Ihre Website gehackt? Schreiben Sie uns, wir übernehmen das
Wenn Ihre Website gehackt wurde, löschen Sie noch nichts: Sichern Sie Dateien und Datenbank, schalten Sie die Website in den Wartungsmodus, informieren Sie den Hoster und ändern Sie alle Passwörter und API-Schlüssel von einem sauberen Gerät aus. Danach muss geklärt werden, wie die Angreifer hereinkamen, bereinigt oder neu aufgesetzt und PHP, CMS und Server aktualisiert werden, bevor die Website wieder online geht.
Das gilt auch, wenn Ihr Anbieter vor einer Sicherheitslücke gewarnt hat und Sie nicht wissen, ob Sie betroffen sind. Sie erzählen uns, was passiert ist, wir prüfen den Server und kümmern uns um Bereinigung, Updates und neue Schlüssel.
Woran erkenne ich, dass meine Website gehackt wurde?
Schon eines dieser Anzeichen ist Grund genug, den Server zu prüfen. Manche Einbrüche sieht man von außen nicht: Die Website lädt normal, während jemand über den Server Spam verschickt oder mitschneidet, was Ihre Kunden in Formulare eingeben.
-
Chrome oder Google zeigen beim Aufruf Ihrer Website eine rote Warnung vor einer «gefährlichen» oder «betrügerischen» Seite.
-
Wer über Google kommt, wird auf Casino-, Apotheken- oder Spam-Seiten umgeleitet.
-
Sie suchen site:ihredomain.de und finden Seiten, die niemand aus Ihrem Team angelegt hat.
-
In WordPress oder PrestaShop gibt es Administratoren, die Sie nicht kennen.
-
Ihr Hoster hat das Konto gesperrt oder Ihnen wegen Malware oder Spam-Versand geschrieben.
-
Ihr Anbieter hat vor einer Sicherheitslücke gewarnt (php2shell, eine CVE in NGINX oder Node.js) und Sie wissen nicht, ob Sie betroffen sind.
-
E-Mails von Ihrer Domain kommen zurück oder landen bei Ihren Kunden im Spam.
-
Der Browser meldet, dass das Zertifikat der Website ungültig ist.
-
Eine API-Rechnung (OpenAI, Google Cloud, AWS…) liegt weit über dem Üblichen: Jemand nutzt Ihre Schlüssel.
Website gehackt: Was tun in der ersten Stunde?
Diese Schritte gelten, ob Sie uns schreiben oder nicht. Die Reihenfolge ist wichtig, weil die Kopie des aktuellen Zustands verloren geht, sobald jemand anfängt, Dateien zu löschen.
- Löschen Sie noch nichts. Sichern Sie den aktuellen Zustand, Dateien und Datenbank, und speichern Sie die Kopie außerhalb des Servers. Notieren Sie die Uhrzeit und machen Sie Screenshots. Mit dieser Kopie lässt sich herausfinden, wie die Angreifer hereingekommen sind, und sie dient als Beweis, falls Sie Anzeige erstatten.
- Schützen Sie Ihre Besucher. Schalten Sie die Website in den Wartungsmodus oder liefern Sie eine statische Seite aus, solange bereinigt wird. Hat der Hoster das Konto schon gesperrt, lassen Sie es erst wieder freischalten, wenn alles sauber ist.
- Informieren Sie den Hoster. Er hat die Zugriffsprotokolle des Servers und kann sehen, ob weitere Websites im selben Konto betroffen sind.
- Ändern Sie Passwörter von einem sauberen Gerät aus. Hosting-Panel, CMS-Administratoren, FTP oder SFTP, SSH, Datenbank, E-Mail der Domain und Registrar. Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo es geht. Ist der Rechner, von dem aus Sie die Website verwalten, infiziert, gehen auch die neuen Passwörter verloren.
- Widerrufen Sie die API-Schlüssel der Website. Zahlungsanbieter, Transaktions-E-Mail, Karten, KI-Dienste: neue Schlüssel erzeugen, alte deaktivieren. Ein kopierter Schlüssel funktioniert auch nach der Bereinigung des Servers weiter.
- Prüfen Sie die Administratorkonten. Notieren Sie Name und Anlagedatum der Konten, die Sie nicht kennen, und löschen Sie sie danach.
- Bei personenbezogenen Daten läuft die Frist. Speichert die Website Kundendaten (Bestellungen, Formulare, Konten), kann ein Einbruch eine Datenschutzverletzung sein. Nach der DSGVO haben Sie 72 Stunden ab Kenntnis, um sie der Aufsichtsbehörde zu melden, wenn ein Risiko für die betroffenen Personen besteht.
