Website gehackt: Erste Hilfe in 10 Schritten

Der häufigste Fehler in den ersten Stunden ist Aktionismus. Verständlich: Die Seite leitet auf etwas Fremdes um, Google warnt davor, das Telefon klingelt. Aber jede voreilige Handlung vernichtet Informationen, die Sie gleich brauchen — für die Wahl des richtigen Backups, für das Schließen der Lücke und womöglich für die datenschutzrechtliche Bewertung.

Schritt 1: Ruhe bewahren und nichts überschreiben

Hände weg von „Backup einspielen“, „verdächtige Datei löschen“ und „das Plugin war’s bestimmt, weg damit“. All das zerstört den Zustand, den Sie gleich dokumentieren wollen.

Sinnvoll ist stattdessen: Notieren Sie, wann Ihnen was aufgefallen ist. Machen Sie Screenshots — von der Weiterleitung, von der Google-Warnung, von den fremden Einträgen im Suchergebnis. Halten Sie fest, wer zuletzt an der Seite gearbeitet hat und ob kürzlich etwas installiert wurde. Diese fünf Minuten sparen später Stunden.

Schritt 2: Die Seite aus dem Verkehr ziehen

Solange Schadcode ausgeliefert wird, wächst der Schaden mit jedem Besucher: gefährdete Geräte, Browser-Warnungen, Rankingverluste. Schalten Sie eine Wartungsseite vor, idealerweise mit dem HTTP-Statuscode 503, der Suchmaschinen einen vorübergehenden Zustand signalisiert — eine leere Seite mit Status 200 oder ein pauschales 404 schadet mehr als nötig.

Bei einem Onlineshop mit laufendem Umsatz wägt man anders ab: Dann kann es der bessere Kompromiss sein, zunächst nur den Checkout stillzulegen — besonders bei Verdacht auf abgegriffene Zahlungsdaten.

Schritt 3: Beweise sichern, bevor Sie aufräumen

Jetzt wird der befallene Zustand konserviert. Ziehen Sie eine vollständige Kopie von Dateien und Datenbank, legen Sie sie außerhalb des Webspace ab und benennen Sie sie eindeutig — etwa mit Datum und dem Zusatz „befallen, nicht wiederherstellen“. Das ist Ihr Beweismittel, keine Sicherung zum Zurückspielen.

Parallel fordern Sie beim Hoster die Logdateien an: Zugriffs- und Fehlerprotokolle des Webservers, Anmeldeprotokolle für FTP, SFTP und SSH, bei Shops zusätzlich die des Shopsystems. Tun Sie das sofort — viele Hoster halten Logs nur wenige Tage vor, und danach lässt sich der Zeitpunkt des Eindringens oft nicht mehr rekonstruieren.

Schritt 4: Zugangsdaten und Schlüssel erneuern

Gehen Sie alle Zugänge durch, die zur Website gehören:

Hosting-Kundenkonto und Server-Zugang (SSH, SFTP, FTP)
Datenbankbenutzer
alle Administratorkonten im CMS
E-Mail-Postfächer der Domain
Konto beim Domain-Registrar
angebundene Dienste: Zahlungsanbieter, Versand, Newsletter-Tool, API-Schlüssel
bei WordPress zusätzlich die Sicherheitsschlüssel in der Konfiguration, wodurch alle aktiven Sitzungen beendet werden

Entscheidend sind zwei Dinge: neue, eigenständige Passwörter aus einem Passwortmanager statt Abwandlungen der alten — und ein Gerät, dem Sie vertrauen. Ist der eigene Rechner infiziert, landen die neuen Zugangsdaten sofort wieder in fremden Händen. Was Arbeitsplätze davor schützt, steht im Beitrag Virenschutz, Zwei-Faktor und Passwörter.

Schritt 5: Den Umfang feststellen

Bevor bereinigt wird, muss klar sein, wie weit es reicht:

Welche Dateien wurden verändert? Ein Abgleich mit den Originaldateien aus offizieller Quelle zeigt Abweichungen, Zeitstempel geben einen ersten Anhaltspunkt.
Was steht in der Datenbank? Unbekannte Benutzer, veränderte Rollen, eingeschleuste Inhalte in Beiträgen oder Einstellungen.
Reicht es über die Seite hinaus? Weitere Domains im selben Hosting-Paket, genutzte Mailpostfächer, Weiterleitungsregeln, die niemand angelegt hat.
Waren personenbezogene Daten zugänglich? Formularanfragen, Bestellungen, Kundenkonten, Newsletter-Listen. Diese Frage entscheidet, ob parallel eine datenschutzrechtliche Bewertung anlaufen muss — siehe die DSGVO-Checkliste für Websites und die Einordnung der Meldepflichten in WordPress-Sicherheit: Wie alte Plugins Zugangsdaten und Kundendaten preisgeben.

