was zuerst zu tun ist, was warten kann und welche vier Reflexe den Schaden regelmässig verschlimmern. Er ersetzt keine professionelle Bereinigung, aber er sorgt dafür, dass Sie nichts kaputt machen, bevor Hilfe da ist.
Die ersten Minuten: nicht die Spuren zertreten
Der stärkste Reflex nach der Entdeckung eines Einbruchs ist, sofort aufzuräumen — Dateien zu löschen, das CMS neu zu installieren, den Server zurückzusetzen. Genau dieser Reflex ist das grösste Problem. Ein gehackter Server ist ein Tatort. Wer ihn überstürzt säubert, vernichtet die Beweise dafür, wie die Angreifer hereinkamen. Und ohne diese Antwort behebt man nur die Symptome: Die Seite ist kurz sauber, die Lücke aber offen, und der nächste Einbruch folgt über denselben Weg.
Die richtige erste Handlung ist deshalb nicht Löschen, sondern Sichern und Eingrenzen. Bewahren Sie den aktuellen Zustand, bevor Sie etwas verändern — eine Kopie der Dateien und der Datenbank im Ist-Zustand, so kompromittiert sie auch sein mag, ist für die Analyse Gold wert.
Die richtige Reihenfolge
1. Zustand sichern, bevor Sie etwas ändern
Erstellen Sie eine vollständige Kopie der Website und der Datenbank im jetzigen Zustand. Das ist kein Backup zum Wiederherstellen, sondern eine forensische Momentaufnahme: Sie enthält die Spuren des Angriffs, die man braucht, um den Einbruchsweg zu finden. Ohne diese Kopie beginnt jede Analyse blind.
2. Website kontrolliert vom Netz nehmen
Versetzen Sie die Seite in einen Wartungsmodus oder leiten Sie auf eine statische Platzhalterseite um. Das schützt Ihre Besucher vor eingeschleustem Schadcode und verhindert, dass Google die Seite dauerhaft als gefährlich einstuft. Wichtig: umleiten, nicht überstürzt löschen — der Tatort bleibt erhalten.
3. Zugänge sperren und Passwörter ändern
Ändern Sie alle Passwörter — CMS-Administratoren, Datenbank, Hosting-Zugang, FTP/SSH, E-Mail. Prüfen Sie die Liste der Administratorkonten auf Einträge, die Sie nicht kennen; ein neu angelegtes Adminkonto ist ein typisches Überbleibsel eines Einbruchs. Solange die Zugänge offen sind, kann der Angreifer trotz aller weiteren Massnahmen zurückkehren.
4. Den Einbruchsweg finden — nicht nur den Schaden
Das ist der Teil, den Panik-Aufräumen überspringt und der über den Erfolg entscheidet. Wie kamen die Angreifer herein? Ein veraltetes Plugin, ein schwaches Passwort, eine bekannte Lücke im CMS, ein gekapertes Konto? Erst wenn diese Frage beantwortet ist, lässt sich die Lücke schliessen — und nur dann bleibt die Website nach der Bereinigung auch sauber.
5. Sauber wiederherstellen und härten
Jetzt — und erst jetzt — wird bereinigt: Schadcode und Hintertüren entfernt, aus einem nachweislich sauberen Stand wiederhergestellt, alle Software aktualisiert, die Lücke geschlossen. Danach gehört die Seite überwacht, damit ein erneuter Versuch früh auffällt.
Die vier Fehler, die den Schaden vergrössern
Sofort alles löschen. Vernichtet die Spuren. Man weiss danach nicht, wie der Einbruch geschah, und schliesst die Lücke nicht.
Blind das neueste Backup zurückspielen. Wenn der Einbruch länger zurückliegt, enthält auch das Backup schon die Hintertür. Und die offene Lücke bleibt.
Nur den sichtbaren Schaden entfernen. Die verunstaltete Startseite ist das Symptom. Hintertüren und zusätzliche Adminkonten bleiben oft unsichtbar und verschaffen erneuten Zugang.
Bei einer Erpressung zahlen. Es gibt keine Garantie, dass die Angreifer Wort halten — und wer zahlt, wird zum lohnenden Ziel für die nächste Runde.
Wenn Sie unsicher sind: Hilfe holen, bevor Sie handeln
Die ehrliche Empfehlung lautet: Wenn Sie sich bei einem der Schritte unsicher sind, handeln Sie nicht überstürzt, sondern holen Sie Hilfe — bevor Sie etwas verändern, das sich nicht rückgängig machen lässt. Genau für diesen Fall gibt es unsere Hack- und Malware-Bereinigung: Wir sichern den Zustand, suchen den Einbruchsweg, entfernen Schadcode und Hintertüren, stellen sauber wieder her und schliessen die Lücke.
