Zum Hauptinhalt springen

Website kompromittiert · Erste Hilfe

Ihre Website wurde gehackt: was jetzt zu tun ist

Die sechs Schritte unten sind die, auf die es in den ersten Stunden ankommt, in der Reihenfolge, in der es auf sie ankommt. Sie können sie selbst gehen, unabhängig davon, ob Sie je mit Coday sprechen. Brauchen Sie dabei Hilfe, erreichen Sie den Notdienst von Coday per Telefon oder WhatsApp; was er übernimmt, steht weiter unten.

Kurz gesagt: Wurde Ihre Website gehackt, tun Sie zuerst dreierlei: die Seite hinter einer Wartungsseite vom Netz nehmen, alle Passwörter ändern, auch für Hosting-Verwaltung und Domain-Registrar, und Ihren Hoster informieren. Danach suchen Sie ein Backup von vor dem Vorfall, prüfen, ob personenbezogene Daten betroffen sein können und eine Meldung an die Aufsichtsbehörde nötig ist, und entscheiden erst dann zwischen Bereinigung und Neuaufbau. Coday hilft im Notdienst beim Eindämmen und Bereinigen und danach beim Neuaufbau mit Next.js, ohne PHP-Plugins auf dem Server.

Notdienst: rund um die Uhr erreichbar, auch nachts und am Wochenende

Ich arbeite allein. Nehme ich nicht ab, schreiben Sie mir über das Notfall-Formular auf codayweb.de die Adresse Ihrer Website und was passiert ist; ich melde mich, sobald ich die Nachricht sehe. Eine feste Antwortzeit verspreche ich nicht.

Anrufen +49 176 41195301Per WhatsApp schreiben (öffnet in neuem Tab)
Zum Notfall-FormularWas der Notdienst übernimmt

Was der Einsatz kostet, sage ich Ihnen, bevor ich anfange. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.

Die ersten sechs Schritte

  1. Die Seite hinter einer Wartungsseite vom Netz nehmen

    Eine kompromittierte Seite arbeitet weiter, und zwar für denjenigen, der sie kompromittiert hat: Sie liefert Schadsoftware an Ihre Besucher aus, verschickt Spam über Ihre Domain oder hostet unter Ihrem Namen eine Phishing-Seite. Sie durch eine statische Wartungsseite zu ersetzen, stoppt den wachsenden Schaden, während Sie klären, was passiert ist, und schützt die Besucher, die dieser Adresse vertraut haben.

  2. Alle Passwörter ändern, auch die, an die niemand denkt

    Das Administratorkonto des CMS ist das offensichtliche. Vergessen werden meist die Hosting-Verwaltung, FTP- und SFTP-Zugänge, der Datenbankbenutzer, der Domain-Registrar sowie Deploy-Keys und API-Tokens, die die Seite nutzt. Wenn der Angreifer einmal drin war und nur das CMS-Passwort wechselt, steht der Weg zurück weiterhin offen.

  3. Den Hoster informieren

    Viele Hoster haben ein Abuse-Team, das serverseitige Protokolle einsehen kann, an die Sie nicht herankommen, und den betroffenen Zugang sperren kann, bevor sich der Schaden ausbreitet. Sich dort früh zu melden, ist ein direkter Weg zu der Frage, wie der Angreifer hereingekommen ist.

  4. Ein Backup von vor dem Vorfall suchen, nicht das neueste

    Das jüngste Backup kann schon kompromittiert sein, denn ein Einbruch fällt oft erst einige Zeit später auf. Entscheidend ist das letzte Backup vor dem ersten Anzeichen des Angriffs. Deshalb zählen die Daten in den Protokollen mehr als die Daten der Backups. Wer ein kompromittiertes Backup einspielt, spielt den Angreifer mit ein.

  5. Prüfen, ob personenbezogene Daten betroffen sein können

    Wenn durch die Verletzung personenbezogene Daten gefährdet sein können, verlangt Art. 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem der Verantwortliche davon Kenntnis erlangt hat. Für Betriebe in Hessen ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit. Kontaktformulare, Kundenkonten und Shop-Bestellungen enthalten personenbezogene Daten. Die Frist beginnt mit der Kenntnis, nicht mit dem Abschluss der Untersuchung.

  6. Ehrlich zwischen Bereinigung und Neuaufbau entscheiden

    Eine Bereinigung entfernt das Symptom. War der Weg hinein ein veraltetes Plugin, ein nicht aktualisierter Core oder ein schwaches Hoster-Passwort, ist diese Tür danach immer noch da, und die Seite kann erneut befallen werden. Ein Neuaufbau auf einem System ohne Plugins nimmt den Einstieg über Plugins weg statt nur die einzelne Infektion; Updates braucht auch die neue Seite, und ein schwaches Passwort ändern Sie in jedem Fall (Schritt 2). Was richtig ist, hängt davon ab, wie der Angreifer hereinkam, und das ist die Frage, die sich zu beantworten lohnt, bevor Geld in eines von beidem fließt.

