Website gehackt: was in den ersten drei Stunden zählt

Ein Kunde ruft an und sagt, beim Aufruf Ihrer Seite erscheine eine rote Warnung. Oder Sie suchen Ihren Betriebsnamen und finden unter Ihrer Adresse plötzlich Wörter, die Sie nie geschrieben haben. In diesem Moment zählt nicht, wer schuld ist, sondern was Sie in der richtigen Reihenfolge tun.

Die meisten Angriffe auf kleine Websites sind nicht persönlich gemeint. Automatische Programme suchen im Netz nach veralteten Erweiterungen und schwachen Passwörtern und nutzen, was sie finden. Die Seite wird dann für Werbeseiten, Weiterleitungen oder Versandmails missbraucht, oft ohne dass sich das Aussehen der Startseite ändert.

Dieser Artikel beschreibt, woran Sie den Befall erkennen, was in den ersten Stunden passieren muss, wie Sie die Warnung bei Google wieder loswerden und welche Fristen dabei gelten. Er beschreibt keine Reinigungsarbeit an Dateien, die gehört in die Hand Ihres Dienstleisters oder Ihres Hosters.

Stand: September 2026

Das Wichtigste in Kürze

• Der häufigste Grund ist eine veraltete Erweiterung oder ein schwaches Passwort, nicht ein gezielter Angriff auf Ihren Betrieb.

• Schalten Sie die Seite ab oder in den Wartungsmodus, bevor Sie irgendetwas reparieren, damit kein weiterer Besucher Schaden nimmt.

• Löschen Sie nichts sofort: Protokolle und eine Kopie des befallenen Zustands sind die einzige Spur, aus der sich die Ursache ablesen lässt.

• Alle Passwörter und Zugänge gehören erneuert, auch die für E-Mail, Datenbank und FTP, nicht nur das Redaktionssystem.

• Die rote Warnung bei Google verschwindet erst, wenn Sie in der Search Console eine Überprüfung anfordern und die Seite tatsächlich sauber ist.

• Waren personenbezogene Daten betroffen, gilt die Meldefrist von 72 Stunden aus Artikel 33 der Datenschutz-Grundverordnung.

Woran Sie merken, dass die Seite nicht mehr nur Ihnen gehört

Ein Befall sieht selten nach Befall aus. Die Startseite bleibt oft unverändert, weil der Angreifer möglichst lange unentdeckt bleiben will. Auffällig wird die Sache meist an den Rändern: in den Suchergebnissen, im Postfach oder in den Zahlen des Hosters.

• Google zeigt unter Ihrem Treffer den Hinweis, dass die Seite gehackt sein könnte, oder der Browser blendet eine rote Warnseite vor.

• Sie suchen Ihren Domainnamen und finden Unterseiten mit Wörtern aus fremden Branchen, etwa Medikamenten, Glücksspiel oder Markenschuhen.

• Besucher landen vom Handy aus auf einer fremden Seite, am Rechner aber nicht.

• Ihre E-Mails kommen als unzustellbar zurück, weil Ihr Server auf einer Sperrliste steht.

• Der Hoster meldet auffälligen Versand oder ungewöhnliche Last, oder das Konto wird gesperrt.

• Im Redaktionssystem existiert ein Benutzer mit Administratorrechten, den niemand angelegt hat.

Ein guter erster Test kostet nichts: Rufen Sie Ihre Seite im privaten Fenster und zusätzlich vom Mobiltelefon über das Mobilfunknetz auf. Viele Schadprogramme schalten sich nur für Besucher aus der Suchmaschine oder nur für mobile Geräte ein und bleiben für angemeldete Redakteure unsichtbar.

Praxistipp: Suchen Sie bei Google nach site:ihredomain.de und blättern Sie zwei Seiten weit. Fremde Unterseiten fallen dort schneller auf als in jedem Prüfwerkzeug.

Die erste halbe Stunde: sichern, nicht aufräumen

Der stärkste Reflex ist der falsche. Wer sofort Dateien löscht, verdächtige Benutzer entfernt und das System neu aufsetzt, beseitigt zusammen mit dem Schaden auch jede Spur. Danach weiß niemand, wie der Angreifer hereinkam, und das Loch bleibt offen.

Zwei Dinge gehören deshalb an den Anfang. Erstens: die Seite vom Besucher trennen, über eine Wartungsseite oder indem der Hoster sie offline nimmt. Zweitens: eine vollständige Kopie ziehen, Dateien und Datenbank, und dazu die Zugriffsprotokolle der letzten Tage. Diese Kopie packen Sie weg und rühren sie nicht mehr an.

