Gehackte Website wiederherstellen: der vollständige Leitfaden

Täglich werden weltweit rund 30.000 Websites gehackt. Dieser Leitfaden zeigt Schritt für Schritt, wie Sie eine kompromittierte Website bereinigen, absichern und dauerhaft schützen.

Stellen Sie sich folgende Situation vor: Sie rufen Ihre Website auf, und statt der vertrauten Startseite empfängt Sie eine Malware-Warnung, eine Weiterleitung auf eine dubiose Seite oder schlicht eine leere Seite mit unverständlichem Code. Dieses Szenario ist keine bloß theoretische Bedrohung, denn weltweit werden täglich rund 30.000 Websites gehackt, und diese Zahl steigt weiter, während sich die Methoden der Cyberangriffe weiterentwickeln und zunehmend automatisiert ablaufen. Ganz gleich, ob Ihre Website ein kleiner privater Blog, die Präsentationsseite eines lokalen Unternehmens oder ein umfangreicher E-Commerce-Shop ist – das Risiko eines Hackerangriffs besteht immer, und wie schnell und wie richtig Sie auf einen solchen Vorfall reagieren, entscheidet darüber, ob Ihre Online-Präsenz binnen weniger Tage wiederhergestellt ist oder ob Sie über Monate aufgebaute Reputation, Kundenvertrauen und Positionen in den Suchmaschinen verlieren.

In diesem Beitrag betrachten wir den gesamten Wiederherstellungsprozess einer gehackten Website im Detail – von den ersten Anzeichen einer Kompromittierung bis hin zur langfristigen Sicherheitsstrategie, die erneute Angriffe verhindert. Wir gehen dabei sowohl auf die technischen Aspekte ein als auch auf die praktischen Schritte, die jeder Website-Betreiber selbst umsetzen kann, auch ohne tiefe Programmierkenntnisse.

Woran Sie erkennen, dass Ihre Website gehackt wurde

Eine der größten Herausforderungen für Website-Betreiber besteht darin, dass ein Hack nicht immer offensichtlich ist – viele Angriffe sind bewusst so ausgelegt, dass sie möglichst lange unbemerkt bleiben, denn für Angreifer ist es lukrativer, still und leise Ihre Serverressourcen zu nutzen, über Ihre Website Schadsoftware zu verbreiten oder versteckte Links und Spam-Inhalte einzuschleusen, die das Ranking ihrer eigenen Seiten in den Suchmaschinen verbessern. Es gibt jedoch mehrere Anzeichen, denen Sie sofort nachgehen sollten, weil sie häufig auf eine Kompromittierung Ihrer Website hindeuten.

Das erste und deutlichste Anzeichen sind Warnungen des Browsers oder der Suchmaschine: Zeigt Google Chrome oder ein anderer Browser eine rote Warnseite mit dem Text „Diese Website kann Ihren Computer schädigen“ oder eine ähnliche Meldung, bedeutet das fast immer, dass Google schädliche Inhalte auf Ihrer Seite entdeckt und sie auf seine Blacklist gesetzt hat. Eine solche Warnung schreckt Besucher augenblicklich ab und kann Ihren Traffic um 90 % oder mehr einbrechen lassen; sie zählt damit zu den schwerwiegendsten Folgen eines Hacks. Ebenso kann in den Google-Suchergebnissen unter Ihrer Adresse der Hinweis „Diese Website wurde möglicherweise gehackt“ erscheinen, was die Klickrate und das Vertrauen der Nutzer erheblich beeinträchtigt.

Das zweite häufige Anzeichen sind unerwartete Weiterleitungen: Werden Besucher Ihrer Website automatisch auf andere Seiten geleitet, insbesondere auf dubiose Seiten mit Werbung, Pharmaprodukten oder Erwachseneninhalten, ist das ein klares Signal dafür, dass in Ihre Website Schadcode eingeschleust wurde, der diese Weiterleitungen auslöst. Häufig sind solche Weiterleitungen so konfiguriert, dass sie nur bei bestimmten Nutzern greifen, etwa nur auf Mobilgeräten oder nur bei Besuchern, die über eine Suchmaschine kommen. Das erschwert die Entdeckung zusätzlich, denn der Administrator, der die Seite direkt aufruft, bemerkt womöglich überhaupt keine Veränderung.

