Gehackte Website wiederherstellen: der vollständige Leitfaden

Googles Dokumentation hält fest, dass Kriminelle täglich Tausende von Websites kompromittieren. Dieser Leitfaden zeigt Schritt für Schritt, wie Sie eine kompromittierte Website bereinigen, absichern und dauerhaft schützen.

Stellen Sie sich folgende Situation vor: Sie rufen Ihre Website auf, und statt der vertrauten Startseite empfängt Sie eine Warnung vor Schadsoftware, eine Weiterleitung auf eine dubiose Seite oder schlicht eine leere Seite mit unverständlichem Code. Dieses Szenario ist keine bloß theoretische Bedrohung: Googles Dokumentation zu gehackten Websites beginnt mit der Feststellung, dass Kriminelle täglich Tausende von Websites kompromittieren. Ganz gleich, ob Ihre Website ein kleiner privater Blog, die Unternehmenswebsite eines lokalen Betriebs oder ein umfangreicher E-Commerce-Shop ist – das Risiko eines Hackerangriffs besteht immer, und die Wiederherstellung einer gehackten Website beginnt deutlich früher, als die meisten Website-Betreiber denken. Wie schnell und angemessen Sie auf einen solchen Vorfall reagieren, entscheidet darüber, ob Ihre Online-Präsenz binnen weniger Tage wiederhergestellt ist oder ob Sie über Monate aufgebaute Reputation, Kundenvertrauen und Suchmaschinenrankings verlieren.

In diesem Beitrag betrachten wir den gesamten Wiederherstellungsprozess einer gehackten Website im Detail – von den ersten Anzeichen einer Kompromittierung bis hin zur langfristigen Sicherheitsstrategie, die erneute Angriffe verhindert. Wir gehen dabei sowohl auf die technischen Aspekte ein als auch auf die praktischen Schritte, die jeder Website-Betreiber selbst umsetzen kann, auch ohne tiefe Programmierkenntnisse.

Woran Sie erkennen, dass Ihre Website gehackt wurde

Eine der größten Herausforderungen für Website-Betreiber besteht darin, dass ein Hack nicht immer offensichtlich ist – viele Angriffe sind bewusst so ausgelegt, dass sie möglichst lange unbemerkt bleiben, denn für Angreifer ist es lukrativer, still und leise Ihre Serverressourcen zu nutzen, über Ihre Website Schadsoftware zu verbreiten oder versteckte Links und Spam-Inhalte einzuschleusen, die das Ranking ihrer eigenen Seiten in den Suchmaschinen verbessern. Es gibt jedoch mehrere Anzeichen, denen Sie sofort nachgehen sollten, weil sie häufig auf eine Kompromittierung Ihrer Website hindeuten.

Das erste und deutlichste Anzeichen sind Warnungen des Browsers oder der Suchmaschine: Zeigt Google Chrome oder ein anderer Browser anstelle Ihrer Website eine rote Vollbildwarnung, die den Besucher schlicht nicht weiterlässt, bedeutet das fast immer, dass Google Safe Browsing schädliche Inhalte auf Ihrer Seite entdeckt hat. Der genaue Wortlaut der Warnung hängt davon ab, ob Schadsoftware oder Social-Engineering-Inhalte gefunden wurden, und von der Sprache des Browsers – nach einer einzigen bestimmten Formulierung zu suchen, lohnt sich deshalb nicht. Eine solche Warnung schreckt Besucher augenblicklich ab, denn eine Vollbildsperre stellt sich zwischen sie und Ihre Inhalte; sie zählt damit zu den schwerwiegendsten Folgen eines Hacks. Ebenso kann in den Google-Suchergebnissen unter Ihrer Adresse der Hinweis „Diese Website wurde möglicherweise gehackt“ erscheinen, was die Klickrate und das Vertrauen der Nutzer erheblich beeinträchtigt.

Das zweite häufige Anzeichen sind unerwartete Weiterleitungen: Werden Besucher Ihrer Website automatisch auf andere Seiten geleitet, insbesondere auf dubiose Seiten mit Werbung, Pharmaprodukten oder Erwachseneninhalten, ist das ein klares Signal dafür, dass in Ihre Website Schadcode eingeschleust wurde, der diese Weiterleitungen auslöst. Häufig sind solche Weiterleitungen so konfiguriert, dass sie nur bei bestimmten Nutzern greifen, etwa nur auf Mobilgeräten oder nur bei Besuchern, die über eine Suchmaschine kommen. Das erschwert die Entdeckung zusätzlich, denn der Administrator, der die Seite direkt aufruft, bemerkt womöglich überhaupt keine Veränderung.