Letzter PHP-Sicherheitsfall: PHP2Shell, 21.10.2026. PHP-Version prüfen, Update und Notdienst

So schützen Sie eine Firmenwebsite

Eine Firmenwebsite schützen Sie mit vier Maßnahmen, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt: Zwei-Faktor-Anmeldung für jeden Verwaltungszugang, Sicherheitsupdates gleich nach ihrem Erscheinen, Backups getrennt von der Website und Administratorrechte nur für die, die sie brauchen. Die Zwei-Faktor-Anmeldung gehört nicht nur an das CMS, sondern auch an das Kundenkonto beim Hoster und die Domainverwaltung beim Registrar, denn über jeden dieser Zugänge lässt sich die Seite verändern oder die Domain auf eine andere Seite lenken.

Sicherheitsupdates für das CMS, seine Plugins und Erweiterungen spielen Sie wo möglich automatisch ein, und Backups bewahren Sie getrennt von der Website auf, damit ein Angreifer, der in die Seite gelangt, nicht auch an die Backups kommt. Administratorrechte bekommt nur, wer die Seite technisch betreut: Wer nur Texte pflegt, arbeitet mit einem Redakteurskonto, und Konten, die niemand mehr braucht, löschen Sie.

Zu den Sicherheitsupdates gehört auch die PHP-Version auf dem Server, nicht nur das CMS. Bei den Lücken, für die das PHP-Projekt am 21. Oktober 2026 Notfall-Updates veröffentlicht hat, steckt der Fehler in PHP selbst; ein Update der Anwendung reicht laut BSI deshalb nicht, die PHP-Version auf dem Server muss aktualisiert werden. Bei Shared Hosting spielt in der Regel der Hoster das Update ein; fragen Sie ihn, ob PHP auf Ihrem Paket aktualisiert ist. Quelle: BSI-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“ vom 22. Oktober 2026 (öffnet in neuem Tab)

Was Coday macht, und was nicht

Im akuten Notfall hilft Ihnen Inhaber Umutcan Emre Tezgel im Notdienst von Coday. Dazu gehört: eine Kopie des befallenen Stands sichern, bevor ich etwas ändere; die Website hinter eine Wartungsseite nehmen; Zugänge sichern und Passwörter ändern lassen; Schadcode entfernen; das PHP-Update einspielen oder beim Hoster umstellen; ein sauberes Backup zurückspielen; mit Ihrem Hoster sprechen. Ich arbeite nur mit Ihrem Auftrag und mit Zugängen, die Sie mir geben. Den Einstieg suche ich, soweit Protokolle und Dateien ihn zeigen; gerichtsfeste Forensik übernimmt ein Fachdienstleister. Zur Meldepflicht berät Sie eine Anwältin, ein Anwalt oder Ihr Datenschutzbeauftragter. Was der Einsatz kostet, sage ich Ihnen, bevor ich anfange. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.

Danach baut Coday die Seite auf Wunsch so neu auf, dass dasselbe nicht auf demselben Weg wieder passieren kann. Die neue Seite wird mit Next.js gebaut, ihre Seiten werden vorab erzeugt und aus einem CDN ausgeliefert, ohne PHP-Plugins auf dem Server, die gepatcht werden müssen. Das macht eine Website nicht unangreifbar, denn das tut nichts, aber es entfernt die Einstiegspunkte, auf die automatisierte Angriffe zielen: veraltete Plugins und PHP-Code auf dem Server.

Ein Neuaufbau nach einer Kompromittierung läuft wie jeder andere Relaunch: Der Festpreis steht im Angebot, bevor die Arbeit beginnt, und Zwischenstände sehen Sie über einen Vorschau-Link. Eine Besonderheit gibt es: Die eingeschleusten Spam-Adressen müssen aufhören zu funktionieren, statt irgendwohin weitergeleitet zu werden.

Fragen nach einem Hack

Wie wurde meine Website gehackt?

Die üblichen Einstiegspunkte in ein Plugin-basiertes CMS sind eine veraltete Erweiterung, ein Core, der ein Sicherheitsupdate verpasst hat, ein wiederverwendetes oder schwaches Passwort im Hosting-Zugang und ein gestohlener FTP-Zugang von einem infizierten Arbeitsrechner. Auch eine Lücke in PHP selbst kann der Einstieg sein. Bei den Lücken, für die das PHP-Projekt am 21. Oktober 2026 Notfall-Updates veröffentlicht hat, reicht laut BSI ein Update der Anwendung, etwa von WordPress, nicht; die PHP-Version auf dem Server muss aktualisiert werden (BSI-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“ vom 22. Oktober 2026). Angriffe laufen meist automatisiert und zielen auf verbreitete Systeme wie WordPress, nicht weil WordPress schlecht gebaut wäre, sondern weil sich eine Lücke in einem verbreiteten System auf vielen Seiten zugleich ausnutzen lässt.

