Es ist Montagmorgen, ein Kunde ruft an: „Auf Ihrer Website steht was Komisches.“ Oder Google zeigt unter Ihrem Firmennamen „Diese Website wurde möglicherweise gehackt.“ Oder der Hoster hat die Seite abgeschaltet und eine Mail geschickt, die Sie zweimal lesen müssen.

Dieser Ratgeber ist für diesen Moment. Er ist bewusst in der Reihenfolge geschrieben, in der Sie die Dinge tun sollten, und er geht davon aus, dass Sie kein Techniker sind. Wo Sie Hilfe brauchen, sagen wir es.

Woran Sie es merken

Ein Einbruch sieht selten aus wie im Film. Typische Zeichen:

  • Google oder der Browser warnt vor Ihrer Website („Diese Website kann Ihren Computer beschädigen“).
  • Die Startseite zeigt fremde Inhalte, oder Besucher landen auf einer anderen Website (oft erst vom Handy, oft nur, wenn sie von Google kommen).
  • In den Google-Ergebnissen tauchen unter Ihrer Domain Seiten auf, die Sie nie angelegt haben: Medikamente, Wetten, Markenschuhe.
  • Der Hoster hat die Website gesperrt oder meldet, dass von Ihrem Paket aus Spam verschickt wird.
  • Im WordPress-Admin gibt es Benutzer, die Sie nicht kennen, oder Plugins, die niemand installiert hat.
  • Ihr Admin-Passwort geht nicht mehr.
  • Die Website ist auf einmal sehr langsam, oder E-Mails von Ihrer Domain landen beim Empfänger im Spam.

Eines dieser Zeichen reicht. Warten Sie nicht auf ein zweites.

Die ersten 24 Stunden

1. Ruhe, Notizen, Uhrzeit. Schreiben Sie auf, was Sie sehen, seit wann, und was in den letzten Tagen an der Website gemacht wurde (Plugin installiert? Passwort weitergegeben? Update gelaufen?). Machen Sie Screenshots. Diese Notizen brauchen Sie für den Hoster, für denjenigen, der die Seite reinigt, und womöglich für die Datenschutzbehörde.

2. Nehmen Sie die Website vom Netz. Nicht löschen, nur abschalten: Wartungsmodus einschalten, oder den Hoster bitten, die Domain vorübergehend zu sperren. Das schützt Ihre Besucher, deren Computer sich sonst bei Ihnen anstecken, und es schützt Ihren Ruf bei Google, der jede Stunde mit Schadcode zählt. Eine Seite, die zwei Tage „Wir sind gleich wieder da“ zeigt, hat noch niemandem geschadet.

3. Rufen Sie Ihren Hoster an. Er sieht mehr als Sie: ob andere Kunden auf demselben Server betroffen sind, wann der Einbruch begann, welche Dateien sich geändert haben. Viele Hoster haben eigene Backups und manche einen Reinigungsservice. Fragen Sie nach beidem.

4. Sichern Sie zwei Kopien. Erstens den aktuellen, befallenen Zustand (Dateien und Datenbank), für die Spurensuche später. Zweitens suchen Sie das letzte saubere Backup: Welche Backups gibt es, von welchem Datum, beim Hoster oder in einem Plugin? Notieren Sie die Daten. Das Backup von gestern ist wahrscheinlich auch schon befallen; der Einbruch liegt oft Wochen zurück.

5. Ändern Sie alle Zugänge. Alle, nicht nur das WordPress-Passwort:

  • jedes WordPress-Konto mit Admin-Rechten (Ihres, das der Agentur, das vom Praktikanten 2021),
  • das Kundenlogin beim Hoster,
  • FTP und SFTP,
  • die Datenbank,
  • das E-Mail-Postfach, über das das WordPress-Passwort zurückgesetzt werden kann.

Lange, einmalige Passwörter aus einem Passwort-Manager. Dazu die „Sicherheitsschlüssel“ in der Datei wp-config.php erneuern (WordPress stellt dafür einen Generator bereit); das wirft jeden hinaus, der noch eingeloggt ist. Und lassen Sie den eigenen Rechner einmal auf Schadsoftware prüfen. Erstaunlich oft kam das Passwort nicht aus dem Internet, sondern von einem verseuchten Laptop.

6. Entscheiden Sie: zurückspielen oder reinigen. Es gibt zwei Wege zurück zu einer sauberen Website.

  • Sauberes Backup zurückspielen. Der schnellste Weg, wenn Sie ein Backup von vor dem Einbruch haben und seither wenig geändert wurde. Danach sofort WordPress, Theme und alle Plugins aktualisieren, sonst kommt der Einbrecher durch dieselbe Tür wieder.
  • Reinigen. Wenn kein sauberes Backup existiert oder zu alt ist. Scanner-Plugins wie Wordfence oder Sucuri finden das meiste; WordPress-Kern und Plugins werden per SFTP frisch aufgespielt, nicht über den Admin, weil der Admin nur ersetzt und nichts löscht. Geprüft werden müssen besonders der Ordner wp-content/uploads (dort gehören keine .php-Dateien hin), die Datei .htaccess, die Benutzerliste, die Plugin-Liste und die geplanten Aufgaben. Das ist Arbeit für jemanden, der es schon einmal gemacht hat. Eine professionelle Reinigung kostet je nach Schaden einige hundert bis über tausend Euro; das ist meist billiger als eine Woche eigener Abende.

7. Nach der Reinigung: alle Passwörter noch einmal. Ja, noch einmal. Die ersten haben Sie geändert, während der Einbrecher womöglich noch mitlas.