Das dritte, oft übersehene Anzeichen sind ungewöhnliche Änderungen an den Inhalten: Erscheinen auf Ihrer Seite plötzlich Inhalte, die Sie nicht angelegt haben – Links auf fremde Websites, neue Benutzerkonten im Administrationsbereich, unbekannte Dateien in den Serververzeichnissen oder Änderungen an bestehenden Dateien –, deutet all das auf unbefugten Zugriff hin. Besonders gefährlich sind Fälle, in denen Angreifer versteckte, für Suchmaschinen optimierte Seiten mit Spam-Inhalten auf Ihrer Website anlegen: Diese Taktik, in der Branche „SEO-Spam“ genannt und bei Google Hacking durch verborgene Keywords und Links, kann der Reputation Ihrer Website in den Augen der Suchmaschinen langfristig schaden, selbst wenn Sie diese Seiten nie zu Gesicht bekommen, weil sie nur für die Crawler der Suchmaschinen sichtbar sind.

Das vierte Anzeichen sind Leistungsprobleme des Servers: Wird Ihre Website plötzlich deutlich langsamer, fällt der Server regelmäßig aus oder erhalten Sie Meldungen Ihres Hosting-Anbieters über übermäßigen Ressourcenverbrauch, kann das darauf hindeuten, dass Angreifer Ihren Server für eigene Zwecke einspannen – etwa für das Schürfen von Kryptowährungen, den Versand von Spam oder Angriffe auf andere Websites. In solchen Fällen kann der Hosting-Anbieter Ihr Konto sogar sperren, womit Ihre Website vollständig unerreichbar wird.

Die häufigsten Angriffsarten und Sicherheitslücken

Um eine gehackte Website wirksam wiederherzustellen und erneute Angriffe zu verhindern, müssen Sie verstehen, wie Angreifer überhaupt in Ihr System gelangen. Ohne dieses Verständnis beseitigen Sie womöglich nur die Folgen und nicht die Ursache, und die Website kann schon wenige Tage oder Wochen nach der Bereinigung erneut gehackt werden. Die Statistiken der Cybersicherheit zeigen, dass die meisten Hacks keine komplexen, gezielten Angriffe sind, sondern automatisierte Vorgänge, bei denen Bots Millionen von Websites nach bekannten Sicherheitslücken durchsuchen und diese ausnutzen, sobald sie fündig werden.

SQL-Injection ist nach wie vor eine der verbreitetsten und gefährlichsten Angriffsmethoden. Sie erlaubt es dem Angreifer, die Datenbank Ihrer Website zu manipulieren, indem er über Eingabefelder – etwa Anmeldeformulare, Suchfelder oder URL-Parameter – schädliche SQL-Abfragen einschleust. Übernimmt der Code Ihrer Website Benutzereingaben ohne saubere Validierung und Parametrisierung direkt in SQL-Abfragen, kann ein Angreifer die Authentifizierung umgehen und sensible Daten aus der Datenbank auslesen, verändern oder löschen – darunter Benutzerpasswörter, personenbezogene Informationen und Finanzdaten. SQL-Injection-Angriffe sind vor allem deshalb so gefährlich, weil sie dem Angreifer die vollständige Kontrolle über Ihre Datenbank verschaffen können und in manchen Fällen sogar über den gesamten Server, wenn der Datenbankbenutzer zu weitreichende Rechte besitzt.

Cross-Site-Scripting (XSS) ist eine weitere weit verbreitete Sicherheitslücke, die sich im Unterschied zur SQL-Injection nicht gegen den Server richtet, sondern gegen die Nutzer der Website: Der Angreifer schleust schädlichen JavaScript-Code in Ihre Seite ein, der in den Browsern der Besucher ausgeführt wird und es ihm erlaubt, Sitzungscookies zu stehlen, Nutzer auf betrügerische Seiten umzuleiten oder unbemerkt Aktionen im Namen des Nutzers auszuführen. XSS-Angriffe können persistent sein (der Schadcode wird in der Datenbank gespeichert und allen Besuchern ausgeliefert), reflektiert (der Code steckt in einem URL-Parameter und wirkt nur, wenn der Nutzer auf einen speziell präparierten Link klickt) oder DOM-basiert (die Sicherheitslücke liegt vollständig im clientseitigen Code). Ein wirksamer Schutz gegen XSS umfasst die Kodierung der Ausgabedaten, die Bereinigung der Eingabedaten und die Einführung einer Content Security Policy (CSP), die einschränkt, aus welchen Quellen Skripte geladen werden dürfen.