Das dritte, oft übersehene Anzeichen sind ungewöhnliche Änderungen an den Inhalten: Erscheinen auf Ihrer Seite plötzlich Inhalte, die Sie nicht angelegt haben – Links auf fremde Websites, neue Benutzerkonten im Administrationsbereich, unbekannte Dateien in den Serververzeichnissen oder Änderungen an bestehenden Dateien –, deutet all das auf unbefugten Zugriff hin. Besonders gefährlich sind Fälle, in denen Angreifer versteckte, für Suchmaschinen optimierte Seiten mit Spam-Inhalten auf Ihrer Website anlegen: Diese Taktik, „SEO Spam“ oder „Pharma Hack“ genannt, kann der Reputation Ihrer Website in den Augen der Suchmaschinen langfristig schaden, selbst wenn Sie diese Seiten nie zu Gesicht bekommen, weil sie nur für die Crawler der Suchmaschinen sichtbar sind.

Das vierte Anzeichen sind Leistungsprobleme des Servers: Wird Ihre Website plötzlich deutlich langsamer, fällt der Server regelmäßig aus oder erhalten Sie Meldungen Ihres Hosting-Anbieters über übermäßigen Ressourcenverbrauch, kann das darauf hindeuten, dass Angreifer Ihren Server für eigene Zwecke einspannen – etwa für das Schürfen von Kryptowährungen, den Versand von Spam oder Angriffe auf andere Websites. In solchen Fällen kann der Hosting-Anbieter Ihr Konto sogar sperren, womit Ihre Website vollständig unerreichbar wird.

Die häufigsten Angriffsarten und Sicherheitslücken

Um eine gehackte Website wirksam wiederherzustellen und erneute Angriffe zu verhindern, müssen Sie verstehen, wie Angreifer überhaupt in Ihr System gelangen. Ohne dieses Verständnis beseitigen Sie womöglich nur die Folgen und nicht die Ursache, und die Website kann schon wenige Tage oder Wochen nach der Bereinigung erneut gehackt werden. Die Statistiken der Cybersicherheit zeigen, dass die meisten Hacks keine komplexen, gezielten Angriffe sind, sondern automatisierte Vorgänge, bei denen Bots Millionen von Websites nach bekannten Sicherheitslücken durchsuchen und diese ausnutzen, sobald sie fündig werden.

SQL-Injection ist nach wie vor eine der verbreitetsten und gefährlichsten Angriffsmethoden. Sie erlaubt es dem Angreifer, die Datenbank Ihrer Website zu manipulieren, indem er über Eingabefelder – etwa Anmeldeformulare, Suchfelder oder URL-Parameter – schädliche SQL-Abfragen einschleust. Übernimmt der Code Ihrer Website Benutzereingaben ohne saubere Validierung und Parametrisierung direkt in SQL-Abfragen, kann ein Angreifer die Authentifizierung umgehen und sensible Daten aus der Datenbank auslesen, verändern oder löschen – darunter Benutzerpasswörter, personenbezogene Informationen und Finanzdaten. SQL-Injection-Angriffe sind vor allem deshalb so gefährlich, weil sie dem Angreifer die vollständige Kontrolle über Ihre Datenbank verschaffen können und in manchen Fällen sogar über den gesamten Server, wenn der Datenbankbenutzer zu weitreichende Rechte besitzt.

Cross-Site Scripting, kurz XSS, ist eine weitere weit verbreitete Sicherheitslücke, die sich im Unterschied zur SQL-Injection nicht gegen den Server richtet, sondern gegen die Nutzer der Website: Der Angreifer schleust schädlichen JavaScript-Code in Ihre Seite ein, der in den Browsern der Besucher ausgeführt wird und es ihm erlaubt, Sitzungscookies zu stehlen, Nutzer auf betrügerische Seiten umzuleiten oder unbemerkt Aktionen im Namen des Nutzers auszuführen. XSS-Angriffe können persistent sein (der Schadcode wird in der Datenbank gespeichert und allen Besuchern ausgeliefert), reflektiert (der Code steckt in einem URL-Parameter und wirkt nur, wenn der Nutzer auf einen speziell präparierten Link klickt) oder DOM-basiert (die Sicherheitslücke liegt vollständig im clientseitigen Code). Ein wirksamer Schutz gegen XSS umfasst die Kodierung der Ausgabedaten, die Bereinigung der Eingabedaten und die Einführung einer Content Security Policy (CSP), die einschränkt, aus welchen Quellen Skripte geladen werden dürfen.