Halten Sie parallel auf einem Blatt fest, wann Sie was bemerkt haben und wer wann welchen Eingriff gemacht hat. Das klingt nach Bürokratie und ist später die Grundlage für die Meldung an die Aufsichtsbehörde, für Ihre Versicherung und für die Frage, ob der Befall am Montag oder schon vor drei Wochen begann.

Praxistipp: Ändern Sie das Passwort des Hosting-Kontos von einem anderen Gerät aus als dem, mit dem Sie zuletzt gearbeitet haben. Steckt ein Schadprogramm auf Ihrem Rechner, wandert das neue Passwort sonst direkt weiter.

Wer jetzt angerufen wird

Sie müssen das nicht selbst lösen, aber Sie müssen die richtigen Leute in Bewegung setzen. Der Hoster ist dabei der wichtigste Ansprechpartner, weil er sieht, was auf dem Server passiert ist, und den Zugang notfalls schließen kann.

Wenn Kundendaten abgeflossen sein können, gehört auch eine Entscheidung über die Information der Betroffenen dazu. Diese Frage beantworten Sie nicht allein und nicht aus dem Bauch. Das ersetzt keine Rechtsberatung.

Passwörter und Zugänge in der richtigen Reihenfolge

Ein neues Passwort für das Redaktionssystem reicht nicht, wenn der Angreifer längst über FTP oder die Datenbank hereinkommt. Arbeiten Sie von außen nach innen, sonst sperren Sie eine Tür und lassen drei offen.

• Zugang zum Hosting-Konto und zur Domainverwaltung

• SSH- und FTP-Zugänge, alte Konten dabei löschen statt nur das Passwort zu tauschen

• Datenbankbenutzer und das Passwort in der Konfigurationsdatei

• alle Administratoren im Redaktionssystem, unbekannte Konten entfernen

• E-Mail-Postfächer der Domain, besonders solche mit Weiterleitungen

• Zugänge Dritter: Agentur, Buchhaltung, Werbekonten, Schnittstellen

Schalten Sie bei dieser Gelegenheit die Zwei-Faktor-Anmeldung ein, wo es sie gibt, mindestens beim Hoster, bei der Domainverwaltung und im Redaktionssystem. Das ist die einzige Maßnahme aus dieser Liste, die einen zweiten Angriff derselben Art zuverlässig verhindert.

Reinigen oder aus der Sicherung zurückholen?

Für kleine Seiten ist die Wiederherstellung aus einer Sicherung fast immer der schnellere und sicherere Weg. Reinigen heißt, in fremdem Code nach eingeschleusten Zeilen zu suchen, und wer dabei eine Hintertür übersieht, hat den Befall in zwei Wochen wieder.

Die Wiederherstellung hat aber zwei Bedingungen. Die Sicherung muss aus einer Zeit vor dem Befall stammen, und genau deshalb ist die Frage nach dem Zeitpunkt des Eindringens so wichtig. Und die Lücke muss geschlossen sein, bevor die alte Fassung wieder online geht, sonst wird dieselbe Seite innerhalb von Stunden erneut übernommen.

Nach dem Zurückholen gehören Kern, Erweiterungen und Designvorlagen auf den aktuellen Stand, und alles, was nicht gebraucht wird, wird gelöscht statt nur abgeschaltet. Abgeschaltete, veraltete Erweiterungen sind ein beliebter Einstieg, weil ihre Dateien trotzdem erreichbar bleiben.

So verschwindet die Warnung bei Google wieder

Die rote Zwischenseite im Browser und der Hinweis in den Suchergebnissen kommen aus dem Safe-Browsing-Programm von Google. Sie verschwinden nicht von selbst, weil die Seite wieder sauber ist, sondern erst nach einer erneuten Prüfung, die Sie selbst anstoßen.

• In der Search Console den Bericht „Sicherheitsprobleme" öffnen und lesen, welche Art von Befall Google gefunden hat, oft mit Beispieladressen.

• Die genannten Adressen prüfen und den Befall vollständig beseitigen, nicht nur die Beispiele aus der Liste.

• Fremde Unterseiten, die es nicht mehr gibt, mit einem klaren Fehlerstatus antworten lassen statt sie auf die Startseite weiterzuleiten.

• Im Bericht die Überprüfung anfordern und dabei kurz beschreiben, was Sie behoben haben.

• Die Search Console in den Tagen danach im Blick behalten, ebenso die Sitemap und die Zahl der indexierten Seiten.