Belegen statt vermuten: „Wahrscheinlich ist nichts abgeflossen“ ist keine Grundlage für eine Entscheidung, die Fristen auslöst.

Schritt 6: Bereinigen oder sauberes Backup einspielen

Erst jetzt fällt die Entscheidung, und sie hängt an zwei Werten aus Schritt 3 und 5: dem Zeitpunkt des Eindringens und dem Alter der letzten sauberen Sicherung.

Backup zurückspielen ist schneller, wenn eine Sicherung von vor dem Eindringen existiert. Der Preis: Alles seitdem Entstandene geht verloren — Bestellungen, Anfragen, neue Inhalte. Prüfen Sie vorher, was das bedeutet, und sichern Sie diese Daten separat.

Bereinigen heißt: Systemkern, Theme und Erweiterungen vollständig aus der Originalquelle neu einspielen, statt einzelne Dateien zu flicken. Eigene Anpassungen und Uploads werden gesondert geprüft. Das dauert länger, erhält aber den aktuellen Datenstand.

Schritt 7: Die Lücke schließen

Eine wiederhergestellte Seite auf einem ungepatchten System ist innerhalb weniger Tage erneut betroffen — dann mit dem Eindruck, die Bereinigung habe nichts getaugt. Schließen Sie also genau das, was Schritt 5 als Ursache ergeben hat: alles aktualisieren, nicht genutzte Plugins und Themes vollständig löschen statt nur deaktivieren, die PHP-Version auf einen Stand mit Sicherheitsupdates heben, Serverkonfiguration prüfen. Läuft die Seite auf einer Umgebung, die diese Pflege nicht hergibt, ist ein Wechsel ins Managed Hosting der ehrlichere Weg als der nächste Reparaturversuch.

Schritt 8: Benutzerkonten und Automatismen prüfen

Angreifer sorgen fast immer für einen zweiten Weg zurück. Diese Stellen gehören einzeln kontrolliert:

Benutzerliste: unbekannte Konten mit Administratorrechten entfernen, Rollen der bekannten Konten prüfen.
Hinterlegte E-Mail-Adressen: Eine geänderte Adresse ist eine Hintertür — darüber lässt sich jederzeit ein Passwort zurücksetzen.
Geplante Aufgaben und Cronjobs: Einträge, die gelöschte Dateien stillschweigend wiederherstellen, sind ein Klassiker.
E-Mail-Weiterleitungen und Filterregeln in den Postfächern der Domain. Wie solche Zugriffe auf Postfächer zustande kommen, beschreibt der Beitrag Phishing, Spam und Betrugsanrufe.
Anwendungspasswörter, API-Schlüssel und verbundene Dienste widerrufen und neu vergeben.

Schritt 9: Google Search Console prüfen und Überprüfung beantragen

Im Bericht „Sicherheitsprobleme“ der Search Console sehen Sie, ob und wie Google Ihre Seite eingestuft hat — unterschieden wird dort unter anderem zwischen gehackten Inhalten, Malware und Social Engineering, inklusive betroffener URLs.

Erst wenn die Seite nachweislich sauber ist, wählen Sie „Überprüfung anfordern“. Ein guter Antrag beschreibt drei Dinge: was das Problem war, was Sie dagegen getan haben und woran man erkennt, dass es behoben ist. Zur Dauer schreibt Google in der Search-Console-Hilfe: „Bei den meisten erneuten Überprüfungen ist mit mehreren Tagen oder Wochen zu rechnen.“ Bei Spaminhalten kann es länger dauern, weil manuell geprüft wird.

Parallel lohnt ein Blick auf den Suchindex: Sind fremde Unterseiten unter Ihrer Domain gelandet, sollten diese URLs nach dem Entfernen den Statuscode 404 oder 410 liefern, damit sie aus dem Index fallen — mehr dazu im Lexikoneintrag zur Indexierung. Die Einrichtung der Search Console erklärt SEO-Erfolg messen mit Search Console und GA4. Bleiben die Rankings auch nach der Bereinigung unten, hilft die Schrittfolge aus Rankings bei Google verloren.