Veraltete Software ist eine weitere ausgesprochen häufige Ursache für Hacks, und das gilt besonders für das WordPress-Ökosystem, wo Untersuchungen zeigen, dass rund 99 % der WordPress-Sicherheitslücken auf Plugins und Themes von Drittanbietern zurückgehen und nicht auf den WordPress-Kern selbst. Entdeckt ein Plugin- oder Theme-Entwickler eine Sicherheitslücke und behebt sie, veröffentlicht er ein Update – zugleich werden die Informationen über die Lücke damit aber öffentlich, und Angreifer suchen umgehend nach Websites, die noch nicht aktualisiert wurden. Dieses Zeitfenster zwischen der Veröffentlichung einer Sicherheitslücke und der Installation des Updates ist einer der kritischsten Zeiträume für die Sicherheit Ihrer Website. Genau deshalb ist die regelmäßige Aktualisierung der Software keine bloße Empfehlung, sondern eine absolute Notwendigkeit.

Schwache oder kompromittierte Passwörter sind nach wie vor einer der einfachsten Wege, über die Angreifer Zugriff auf Websites erlangen, denn viele Administratoren verwenden leicht zu erratende Passwörter, nutzen dasselbe Passwort für mehrere Dienste oder verzichten auf die Multi-Faktor-Authentifizierung – das macht Brute-Force-Angriffe und Credential Stuffing außerordentlich wirksam. Verschärft wird die Lage dadurch, dass viele Menschen dieselbe E-Mail-Adresse und dasselbe Passwort für das Hosting-Konto, den FTP-Zugang und den Administrationsbereich der Website verwenden, sodass die Kompromittierung eines einzigen Passworts dem Angreifer Zugriff auf die gesamte Infrastruktur verschaffen kann.

Schritt für Schritt: der Wiederherstellungsprozess einer gehackten Website

Wenn Sie festgestellt haben, dass Ihre Website gehackt wurde, ist es außerordentlich wichtig, methodisch und in der richtigen Reihenfolge vorzugehen, statt panisch Dateien zu löschen oder alles von Grund auf neu zu installieren. Kopfloses Handeln kann Spuren vernichten, die zur Bestimmung der Angriffsquelle nötig sind, und die Lage sogar verschlimmern, wenn nicht alle vom Angreifer hinterlassenen Hintertüren beseitigt werden. Im Folgenden ist ein strukturierter Wiederherstellungsprozess beschrieben, der auf den bewährten Praktiken der Cybersicherheitsbranche beruht und sowohl von Hosting-Anbietern als auch von Sicherheitsexperten empfohlen wird.

Erste Phase: sofortige Isolierung und Sicherung des Ist-Zustands

Der allererste Schritt unmittelbar nach der Entdeckung eines Hacks ist die Isolierung der Website von der Außenwelt, um weiteren Schaden für Ihre Besucher und Ihre Reputation abzuwenden. Am einfachsten gelingt das, indem Sie den Wartungsmodus (Maintenance Mode) aktivieren, der den Besuchern einen Hinweis anzeigt, dass die Website vorübergehend nicht verfügbar ist, und zugleich den Zugriff auf alle übrigen Inhalte sperrt. Kommen Sie nicht mehr in den Administrationsbereich Ihrer Website, können Sie über die Datei .htaccess den gesamten Traffic auf eine einfache HTML-Seite mit einem Hinweis umleiten oder Ihren Hosting-Anbieter bitten, Ihr Konto vorübergehend zu sperren.

Parallel zur Isolierung der Website ist es entscheidend, ein vollständiges Backup der kompromittierten Website anzulegen – sowohl aller Dateien als auch der Datenbank. Dieses Backup erfüllt zwei Zwecke: Erstens bewahrt es die Spuren, die für die Bestimmung von Quelle und Methode des Angriffs nötig sein können, und zweitens bietet es ein Sicherheitsnetz für den Fall, dass die Wiederherstellung scheitert und Sie zum Ausgangszustand zurückkehren müssen, um einen anderen Ansatz zu versuchen. Beginnen Sie auf keinen Fall mit der Bereinigung, bevor dieses Backup existiert – andernfalls riskieren Sie, sowohl die infizierten Dateien (die für die Analyse gebraucht werden könnten) als auch möglicherweise saubere Dateien zu verlieren, falls bei der Bereinigung etwas schiefgeht.