Wie die Überprüfung bei Google danach abläuft, steht in der Hilfe zum Bericht Sicherheitsprobleme. Sitzt Ihr Unternehmen in Spanien, ist die Hotline 017 von INCIBE kostenlos und vertraulich, und die AEPD erklärt die Meldung von Datenpannen.
# Unbekannte Administratoren? (WordPress mit WP-CLI)$ wp user list --role=administrator --fields=user_login,user_registered# PHP-Dateien, die in den letzten 7 Tagen geändert wurden$ find . -name "*.php" -mtime -7 -type f# In uploads sollte keine .php-Datei liegen$ find wp-content/uploads -name "*.php"# Geplante Aufgaben, die Sie nicht angelegt haben$ crontab -lMit SSH-Zugang zum Server. Ohne ihn kann Ihnen der Hoster die Zugriffsprotokolle und die Liste geänderter Dateien geben.
Was tun, wenn der Anbieter vor einer Sicherheitslücke warnt?
Prüfen, welche Version Sie einsetzen, auf die korrigierte aktualisieren und, wenn die Lücke Codeausführung oder das Auslesen von Speicher erlaubte, prüfen, ob vor dem Patch jemand eingedrungen ist. Das sind die aktuellen Hinweise, die die meisten Websites und Server betreffen.
PHP: php2shell
CVE-2026-109618 und CVE-2026-109619, CVSS 9,2, ohne Authentifizierung. Behoben in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wiz hat Remote Code Execution gegen WordPress, Drupal und Joomla demonstriert.
Node.js
Zehn CVEs am 21. Oktober, darunter ein Out-of-Bounds-Write im Brotli-Dekompressor, der Codeausführung erlaubt. Behoben in v26.12.1, v24.22.1 und v22.23.4; 20.x und 25.x erhalten keinen Patch mehr.
NGINX
Für «NGINX Rift» (CVE-2026-42945) gab es ab dem 16. Mai Ausnutzungsversuche. Die Oktober-Runde mit HTTP/3 Request Smuggling und TLS-Session-Fälschung ist in 1.31.7 und 1.30.6 oder neuer behoben.
Zertifikate: GoDaddy und eMudhra
GoDaddy hat am 21. Oktober 404.607 TLS-Zertifikate wegen eines Compliance-Problems widerrufen; eine Website ohne Ersatzzertifikat kann unerreichbar werden. Chrome, Apple und Microsoft vertrauen acht Zwischen-CAs von eMudhra mit schwachen Schlüsseln nicht mehr.
Secrets: LiteLLM und Railway
Die auf PyPI und Docker Hub veröffentlichte LiteLLM-Version 1.107.0 stahl beim Start Zugangsdaten. Railway hat ungewöhnliche Aktivität in den Systemen festgestellt, die die Umgebungsvariablen seiner Kunden speichern, und bittet darum, sie zu rotieren. In beiden Fällen werden die Schlüssel getauscht, auch wenn der Server unauffällig wirkt.
Die korrigierten Versionen, die Befehle zur Prüfung und was jeweils rotiert werden muss, in einem Artikel.
Was patchen, rotieren und erneuern →Wie wird eine gehackte Website repariert?
Sieben Schritte in dieser Reihenfolge. Wer bereinigt, ohne das Einfallstor zu kennen, lässt dieselbe Tür offen.
-
Eindämmung
Zuerst stoppen wir, was noch läuft: Umleitungen, Spam-Versand, Prozesse, die dort nicht hingehören. Wenn nötig, bleibt die Website im Wartungsmodus, während wir arbeiten.
-
Kopie und Grundanalyse
Wir sichern den kompromittierten Zustand und prüfen Zugriffsprotokolle, geänderte Dateien, Benutzer und geplante Aufgaben, um das Einfallstor zu finden. Brauchen Sie ein forensisches Gutachten für ein Gericht oder die Versicherung, unterschreibt das ein Sachverständiger; die Kopie bleibt erhalten, damit er damit arbeiten kann.
-
Bereinigen oder neu aufsetzen
Gibt es ein Backup von vor dem Einbruch und wissen wir, wie die Angreifer hereinkamen, wird es wiederhergestellt und bereinigt. Wenn nicht, wird das CMS aus offiziellen Quellen neu installiert und nur der geprüfte Inhalt übernommen.
