Website gehackt? Was Sie jetzt Schritt für Schritt tun sollten

Website gehackt? Was Sie jetzt tun sollten: Anzeichen, Sofortmaßnahmen, Passwörter, Schadcode finden, sauberes Backup, WordPress und Schutz vor Angriffen.

Nodesty-Team5 Min. LesezeitSicherheit

Veröffentlicht am 22. Oktober 2026

Der Schriftzug Hacked Site? mit Contain, Clean und Restore auf dunklem Nodesty-Hintergrund

Wenn Sie bemerken, dass Ihre Website gehackt wurde, entscheidet das, was Sie in den ersten Stunden tun, darüber, wie groß der Schaden wird. Wer in Panik nur den sichtbaren Schadcode löscht, lässt meist die Hintertüren des Angreifers zurück, und die Website wird innerhalb weniger Tage erneut übernommen. Die richtige Reihenfolge lautet: Schaden begrenzen, Einstiegsweg finden, bereinigen oder ein sauberes Backup zurückspielen, Lücke schließen.

In dieser Anleitung erklären wir die Anzeichen für eine gehackte Website, die ersten Maßnahmen, die Suche nach schädlichen Dateien, die Bereinigung von WordPress und wie Sie verhindern, dass sich der Angriff wiederholt.

Anzeichen

Besucher werden auf andere Websites weitergeleitet, vor allem auf Mobilgeräten oder wenn sie von Google kommen.
Auf den Seiten erscheinen unbekannte Links, Werbung oder Inhalte in fremden Sprachen.
Bei Google werden unter Ihrer Website unpassende Titel und Beschreibungen angezeigt.
Browser oder Google warnen, dass Ihre Website gefährlich ist.
In Ihrem Verwaltungsbereich gibt es unbekannte Benutzer, oder Ihr Passwort funktioniert nicht mehr.
Von Ihrem Server werden massenhaft E-Mails versendet, und Ihr Hosting-Anbieter meldet einen Missbrauch.
Die Prozessorauslastung des Servers ist ohne erkennbaren Grund hoch.

Schritt 1: Den Schaden begrenzen

Versetzen Sie die Website in den Wartungsmodus oder zeigen Sie vorübergehend eine Wartungsseite an. So sind Ihre Besucher keinen schädlichen Weiterleitungen und Downloads ausgesetzt.
Sichern Sie die Beweise. Erstellen Sie vor der Bereinigung eine Kopie des aktuellen Zustands der Website-Dateien und der Datenbank. Diese Kopie brauchen Sie, um nachzuvollziehen, wie der Angriff abgelaufen ist; verwechseln Sie sie nicht mit Ihren sauberen Backups.
Informieren Sie Ihren Hosting-Anbieter. Möglicherweise sind weitere Websites auf dem Server betroffen, und der Support kann Ihnen helfen, an die Logs zu kommen.

Schritt 2: Alle Passwörter ändern

Der Angreifer könnte ein Passwort erbeutet haben. Ändern Sie von einem sauberen Gerät aus alle folgenden Zugänge:

Kundenpanel des Hosting- oder Server-Anbieters
Control Panel (cPanel, DirectAdmin), FTP- und SSH-Konten
Passwort des Datenbankbenutzers (und passen Sie es in der Konfigurationsdatei der Anwendung an)
Alle Administratorkonten der Website
API-Schlüssel sowie die Schlüssel von Zahlungs- und E-Mail-Diensten

Beenden Sie nach der Änderung alle offenen Sitzungen und aktivieren Sie überall, wo es möglich ist, die Zwei-Faktor-Authentifizierung. Haben Sie den Verdacht, dass Ihr eigenes Gerät mit Schadsoftware infiziert ist, prüfen Sie zuerst dieses; andernfalls können auch die neuen Passwörter gestohlen werden.