Der dritte wichtige Schritt in dieser Phase ist die Kontaktaufnahme mit dem Hosting-Anbieter, denn dieser hat Zugriff auf die Server-Logdateien, die wertvolle Hinweise darauf liefern können, wann und wie der Angriff erfolgte, welche Dateien verändert wurden und von welchen IP-Adressen aus unbefugt zugegriffen wurde. Liegt Ihr Konto zudem auf einem Shared Server, muss der Hosting-Anbieter prüfen, ob der Angriff auch andere Konten auf demselben Server erfasst hat, und entsprechende Maßnahmen ergreifen, um das Problem einzugrenzen.

Zweite Phase: Schadcode identifizieren und entfernen

Sobald die Website isoliert und das Backup erstellt ist, beginnt die kritischste Phase der Wiederherstellung: das Aufspüren und Entfernen des Schadcodes. Dieser Prozess verlangt Sorgfalt und ein systematisches Vorgehen, denn Angreifer hinterlassen häufig mehrere Hintertüren (Backdoors) in verschiedenen Bereichen der Website – und schon eine einzige übersehene Hintertür bedeutet, dass der Angreifer jederzeit zurückkehren kann.

Der erste Schritt ist ein automatischer Scan mit verlässlichen Sicherheitswerkzeugen wie Wordfence, Sucuri oder MalCare, die sämtliche Dateien und die Datenbank der Website auf bekannte Schadcode-Muster, verdächtige Funktionen und unbefugte Änderungen prüfen. Diese Werkzeuge erkennen die meisten verbreiteten Infektionen, sind aber nicht unfehlbar – ein automatischer Scan muss daher immer durch eine manuelle Prüfung ergänzt werden. Bei der manuellen Prüfung gilt den kritischen Dateien besondere Aufmerksamkeit, etwa .htaccess, wp-config.php (bei WordPress), functions.php, header.php und footer.php, denn diese Dateien sind die häufigsten Ziele, und der dort eingeschleuste Code kann durch Verschleierungstechniken maskiert sein – etwa durch base64-Kodierung, die Funktion eval() oder Aufrufe von gzinflate() –, was den Schadcode mit bloßem Auge schwer erkennbar macht.

Die Bereinigung der Datenbank ist ebenso wichtig wie die der Dateien, denn Angreifer schleusen schädliche Inhalte häufig direkt in die Datenbanktabellen ein – bei WordPress sind am häufigsten die Tabellen wp_posts und wp_options betroffen, in denen Spam-Inhalte, versteckte Links oder sogar PHP-Code abgelegt werden können, der ausgeführt wird, sobald die Website die entsprechenden Einträge lädt. Für die Prüfung der Datenbank können Sie phpMyAdmin oder ein vergleichbares Werkzeug verwenden und dabei nach verdächtigen Einträgen, unbefugt angelegten Administratorkonten und ungewöhnlichen Änderungen in der Optionstabelle suchen.

Ist der Schadcode identifiziert, empfiehlt es sich, die infizierten Dateien nicht zu reparieren, sondern durch saubere Originalkopien zu ersetzen – bei WordPress heißt das: einen frischen WordPress-Kern von wordpress.org herunterladen, die Verzeichnisse wp-admin und wp-includes überschreiben und sämtliche Plugins und Themes aus den offiziellen Quellen neu installieren. Haben Sie eigenen Code in einem Theme oder Plugin, muss dieser Zeile für Zeile mit einer sauberen Version verglichen werden, um ausschließlich die schädlichen Änderungen zu erkennen und zu entfernen und Ihre legitimen Anpassungen zu erhalten.

Besonders wichtig ist die Prüfung von Verzeichnissen, in denen normalerweise keine ausführbaren Dateien liegen sollten, etwa das Verzeichnis wp-content/uploads bei WordPress-Websites: Befinden sich dort PHP-Dateien, sind sie mit an Sicherheit grenzender Wahrscheinlichkeit schädlich, denn dieses Verzeichnis ist ausschließlich für Bilder und andere Mediendateien vorgesehen. Ebenso ist das Stammverzeichnis der Website auf unbekannte Dateien zu prüfen, die Hintertüren oder Werkzeuge des Angreifers sein könnten.

