Ihre Website wurde gehackt, und Sie fragen sich, was zu tun ist: Zuerst den Zustand sichern, dann bereinigen, dann den Zugang schließen. Wir entfernen Schadcode und Web-Shells, finden heraus, wie der Angreifer hereinkam, wechseln alle Zugangsdaten, prüfen das Backup durch eine echte Wiederherstellung und beantragen bei Google die Entfernung der Warnung. Sie erhalten eine saubere Website und einen schriftlichen Bericht über den Vorfall.
Woran Sie eine gehackte Website erkennen
Angreifer verstecken ihre Änderungen häufig, damit sie die Seite länger nutzen können. Auffällig wird ein Angriff dann oft über Dritte: Google, den Hoster oder Kunden.
Typische Anzeichen sind:
- Google zeigt in den Suchergebnissen „Diese Website wurde möglicherweise gehackt“ oder der Browser warnt vor der Seite;
- Besucher vom Smartphone landen auf fremden Seiten, während die Website am Desktop normal aussieht;
- in der Search Console tauchen Tausende neuer Seiten mit Spam-Inhalten auf;
- im CMS gibt es Admin-Konten, die niemand angelegt hat;
- der Hoster sperrt das Paket wegen Spam-Versand oder hoher Last;
- Ihre E-Mails landen plötzlich im Spam, weil die Domain auf Sperrlisten steht.
Die ersten Stunden: was liegen bleibt und wen Sie anrufen
In den ersten Stunden zählt vor allem, die Spuren zu erhalten. Die Kopie des befallenen Zustands ist der einzige Weg, die Eintrittsstelle zu finden.
Bis wir übernehmen, bleiben Dateien, Datenbank und Logdateien unverändert. Ein altes Backup über die Live-Seite zu spielen oder das CMS neu zu installieren, löscht genau die Spuren, die wir brauchen. Zahlen Sie keine Erpressungsforderung. Ändern Sie die Passwörter für Hosting-Panel und CMS von einem Gerät, das selbst nicht betroffen ist.
Wen Sie informieren: Ihren Hoster, Ihren Datenschutzbeauftragten, falls Kundendaten auf dem Server liegen, Ihren Versicherer, falls Sie eine Police mit Cyber-Baustein haben, die Zentrale Ansprechstelle Cybercrime der Polizei Ihres Bundeslandes und uns.
Meldepflichten nach einem Angriff
Ob und wohin ein Hackerangriff gemeldet werden muss, hängt davon ab, welche Daten betroffen sind und ob Ihr Unternehmen unter NIS-2 fällt. Die Fristen beginnen mit der Kenntnis vom Vorfall.
| Pflicht | Frist | Wer ist betroffen | Quelle |
|---|---|---|---|
| Meldung an die Datenschutz-Aufsichtsbehörde | unverzüglich, möglichst binnen 72 Stunden | Verantwortliche bei Verletzung personenbezogener Daten, außer ein Risiko ist unwahrscheinlich | Art. 33 Abs. 1 DSGVO |
| Interne Dokumentation des Vorfalls | immer | jeder Verantwortliche, auch wenn keine Meldung nötig ist | Art. 33 Abs. 5 DSGVO |
| Benachrichtigung der Betroffenen | unverzüglich | bei voraussichtlich hohem Risiko für die Betroffenen | Art. 34 Abs. 1 DSGVO |
| Frühe Erstmeldung an das BSI | spätestens 24 Stunden | wichtige und besonders wichtige Einrichtungen bei erheblichem Sicherheitsvorfall | § 32 Abs. 1 Nr. 1 BSIG |
| Meldung an das BSI | spätestens 72 Stunden | wie oben | § 32 Abs. 1 Nr. 2 BSIG |
| Abschlussmeldung an das BSI | spätestens einen Monat nach der Meldung | wie oben | § 32 Abs. 1 Nr. 4 BSIG |
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Ob Ihr Unternehmen eine wichtige Einrichtung ist, richtet sich nach Sektor und Größe (§ 28 BSIG); das BSI bietet dafür eine Betroffenheitsprüfung an. Die Meldungen erstattet Ihr Unternehmen. Wir liefern dafür den Zeitstrahl aus den Logdateien und die Liste der Daten, die der Angreifer erreichen konnte.
Was wir bei der Bereinigung tun
Wir bringen die Website in einen nachweislich sauberen Zustand und schließen den Weg, über den der Angreifer hereinkam. Bleibt die Ursache offen, kann der Angreifer denselben Weg ein zweites Mal nehmen.
Die Arbeit läuft in dieser Reihenfolge:
- Spuren sichern. Vollständige Kopie von Dateien, Datenbank und Server-Logs, bevor wir etwas ändern.
- Schaden begrenzen. Wartungsmodus oder Sperre der schädlichen Pfade, je nachdem, was Ihr Geschäft am wenigsten stört.
- Vergleich mit Originalen. Core-, Plugin- und Theme-Dateien gegen die Originale des Herstellers; jede veränderte oder zusätzliche Datei kommt auf die Liste.
- Hintertüren entfernen. Web-Shells, fremde Admin-Konten, geplante Aufgaben, eingeschleuster Code in der Datenbank, Spam-Seiten und Weiterleitungen.
- Eintrittsstelle finden. Auswertung von Webserver- und Login-Logs, Zeitstempeln, veralteten Komponenten und Rechten.
- Zugangsdaten wechseln. Alle Passwörter, API-Schlüssel, Salts und SSH-Schlüssel, die der Angreifer lesen konnte.
- Wiederherstellung testen. Ein sauberes Backup wird an einem getrennten Ort eingespielt, um zu beweisen, dass es funktioniert.