Schritt 3: Einstiegsweg und Änderungen finden

Herauszufinden, wo der Angreifer eingedrungen ist und was er verändert hat, ist der wichtigste Teil der Bereinigung:

Zuletzt geänderte Dateien: Wenn Sie SSH-Zugriff haben, listen Sie die Dateien auf, die in den letzten 7 Tagen geändert wurden:
```
find /var/www/site -type f -mtime -7 -printf '%TY-%Tm-%Td %p\n' | sort
```
Skripte in Upload-Ordnern: In Ordnern für Bilder und Dokumente sollten keine PHP-Dateien liegen:
```
find /var/www/site/wp-content/uploads -name "*.php"
```
Verdächtiger Code: Ausdrücke wie eval(, base64_decode( und gzinflate( sind häufige Merkmale von verschleiertem Schadcode; für sich genommen sind sie kein Beweis, aber eine genauere Prüfung wert.
Weiterleitungsregeln: Prüfen Sie, ob in .htaccess-Dateien unbekannte Weiterleitungsregeln stehen.
Benutzer und geplante Aufgaben: Kontrollieren Sie die Benutzer im Verwaltungsbereich, die Ausgabe von crontab -l auf dem Server und die SSH-Dateien authorized_keys.
Logs: In den Zugriffslogs des Webservers zeigen Anfragen an verdächtige Dateien, wann und wie der Angriff stattgefunden hat.

Die häufigsten Einstiegswege sind nicht aktualisierte Plugins und Themes, unlizenzierte (nulled) Software, schwache oder geleakte Passwörter und falsche Dateirechte.

Schritt 4: Bereinigen oder ein sauberes Backup zurückspielen

Es gibt zwei Wege:

Wiederherstellung aus einem sauberen Backup: Haben Sie ein Backup von vor dem Angriff, ist das der schnellste und zuverlässigste Weg. Wenn Sie nicht wissen, wann der Angriff begonnen hat, wählen Sie ein ausreichend altes Backup. Führen Sie nach der Wiederherstellung unbedingt die Schritte 2 und 5 durch; wird die Lücke nicht geschlossen, wiederholt sich der Angriff.

Manuelle Bereinigung: Wenn Sie kein sauberes Backup haben:

Spielen Sie die Kerndateien der Anwendung aus der offiziellen Quelle neu ein.
Löschen Sie Plugins und Themes und installieren Sie sie aus ihren offiziellen Quellen neu; holen Sie solche, die Sie nicht nutzen, gar nicht erst zurück.
Entfernen Sie verdächtige Dateien aus den Upload-Ordnern und den übrigen Inhaltsdateien.
Entfernen Sie aus der Datenbank unbekannte Benutzer sowie Beiträge und Einstellungen, die schädliche Skripte enthalten.

Ein Scan der Website mit einem Sicherheitsscanner hilft Ihnen, übersehene Dateien zu finden. Warum Backups getestet werden müssen, erklären wir in unserer Anleitung Server Backup.

Besondere Schritte für WordPress

Prüfen Sie die Kerndateien. Haben Sie Zugriff auf WP-CLI, listet der Befehl wp core verify-checksums die veränderten WordPress-Kerndateien auf.
Erneuern Sie die Sicherheitsschlüssel. Wenn Sie die Sicherheitsschlüssel (Salts) in der Datei wp-config.php erneuern, werden alle Sitzungen ungültig.
Prüfen Sie die Administratoren. Gehen Sie auf der Seite Benutzer die Konten mit der Rolle Administrator durch.
Löschen Sie unlizenzierte Plugins und Themes. „Kostenlose“ Kopien kostenpflichtiger Plugins gehören zu den häufigsten Quellen für Schadsoftware.

Die Grundlagen der WordPress-Sicherheit erklären wir in unserer Anleitung WordPress installieren.

Schritt 5: Die Lücke schließen und härten

Aktualisieren Sie die Anwendung, die Plugins und die Themes; ersetzen Sie solche, die nicht mehr weiterentwickelt werden, durch Alternativen.
Korrigieren Sie die Dateirechte: 644 für Dateien, 755 für Ordner; verwenden Sie nirgends 777.
Schützen Sie den Zugang zum Verwaltungsbereich mit Zwei-Faktor-Authentifizierung und starken Passwörtern.
Wenn Sie Ihren eigenen Server verwalten, arbeiten Sie für die serverseitigen Schritte unsere Checkliste Linux Server absichern durch.