Veraltete Software ist eine weitere ausgesprochen häufige Ursache für Hacks, und das gilt besonders für das WordPress-Ökosystem: Im Patchstack-Bericht für 2025 entfielen von 11.334 neu entdeckten Sicherheitslücken 91 % auf Plugins und 9 % auf Themes, während im WordPress-Kern nur sechs Fehler niedriger Priorität gemeldet wurden. Entdeckt ein Plugin- oder Theme-Entwickler eine Sicherheitslücke und behebt sie, veröffentlicht er ein Update – zugleich werden die Informationen über die Lücke damit aber öffentlich, und Angreifer suchen umgehend nach Websites, die noch nicht aktualisiert wurden. Dieses Zeitfenster zwischen der Veröffentlichung einer Sicherheitslücke und der Installation des Updates ist einer der kritischsten Zeiträume für die Sicherheit Ihrer Website. Genau deshalb ist die regelmäßige Aktualisierung der Software keine bloße Empfehlung, sondern eine absolute Notwendigkeit.

Schwache oder kompromittierte Passwörter sind nach wie vor einer der einfachsten Wege, über die Angreifer Zugriff auf Websites erlangen, denn viele Administratoren verwenden leicht zu erratende Passwörter, nutzen dasselbe Passwort für mehrere Dienste oder verzichten auf die Multi-Faktor-Authentifizierung – das macht Brute-Force-Angriffe und Credential Stuffing, den automatisierten Einsatz gestohlener Zugangsdaten, außerordentlich wirksam. Verschärft wird die Lage dadurch, dass viele Menschen dieselbe E-Mail-Adresse und dasselbe Passwort für das Hosting-Konto, den FTP-Zugang und den Administrationsbereich der Website verwenden, sodass die Kompromittierung eines einzigen Passworts dem Angreifer Zugriff auf die gesamte Infrastruktur verschaffen kann.

Schritt für Schritt: der Wiederherstellungsprozess einer gehackten Website

Wenn Sie festgestellt haben, dass Ihre Website gehackt wurde, ist es außerordentlich wichtig, methodisch und in der richtigen Reihenfolge vorzugehen, statt panisch Dateien zu löschen oder alles von Grund auf neu zu installieren. Kopfloses Handeln kann Spuren vernichten, die zur Bestimmung der Angriffsquelle nötig sind, und die Lage sogar verschlimmern, wenn nicht alle vom Angreifer hinterlassenen Backdoors (Hintertüren) beseitigt werden. Im Folgenden ist ein strukturierter Wiederherstellungsprozess beschrieben, der auf den bewährten Praktiken der Cybersicherheitsbranche beruht und sowohl von Hosting-Anbietern als auch von Sicherheitsexperten empfohlen wird.

Erste Phase: sofortige Isolierung und Sicherung des Ist-Zustands

Der allererste Schritt unmittelbar nach der Entdeckung eines Hacks ist die Isolierung der Website von der Außenwelt, um weiteren Schaden für Ihre Besucher und Ihre Reputation abzuwenden. Am einfachsten gelingt das, indem Sie den Wartungsmodus (Maintenance Mode) aktivieren, der den Besuchern einen Hinweis anzeigt, dass die Website vorübergehend nicht verfügbar ist, und zugleich den Zugriff auf alle übrigen Inhalte sperrt. Kommen Sie nicht mehr in den Administrationsbereich Ihrer Website, können Sie über die Datei .htaccess den gesamten Traffic auf eine einfache HTML-Seite mit einem Hinweis umleiten oder Ihren Hosting-Anbieter bitten, Ihr Konto vorübergehend zu sperren.

Parallel zur Isolierung der Website ist es entscheidend, ein vollständiges Backup der kompromittierten Website anzulegen – sowohl aller Dateien als auch der Datenbank. Dieses Backup erfüllt zwei Zwecke: Erstens bewahrt es die Spuren, die für die Bestimmung von Quelle und Methode des Angriffs nötig sein können, und zweitens bietet es ein Sicherheitsnetz für den Fall, dass die Wiederherstellung scheitert und Sie zum Ausgangszustand zurückkehren müssen, um einen anderen Ansatz zu versuchen. Beginnen Sie auf keinen Fall mit der Bereinigung, bevor dieses Backup existiert – andernfalls riskieren Sie, sowohl die infizierten Dateien (die für die Analyse gebraucht werden könnten) als auch möglicherweise saubere Dateien zu verlieren, falls bei der Bereinigung etwas schiefgeht.