Die Woche danach

Google. Melden Sie Ihre Website in der Google Search Console an, falls noch nicht geschehen. Unter „Sicherheitsprobleme“ sehen Sie, was Google gefunden hat. Nach der Reinigung stellen Sie dort einen Antrag auf Überprüfung; die Warnung verschwindet danach meist innerhalb weniger Tage. Prüfen Sie auch Bing (Webmaster Tools) und den Google-Transparenzbericht zu Safe Browsing.

E-Mail. Wurde über Ihren Server Spam verschickt, steht Ihre IP-Adresse womöglich auf schwarzen Listen, und Ihre normalen Mails kommen nicht mehr an. Der Hoster hilft beim Austragen. Prüfen Sie außerdem, ob in Ihren Postfächern Weiterleitungen eingerichtet wurden, die Sie nicht kennen.

Datenschutz. Lagen auf dem Server personenbezogene Daten (Kontaktformular-Einträge, Kundenkonten, Newsletter-Adressen, ein Shop), und könnte der Einbrecher sie gelesen haben? Dann ist das eine Datenpanne. Nach Art. 33 DSGVO muss sie binnen 72 Stunden ab Kenntnis der zuständigen Datenschutzbehörde gemeldet werden, in Deutschland der Landesbehörde, in Österreich der Datenschutzbehörde; in der Schweiz gilt das revidierte Datenschutzgesetz mit einer Meldung an den EDÖB. Besteht für die Betroffenen ein hohes Risiko, müssen auch sie informiert werden (Art. 34). Das klingt dramatisch, ist aber Routine: Die Meldung geht über ein Formular, und eine fristgerechte Meldung mit Ihren Notizen aus Schritt 1 ist der beste Schutz vor Ärger. Im Zweifel fragen Sie einen Anwalt, bevor die 72 Stunden um sind.

Kunden. Wenn Besucher die gehackte Seite gesehen haben, sagen Sie es kurz und ehrlich: was passiert ist, dass es behoben ist, was sie tun sollten (nichts, meistens). Ein Satz auf der Website und in der nächsten Mail reicht. Schweigen fällt später auf die Füße.

Die Ursache finden, sonst passiert es wieder

Reinigen ohne Ursache ist wie Wasser aufwischen, ohne den Hahn zuzudrehen. Die üblichen Wege hinein, nach Häufigkeit:

  1. Ein veraltetes Plugin oder Theme mit einer bekannten Lücke. Die Lücken werden veröffentlicht, Angreifer suchen automatisiert nach Websites, die noch nicht aktualisiert haben.
  2. Ein schwaches oder wiederverwendetes Passwort, oft von einem alten Konto, das niemand mehr nutzt.
  3. Eine Lücke in WordPress selbst oder in PHP, wie im Juli (wp2shell) und im Oktober 2026 (PHP2Shell). Hier zählt, wie schnell Hoster und Sie reagieren.
  4. Ein anderer Kunde auf demselben Server, bei schlecht getrenntem Billig-Hosting.
  5. Der Rechner, von dem aus Sie sich einloggen.

Wer die Seite reinigt, soll Ihnen sagen, welcher Weg es war. Wenn er es nicht sagen kann, fragen Sie nach.

Damit es nicht noch einmal passiert

  • Updates für WordPress, Theme und Plugins innerhalb von Tagen, nicht Monaten. Automatische Updates einschalten, wo es geht.
  • Plugins, die Sie nicht brauchen, löschen, nicht nur deaktivieren.
  • Admin-Konten auf die Personen beschränken, die heute daran arbeiten. Jeder andere bekommt eine niedrigere Rolle oder gar keine.
  • Zwei-Faktor-Anmeldung für alle Admins.
  • Backups täglich, an einem anderen Ort als dem Webspace, und einmal im Jahr eine Probe, ob sich das Backup wirklich zurückspielen lässt.
  • Die PHP-Version auf einer Linie mit Sicherheitsupdates halten (so prüfen Sie sie).
  • Ein Scanner-Plugin, das Sie benachrichtigt, bevor ein Kunde anruft.

Das ist die ehrliche Liste. Sie ist lang, und sie bleibt lang, weil eine WordPress-Website aus vielen Teilen besteht, die alle gepflegt werden wollen.

Wenn Sie es nicht noch einmal erleben wollen

Es gibt eine Abkürzung auf dieser Liste: eine Website, auf der die Teile fehlen, durch die Einbrecher kommen. Johnny zieht Ihre WordPress-Website um, gleicher Look, gleiche Adressen, auf eine Website, die als fertige Seiten ausgeliefert wird. Kein PHP, keine Plugins, kein Admin-Login, keine Datenbank auf Ihrer Domain, also nichts, was Sie je wieder aktualisieren, und viel weniger, was jemand angreifen könnte. Unhackbar sagen wir nicht; Ihre Website bleibt im Internet. Aber die fünf Wege hinein von oben gibt es dann nicht mehr.

Eine gehackte Website können wir umziehen, wenn eine saubere Kopie erreichbar ist: ein Backup, eine Staging-Kopie oder die Seiten, wie sie vor dem Einbruch waren. Sagen Sie es uns in der Notiz, wenn Sie Ihre Adresse schicken. Wir bauen von der sauberen Kopie nach und sehen uns jede Seite an, bevor Sie die Vorschau bekommen. Gibt es keine saubere Kopie, sagen wir es Ihnen, bevor Sie zahlen.

Quellen