Schritt 6: Suchmaschinen und Nutzer informieren

Google Search Console: Prüfen Sie den Bericht Sicherheitsprobleme und beantragen Sie eine Überprüfung, sobald die Website bereinigt ist. Wurden Spam-Seiten indexiert, können Sie auch deren Entfernung beantragen.
Nutzer: Sind personenbezogene Daten betroffen, informieren Sie Ihre Nutzer und bitten Sie sie, ihre Passwörter zu ändern. Datenschutzverletzungen können nach dem Datenschutzrecht Ihres Landes eine Meldepflicht auslösen.

Sicherheit bei Nodesty

Die Webhosting-Pakete von Nodesty laufen mit der Sicherheitsschicht Imunify360 gegen Schadsoftware und Angriffe sowie mit CloudLinux, das die Konten voneinander isoliert; über JetBackup erreichen Sie Ihre Backups im Control Panel. Verwalten Sie Ihren eigenen Server auf einem AMD Ryzen 9 9950X vServer, bringen Sie die kostenlosen täglichen Backups mit 7 Tagen Aufbewahrung zu einem sauberen Stand zurück. Wenn Sie einen Angriff vermuten, wenden Sie sich an unser Support-Team.

Häufig gestellte Fragen

Woran erkenne ich, dass meine Website gehackt wurde?

Die häufigsten Anzeichen sind Weiterleitungen von Besuchern auf andere Websites, unbekannte Links oder Werbung auf Ihren Seiten, seltsame Titel unter Ihrer Website bei Google, Sicherheitswarnungen im Browser, unbekannte Administratorkonten und E-Mails, die unerwartet von Ihrem Server versendet werden.

Reicht es, die schädlichen Dateien zu löschen?

Meistens nicht. Angreifer hinterlassen in der Regel mehrere Hintertüren, um wieder hineinzukommen, und diese können in normalen Dateien versteckt sein. Wenn Sie nur den sichtbaren Schadcode löschen, ohne den Einstiegsweg zu schließen und die Hintertüren zu finden, wird die Website schon bald erneut übernommen.

Ist das Problem gelöst, wenn ich ein Backup zurückspiele?

Ein sauberes Backup von vor dem Angriff zurückzuspielen ist einer der schnellsten Wege, doch die Sicherheitslücke, die der Angreifer genutzt hat, besteht weiterhin. Ändern Sie direkt nach der Wiederherstellung alle Passwörter, aktualisieren Sie Plugins und Themes und entfernen Sie die Komponente, die die Lücke verursacht hat; andernfalls kann sich derselbe Angriff wiederholen.

Google hat meine Website als gefährlich markiert. Was soll ich tun?

Bereinigen Sie zuerst Ihre Website vollständig. Öffnen Sie dann in der Google Search Console den Bericht „Sicherheitsprobleme“, geben Sie an, dass die Probleme behoben sind, und beantragen Sie eine Überprüfung. Die Überprüfung ist in der Regel innerhalb weniger Tage abgeschlossen, und die Warnung wird entfernt.

Was soll ich tun, wenn Nutzerdaten abgeflossen sind?

Stellen Sie fest, welche Daten betroffen sind, informieren Sie Ihre Nutzer und bitten Sie sie, ihre Passwörter zu ändern. Eine Verletzung des Schutzes personenbezogener Daten kann nach dem Datenschutzrecht Ihres Landes eine Meldepflicht gegenüber der zuständigen Behörde auslösen; lassen Sie sich dazu rechtlich beraten.

Wie verhindere ich, dass sich der Angriff wiederholt?

Halten Sie Ihre Software aktuell, löschen Sie Plugins und Themes, die Sie nicht nutzen, verwenden Sie für jedes Konto starke, einzigartige Passwörter und die Zwei-Faktor-Authentifizierung, installieren Sie Plugins nur aus vertrauenswürdigen Quellen und erstellen Sie regelmäßig getestete Backups. Sicherheits-Plugins und serverseitige Sicherheitssoftware bieten eine zusätzliche Schutzschicht.

Über den Autor

Nodesty-Team · Infrastruktur und Support

Das Nodesty-Team betreibt unsere Server, unser Netzwerk und unseren DDoS-Schutz im Alltag und beantwortet Support-Anfragen rund um die Uhr. Diese Ratgeber entstehen aus dieser Arbeit.