Website gehackt: Was in den ersten Stunden zu tun ist

Eine gehackte Website wird der Reihe nach behandelt: die Seite isolieren, um den Schaden zu stoppen, sofort alle Administrationspasswörter ändern, ein sauberes Backup von vor dem Vorfall wiederherstellen, die ausgenutzte Sicherheitslücke identifizieren und schließen, und schließlich prüfen, ob personenbezogene Daten betroffen sind, um die DSGVO-Meldepflicht bei Bedarf zu erfüllen. Diese Reihenfolge einzuhalten verhindert, dass die Website wiederhergestellt wird, nur um sofort erneut gehackt zu werden.

Das eigentliche Problem: Panik kostet wertvolle Zeit

Die Entdeckung eines Hackerangriffs löst oft eine Panikreaktion aus, die zu ungeordnetem Handeln verleitet: wahllos Dateien löschen, den angezeigten Inhalt ändern, ohne die Ursache zu verstehen, oder im Gegenteil gar nichts tun, aus Angst, die Lage zu verschlimmern. Beide Extreme sind kontraproduktiv. Die gute Nachricht: Die große Mehrheit der Website-Hacks (vor allem bei CMS wie WordPress) folgt bekannten Mustern und lässt sich mit einem methodischen Vorgehen lösen, ohne hochspezialisiertes Fachwissen.

Die eigentliche Dringlichkeit besteht nicht darin, in einer Stunde alles zu reparieren, sondern die Ausbreitung des Schadens zu stoppen: verhindern, dass schädliche Inhalte weiter angezeigt werden, verhindern, dass der Angreifer den Zugriff behält, und verhindern, dass Google betrügerische Seiten indexiert, die die Suchmaschinenplatzierung der Website dauerhaft schädigen.

Die Checkliste, Schritt für Schritt

1. Die Website sofort vom Netz nehmen oder in den Wartungsmodus versetzen, um die Exposition der schädlichen Inhalte gegenüber Besuchern und Google-Crawlern zu stoppen.
2. Alle Administrationspasswörter ändern: CMS, Hosting, Datenbank, FTP, und den Domainnamen, falls der Zugriff auf dieser Ebene fraglich ist. Ein kompromittiertes, andernorts wiederverwendetes Passwort muss überall geändert werden.
3. Verdächtige Zugänge widerrufen: ohne Ihre Zustimmung angelegte Administratorkonten, unbekannte API-Schlüssel oder Tokens, nicht erkannte verbundene Drittanbieter-Anwendungen.
4. Das Ausmaß des Schadens ermitteln: geänderte Seiten, hinzugefügte Dateien, eingeschleuste Weiterleitungen, veränderte Datenbank. Ein Vergleich mit dem letzten sauberen Backup hilft, genau einzugrenzen, was sich verändert hat.
5. Ein Backup von vor dem Vorfall wiederherstellen, wobei zu prüfen ist, dass es tatsächlich sauber ist (ein Backup, das nach dem ursprünglichen Einbruch erstellt wurde, kann die Sicherheitslücke oder den Schadcode bereits enthalten).
6. Die Ursache identifizieren und beheben: veraltetes Plugin, schwaches Passwort, bekannte, nicht geschlossene Sicherheitslücke. Ohne diesen Schritt bleibt das Risiko einer Wiederholung hoch.
7. Die gesamte Website aktualisieren (CMS, Themes, Plugins), bevor sie endgültig wieder online geht.
8. Die Auswirkungen auf personenbezogene Daten bewerten und bei Bedarf das DSGVO-Meldeverfahren auslösen.
9. Die Website in den folgenden Tagen überwachen, um sicherzustellen, dass der Angreifer keinen Restzugriff behalten hat.

Die DSGVO-Meldepflicht bei einem Datenleck

Wenn der Hack personenbezogene Daten Ihrer Nutzer oder Kunden offengelegt hat (E-Mails, Adressen, Passwörter, Zahlungsinformationen), schreibt die DSGVO ein präzises Verfahren vor, keine Option:

• Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden nach Entdeckung des Vorfalls, außer wenn das Risiko für die Betroffenen als vernachlässigbar eingestuft wird.
• Information der Betroffenen, falls der Vorfall ein hohes Risiko für ihre Rechte und Freiheiten darstellt (zum Beispiel offengelegte Passwörter oder Bankdaten).
• Dokumentation des Vorfalls, auch ohne verpflichtende Meldung: Art der Verletzung, betroffene Daten, ergriffene Maßnahmen. Diese Dokumentation kann bei einer späteren Kontrolle angefordert werden.

