Website gehackt: Was Eigentümer jetzt tun sollten

Ist eine Website gehackt, sind für den Eigentümer drei Dinge wichtig: eine vollständige Sicherung von Dateien und Datenbank erstellen, im Adminbereich nichts selbst löschen und die Website an einen Fachmann übergeben. Eine Bereinigung ohne den Mechanismus zu finden, der die Schaddateien wiederherstellt, bleibt wirkungslos. Das Einfallstor ist meist ein veraltetes oder illegal kopiertes Plugin.

Die Website dieser Hausverwaltung haben wir vor einigen Jahren gebaut. Danach lief sie jahrelang ohne Betreuung weiter. Vor Kurzem meldete sich der Kunde wieder: Die Website verhielt sich seltsam. Es gab weder Vertrag noch laufende Betreuung – ich war trotzdem erreichbar, und wir haben uns die Sache gemeinsam angesehen.

Was aus diesem Fall für Sie nützlich ist, steht unten. Ohne Anleitungen zum Server: Sie müssen das nicht können. Das ist Aufgabe desjenigen, dem Sie die Website übergeben. Ihre Aufgabe ist kleiner – nichts verschlimmern und erkennen, ob richtig gearbeitet wird.

Wie schlimm ist es, wenn die Website infiziert ist?

Meist schlimmer, als die Symptome vermuten lassen. In diesem Fall fanden sich rund 600 Schaddateien: Programme für Fernzugriff, Generatoren für Spam-Seiten, Skripte zum Nachladen weiterer Schadsoftware, eine Manipulation in den Servereinstellungen und ein fremder Administrator in der Datenbank. Die Spuren reichten mehrere Jahre zurück. Die Inhalte selbst blieben unversehrt.

Das ist der wichtigste Punkt: Ein Befall ist fast nie frisch.

Der Eigentümer bemerkt das Problem, wenn Besucher plötzlich weitergeleitet werden oder die Website aus der Suche verschwindet. Der Zugriff bestand da längst – hier über Jahre. In dieser Zeit lief die Website normal weiter und versendete nebenbei Spam.

Ein zusätzliches Problem: Im System lag eine Datei mit Passwörtern zu den Datenbanken mehrerer Websites, im Klartext. Alle mussten als kompromittiert gelten.

Es gibt auch eine gute Nachricht. Die Schadsoftware saß in den Dateien, nicht in den Texten: Inhalte, Bilder und Einstellungen in der Datenbank waren sauber. Das half später erheblich, denn es gab eine Grundlage für die Wiederherstellung.

Was sollten Sie auf keinen Fall selbst anfassen?

Löschen Sie nichts, bevor eine vollständige Sicherung von Dateien und Datenbank vorliegt. Der teuerste Fehler ist das Löschen eines Benutzers: WordPress fragt, ob dessen Inhalte gelöscht oder einem anderen Autor übertragen werden sollen, und eine unbedachte Antwort schiebt Seiten in den Papierkorb. Dateien einzeln zu löschen bringt ebenfalls nichts.

Diesen Fehler habe ich selbst gemacht, gegen Ende, als das Wesentliche bereits erledigt war.

In der Datenbank gab es zwei Administratoren. Einer davon war der Standard-Login admin, der bei Angriffen zuerst durchprobiert wird. Ihn zu löschen, war richtig. WordPress fragte, ob die Inhalte gelöscht oder übertragen werden sollen. Ich habe die Frage nicht ernst genommen.

Eine Minute später waren von über 30 Seiten noch 6 übrig. Die Startseite brach, das halbe Menü fiel weg, und auch die Mediendateien fehlten: fast 200 Stück, darunter das Banner und PDF-Berichte.

Gerettet haben zwei Dinge: die Sicherung vom Anfang und die Tatsache, dass WordPress Seiten nicht endgültig löscht, sondern in den Papierkorb legt. Alle 30 kamen mit ihren bisherigen Adressen zurück, sodass die Menülinks wieder funktionierten. Die Medien stammten aus der Sicherung. Verluste: keine.

Die Regel daraus: Wenn WordPress beim Löschen eine Frage stellt, lesen Sie sie. Besser noch – löschen Sie gar nichts, solange die Website nicht in Ordnung ist und keine Sicherung existiert.

Antiviren-Plugin oder manuelle Analyse – womit bereinigen?

Ein Scanner-Plugin hilft, einen Befall zu bemerken, reicht bei massivem Befall aber nicht: Es sieht den Prozess nicht, der Dateien wiederherstellt, und schließt das Einfallstor nicht. Zuverlässiger ist der Referenzvergleich – die offiziellen Versionen von Kern, Plugins und Theme holen und alle Abweichungen suchen. Jede Abweichung in Systemdateien gilt als verdächtig.

Die Dateien von WordPress-Kern, offiziellen Plugins und Themes sind standardisiert, ihre sauberen Versionen sind frei verfügbar. Man nimmt die Referenz derselben Version, vergleicht sie mit der Website, und alles, was abweicht, kommt auf die Prüfliste. Die Methode ist unspektakulär, liefert aber kaum Fehlalarme.

Die Analyse selbst habe ich nicht von Hand gemacht, sondern mit einem KI-Agenten im Terminal: Er las Dateien, verglich sie mit den Referenzen und suchte nach Spuren. Alles, was löscht oder verändert, habe ich vor der Freigabe geprüft. Das Werkzeug ist gut, aber eine Reparatur auf Knopfdruck gibt es dort nicht.