Dritte Phase: Zugangsdaten erneuern und das System härten

Nachdem der Schadcode entfernt wurde, müssen unbedingt alle Passwörter und Zugangsschlüssel geändert werden, die mit Ihrer Website zusammenhängen. Es ist sehr wahrscheinlich, dass der Angreifer diese Zugangsdaten während des Hacks erbeutet hat, und werden sie nicht geändert, kann er sich einfach erneut anmelden und Ihre Website ein zweites Mal kompromittieren. Der Passwortwechsel muss alle Ebenen erfassen: die Administratorkonten der Website (und alle weiteren Benutzerkonten mit erweiterten Rechten), das Passwort des Hosting-Control-Panels, die Zugangsdaten für FTP und SFTP, das Datenbankpasswort sowie die Passwörter der mit der Website verknüpften E-Mail-Konten.

Bei WordPress-Websites müssen zusätzlich die Sicherheitsschlüssel und Salts (Security Keys and Salts) in der Datei wp-config.php erneuert werden, denn diese Schlüssel dienen der Verschlüsselung der Sitzungen; ihr Austausch beendet automatisch alle aktiven Sitzungen, auch jene, die ein Angreifer nutzen könnte. Neue Schlüssel lassen sich mit dem offiziellen Schlüsselgenerator von WordPress erzeugen und einfach in die Datei wp-config.php einfügen, wobei die alten Werte ersetzt werden.

Zur Härtung des Systems gehört auch die Aktualisierung aller Softwarekomponenten auf die neuesten Versionen – das betrifft den CMS-Kern, sämtliche Plugins und Themes sowie die serverseitige Software, etwa die PHP-Version. Alle ungenutzten oder nicht mehr gepflegten Plugins und Themes sind vollständig zu löschen und nicht bloß zu deaktivieren, denn selbst ein deaktiviertes Plugin mit einer Sicherheitslücke kann für einen Angriff missbraucht werden, solange seine Dateien noch auf dem Server liegen. Besonders gefährlich sind sogenannte „nulled“, also raubkopierte Plugins und Themes, die häufig bereits Schadcode enthalten und zu den häufigsten Ursachen für Hacks zählen.

Über den Passwortwechsel und die Softwareaktualisierung hinaus sind proaktive Sicherheitsmaßnahmen einzuführen, die das Risiko weiterer Angriffe deutlich senken. Eine Web Application Firewall (WAF) gehört zu den wirksamsten Schutzmitteln, denn sie filtert den eingehenden Traffic und blockiert verdächtige Anfragen, bevor sie Ihre Website erreichen – und schützt so vor SQL-Injections, XSS-Angriffen, Brute-Force-Angriffen und vielen weiteren Bedrohungsarten. Die Multi-Faktor-Authentifizierung (MFA oder 2FA) ist eine weitere kritisch wichtige Sicherheitsebene: Selbst wenn ein Angreifer Ihr Passwort erbeutet, kann er sich ohne den zweiten Authentifizierungsfaktor nicht anmelden, etwa ohne den Code aus einer Mobil-App oder per SMS.

Bei WordPress-Websites empfiehlt es sich außerdem, das Bearbeiten von Dateien über den Administrationsbereich zu unterbinden, indem Sie der Datei wp-config.php die Zeile define('DISALLOW_FILE_EDIT', true) hinzufügen. Damit kann ein Angreifer, der Zugriff auf ein Administratorkonto erlangt hat, Theme- und Plugin-Dateien nicht mehr direkt über die WordPress-Oberfläche bearbeiten. Ebenso ist es ratsam, die Zahl der Anmeldeversuche zu begrenzen, den Standard-Benutzernamen des Administrators zu ändern und den Zugriff auf das Verzeichnis wp-admin nach IP-Adresse einzuschränken, sofern das praktisch umsetzbar ist.

Vierte Phase: die Reputation in den Suchmaschinen wiederherstellen

Ist Ihre Website auf Googles Blacklist gelandet oder erscheinen in den Suchergebnissen Warnungen wegen eines Hacks, ist die Wiederherstellung erst abgeschlossen, wenn diese Warnungen entfernt sind – denn sie schrecken weiterhin Besucher ab und schaden Ihren SEO-Positionen, selbst wenn die Website längst vollständig bereinigt und gehärtet ist. Die Google Search Console ist in dieser Phase das zentrale Werkzeug, und falls Sie Ihre Website dort noch nicht verifiziert haben, ist jetzt der letzte Zeitpunkt dafür.