Die Prüfung selbst dauert in der Regel wenige Tage. Wird sie abgelehnt, ist meistens noch ein Rest übrig, häufig eine eingeschleuste Datei in einem Verzeichnis für Erweiterungen oder eine Weiterleitung, die nur mobile Besucher trifft. Bis die Seite in der Suche wieder ihren alten Platz erreicht, können mehrere Wochen vergehen, das lässt sich nicht beschleunigen.

Fristen und Nachweise, die nicht vergessen werden dürfen

Sobald bei dem Vorfall personenbezogene Daten betroffen sein können, etwa Einträge aus dem Kontaktformular, Newsletter-Adressen oder Kundenkonten, ist der Vorfall nicht nur ein technisches Problem. Artikel 33 der Datenschutz-Grundverordnung sieht eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vor, wenn ein Risiko für die Betroffenen besteht.

Die Frist läuft ab dem Zeitpunkt, an dem Sie vom Vorfall wissen, nicht ab dem Ende der Aufräumarbeiten. Eine Meldung darf unvollständig sein und später ergänzt werden. Wer wartet, bis alles geklärt ist, verpasst die Frist meist genau deshalb.

Unabhängig von der Meldung gehört der Vorfall in Ihre eigene Dokumentation: was passiert ist, welche Daten betroffen waren, was Sie getan haben und warum Sie sich für oder gegen eine Meldung entschieden haben. Auch hier gilt: Das ersetzt keine Rechtsberatung, und bei ernsten Fällen ist die Rückfrage bei einer Kanzlei billiger als die Fehlentscheidung.

Praxistipp: Legen Sie heute die Zugangsdaten von Hoster und Domainverwaltung, den Namen des zuständigen Ansprechpartners und die Adresse Ihrer Aufsichtsbehörde auf ein Blatt. Im Ernstfall fehlt die Zeit, das zusammenzusuchen.

Damit es nicht ein zweites Mal passiert

Nach dem Vorfall ist die Bereitschaft am größten, etwas zu ändern. Nutzen Sie die Gelegenheit für die vier Dinge, die tatsächlich wirken, und nicht für ein zusätzliches Sicherheitswerkzeug, das niemand pflegt.

• Aktualisierungen in einem festen Rhythmus, monatlich genügt für kleine Seiten, mit einer Sicherung davor.

• Zwei-Faktor-Anmeldung überall, wo sie angeboten wird.

• Getrennte Zugänge pro Person und Dienstleister, keine gemeinsamen Sammelkonten.

• Sicherungen, die außerhalb des Servers liegen, und eine geprobte Wiederherstellung.

Der letzte Punkt ist der, an dem es in der Praxis scheitert. Eine Sicherung, die nie zurückgespielt wurde, ist ein Versprechen, kein Sicherheitsnetz. Probieren Sie es einmal im Jahr aus, am besten in einer Testumgebung, und halten Sie die Zeit fest, die es gekostet hat.

Wichtige Erkenntnisse

Was das in der Praxis heißt

Rechnen Sie nicht mit einer Reparatur in einer halben Stunde. Bis die Seite sauber und wieder erreichbar ist, gehen meist ein bis zwei Arbeitstage ins Land, und bis die Sichtbarkeit in der Suche ihren alten Stand erreicht, können mehrere Wochen vergehen. Was Sie in dieser Zeit beeinflussen können, ist die Erreichbarkeit auf anderen Wegen: Telefon, Google-Unternehmensprofil, eine schlichte Seite mit Kontaktdaten. Was Sie nicht beeinflussen können, ist die Geschwindigkeit, mit der Google die Warnung zurücknimmt und die Seite neu bewertet.

Zwei weitere Dinge liegen außerhalb Ihrer Hand. Ob Ihr Hoster schnell und kompetent reagiert, entscheidet über den ersten halben Tag, und das merkt man erst im Ernstfall. Und ob eine Sicherung aus der Zeit vor dem Befall existiert, entscheidet sich Wochen vorher, nicht am Tag des Vorfalls. Beides sind Gründe, beim Hosting nicht auf den letzten Euro zu schauen und die Sicherung nicht dem Zufall zu überlassen.

Wenn Sie den Ernstfall nicht allein durchspielen wollen

Wir betreuen Websites lokaler Betriebe im Rheinland und halten sie auf Stand: Aktualisierungen, Sicherungen außerhalb des Servers, Überwachung der Erreichbarkeit und ein Ansprechpartner, der im Ernstfall weiß, wo die Zugänge liegen. Im Paket Sichtbar kostet die laufende Betreuung 150 Euro im Monat netto, ohne lange Laufzeit.