Woran erkennen Sie, dass richtig bereinigt wird?

Eine saubere Bereinigung folgt einer festen Reihenfolge: vollständige Sicherung vor allen Eingriffen, Analyse ohne Ausführung verdächtiger Dateien, Suche nach dem Wiederherstellungs-Mechanismus, Bereinigung, Schließen des Einfallstors, Wechsel aller Passwörter und Schlüssel. Beginnt ein Dienstleister mit dem Löschen von Dateien, ist die Arbeit halb getan.

Sie müssen die Technik nicht verstehen. Vier Fragen genügen, und die Antworten zeigen schnell, mit wem Sie es zu tun haben.

Wurde eine Sicherung erstellt, bevor jemand etwas angefasst hat? Wenn nein: stoppen. Die Sicherung dient doppelt – als Referenz und als Absicherung. Mir hat sie im zweiten Sinne geholfen.

Ist bekannt, woher die Schaddateien zurückkommen? Das ist die entscheidende Frage. Ein Teil der Dateien ließ sich normal löschen, einige zentrale kamen binnen Sekunden zurück. Auf dem Server lief ein Wächter-Prozess.

Die Suche danach dauerte länger als die gesamte Bereinigung. Die Aufgabenplanung war leer. Der Test, ob die Dateien durch Seitenaufrufe zurückkehren: gelöscht, Website nicht aufgerufen – sie kamen trotzdem zurück. Also lief etwas dauerhaft auf dem Server.

Genau so war es: Drei Schadprozesse hingen stundenlang im Serverspeicher und verbrauchten Ressourcen. Sie waren irgendwann gestartet worden und liefen einfach weiter – ohne Zeitplan, ohne Autostart. Deshalb fanden übliche Prüfungen sie nicht. Nach dem Stoppen die Kontrolle: Datei gelöscht, gewartet. Sie blieb weg.

Ab diesem Moment ergibt eine Bereinigung überhaupt erst Sinn. Vorher nicht.

Wurde das Einfallstor geschlossen? Bereinigen und die Lücke offen lassen heißt: erneut infiziert werden.

Wurden alle Passwörter gewechselt? Hosting, Server, Datenbank, Administratoren. Bei einem solchen Befall sind sie mit hoher Wahrscheinlichkeit abgeflossen.

Warum wurde die Website infiziert – und wie verhindern Sie das künftig?

Das Einfallstor war ein illegal kopiertes Premium-Plugin. Solche Plugins lassen sich nicht bereinigen: Der Schadcode steckt oft von Anfang an im Code. Es bleiben zwei Optionen – Lizenz kaufen oder entfernen. Die zweite Dauerquelle für Risiko sind veraltete Versionen: Eine Website sammelt über Jahre Plugins an, und jedes davon altert.

Das gesamte Design der Website beruhte auf einem kostenpflichtigen Page-Builder – einer illegalen Kopie. Sie war aller Wahrscheinlichkeit nach auch die Lücke.

Wer sie wann installiert hat, lässt sich heute nicht mehr feststellen. Über die Jahre arbeiten viele Hände an einer Website – das ist normal und niemandes Schuld. Wichtig ist etwas anderes: Ein solches Plugin lässt sich nicht säubern, sondern nur entfernen.

Nach dem Entfernen zeigte die Website nur noch nackten Text ohne Layout, denn das Design hing daran. Eine Lizenz wollte der Kunde nicht kaufen, also wurde das Design mit kostenlosen Alternativen neu aufgebaut: Die Layout-Daten in der Datenbank waren intakt, die exakten Farben fanden sich in den Theme-Dateien, und das frühere Aussehen lieferte das Web-Archiv, das Kopien der Website über Jahre gespeichert hatte. Zurückgeholt wurden 85–90 %.

Eins zu eins geht es ohne bezahlte Komponenten nicht: Komplexe Slider und Slideshows hingen genau daran. Aber 85–90 % ergeben eine wiedererkennbare, funktionierende Website.

Und das ist der Kern: Eine Website lebt jahrelang, sammelt Plugins an, und jedes davon altert. Eine Sicherheitslücke ist eine Frage der Zeit, nicht des Pechs.

Ebenso still liegen andere Risiken jahrelang auf einer Website – etwa Google Fonts, für die in Deutschland eine Abmahnung kommt, oder ein fehlendes Impressum samt Datenschutzerklärung. Niemand bemerkt sie, bis es teuer wird.

Eine einmalige Bereinigung löst das nicht. Regelmäßige Updates, Sicherungen und ein erreichbarer Ansprechpartner lösen es.

Wem übergeben Sie die Website, ohne allein zu bleiben?

Jemandem, der auch in einem Jahr und in drei Jahren erreichbar ist. Eine einmalige Bereinigung stellt den Betrieb wieder her, verhindert aber die nächste Lücke nicht, denn die Plugins altern weiter. Laufende Betreuung – Updates, Sicherungen, Schutz, kleine Änderungen – kostet weniger als die Bereinigung eines massiven Befalls.

Der Kunde meldete sich einige Jahre, nachdem wir seine Website gebaut hatten. Ohne Vertrag, ohne laufende Betreuung. Ich war erreichbar – und die Website wurde bereinigt.

Genau das ist meine Haltung. Wir bauen Websites und betreuen sie weiter: Sicherungen, Updates, Schutz, Änderungen. Nicht damit Sie monatlich zahlen, sondern damit Sie in drei Jahren jemanden haben, den Sie anschreiben können.

Häufige Fragen