In der Google Search Console findet sich im Bereich „Sicherheit und manuelle Maßnahmen“ (Security & Manual Actions) die Übersicht „Sicherheitsprobleme“ (Security Issues), die zeigt, welche konkreten Probleme Google auf Ihrer Website entdeckt hat, welche Seiten betroffen sind und welche Art von Bedrohung identifiziert wurde. Nachdem Sie alle zuvor beschriebenen Schritte zur Bereinigung und Härtung durchgeführt haben, können Sie auf die Schaltfläche „Überprüfung beantragen“ (Request Review) klicken, die Google mitteilt, dass das Problem behoben ist und Sie um die Entfernung der Warnungen bitten. Der Antrag sollte eine ausführliche Beschreibung enthalten: worin das Problem bestand, welche konkreten Schritte Sie zu seiner Behebung unternommen haben und welche Ergebnisse diese Maßnahmen gebracht haben – je ausführlicher und konkreter Ihre Beschreibung, desto größer die Chance auf eine schnelle und erfolgreiche Überprüfung.

Google schließt die Überprüfung in der Regel binnen weniger Tage ab, in komplizierteren Fällen kann sie jedoch bis zu zwei Wochen dauern. Wichtig zu wissen: Gehackte Seiten mit Spam-Inhalten sollten nicht auf die Startseite oder andere Bereiche der Website weitergeleitet werden – stattdessen müssen sie den Statuscode 404 (Nicht gefunden) zurückgeben, damit Google sie nach und nach aus seinem Index entfernt. Eine Weiterleitung kann in einem solchen Fall als Versuch gewertet werden, das Problem zu verschleiern, statt es zu lösen.

Neben der Google Search Console lohnt sich auch ein Blick auf andere Blacklists, etwa Norton Safe Web, McAfee SiteAdvisor und weitere, denn einige Browser und Sicherheitsprogramme greifen zusätzlich zur Google-Liste auf diese Verzeichnisse zurück. Ist Ihre Website in einer davon gelistet, müssen Sie bei jedem dieser Dienste einen eigenen Antrag stellen.

Backup-Strategie: Ihr Sicherheitsnetz

Regelmäßige und verlässliche Backups gehören zu den wichtigsten vorbeugenden Maßnahmen, die ein Website-Betreiber ergreifen kann. Denn selbst im schlimmsten Fall – wenn eine Website so schwer kompromittiert ist, dass eine Bereinigung praktisch nicht möglich oder wirtschaftlich nicht vertretbar ist – können Sie die Website aus einem sauberen Backup wiederherstellen und verlieren nur die Inhalte, die nach dem letzten Backup hinzugekommen sind. Die Backup-Strategie muss allerdings durchdacht sein, denn schlecht organisierte Backups können sich ausgerechnet in dem Moment als wertlos erweisen, in dem man sie am dringendsten braucht.

Erstens müssen Backups sowohl sämtliche Dateien der Website als auch die Datenbank umfassen, denn eine Website ohne Datenbank oder eine Datenbank ohne Dateien ist wertlos – beide Bestandteile werden gebraucht, um die Funktionsfähigkeit der Website vollständig wiederherzustellen. Zweitens müssen Backups außerhalb desselben Servers gespeichert werden, auf dem Ihre Website liegt, denn wird der Server kompromittiert, kann der Angreifer auch die dort abgelegten Backups löschen oder infizieren. Im Idealfall werden Backups an mindestens zwei verschiedenen Orten aufbewahrt, etwa in einem Cloud-Speicher (Google Drive, Amazon S3, Dropbox) und auf einem lokalen Datenträger.

Drittens ist es wichtig, mehrere Backup-Versionen vorzuhalten und nicht nur die jeweils neueste. Wird ein Hack erst spät entdeckt, kann das jüngste Backup bereits infiziert sein, und Sie brauchen eine ältere, saubere Version. Bewährt hat sich, mindestens eine Backup-Historie von 30 Tagen aufzubewahren; damit lässt sich weit genug zurückgehen, um selbst dann eine saubere Version zu finden, wenn der Hack erst mehrere Wochen nach seinem Beginn bemerkt wurde.