Der dritte wichtige Schritt in dieser Phase ist die Kontaktaufnahme mit dem Hosting-Anbieter, denn dieser hat Zugriff auf die Server-Logdateien, die wertvolle Hinweise darauf liefern können, wann und wie der Angriff erfolgte, welche Dateien verändert wurden und von welchen IP-Adressen aus unbefugt zugegriffen wurde. Liegt Ihr Konto zudem auf einem Shared Server, muss der Hosting-Anbieter prüfen, ob der Angriff auch andere Konten auf demselben Server erfasst hat, und entsprechende Maßnahmen ergreifen, um das Problem einzugrenzen.

Zweite Phase: Schadcode identifizieren und entfernen

Sobald die Website isoliert und das Backup erstellt ist, beginnt die kritischste Phase der Wiederherstellung: das Aufspüren und Entfernen des Schadcodes. Dieser Prozess verlangt Sorgfalt und ein systematisches Vorgehen, denn Angreifer hinterlassen häufig mehrere Backdoors in verschiedenen Bereichen der Website – und schon eine einzige übersehene Backdoor bedeutet, dass der Angreifer jederzeit zurückkehren kann.

Der erste Schritt ist ein automatischer Scan mit verlässlichen Sicherheitswerkzeugen wie Wordfence, Sucuri oder MalCare, die sämtliche Dateien und die Datenbank der Website auf bekannte Schadcode-Muster, verdächtige Funktionen und unbefugte Änderungen prüfen. Diese Werkzeuge erkennen die meisten verbreiteten Infektionen, sind aber nicht unfehlbar – ein automatischer Scan muss daher immer durch eine manuelle Prüfung ergänzt werden. Bei der manuellen Prüfung gilt den kritischen Dateien besondere Aufmerksamkeit, etwa .htaccess, wp-config.php (bei WordPress), functions.php, header.php und footer.php, denn diese Dateien sind die häufigsten Ziele, und der dort eingeschleuste Code kann durch Verschleierungstechniken maskiert sein – etwa durch base64-Kodierung, die Funktion eval() oder Aufrufe von gzinflate() –, was den Schadcode mit bloßem Auge schwer erkennbar macht.

Die Bereinigung der Datenbank ist ebenso wichtig wie die der Dateien, denn Angreifer schleusen schädliche Inhalte häufig direkt in die Datenbanktabellen ein – bei WordPress sind am häufigsten die Tabellen wp_posts und wp_options betroffen, in denen Spam-Inhalte, versteckte Links oder sogar PHP-Code abgelegt werden können, der ausgeführt wird, sobald die Website die entsprechenden Einträge lädt. Für die Prüfung der Datenbank können Sie phpMyAdmin oder ein vergleichbares Werkzeug verwenden und dabei nach verdächtigen Einträgen, unbefugt angelegten Administratorkonten und ungewöhnlichen Änderungen in der Optionstabelle suchen.

Ist der Schadcode identifiziert, empfiehlt es sich, die infizierten Dateien nicht zu reparieren, sondern durch saubere Originalkopien zu ersetzen – das heißt, den Kern des Systems und jedes Plugin, jedes Theme und jede Erweiterung aus der offiziellen Quelle des Entwicklers herunterzuladen und die betreffenden Verzeichnisse vollständig zu überschreiben, statt sich einzelne Dateien nacheinander vorzunehmen. Haben Sie eigenen Code in einem Theme oder einer Erweiterung, muss dieser Zeile für Zeile mit einer sauberen Version verglichen werden, um ausschließlich die schädlichen Änderungen zu erkennen und zu entfernen und Ihre legitimen Anpassungen zu erhalten.

Besonders wichtig ist die Prüfung von Verzeichnissen, in denen normalerweise keine ausführbaren Dateien liegen sollten – der Upload- und Medienverzeichnisse –, denn eine PHP-Datei, die dort liegt, ist fast nie zufällig dorthin geraten: Solche Verzeichnisse sind ausschließlich für Bilder, Videos und Dokumente vorgesehen. Ebenso ist das Stammverzeichnis der Website auf unbekannte Dateien zu prüfen, die Backdoors oder Werkzeuge des Angreifers sein könnten. Welche Verzeichnisse, Dateien und Datenbanktabellen in einer WordPress-Installation genau zu prüfen sind, haben wir Schritt für Schritt im Leitfaden zur gehackten WordPress-Website beschrieben.