Schritt 10: Blocklisten prüfen, härten, überwachen

Wurde über Ihren Server Spam verschickt, kann die Domain oder die Server-IP auf E-Mail-Sperrlisten gelandet sein. Symptom: Ihre Geschäftspost kommt nicht mehr an oder landet im Spam-Ordner. Sprechen Sie den Hoster darauf an — er sieht die Reputation der Server-IP und kann die Entfernung beantragen. Was sonst dazu führt, dass Geschäftspost im Spam landet, steht im Beitrag Ihre Mails landen im Spam. Prüfen Sie außerdem, ob Browser noch warnen.

Danach kommt der Teil, der den nächsten Vorfall verhindert: Zwei-Faktor-Anmeldung für alle Backend-Konten, Begrenzung fehlgeschlagener Anmeldeversuche, Rechte nach Bedarf statt Administrator für alle, Backups mit mehreren Versionen außerhalb des Servers — und einmal tatsächlich zurückgespielt. Wer das nicht dauerhaft selbst im Blick behalten möchte, legt es in die laufende Website-Pflege.

Zum Schluss ein Funktionstest: Formulare, Bestellprozess, Darstellung auf dem Handy, Ladezeiten. Nach einer Bereinigung bleiben gern Kleinigkeiten liegen — dafür ist die Fehlerbehebung der richtige Ort, bei träger Seite die Ladezeit-Optimierung.

Wann Sie selbst ran können — und wann besser nicht

Selbst machen ist realistisch, wenn der Befall überschaubar ist, ein nachweislich sauberes Backup existiert, die Ursache feststeht, keine sensiblen Kundendaten im Spiel sind und Sie sicher mit SFTP, Dateisystem und Datenbank umgehen können.

Holen Sie Hilfe, wenn einer dieser Punkte zutrifft: Es geht um einen Shop oder eine Seite mit Kundendaten. Die Seite war schon einmal betroffen. Es gibt kein brauchbares Backup. Google warnt bereits vor Ihrer Domain. Über den Server wurde Spam verschickt. Sie kommen an die Logdateien nicht heran. Oder die Frage nach einer Meldepflicht steht im Raum.

Bei nova.02:media läuft die Bereinigung gehackter Websites als Festpreis nach kurzer Prüfung: erst ansehen, dann den Preis nennen, dann beauftragen. Wäre ein Neuaufbau günstiger als die Reinigung, sagen wir das vorher und rechnen es gegen ein Webdesign-Projekt. Konditionen unter Preise, eine Einschätzung vorab über die Beratung.

Was ein Dienstleister von Ihnen braucht

Je vollständiger diese Liste beim ersten Kontakt vorliegt, desto schneller geht es:

Hoster und Tarif, dazu Zugang zum Kundenkonto oder ein Ansprechpartner dort
Server-Zugang (SFTP oder SSH) und Datenbankzugang
Administrator-Zugang zum CMS beziehungsweise Shopsystem
Zugriff auf die Google Search Console oder eine Freigabe dafür
Zeitleiste: wann ist was aufgefallen, was wurde seitdem verändert, wer hat schon etwas versucht
Vorhandene Backups und wo sie liegen — inklusive der Kopie aus Schritt 3
Domain-Registrar und, bei Shops, Zahlungs- und Versanddienstleister
Ansprechpartner für Datenschutz, falls personenbezogene Daten im Spiel sind

Sagen Sie dabei offen, wenn bereits jemand „aufgeräumt“ hat. Halb entfernter Schadcode und gelöschte Spuren sind der aufwendigste Ausgangspunkt.

Die häufigsten Fehler nach einem Hack

Sofort das Backup einspielen. Spuren weg, Ursache unbekannt — und oft war die Sicherung selbst schon infiziert.
Nur den sichtbaren Schaden beheben. Die Weiterleitung ist weg, die Hintertür bleibt.
Ein Sicherheits-Plugin nachträglich installieren und es dabei belassen. Nach dem Befall installiert, findet es meist nur einen Teil.
Passwörter nur teilweise ändern — oder vom möglicherweise infizierten Rechner aus.
Die Überprüfung bei Google zu früh beantragen. Ein abgelehnter Antrag kostet zusätzliche Zeit.
Logdateien zu spät anfordern. Nach wenigen Tagen sind sie beim Hoster meist gelöscht.
Die Datenschutzfrage aussitzen. Die Frist läuft ab Kenntnis, nicht ab dem Moment, in dem es unangenehm wird.