Viertens muss der Backup-Prozess automatisiert werden, denn manuelle Sicherungen sind unzuverlässig – Menschen vergessen sie, schieben sie auf oder hören nach einiger Zeit schlicht damit auf. Die meisten Hosting-Anbieter bieten automatische Backups an, und es gibt zudem spezialisierte Plugins und Dienste, die diese Aufgabe übernehmen. Wichtig ist außerdem, regelmäßig zu prüfen, ob die Backups tatsächlich funktionieren, indem Sie die Website in einer Testumgebung aus einem Backup wiederherstellen – denn nichts ist schlimmer, als im Krisenfall festzustellen, dass die Backups beschädigt oder unvollständig sind.

Die Realität der Cybersicherheitslage: Zahlen und Trends

Um vollständig zu erfassen, wie ernst die Bedrohung durch Hackerangriffe ist und warum Investitionen in Sicherheit nicht nur ratsam, sondern auch wirtschaftlich begründet sind, lohnt ein Blick auf einige Kennzahlen zur aktuellen Cybersicherheitslage. Die weltweiten Kosten der Cyberkriminalität erreichten 2024 rund 9,5 Billionen US-Dollar, und Prognosen zufolge steigt diese Zahl bis 2025 auf 10,5 Billionen Dollar jährlich – womit Cyberkriminalität zu einem der größten wirtschaftlichen Probleme der Welt wird. Die durchschnittlichen Kosten einer Datenpanne überstiegen 2024 pro Vorfall 4,88 Millionen Dollar, worin sowohl die direkten Verluste als auch die Kosten der Untersuchung, der Reputationsschaden und der Verlust von Kunden enthalten sind.

Die Häufigkeit der Angriffe wächst weiterhin exponentiell – Amazon berichtete, 2024 innerhalb von nur sechs Monaten einen Anstieg der potenziellen Bedrohungen von 100 Millionen auf 750 Millionen pro Tag beobachtet zu haben, was zeigt, wie rasant Angriffe automatisiert und skaliert werden. Die Zahl der DDoS-Angriffe stieg im ersten Halbjahr 2024 um 46 % gegenüber dem Vorjahr, und Ransomware-Angriffe erreichten etwa 20 bis 25 schwerwiegende Vorfälle pro Tag.

Das Gesundheitswesen ist zu einer der am stärksten angegriffenen Branchen geworden: Die wöchentlichen Angriffe nahmen 2024 gegenüber 2023 um 32 % zu und erreichten im Durchschnitt 2.018 Angriffe je Organisation und Woche. Der Faktor Mensch bleibt eine der größten Schwachstellen – Phishing macht 39,6 % aller E-Mail-Bedrohungen aus, und viele schwerwiegende Angriffe beginnen damit, dass ein Mitarbeiter versehentlich eine schädliche Datei herunterlädt oder auf einen betrügerischen Link klickt.

Der Einsatz künstlicher Intelligenz bei Cyberangriffen hat sich zu einem neuen und beunruhigenden Trend entwickelt – Angreifer nutzen KI, um Sicherheitslücken schneller aufzuspüren und auszunutzen, überzeugendere Phishing-Nachrichten zu verfassen und ausgefeiltere Social-Engineering-Angriffe durchzuführen. 47 % der Organisationen haben bereits Deepfake-Angriffe erlebt, und synthetischer Identitätsbetrug macht inzwischen mehr als 80 % der neuen Fälle von Kontobetrug aus.

Langfristige Sicherheitsstrategie: der proaktive Ansatz

Die Wiederherstellung einer gehackten Website ist nur die halbe Geschichte – ebenso wichtig, wenn nicht wichtiger, ist eine langfristige Sicherheitsstrategie, die das Risiko eines erneuten Hacks deutlich senkt und dafür sorgt, dass Ihre Website den sich ständig wandelnden Bedrohungen bestmöglich standhält. Diese Strategie ist keine einmalige Maßnahme, sondern ein fortlaufender Prozess, der regelmäßige Aufmerksamkeit und den Einsatz von Ressourcen verlangt.

Regelmäßige Schwachstellen-Scans und Penetrationstests gehören zu den wichtigsten Elementen proaktiver Sicherheit, denn sie decken Sicherheitsmängel auf und beseitigen sie, bevor Angreifer sie ausnutzen. Schwachstellen-Scans lassen sich mit automatisierten Werkzeugen durchführen, die Ihre Website regelmäßig prüfen und gefundene Probleme melden; ein Penetrationstest geht deutlich tiefer: Dabei versucht ein Sicherheitsspezialist, Ihre Website mit denselben Methoden zu hacken, die auch ein echter Angreifer einsetzen würde, um Sicherheitslücken aufzuspüren, die automatisierten Werkzeugen entgehen.