Dritte Phase: Zugangsdaten erneuern und das System härten

Nachdem der Schadcode entfernt wurde, müssen unbedingt alle Passwörter und Zugangsschlüssel geändert werden, die mit Ihrer Website zusammenhängen. Es ist sehr wahrscheinlich, dass der Angreifer diese Zugangsdaten während des Hacks erbeutet hat, und werden sie nicht geändert, kann er sich einfach erneut anmelden und Ihre Website ein zweites Mal kompromittieren. Der Passwortwechsel muss alle Ebenen erfassen: die Administratorkonten der Website (und alle weiteren Benutzerkonten mit erweiterten Rechten), das Passwort des Hosting-Control-Panels, die Zugangsdaten für FTP und SFTP, das Datenbankpasswort sowie die Passwörter der mit der Website verknüpften E-Mail-Konten.

Bei WordPress-Websites müssen zusätzlich die Authentifizierungsschlüssel und Salts (security keys and salts) in der Datei wp-config.php erneuert werden: Sie verschlüsseln nichts, sondern signieren die Authentifizierungs-Cookies per HMAC-SHA256, weshalb der Server nach dem Austausch jedes bis dahin ausgegebene Cookie zurückweist und alle aktiven Sitzungen beendet, auch jene, die ein Angreifer nutzen könnte. Passwörter ändert dieser Schritt nicht – sie liegen als Hash vor, der mit bcrypt berechnet wird, und müssen gesondert gewechselt werden. Neue Schlüssel lassen sich mit dem offiziellen Schlüsselgenerator von WordPress erzeugen und einfach in die Datei wp-config.php einfügen, wobei die alten Werte ersetzt werden.

Zur Härtung des Systems gehört auch die Aktualisierung aller Softwarekomponenten auf die neuesten Versionen – das betrifft den CMS-Kern, sämtliche Plugins und Themes sowie die serverseitige Software, etwa die PHP-Version. Alle ungenutzten oder nicht mehr gepflegten Plugins und Themes sind vollständig zu löschen und nicht bloß zu deaktivieren, denn selbst ein deaktiviertes Plugin mit einer Sicherheitslücke kann für einen Angriff missbraucht werden, solange seine Dateien noch auf dem Server liegen. Besonders gefährlich sind sogenannte „nulled“, also raubkopierte Plugins und Themes, die häufig bereits Schadcode enthalten und zu den häufigsten Ursachen für Hacks zählen.

Über den Passwortwechsel und die Softwareaktualisierung hinaus sind proaktive Sicherheitsmaßnahmen einzuführen, die das Risiko weiterer Angriffe deutlich senken. Eine Web Application Firewall (WAF) gehört zu den wirksamsten Schutzmitteln, denn sie filtert den eingehenden Traffic und blockiert verdächtige Anfragen, bevor sie Ihre Website erreichen – und schützt so vor SQL-Injections, XSS-Angriffen, Brute-Force-Angriffen und vielen weiteren Bedrohungsarten. Die Multi-Faktor-Authentifizierung (MFA oder 2FA) ist eine weitere kritisch wichtige Sicherheitsebene: Selbst wenn ein Angreifer Ihr Passwort erbeutet, kann er sich ohne den zweiten Authentifizierungsfaktor nicht anmelden, etwa ohne den Code aus einer Mobil-App oder per SMS.

Bei WordPress-Websites empfiehlt es sich außerdem, das Bearbeiten von Dateien über den Administrationsbereich zu unterbinden, indem Sie der Datei wp-config.php die Zeile define('DISALLOW_FILE_EDIT', true) hinzufügen. Damit kann ein Angreifer, der Zugriff auf ein Administratorkonto erlangt hat, Theme- und Plugin-Dateien nicht mehr direkt über die WordPress-Oberfläche bearbeiten. Ebenso ist es ratsam, die Zahl der Anmeldeversuche zu begrenzen, den Standard-Benutzernamen des Administrators zu ändern und den Zugriff auf das Verzeichnis wp-admin nach IP-Adresse einzuschränken, sofern das praktisch umsetzbar ist.

Vierte Phase: die Reputation in den Suchmaschinen wiederherstellen

Zeigt Google für Ihre Website eine Sicherheitswarnung an oder erscheinen in den Suchergebnissen Warnungen wegen eines Hacks, ist die Wiederherstellung erst abgeschlossen, wenn diese Warnungen entfernt sind – denn sie schrecken weiterhin Besucher ab und schaden Ihren Suchmaschinenrankings, selbst wenn die Website längst vollständig bereinigt und gehärtet ist. Die Google Search Console ist in dieser Phase das zentrale Werkzeug, und falls Sie Ihre Website dort noch nicht verifiziert haben, ist jetzt der letzte Zeitpunkt dafür.