Kann ich die Seite nicht einfach bereinigen lassen?

Manchmal ja, und der Versuch lohnt sich, wenn der Einstiegspunkt bekannt und geschlossen ist. Er scheitert, wenn der Einstiegspunkt unbekannt ist, denn die Bereinigung entfernt die Dateien, die der Angreifer hinterlassen hat, und nicht das Loch, durch das er kam. Dann kann die Seite erneut befallen werden. Die entscheidende Frage lautet nicht „ist die Seite jetzt sauber", sondern „wissen wir, wie sie hereingekommen sind".

Entfernt Coday Schadsoftware von einer gehackten Website?

Ja, im Notdienst. Dazu gehört: eine Kopie des befallenen Stands sichern, bevor ich etwas ändere; die Website hinter eine Wartungsseite nehmen; Zugänge sichern und Passwörter ändern lassen; Schadcode entfernen; das PHP-Update einspielen oder beim Hoster umstellen; ein sauberes Backup zurückspielen; mit Ihrem Hoster sprechen. Ich arbeite nur mit Ihrem Auftrag und mit Zugängen, die Sie mir geben. Den Einstieg suche ich, soweit Protokolle und Dateien ihn zeigen; gerichtsfeste Forensik übernimmt ein Fachdienstleister. Zur Meldepflicht berät Sie eine Anwältin, ein Anwalt oder Ihr Datenschutzbeauftragter. Was der Einsatz kostet, sage ich Ihnen, bevor ich anfange. Danach baut Coday die Seite auf Wunsch mit Next.js neu auf, mit vorab erzeugten Seiten und ohne PHP-Plugins, damit der Einstieg über Plugins wegfällt und nicht nur die einzelne Infektion.

Muss eine gehackte Website den Behörden gemeldet werden?

Eine Meldung ist erforderlich, wenn durch die Verletzung personenbezogene Daten gefährdet waren. Art. 33 DSGVO verlangt dann eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis, und Art. 34 verlangt zusätzlich die Benachrichtigung der Betroffenen selbst, wenn für sie ein hohes Risiko besteht. Eine Seite mit reinen Firmeninformationen und ohne Formulare kann außerhalb liegen; eine Seite mit Kontaktformular, Kundenkonten oder Bestellungen in der Regel nicht. Wenn Sie unsicher sind, ist genau diese Unsicherheit ein Grund, schnell rechtlichen Rat einzuholen, statt abzuwarten.

Erholen sich unsere Google-Rankings nach einem Hack wieder?

Das ist möglich, aber nicht von allein und nicht sofort. Eine kompromittierte Seite kann in der Search Console als schädlich markiert und in den Ergebnissen mit einem Warnhinweis angezeigt werden, und die Spam-Seiten, die ein Angreifer einschleust, können unter Ihrer Domain indexiert werden. Erholung heißt: eingeschleuste Inhalte entfernen, in der Search Console eine Überprüfung beantragen und dafür sorgen, dass die eingeschleusten URLs einen eindeutigen Nicht-mehr-vorhanden-Status liefern, statt weiter zu funktionieren.

Mehr zum Website Relaunch:
Website RelaunchRelaunch-ChecklisteWas ein Relaunch kostetWebsite Migration & Replatforming

Notdienst · direkt zum Inhaber

Website gehackt? Notfall melden

Schreiben Sie mir die Adresse Ihrer Website und was passiert ist. Eilt es, rufen Sie an oder schreiben Sie per WhatsApp; beides steht oben auf dieser Seite. Was der Einsatz kostet, sage ich Ihnen, bevor ich anfange. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.

  1. 01

    Notfall melden

    Name, Telefon oder E-Mail und im Feld Nachricht die Adresse Ihrer Website und was passiert ist.

  2. 02

    Eindämmen und sichern

    Mit Ihrem Auftrag und den Zugängen, die Sie mir geben: eine Kopie des befallenen Stands sichern, die Seite hinter eine Wartungsseite nehmen, Zugänge sichern.

  3. 03

    Bereinigen, danach auf Wunsch neu bauen

    Schadcode entfernen, PHP-Update einspielen, ein sauberes Backup zurückspielen; danach auf Wunsch der Neuaufbau ohne PHP-Plugins.

  • Preis auf Anfrage, genannt vor dem Einsatz
  • Persönlich vom Inhaber
  • Nur mit Ihrem Auftrag
Persönliche Antwort vom Inhaber

Kurz anfragen

Drei Felder genügen. Ich melde mich persönlich bei Ihnen.

Mit dem Absenden stimmen Sie zu, dass ich Ihre Angaben zur Bearbeitung Ihrer Anfrage verwende. Keine Weitergabe, keine Werbung. Datenschutz

Rezensionen auf Google(öffnet in neuem Tab)Bewertungen auf ProvenExpert(öffnet in neuem Tab)