-
PHP, CMS und Server aktualisieren
PHP auf eine gepatchte Version, CMS-Kern, Plugins und Theme, dazu die Serversoftware (NGINX, Apache, Node.js), wenn Sie sie selbst betreiben. Was keine unterstützte Version verträgt, wird ersetzt oder entfernt.
-
Zugangsdaten tauschen
Passwörter, SSH-Schlüssel, API-Schlüssel und Umgebungsvariablen. Alles, was auf dem Server lag, gilt als kompromittiert.
-
Prüfung und Sperrlisten
Wir prüfen, ob die Website ausliefert, was sie soll, beantragen bei Google über die Search Console eine Überprüfung und kontrollieren, ob Domain oder Server-IP auf E-Mail-Sperrlisten stehen.
-
Wartung
Regelmäßige Backups außerhalb des Servers, Updates und Beobachtung der Sicherheitshinweise für die Software, auf der Ihre Website läuft.
- Wartungsmodus, wenn nötig
- Umleitungen und Spam-Versand stoppen
- Verdächtige Prozesse und Verbindungen
- Hoster informieren
- Kopie des kompromittierten Zustands, außerhalb des Servers
- Zugriffs- und Fehlerprotokolle
- Kürzlich geänderte Dateien
- Benutzer, Cronjobs und SSH-Schlüssel
- Wahrscheinliches Einfallstor
- Backup von vor dem Einbruch wiederherstellen
- Oder CMS aus offiziellen Quellen neu installieren
- Hintertüren und eingeschleuste Dateien entfernen
- Datenbank prüfen (Benutzer, Optionen, Inhalte)
- PHP auf eine gepatchte Version
- CMS-Kern, Plugins und Theme
- NGINX, Apache oder Node.js
- Nicht unterstützte Komponenten ersetzen
- Hosting, CMS, FTP/SFTP, SSH und Datenbank
- API-Schlüssel und Tokens
- Umgebungsvariablen
- Zwei-Faktor-Authentifizierung
- Überprüfung in der Search Console
- E-Mail- und IP-Sperrlisten
- Gültiges TLS-Zertifikat
- Funktionstest der Website
- Regelmäßige Backups außerhalb des Servers
- Updates für PHP, CMS und Plugins
- Beobachtung von Sicherheitshinweisen
Passiert es gerade? Schicken Sie uns die Adresse der Website und was Sie bemerkt haben.
Schreiben Sie uns →Lässt sich die Website bereinigen oder muss sie neu gebaut werden?
Das hängt davon ab, was auf dem Server liegt und ob es ein Backup von vor dem Einbruch gibt.
Bereinigen reicht
- Wir wissen, wie die Angreifer hereinkamen, und die Lücke lässt sich schließen.
- Es gibt ein Backup von vor dem Einbruch.
- CMS, Plugins und Theme laufen mit einer unterstützten PHP-Version.
Besser neu aufsetzen
- Es gibt kein vertrauenswürdiges Backup, oder die Infektion kehrt nach jeder Bereinigung zurück.
- Die Website hängt an aufgegebenen Plugins oder einer PHP-Version ohne Support.
- Sie wird aus offiziellen Quellen neu installiert und der geprüfte Inhalt übernommen, oder neu gebaut: bei einer Unternehmenswebsite zum Beispiel als statische Website mit Astro, die auf dem Server kein PHP ausführt.
Häufige Fragen zu gehackten Websites
Website gehackt: Was tun?
Woran erkenne ich, dass meine Website gehackt wurde?
Reicht es, ein Backup einzuspielen?
Wie entferne ich die Google-Warnung vor einer gefährlichen Website?
Muss ich die Datenschutzbehörde informieren?
Ist meine PHP-Website von php2shell betroffen?
Garantieren Sie, dass es nicht wieder passiert?
Was brauchen Sie, um anzufangen?
Erzählen Sie uns, was passiert ist, wir übernehmen das
Mit der Adresse der Website, Ihren Beobachtungen und den Zugängen, die Sie noch haben, prüfen wir den Server und sagen Ihnen, ob er sich bereinigen lässt, ob neu aufgesetzt werden muss und was aktualisiert werden muss.
Erzählen Sie uns Ihre Herausforderung. Wir schlagen die Lösung vor.
Unverbindlich. Innerhalb von 24 Stunden erhalten Sie ein Angebot mit Umfang, Zeitplan und Budget. Ohne Kleingedrucktes.