Website gehackt? Anzeichen und Sofortmaßnahmen für Betreiber

Woran erkennen Sie eine gehackte Website?

• Besucher landen auf fremden Seiten, oft nur, wenn sie von Google oder vom Handy kommen. Sie selbst sehen als angemeldeter Administrator meist nichts.
• Google zeigt in den Suchergebnissen fremde Titel, Pharma- oder Casino-Begriffe, oder der Browser warnt vor der Seite.
• Die Google Search Console meldet ein Sicherheitsproblem oder plötzlich Tausende neue Seiten.
• Unbekannte Administrator-Konten, neue PHP-Dateien in Upload-Ordnern, geänderte .htaccess-Dateien.
• Der Hoster sperrt die Seite oder meldet Schadsoftware, Spam-Versand oder auffällige Serverlast.
• Kunden berichten von seltsamen Mails mit Ihrem Absender oder von veränderten Zahlungsdaten im Shop.

Was ist in den ersten Stunden zu tun?

1. Die Seite vom Netz nehmen: im Kundenmenü des Hosters deaktivieren oder auf dem Server den Zugriff sperren. Ein Wartungsmodus-Plugin reicht nicht, weil der Schadcode weiterläuft.
2. Den aktuellen Zustand sichern, also Dateien, Datenbank und Server-Logs, bevor irgendetwas gelöscht wird. Ohne diese Kopie lässt sich später nicht klären, was passiert ist und welche Daten betroffen sind.
3. Alle Zugangsdaten von einem sauberen Gerät aus ändern: Hosting-Kundenmenü, FTP und SSH, Datenbank, Administrator-Konten, E-Mail-Postfächer der Domain.
4. Die Ursache schließen. Nach PHP2Shell heißt das: PHP aktualisieren und neu starten, siehe Anleitung zum PHP-Sicherheitsupdate. Sonst ist die Seite nach der Bereinigung in Stunden wieder befallen.
5. Bereinigen oder aus einer Sicherung wiederherstellen, die vor dem Einbruch entstanden ist.
6. Prüfen, ob personenbezogene Daten betroffen sind, und die Meldepflichten klären.
7. Die Seite erst wieder freigeben, wenn sie sauber ist, und die Google Search Console um eine erneute Prüfung bitten.

Was sollten Sie nicht tun?

• Sofort alles löschen: Damit verschwinden die Spuren, die zeigen, welche Daten betroffen sind.
• Eine alte Sicherung zurückspielen, ohne die Lücke zu schließen: Der Angreifer kommt auf demselben Weg zurück.
• Passwörter auf einem Rechner ändern, der selbst infiziert sein könnte.
• Den Vorfall verschweigen: Versäumte Meldefristen können teurer werden als der Vorfall selbst.

Welche Zugangsdaten sollten Sie nach PHP2Shell erneuern?

PHP2Shell erlaubt nicht nur das Ausführen von Code, sondern auch das Auslesen von Speicher, in dem Daten anderer Anfragen liegen. Wer ungepatcht online war, sollte deshalb Geheimnisse auf dem Server erneuern, auch wenn keine Spuren zu sehen sind.

Bereinigen oder neu aufsetzen?

Gibt es eine Sicherung von vor dem Einbruch, ist die Wiederherstellung auf einem frisch aktualisierten Server fast immer der schnellere und sicherere Weg. Inhalte, die seither entstanden sind, werden danach geprüft und von Hand übernommen. Eine Bereinigung im laufenden System lohnt sich nur, wenn keine saubere Sicherung existiert. Sie verlangt Erfahrung, denn Angreifer verstecken Hintertüren gern in Dateien, die harmlos aussehen. Wie Sicherungen aufgebaut sein sollten, damit sie im Ernstfall helfen, beschreibt die 3-2-1-Backup-Strategie.

Welche Meldepflichten gelten in Österreich?

• Datenschutz: Ist der Schutz personenbezogener Daten verletzt, etwa durch Zugriff auf Kundenkonten, Bestellungen oder Formulareingaben, melden Sie das in der Regel binnen 72 Stunden der Datenschutzbehörde (Art. 33 DSGVO). Bei hohem Risiko für die Betroffenen müssen auch diese informiert werden (Art. 34 DSGVO).
• NIS2: Einrichtungen, die unter das NISG 2026 fallen, haben eigene Meldepflichten für erhebliche Cybersicherheitsvorfälle. Den Überblick gibt der Ratgeber NIS2 in Österreich.
• CERT.at, das nationale Computer-Notfallteam, nimmt Meldungen zu Sicherheitsvorfällen entgegen und hilft bei der Einordnung.
• Bei Schaden durch Betrug oder Erpressung nimmt jede Polizeidienststelle eine Anzeige auf.

Dieser Beitrag ist keine Rechtsberatung. Ob und wem Sie melden müssen, klären Sie im Zweifel mit Ihrer Rechtsberatung.

Wie verhindern Sie den nächsten Einbruch?

• Updates auf allen Ebenen: Server, PHP, Anwendung, Plugins und Themes. PHP2Shell zeigt, dass Updates der Anwendung allein nicht reichen.
• Eine Überwachung, die Änderungen an Dateien und die Erreichbarkeit meldet.
• Sicherungen außerhalb des Servers, mit regelmäßig getesteter Wiederherstellung.
• Zwei-Faktor-Anmeldung für alle Administrator-Konten und das Hosting-Kundenmenü.
• Nur so viele Rechte wie nötig: Redakteure brauchen keinen Administrator-Zugang.
• Eine Web Application Firewall als zusätzliche Schicht, nicht als Ersatz für Updates.

Diesen laufenden Betrieb übernehmen wir in der Website-Betreuung. Für das Büro rundum gibt es den IT-Sicherheits-Check um 390 € netto mit schriftlichem Bericht. Im akuten Fall rufen Sie uns an; Einsätze kosten 95 € netto pro Stunde im 15-Minuten-Takt, vor Ort in Wien plus 39 € Anfahrt.