WordPress gehackt: die häufigsten Ursachen
Häufige Ursachen bei WordPress sind veraltete Plugins und Themes, wiederverwendete Passwörter und offen erreichbare Admin-Bereiche. In den OWASP Top 10:2025 entsprechen sie den Kategorien Software Supply Chain Failures, Authentication Failures und Security Misconfiguration.
Bei einer gehackten WordPress-Seite sehen wir uns besonders die Ordner für Uploads und Plugins an, die Tabellen für Optionen und Benutzer, die Datei wp-config.php und geplante Aufgaben. Nach der Bereinigung entfernen wir nicht mehr gepflegte Plugins, schalten den Datei-Editor im Dashboard ab, richten MFA für Admins ein und setzen die Dateirechte so, dass der Webserver nur dort schreiben darf, wo es nötig ist.
Die Google-Warnung entfernen
Die Warnung in Suchergebnissen und Browser bleibt, bis der Inhaber in der Search Console eine Überprüfung beantragt und Google die Website als sauber bewertet. Nach Googles Angaben dauert eine Überprüfung einige Tage bis einige Wochen.
Google verlangt, dass das Problem auf allen Seiten behoben ist und der Antrag das Problem, die Schritte und das Ergebnis beschreibt. Ein zu früher Antrag verzögert die nächste Prüfung und kann laut Google dazu führen, dass die Website als Wiederholungsfall eingestuft wird. Deshalb stellen wir den Antrag erst nach unserem Nachtest und verfolgen die Antwort.
Was Sie nach der Bereinigung erhalten
Am Ende steht eine saubere Website und ein Dokument, das Sie Geschäftsführung, Versicherer oder Aufsichtsbehörde vorlegen können.
- Eine bereinigte, funktionierende Website und ein sauberer Server mit geschlossener Eintrittsstelle.
- Neue Passwörter und Schlüssel, übergeben auf einem vereinbarten Weg.
- Ein durch Wiederherstellung geprüftes Backup mit Datum und Inhalt.
- Ein Bericht: wie der Angreifer hereinkam, was betroffen war, was wir getan haben, was als Nächstes zu tun ist.
- Der Antrag auf Überprüfung bei Google, falls eine Warnung angezeigt wurde, und dessen Ergebnis.
Was wir von Ihnen brauchen
Wir brauchen Zugang und eine Person, die entscheidet. Konkret: Zugang zum Hosting oder Server, Admin-Zugang zum CMS, Zugang zur Search Console, vorhandene Backups und einen unterschriebenen Scope Letter, der festlegt, welche Systeme wir anfassen dürfen und welche nicht.
Grenzen der Leistung
Wir bereinigen, untersuchen und härten. Meldungen an die Datenschutz-Aufsichtsbehörde, das BSI, die Polizei oder Ihre Kunden erstattet Ihr Unternehmen. Eine rechtliche Bewertung von Haftungsfragen gibt Ihre Rechtsberatung ab. Wir sind weder Behörde noch Ermittler, und niemand kann versprechen, dass eine Website nie wieder angegriffen wird. Läuft Ihre Website auf einer Baukasten-Plattform ohne Serverzugang, beschränkt sich die Arbeit auf Konten, Skripte, Integrationen und DNS; das steht dann im Scope Letter.
Risiken bei Reinigungs-Plugins, Chatbot-Tipps und schnellen Einzelaufträgen
Eine schnelle Bereinigung entfernt oft das sichtbare Symptom und lässt die Hintertür stehen. Häufige Folgen: ein eingespieltes Backup, das den Schadcode schon enthielt, gelöschte Logs, mit denen die Eintrittsstelle zu finden gewesen wäre, oder Passwörter, die auf einem infizierten Rechner geändert wurden.
Reinigungs-Plugins arbeiten innerhalb der kompromittierten Installation und sehen Code außerhalb des CMS nicht. Ein Chatbot kennt Ihre Logs nicht. Ein Freelancer ohne schriftlichen Umfang trägt meist keine Verantwortung für das, was nach dem Auftrag passiert. Wir arbeiten mit Vertrag und festem Umfang, jeder Befund wird von einem Menschen geprüft, und am Ende steht ein Nachtest.
Kosten und Vertragspartner
Jede Bereinigung bekommt nach einem kurzen Gespräch einen Festpreis im Scope Letter. Die wichtigsten Faktoren sind die Zahl der Websites, die Tiefe des Befalls und der Zustand Ihrer Backups.
Sicherheitsaufträge schließt INNOVA CONSULT LTD., Ottawa, Ontario (Corporations Canada, Corporation Number 1522612). Der Bericht gehört Ihnen.
Verwandte Seiten
- Website-Sicherheitscheck: Prüfung aller Bereiche, die der Angreifer noch nicht berührt hat.
- Technische Maßnahmen nach DSGVO: was nach dem Vorfall in die TOM-Dokumentation gehört.
- Zur Übersicht Cybersicherheit oder direkt Kontakt aufnehmen.
Quellen (geprüft am 23.10.2026)
- Google Search Console-Hilfe, Bericht „Sicherheitsprobleme“: Bedingungen und Dauer der Überprüfung, Wiederholungsfälle.
- Verordnung (EU) 2016/679, Art. 33 und 34 DSGVO: Meldung und Benachrichtigung.
- § 32 BSIG und § 28 BSIG: Meldepflichten und Einrichtungsarten.
- BSI, Pressemitteilung zum Inkrafttreten des NIS-2-Umsetzungsgesetzes, 5. Dezember 2025.
- Polizei, Zentrale Ansprechstellen Cybercrime: Zuständigkeit für Unternehmen.
- OWASP, Top 10:2025: Risikokategorien.
Maksym Stepanenko, Gründer von Marketing MIX. Zuletzt geprüft: 23. Oktober 2026.