In der Google Search Console findet sich im Bereich „Sicherheit und manuelle Maßnahmen“ (Security & Manual Actions) die Übersicht „Sicherheitsprobleme“ (Security Issues), die zeigt, welche konkreten Probleme Google auf Ihrer Website entdeckt hat, welche Seiten betroffen sind und welche Art von Bedrohung identifiziert wurde. Nachdem Sie alle zuvor beschriebenen Schritte zur Bereinigung und Härtung durchgeführt haben, können Sie auf die Schaltfläche „Überprüfung anfordern“ (Request Review) klicken, die Google mitteilt, dass das Problem behoben ist und Sie um die Entfernung der Warnungen bitten. Der Antrag sollte eine ausführliche Beschreibung enthalten: worin das Problem bestand, welche konkreten Schritte Sie zu seiner Behebung unternommen haben und welche Ergebnisse diese Maßnahmen gebracht haben – je ausführlicher und konkreter Ihre Beschreibung, desto größer die Chance auf eine schnelle und erfolgreiche Überprüfung.

Eine feste Frist verspricht Google nicht: Die Dokumentation nennt einmal „einige Tage oder mehrere Wochen“ und weist zugleich darauf hin, dass eine Überprüfung bei einem Spam-Hack mehrere Wochen dauern kann, weil sie eine manuelle Bewertung oder die erneute Verarbeitung aller betroffenen Seiten einschließt. Gehackte Seiten mit Spam-Inhalten dürfen nicht auf die Startseite oder andere Bereiche der Website weitergeleitet werden – sie müssen den Statuscode 404 (Nicht gefunden) zurückgeben, damit Google sie nach und nach aus seinem Index entfernt. Eine Weiterleitung kann in einem solchen Fall als Versuch gewertet werden, das Problem zu verschleiern, statt es zu lösen.

Neben der Google Search Console lohnt sich auch ein Blick auf andere Blocklists, etwa Norton Safe Web, McAfee SiteAdvisor und weitere, denn einige Browser und Sicherheitsprogramme greifen zusätzlich zur Google-Liste auf diese Verzeichnisse zurück. Ist Ihre Website in einer davon gelistet, müssen Sie bei jedem dieser Dienste einen eigenen Antrag stellen.

Backup-Strategie: Ihr Sicherheitsnetz

Regelmäßige und verlässliche Backups gehören zu den wichtigsten vorbeugenden Maßnahmen, die ein Website-Betreiber ergreifen kann. Denn selbst im schlimmsten Fall – wenn eine Website so schwer kompromittiert ist, dass eine Bereinigung praktisch nicht möglich oder wirtschaftlich nicht vertretbar ist – können Sie die Website aus einem sauberen Backup wiederherstellen und verlieren nur die Inhalte, die nach dem letzten Backup hinzugekommen sind. Die Backup-Strategie muss allerdings durchdacht sein, denn schlecht organisierte Backups können sich ausgerechnet in dem Moment als wertlos erweisen, in dem man sie am dringendsten braucht.

Erstens müssen Backups sowohl sämtliche Dateien der Website als auch die Datenbank umfassen, denn eine Website ohne Datenbank oder eine Datenbank ohne Dateien ist wertlos – beide Bestandteile werden gebraucht, um die Funktionsfähigkeit der Website vollständig wiederherzustellen. Zweitens müssen Backups außerhalb desselben Servers gespeichert werden, auf dem Ihre Website liegt, denn wird der Server kompromittiert, kann der Angreifer auch die dort abgelegten Backups löschen oder infizieren. Im Idealfall werden Backups an mindestens zwei verschiedenen Orten aufbewahrt, etwa in einem Cloud-Speicher (Google Drive, Amazon S3, Dropbox) und auf einem lokalen Datenträger.

Drittens ist es wichtig, mehrere Backup-Versionen vorzuhalten und nicht nur die jeweils neueste. Wird ein Hack erst spät entdeckt, kann das jüngste Backup bereits infiziert sein, und Sie brauchen eine ältere, saubere Version. Bewährt hat sich, mindestens eine Backup-Historie von 30 Tagen aufzubewahren; damit lässt sich weit genug zurückgehen, um selbst dann eine saubere Version zu finden, wenn der Hack erst mehrere Wochen nach seinem Beginn bemerkt wurde.