Ein Hack, der nur das Erscheinungsbild der Website betrifft (Defacement, Weiterleitung) ohne Zugriff auf Daten, löst diese Pflicht nicht aus, aber das tatsächliche Ausmaß des Schadens sollte geprüft werden, bevor man sie vorschnell ausschließt.

Die Ursache identifizieren, um eine Wiederholung zu vermeiden

Die häufigsten Ursachen für Hacks bei professionellen Websites bleiben bekannte, vermeidbare Sicherheitslücken: veraltetes Plugin oder Theme, schwaches oder wiederverwendetes Passwort, fehlende Zwei-Faktor-Authentifizierung für die Administration, oder kompromittiertes Shared Hosting über eine andere Website auf demselben Server. Ein kurzer Check dieser Punkte nach dem Vorfall reicht meist aus, um den Einstiegspunkt ohne tiefgehendes Fachwissen zu identifizieren.

Was die Wiederherstellung unnötig verzögert

• Ein Backup wiederherstellen, ohne zu prüfen, ob es vor dem Einbruch liegt, wodurch die Sicherheitslücke erneut eingeführt wird.
• Die Website wieder online schalten, bevor alle Passwörter geändert wurden, wodurch dem Angreifer ein Zugang offenbleibt.
• Die Server-Logs ignorieren, die oft präzise Hinweise auf die Einbruchsmethode enthalten.
• Den Hosting-Anbieter nicht informieren, der über nützliche Informationen verfügen kann (andere betroffene Websites auf demselben Server, bereits auf seiner Seite erkannte Warnungen).

Was Sie sich merken sollten

• Das Vorgehen folgt einer festen Reihenfolge: isolieren, Zugänge ändern, sauberes Backup wiederherstellen, Ursache beheben, Auswirkungen auf die Daten bewerten.
• Ein Backup ohne Identifizierung der Ursache wiederherzustellen, setzt Sie einem schnellen erneuten Hack aus, manchmal über dieselbe Sicherheitslücke.
• Ein Leck personenbezogener Daten erfordert eine Meldung an die zuständige Behörde innerhalb von 72 Stunden und, je nach Risiko, eine Information der Betroffenen.
• Die meisten Website-Hacks nutzen bekannte Sicherheitslücken aus (veraltetes Plugin, schwaches Passwort), keine ausgeklügelten Angriffe.
• Ein aktuelles, getestetes Backup ist der Faktor, der die Wiederherstellung nach einem Vorfall am meisten beschleunigt.

Häufig gestellte Fragen

Muss ich meine Website komplett vom Netz nehmen, während ich das Problem löse? Oft ja, zumindest vorübergehend. Wartungsmodus oder Offline-Schaltung verhindern, dass schädliche Inhalte weiter angezeigt oder indexiert werden, während Sie den Vorfall bearbeiten.

Muss ich die Datenschutzbehörde bei einem Hackerangriff informieren? Nur wenn personenbezogene Daten kompromittiert wurden. Die DSGVO schreibt dann eine Meldung innerhalb von 72 Stunden vor, sowie eine Information der Betroffenen, falls das Risiko für sie hoch ist.

Kann ich die Website wiederherstellen, ohne zu wissen, wie sie gehackt wurde? Das ist riskant: Wird die Sicherheitslücke nicht geschlossen, kann die Website schnell erneut gehackt werden, manchmal über denselben Weg. Die Ursache vor der Wiederherstellung zu identifizieren verhindert, dass sich der Vorfall wiederholt.

Wie lange dauert es, eine gehackte Website wieder online zu bringen? Mit einem aktuellen sauberen Backup und einer schnell identifizierten Ursache kann die Website innerhalb weniger Stunden wieder online sein. Ohne verwertbares Backup kann es mehrere Tage dauern.

Zusammenfassung

Eine gehackte Website ist kein unumkehrbares Schicksal: Ein methodisches Vorgehen (isolieren, Zugänge sichern, wiederherstellen, Ursache beheben) ermöglicht meist eine Wiederherstellung innerhalb weniger Stunden bis weniger Tage. Die beste Vorbereitung liegt im Vorfeld, mit regelmäßigen, getesteten Backups, die diese Checkliste deutlich schneller ausführbar machen. Das Abo-Angebot Website im Abonnement von VeryAppi umfasst die Überwachung und Backups, die die Auswirkungen eines solchen Vorfalls begrenzen.