Website gehackt? Anzeichen und erste Schritte

Eine gehackte Website erkennen Sie oft an neuen oder veränderten Dateien, unbekannten Benutzerkonten, Weiterleitungen auf fremde Seiten oder Spam-Seiten in den Google-Ergebnissen. Wer einen Angriff vermutet, sollte in dieser Reihenfolge handeln: Spuren sichern, Website vom Netz nehmen, Zugänge ändern, Ursache finden und schließen, sauber wiederherstellen. Sind personenbezogene Daten betroffen, muss die Datenschutzbehörde in der Regel binnen 72 Stunden informiert werden.

Nach kritischen Lücken wie PHP2Shell versuchen Angreifer massenhaft und automatisiert, ungepatchte Server zu übernehmen. Häufig legen sie dabei eine sogenannte Webshell ab: eine kleine Datei, über die sie den Server später fernsteuern können – auch nach einem Update.

Anzeichen für einen Angriff

Neue oder kürzlich veränderte PHP-Dateien, die niemand angelegt hat, besonders in Upload- oder Cache-Ordnern.
Unbekannte Administratoren oder Benutzer im CMS.
Weiterleitungen auf Werbe-, Casino- oder Pharma-Seiten, oft nur für Besucher von Google oder Mobilgeräten.
Fremde Seiten in den Google-Ergebnissen unter Ihrer Domain (Suche „site:ihre-domain.de“).
Warnungen von Google, Ihrem Hoster oder Ihrem Browser.
Häufige Fehlermeldungen oder Abstürze, plötzlich hohe Serverlast.
Auf dem Server: Shells, Download-Werkzeuge wie curl oder wget oder andere Prozesse, die vom Webserver gestartet werden.

Das BSI nennt für PHP2Shell genau solche allgemeinen Indikatoren: verdächtige Prozesse des Webservers, neue oder veränderte PHP-Dateien und mögliche Webshells sowie auffällige Upload-Anfragen in den Logs, gefolgt von Speicherfehlern oder wiederholten Fehlern mit Code 500.

Was Sie sofort tun sollten

Ruhe bewahren und dokumentieren: Was ist aufgefallen, wann, von wem?
Spuren sichern: Log-Dateien und eine Kopie der Dateien sichern, bevor etwas gelöscht wird. Sie werden für die Ursachensuche gebraucht.
Website vom Netz nehmen oder in einen Wartungsmodus versetzen, damit kein weiterer Schaden entsteht.
Alle Zugänge ändern: CMS-Administratoren, Hosting, FTP/SFTP, Datenbank, E-Mail. Am besten von einem sauberen Gerät aus.
Ursache finden und schließen: veraltetes PHP, Plugin oder Theme? Ohne das kommt der Angreifer zurück.
Sauber wiederherstellen: aus einem Backup von vor dem Angriff, dann alle Updates einspielen. Nur Schadcode zu löschen reicht selten.
Beobachten: In den Wochen danach Logs und Dateien im Blick behalten.

Meldepflicht nach DSGVO

Können Angreifer auf personenbezogene Daten zugegriffen haben – etwa Kundendaten im Shop, Kontaktformulare oder Bewerbungen –, liegt möglicherweise eine Datenschutzverletzung vor. Nach Art. 33 DSGVO ist sie unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Beziehen Sie Ihren Datenschutzbeauftragten früh ein. Dieser Beitrag ersetzt keine Rechtsberatung.

Vorbeugen ist günstiger

Die meisten Angriffe auf KMU-Websites nutzen bekannte Lücken in veralteter Software. Regelmäßige Updates, getrennte Backups und wenige, gut geschützte Zugänge verhindern das Gros der Vorfälle. Die wichtigsten Maßnahmen stehen in Website-Sicherheit für KMU: 10 Maßnahmen.

Unsicher, ob Ihre Website, Ihr Online-Shop oder Ihre Geräte betroffen sind? Melden Sie sich bei uns. Wir prüfen Ihre Systeme, spielen Updates ein und sagen Ihnen ehrlich, was zu tun ist – auch wenn sich herausstellt, dass alles in Ordnung ist. Für den Anfang genügt ein kurzes Gespräch.

Häufig gestellte Fragen

Woran erkenne ich, dass meine Website gehackt wurde?

An unbekannten Dateien oder Benutzern, Weiterleitungen auf fremde Seiten, Spam-Seiten in den Google-Ergebnissen, Warnungen von Google oder Hoster und ungewöhnlichen Prozessen auf dem Server.

Reicht es, den Schadcode zu löschen?

Selten. Angreifer hinterlassen oft mehrere Hintertüren. Sicherer ist die Wiederherstellung aus einem sauberen Backup, das Schließen der Ursache und das Ändern aller Zugänge.

Muss ich einen Hackerangriff melden?

Wenn personenbezogene Daten betroffen sein könnten, in der Regel ja: an die zuständige Datenschutz-Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Bei Straftaten kann zusätzlich eine Anzeige bei der Polizei sinnvoll sein.

Stand: Oktober 2026. Keine Rechtsberatung. Quelle Indikatoren: BSI-Sicherheitshinweis zu PHP2Shell.