Zugriffskontrolle und Rechteverwaltung sind ein weiterer kritischer, oft vernachlässigter Sicherheitsaspekt: Jeder Benutzer Ihrer Website sollte nur über die minimalen Rechte verfügen, die er für seine Aufgaben braucht, und niemand sollte ein Administratorkonto für die tägliche Arbeit nutzen, etwa zum Veröffentlichen von Inhalten oder zum Moderieren von Kommentaren. Dieses Vorgehen, bekannt als Prinzip der geringsten Rechte (Principle of Least Privilege), verringert den potenziellen Schaden erheblich, falls eines der Konten kompromittiert wird.

Sicherheitsmonitoring und die Auswertung der Logdateien sind ein fortlaufender Prozess, der es erlaubt, verdächtige Aktivitäten früh zu erkennen und darauf zu reagieren, bevor daraus ein vollwertiger Hack wird. Dazu gehören die regelmäßige Durchsicht der Server-Zugriffsprotokolle, die Überwachung fehlgeschlagener Anmeldeversuche, die Prüfung der Dateiintegrität (die Sie warnt, wenn eine Datei ohne Ihr Wissen verändert wird) sowie die Analyse des Netzwerkverkehrs auf ungewöhnliche Muster, die auf einen Angriff oder einen Datenabfluss hindeuten könnten.

Das Erstellen eines Incident-Response-Plans ist ein weiterer wichtiger Schritt, den viele Inhaber kleiner und mittlerer Unternehmen übergehen, weil sie ihn für ein Thema großer Konzerne halten. Tatsächlich sollte jede Organisation, die auf ihre Online-Präsenz angewiesen ist, über einen dokumentierten Plan verfügen, der beschreibt, was im Fall eines Hacks zu tun ist, wer für welchen Schritt verantwortlich ist, wie Kunden und Partner informiert werden und wie der Normalbetrieb schnellstmöglich wiederhergestellt wird. Ein solcher Plan verkürzt die Reaktionszeit erheblich und verhindert kopfloses Handeln in der Krise. Ein Teil dieser Entscheidungen fällt bereits bei der Beauftragung der Website – welche Fehler in diesem Moment am teuersten sind, haben wir in einem eigenen Beitrag beschrieben.

Professionelle Hilfe: wann Sie Spezialisten hinzuziehen sollten

Viele Schritte der Wiederherstellung kann ein Website-Betreiber selbst ausführen, doch es gibt Situationen, in denen professionelle Hilfe nicht nur ratsam, sondern notwendig ist, um eine vollständige und sichere Wiederherstellung zu gewährleisten. War der Hack besonders komplex, wird die Website nach der Bereinigung erneut gehackt, besteht der Verdacht auf einen Abfluss personenbezogener Kundendaten oder fehlen Ihnen schlicht das technische Wissen und die Zeit für alle notwendigen Schritte, sollten Sie in Erwägung ziehen, Cybersicherheitsspezialisten hinzuzuziehen oder spezialisierte Dienste für Website-Sicherheit in Anspruch zu nehmen.

Professionelle Sicherheitsdienste wie Sucuri, Wordfence oder MalCare bieten sowohl automatische Bereinigungswerkzeuge als auch die manuelle Unterstützung durch Experten, und viele von ihnen übernehmen nach der Wiederherstellung auch das laufende Monitoring und den Schutz. Die Kosten solcher Dienste liegen in der Regel weit unter den potenziellen Verlusten durch einen länger andauernden Hack – verlorener Traffic, sinkendes Kundenvertrauen, mögliche rechtliche Folgen im Fall eines Datenabflusses und die Zeit, die man ohne ausreichendes Wissen in die eigene Fehlersuche steckt.

Werden auf Ihrer Website personenbezogene Daten verarbeitet und ist es zu einem Datenabfluss gekommen, kann zudem eine rechtliche Pflicht bestehen, die zuständigen Aufsichtsbehörden und die betroffenen Personen gemäß der Datenschutz-Grundverordnung (DSGVO) oder anderen anwendbaren Rechtsvorschriften zu informieren. In diesem Fall ist es besonders wichtig, den gesamten Wiederherstellungsprozess zu dokumentieren und Nachweise über die ergriffenen Maßnahmen aufzubewahren.