Der beste Zeitpunkt, sich mit einem Einbruch zu befassen, ist allerdings vorher. Die meisten Angriffe nutzen bekannte, längst behebbare Lücken — veraltete Software, schwache Passwörter, fehlende Überwachung. Wie sich das laufend abdecken lässt, steht in unserem Beitrag zu Wartung und Monitoring. Und wenn eine gehackte Installation ohnehin erneuert werden muss, ist der Umzug auf eine gepflegte Basis oft der sauberste Weg — beschrieben in der Migration-Checkliste.
Häufige Fragen
-
Woran erkenne ich überhaupt, dass meine Website gehackt wurde?
Die Anzeichen reichen von offensichtlich bis subtil. Offensichtlich: fremde Inhalte, Weiterleitungen auf dubiose Seiten, eine Warnung von Google im Suchergebnis oder eine Sperrmeldung des Browsers. Subtiler: unerklärlich langsame Ladezeiten, unbekannte Administratorkonten, Spam-Versand von Ihrer Domain, oder eine Benachrichtigung Ihres Hosters über auffälligen Datenverkehr. Am häufigsten erfahren Betreiber vom Einbruch durch Dritte — einen Kunden, Google oder den Hoster — nicht durch eigene Kontrolle. Das ist einer der Gründe, warum Überwachung sich lohnt.
-
Soll ich die Website sofort offline nehmen?
In den meisten Fällen ja, aber kontrolliert. Die Website in einen Wartungsmodus zu versetzen oder auf eine statische Platzhalterseite umzuleiten, schützt Besucher vor Schadcode und verhindert, dass Google die Seite dauerhaft abstraft. Was Sie NICHT tun sollten: Dateien im Affekt löschen oder den Server komplett zurücksetzen. Das nimmt die Seite zwar vom Netz, vernichtet aber die Spuren, die man für die Frage «wie kamen die Angreifer herein» braucht — und ohne diese Antwort kommen sie über denselben Weg wieder.
-
Kann ich einfach ein Backup zurückspielen und gut ist?
Nur mit Vorsicht. Ein Backup zurückzuspielen bringt die Website in einen früheren Zustand — aber nur, wenn dieser Zustand wirklich sauber war. Oft liegt der Einbruch länger zurück, als man denkt: Die Angreifer sind über eine Lücke hereingekommen, haben eine Hintertür hinterlegt und erst Wochen später sichtbar zugeschlagen. Ein Backup von «gestern» kann die Hintertür bereits enthalten. Und wenn die ursprüngliche Lücke — ein veraltetes Plugin, ein schwaches Passwort — nicht geschlossen ist, sind die Angreifer nach dem Restore in Minuten wieder da. Ein Backup ist Teil der Lösung, nicht die Lösung.
-
Muss ich einen Hackerangriff melden?
Das hängt davon ab, was betroffen ist. Wurden dabei Personendaten Ihrer Kundinnen und Kunden entwendet oder offengelegt, verlangt das revidierte Datenschutzgesetz eine Meldung an den EDÖB, sobald ein hohes Risiko für die Betroffenen besteht — und zwar «so rasch als möglich». Sind Betroffene direkt gefährdet, müssen auch sie informiert werden. Unabhängig davon nimmt das Bundesamt für Cybersicherheit (BACS) Meldungen entgegen, was bei der Lagebeurteilung hilft. Dokumentieren Sie den Vorfall von Anfang an sauber — das erleichtert sowohl die Meldung als auch die Aufarbeitung.
-
Wie lange dauert eine professionelle Bereinigung?
Das hängt vom Umfang ab. Eine einzelne, früh entdeckte Infektion ist oft in Stunden bereinigt. Eine Website, die länger kompromittiert war, mehrere Hintertüren und manipulierte Dateien enthält oder Teil einer grösseren Angriffswelle ist, braucht mehr — inklusive der Suche nach dem Einbruchsweg, damit sich der Vorfall nicht wiederholt. Entscheidend ist nicht nur, den sichtbaren Schaden zu entfernen, sondern die Ursache zu finden. Eine Bereinigung, die nur aufräumt, ohne die Lücke zu schliessen, ist verlorene Zeit.
-
Wie verhindere ich, dass es wieder passiert?
Die drei häufigsten Einbruchswege sind veraltete Software, schwache oder wiederverwendete Passwörter und fehlende Überwachung. Entsprechend: Halten Sie CMS, Plugins und Themes aktuell — kontrolliert, nicht blind automatisiert. Nutzen Sie starke, einzigartige Passwörter und Zwei-Faktor-Authentifizierung für alle Administratorzugänge. Und richten Sie eine Überwachung ein, die Veränderungen an Dateien früh meldet, damit ein Einbruch nicht erst durch Google auffällt. Wer diese drei Punkte laufend abdeckt, schliesst die grosse Mehrheit der Angriffswege.