Wenn Sie unsicher sind, ob Ihre Seite befallen ist oder ob Ihre Sicherungen taugen, sprechen Sie mit uns. Das Erstgespräch dauert fünfzehn Minuten, kostet nichts und ist kein Verkaufsgespräch. Sie erfahren darin, was bei Ihnen zuerst an der Reihe wäre, auch wenn Sie es selbst erledigen.

Nützliche Quellen

• Google Search Central: Hilfe bei gehackten Websites

• Google Search Console-Hilfe: Bericht zu Sicherheitsproblemen

• Bundesamt für Sicherheit in der Informationstechnik

• Landesbeauftragte für Datenschutz und Informationsfreiheit NRW

Häufige Fragen

Woran erkenne ich sicher, dass meine Website gehackt wurde?

Ein einzelnes Anzeichen genügt nicht, mehrere zusammen sind deutlich. Prüfen Sie Ihre Seite im privaten Fenster und über das Mobilfunknetz, suchen Sie bei Google nach site:ihredomain.de und sehen Sie im Bericht „Sicherheitsprobleme" der Search Console nach. Fremde Unterseiten, unbekannte Administratoren und Weiterleitungen, die nur mobil auftreten, sind die klarsten Hinweise.

Soll ich die Seite sofort offline nehmen?

Ja, sobald Besucher betroffen sein können, etwa durch Weiterleitungen oder Schadcode. Eine schlichte Wartungsseite ist besser als eine Seite, die Kunden schadet. Sichern Sie vorher eine Kopie samt Protokollen, sonst fehlt Ihnen später die Spur.

Kann ich einfach die Sicherung von letzter Woche zurückspielen?

Nur wenn sie aus einer Zeit vor dem Befall stammt und die Sicherheitslücke geschlossen ist. Andernfalls holen Sie den Befall mit zurück oder die Seite wird binnen Stunden erneut übernommen. Klären Sie deshalb zuerst, wann der Angreifer hereinkam.

Wie lange dauert es, bis die Google-Warnung verschwindet?

Nach einer erfolgreichen Überprüfung in der Search Console meist wenige Tage. Wird die Überprüfung abgelehnt, ist noch ein Rest des Befalls vorhanden. Bis die Seite in der Suche wieder ihren gewohnten Platz erreicht, können mehrere Wochen vergehen.

Muss ich den Vorfall melden?

Wenn personenbezogene Daten betroffen sein können und ein Risiko für die Betroffenen besteht, sieht Artikel 33 DSGVO eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vor. Die Frist beginnt mit Ihrer Kenntnis, nicht mit dem Ende der Aufräumarbeiten. Ob ein Risiko besteht, sollten Sie im Zweifel fachlich klären lassen.

Haftet mein Hoster für den Schaden?

In der Regel ist der Hoster für den Server verantwortlich, Sie für die Inhalte und das Redaktionssystem darauf. Bei verwalteten Paketen kann die Grenze anders verlaufen. Sehen Sie in Ihren Vertrag und fragen Sie beim Hoster nach, was sein Angebot an Aktualisierungen und Sicherungen abdeckt.

Wie kommen Angreifer überhaupt an meine Seite?

Fast immer über veraltete Software, unsichere Erweiterungen, schwache oder mehrfach genutzte Passwörter und gelegentlich über ein Schadprogramm auf dem eigenen Rechner. Gezielte Angriffe auf einen kleinen Betrieb sind selten, automatisierte Massensuchen nach bekannten Lücken sind der Normalfall.

Brauche ich ein Sicherheitsprogramm für meine Website?

Eine Erweiterung kann helfen, ersetzt aber keine Aktualisierungen und keine Sicherung. Wichtiger als ein zusätzliches Werkzeug sind ein fester Update-Rhythmus, die Zwei-Faktor-Anmeldung und eine Sicherung außerhalb des Servers.

Was passiert mit meinen E-Mails, wenn die Seite befallen ist?

Wird der Server für Massenversand missbraucht, landet Ihre Domain auf Sperrlisten und Ihre eigenen Nachrichten kommen nicht mehr an. Das bemerkt man oft vor dem Befall selbst. Nach der Reinigung muss die Domain von diesen Listen entfernt werden, meist über ein Formular des jeweiligen Anbieters.

Was kostet es, eine befallene Seite wieder herzurichten?

Das hängt davon ab, ob eine brauchbare Sicherung existiert. Mit Sicherung ist es überschaubare Arbeit von einigen Stunden, ohne Sicherung wird aus der Reinigung leicht ein kleiner Neuaufbau. Genau deshalb ist die Sicherung die günstigste Versicherung, die eine Website haben kann.