Viertens muss der Backup-Prozess automatisiert werden, denn manuelle Sicherungen sind unzuverlässig – Menschen vergessen sie, schieben sie auf oder hören nach einiger Zeit schlicht damit auf. Die meisten Hosting-Anbieter bieten automatische Backups an, und es gibt zudem spezialisierte Plugins und Dienste, die diese Aufgabe übernehmen. Wichtig ist außerdem, regelmäßig zu prüfen, ob die Backups tatsächlich funktionieren, indem Sie die Website in einer Testumgebung aus einem Backup wiederherstellen – denn nichts ist schlimmer, als im Krisenfall festzustellen, dass die Backups beschädigt oder unvollständig sind.

Was Daten über gehackte Websites zeigen – und Prognosen nicht

Die Cybersicherheitsstatistik, die öffentlich kursiert, spricht fast immer von globalen Kosten der Cyberkriminalität in Billionenhöhe oder von Datenschutzverletzungen großer Konzerne, deren Durchschnittskosten in Millionen gemessen werden, und einem kleinen oder mittleren Unternehmen mit einer einzigen Website nützt das praktisch nichts – das sind Zahlen aus einer ganz anderen Welt. Brauchbar sind Daten, die unmittelbar an gehackten Websites erhoben wurden, und veröffentlicht werden sie von genau den Unternehmen, die diese Websites täglich bereinigen, denn deren Stichprobe besteht aus Websites wie Ihrer.

Im Bericht des Sicherheitsunternehmens Sucuri für 2023, der auf den Websites beruht, die sein Team im Lauf des Jahres tatsächlich bereinigt hat, waren 39,1 % der Content-Management-Systeme zum Zeitpunkt der Infektion veraltet (Sucuri, „2023 Hacked Website & Malware Threat Report“). In fast zwei von fünf Fällen musste der Angreifer also nach nichts Komplizierterem suchen als nach einer öffentlich bekannten Sicherheitslücke in einem System, das der Betreiber nicht aktualisiert hatte – und genau deshalb ist ein fester Update-Rhythmus die billigste Sicherheitsinvestition, die es auf diesem Feld überhaupt gibt.

Noch mehr sagt aus, was dieselben Daten über die Absicht der Angreifer verraten, denn das erklärt, warum ein Hack so selten nach einem Hack aussieht. Im selben Bericht enthielten 20,30 % der infizierten Websites SEO-Spam, unter den kompromittierten Datenbanken erreichte dieser Anteil 38,3 %, und auf 1,34 % der Websites fand sich Code zum Abgreifen von Zahlungskartendaten. Keines dieser drei Dinge ist darauf angelegt, die Website zu zerstören – alle drei sind darauf angelegt, dass die Website weiterläuft wie gewohnt und währenddessen jemand anderem Geld einbringt.

Und eine weitere Zahl erklärt, warum das Bereinigen der Dateien allein nie genügt: Auf 55,2 % der Websites, bei denen Schadcode bis in die Datenbank gelangt war, existierte mindestens ein vom Angreifer angelegtes Administratorkonto. Ein solches Konto bleibt nach der Dateibereinigung vollkommen legitim – es hat ein Passwort, es hat alle Rechte, und damit meldet man sich einfach neu an und legt den Code wieder ab. Genau deshalb sind die Prüfung der Datenbank und der Durchgang durch die Benutzerliste in unserem Wiederherstellungsprozess ein eigener Schritt und keine Zugabe zur Dateibereinigung.

Langfristige Sicherheitsstrategie: der proaktive Ansatz

Die Wiederherstellung einer gehackten Website ist nur die halbe Geschichte – ebenso wichtig, wenn nicht wichtiger, ist eine langfristige Sicherheitsstrategie, die das Risiko eines erneuten Hacks deutlich senkt und dafür sorgt, dass Ihre Website den sich ständig wandelnden Bedrohungen bestmöglich standhält. Diese Strategie ist keine einmalige Maßnahme, sondern ein fortlaufender Prozess, der regelmäßige Aufmerksamkeit und den Einsatz von Ressourcen verlangt.

Regelmäßige Schwachstellen-Scans und Penetrationstests gehören zu den wichtigsten Elementen proaktiver Sicherheit, denn sie decken Sicherheitsmängel auf und beseitigen sie, bevor Angreifer sie ausnutzen. Schwachstellen-Scans lassen sich mit automatisierten Werkzeugen durchführen, die Ihre Website regelmäßig prüfen und gefundene Probleme melden; ein Penetrationstest geht deutlich tiefer: Dabei versucht ein Sicherheitsspezialist, Ihre Website mit denselben Methoden zu hacken, die auch ein echter Angreifer einsetzen würde, um Sicherheitslücken aufzuspüren, die automatisierten Werkzeugen entgehen.