Häufige Fragen

Was mache ich als Allererstes, wenn meine Website gehackt wurde? Nichts überschreiben. Kein Backup einspielen, keine verdächtigen Dateien löschen, kein Plugin auf Verdacht deinstallieren. Notieren Sie stattdessen Datum, Uhrzeit und was genau Ihnen aufgefallen ist, und machen Sie Screenshots. Danach nehmen Sie die Seite in den Wartungsmodus und sichern den Ist-Zustand als vollständige Kopie. Erst dann wird aufgeräumt.

Soll ich meine Website offline nehmen? In den meisten Fällen ja, zumindest vorübergehend. Eine Wartungsseite mit dem Statuscode 503 schützt Besucher und signalisiert Suchmaschinen einen temporären Zustand. Bei Shops mit laufendem Umsatz wägt man anders ab — dann ist manchmal das Stilllegen einzelner Bereiche wie des Checkouts der bessere Kompromiss. Entscheidend ist, dass kein Schadcode mehr ausgeliefert wird.

Kann ich einfach ein Backup einspielen und die Sache ist erledigt? Selten. Erstens löschen Sie damit die Spuren, die zeigen, wann und worüber der Zugriff erfolgte. Zweitens war die Sicherung häufig schon infiziert, weil ein Befall oft wochenlang unbemerkt läuft. Und selbst ein sauberes Backup nützt nichts, solange die Lücke offen ist — dann ist die Seite in wenigen Tagen erneut betroffen.

Wie lange dauert es, bis die Google-Warnung wieder verschwindet? Nach der Bereinigung beantragen Sie im Bericht „Sicherheitsprobleme“ der Google Search Console eine erneute Überprüfung. Google schreibt dazu: „Bei den meisten erneuten Überprüfungen ist mit mehreren Tagen oder Wochen zu rechnen.“ Bei gehackten Seiten mit Spaminhalten kann es länger dauern, weil manuell geprüft wird. Stellen Sie den Antrag erst, wenn die Seite wirklich sauber ist.

Was kostet es, eine gehackte Website bereinigen zu lassen? Bei nova.02:media läuft die Bereinigung als Festpreis nach kurzer Prüfung: Wir sehen uns die Seite an und nennen den Preis, bevor etwas beauftragt wird. Eine Pauschale vorab gibt es bewusst nicht, weil der Aufwand stark davon abhängt, wie tief der Befall sitzt und ob ein brauchbares Backup existiert.

Muss ich meine Kunden informieren, wenn meine Website gehackt wurde? Das hängt davon ab, ob personenbezogene Daten betroffen sein könnten — und diese Bewertung gehört in fachkundige Hände. Die DSGVO sieht in Artikel 33 eine Meldung an die Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden vor und in Artikel 34 eine Benachrichtigung der Betroffenen bei hohem Risiko für deren Rechte und Freiheiten. Klären Sie das mit Datenschutzbeauftragten, Aufsichtsbehörde oder anwaltlich. Stand September 2026.

Fazit

Nach einem Hack gewinnt nicht, wer am schnellsten löscht, sondern wer in der richtigen Reihenfolge arbeitet. Erst sichern und verstehen, dann bereinigen, dann die Lücke schließen — und am Ende absichern. Wer die Schritte 3 und 5 überspringt, spart eine Stunde und zahlt sie beim zweiten Befall doppelt zurück.

Wenn Sie mittendrin stecken und nicht sicher sind, ob wirklich alles gefunden wurde: Wir sehen uns die Seite an und sagen Ihnen zum Festpreis nach kurzer Prüfung, was zu tun ist — Website gehackt. Wie die meisten Fälle überhaupt entstehen, erklärt WordPress-Sicherheit: Wie alte Plugins Zugangsdaten und Kundendaten preisgeben. Begriffe aus diesem Beitrag finden Sie im Lexikon, für eine erste Einschätzung gibt es das kostenlose Erstgespräch.

nova.02:media ist eine inhabergeführte Webagentur aus Strausberg. Inhaber Marek Stein arbeitet seit 2002 im Web, über 1.600 umgesetzte Projekte, deutschlandweit und komplett remote.