Zugriffskontrolle und Rechteverwaltung sind ein weiterer kritischer, oft vernachlässigter Sicherheitsaspekt: Jeder Benutzer Ihrer Website sollte nur über die minimalen Rechte verfügen, die er für seine Aufgaben braucht, und niemand sollte ein Administratorkonto für die tägliche Arbeit nutzen, etwa zum Veröffentlichen von Inhalten oder zum Moderieren von Kommentaren. Dieses Vorgehen, bekannt als Least-Privilege-Prinzip (Prinzip der geringsten Rechte), verringert den potenziellen Schaden erheblich, falls eines der Konten kompromittiert wird.

Sicherheitsmonitoring und die Auswertung der Logdateien sind ein fortlaufender Prozess, der es erlaubt, verdächtige Aktivitäten früh zu erkennen und darauf zu reagieren, bevor daraus ein vollwertiger Hack wird. Dazu gehören die regelmäßige Durchsicht der Server-Zugriffsprotokolle, die Überwachung fehlgeschlagener Anmeldeversuche, die Prüfung der Dateiintegrität (die Sie warnt, wenn eine Datei ohne Ihr Wissen verändert wird) sowie die Analyse des Netzwerkverkehrs auf ungewöhnliche Muster, die auf einen Angriff oder Datendiebstahl hindeuten könnten.

Das Erstellen eines Incident-Response-Plans ist ein weiterer wichtiger Schritt, den viele Inhaber kleiner und mittlerer Unternehmen übergehen, weil sie ihn für ein Thema großer Konzerne halten. Tatsächlich sollte jede Organisation, die auf ihre Online-Präsenz angewiesen ist, über einen dokumentierten Plan verfügen, der beschreibt, was im Fall eines Hacks zu tun ist, wer für welchen Schritt verantwortlich ist, wie Kunden und Partner informiert werden und wie der Normalbetrieb schnellstmöglich wiederhergestellt wird. Ein solcher Plan verkürzt die Reaktionszeit erheblich und verhindert kopfloses Handeln in der Krise. Ein Teil dieser Entscheidungen fällt bereits bei der Beauftragung der Website – welche Fehler in diesem Moment am teuersten sind, haben wir in einem eigenen Beitrag beschrieben.

Professionelle Hilfe: wann Sie Spezialisten hinzuziehen sollten

Viele Schritte der Wiederherstellung kann ein Website-Betreiber selbst ausführen, doch es gibt Situationen, in denen professionelle Hilfe nicht nur ratsam, sondern notwendig ist, um eine vollständige und sichere Wiederherstellung zu gewährleisten. War der Hack besonders komplex, wird die Website nach der Bereinigung erneut gehackt, besteht der Verdacht auf eine Datenschutzverletzung, die personenbezogene Kundendaten betrifft oder fehlen Ihnen schlicht das technische Wissen und die Zeit für alle notwendigen Schritte, sollten Sie in Erwägung ziehen, Cybersicherheitsspezialisten hinzuzuziehen oder spezialisierte Dienste für Website-Sicherheit in Anspruch zu nehmen.

Professionelle Sicherheitsdienste wie Sucuri, Wordfence oder MalCare bieten sowohl automatische Bereinigungswerkzeuge als auch die manuelle Unterstützung durch Experten, und viele von ihnen übernehmen nach der Wiederherstellung auch das laufende Monitoring und den Schutz. Die Kosten solcher Dienste liegen in der Regel weit unter den potenziellen Verlusten durch einen länger andauernden Hack – verlorener Traffic, sinkendes Kundenvertrauen, mögliche rechtliche Folgen im Fall einer Datenschutzverletzung und die Zeit, die man ohne ausreichendes Wissen in die eigene Fehlersuche steckt.

Werden auf Ihrer Website personenbezogene Daten verarbeitet und ist es zu einer Verletzung des Schutzes personenbezogener Daten gekommen, kann zudem eine rechtliche Pflicht bestehen, die zuständigen Aufsichtsbehörden und die betroffenen Personen gemäß der Datenschutz-Grundverordnung (DSGVO) oder anderen anwendbaren Rechtsvorschriften zu informieren. In diesem Fall ist es besonders wichtig, den gesamten Wiederherstellungsprozess zu dokumentieren und Nachweise über die ergriffenen Maßnahmen aufzubewahren.