Website gehackt — die ersten 24 Stunden

Erst einmal: Ruhe bewahren

Eine gehackte Website ist unangenehm, lässt sich aber in den meisten Fällen gut beheben. Entscheidend ist die Reihenfolge: erst sichern und eindämmen, dann verstehen, dann aufräumen, dann vorbeugen. Wer sofort anfängt, Dateien zu löschen, vernichtet oft genau die Spuren, die zeigen, wie der Angreifer hereingekommen ist.

Typische Anzeichen

• Unbekannte Benutzerkonten mit Administratorrechten
• Weiterleitungen auf fremde Seiten, oft nur beim Aufruf über Suchmaschinen oder vom Handy
• Fremde Inhalte oder Spam-Links, manchmal nur für Suchmaschinen sichtbar
• Warnungen im Browser oder in der Google Search Console
• Der Hoster meldet ungewöhnlich viel E-Mail-Versand oder sperrt das Paket

Stunde 0 bis 2: Sichern und eindämmen

1. 011. Zustand sichern: Eine vollständige Kopie von Dateien und Datenbank anlegen, so wie sie jetzt sind. Diese Kopie dient der Analyse, nicht dem Zurückspielen.
2. 022. Besucher schützen: Die Website in den Wartungsmodus versetzen oder vorübergehend vom Netz nehmen, wenn Besucher gefährdet sind, etwa durch Weiterleitungen auf Schadseiten.
3. 033. Hoster informieren: Der Hoster kann Server-Protokolle bereitstellen und weiß, ob auf demselben Server weitere Seiten betroffen sind.
4. 044. Rollen klären: Wer koordiniert, wer kommuniziert nach außen, wer entscheidet über eine Datenschutzmeldung?

Stunde 2 bis 8: Verstehen, was passiert ist

• Alle Benutzerkonten prüfen: Wer ist Administrator, und seit wann?
• Veränderte Dateien finden. Bei Systemen wie WordPress lassen sich Kern und Plugins gegen die offiziellen Prüfsummen vergleichen. So wird sichtbar, welche Dateien nicht mehr dem Original entsprechen.
• Server-Protokolle auf auffällige Anmeldungen und Zugriffe durchsehen.
• Prüfen, ob personenbezogene Daten betroffen sein könnten, etwa aus Kontaktformularen, Mitgliederbereichen oder Anmeldungen.

Stunde 8 bis 24: Aufräumen und Zugänge erneuern

• Fremde Konten entfernen.
• Veränderte Dateien durch saubere Originale ersetzen, unbekannte Dateien entfernen.
• Kern, Theme und alle Plugins aktualisieren; Plugins, die nicht mehr gepflegt werden, ersetzen.
• Alle Zugänge neu setzen: Website-Konten, Hosting, SFTP, Datenbank und alle E-Mail-Postfächer, die mit der Seite verbunden sind.
• Die geheimen Schlüssel der Anwendung erneuern, damit bestehende Anmeldungen ungültig werden.
• Erst dann die Seite wieder öffnen und aus Sicht eines normalen Besuchers prüfen: auf dem Handy, über eine Suchmaschine, ohne Anmeldung.

Ein Beispiel aus der Praxis: Auf der übernommenen Website eines Vereins fanden sich 12 gefälschte Administratorkonten. Kern und Plugins wurden gegen die offiziellen Prüfsummen geprüft, die fremden Konten entfernt und anschließend alle Zugänge neu gesetzt.

Datenschutz: die 72-Stunden-Frist

Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutz-Aufsichtsbehörde nötig sein — grundsätzlich innerhalb von 72 Stunden, nachdem Sie von der Verletzung erfahren haben (Art. 33 DSGVO). Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt. Besteht ein hohes Risiko, sind auch die Betroffenen selbst zu informieren (Art. 34 DSGVO).

Dokumentieren Sie den Vorfall und Ihre Entscheidung in jedem Fall, auch wenn Sie nicht melden. Ziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten früh hinzu.

Allgemeiner Hinweis, keine Rechtsberatung.

Was Sie besser lassen

• Ein altes Backup einspielen, ohne die Lücke zu schließen. Der Angreifer kommt sonst auf demselben Weg zurück.
• Nur das sichtbare Spam-Material löschen. Hintertüren liegen oft an unauffälligen Stellen.
• Nur das eigene Passwort ändern. Jeder Zugang, der mit der Seite zu tun hat, gilt als bekannt.
• Den Vorfall verschweigen. Eine kurze, sachliche Information an Betroffene schafft mehr Vertrauen als Gerüchte.

Kommunikation nach außen

Mitglieder, Teilnehmende oder Kundschaft bemerken einen Angriff oft vor Ihnen — etwa durch merkwürdige Weiterleitungen oder Spam-Mails von Ihrer Adresse. Eine kurze, ruhige Nachricht hilft:

• was passiert ist, in einfachen Worten
• was Sie bereits unternommen haben
• ob die Empfänger etwas tun sollten, zum Beispiel ein Passwort ändern
• wer für Rückfragen erreichbar ist

Spekulieren Sie nicht über Täter oder Ursachen, solange sie nicht feststehen. Informieren Sie lieber zweimal sachlich als einmal zu viel.

Vorbeugen

• Updates für Kern, Theme und Plugins regelmäßig und zeitnah einspielen
• Nur Plugins einsetzen, die aktiv gepflegt werden — und ungenutzte entfernen
• Zwei-Faktor-Anmeldung für alle Administratorkonten
• Jede Person mit eigenem Konto, Rechte nur so weit wie nötig
• Regelmäßige Backups außerhalb des Webservers, mit getesteter Wiederherstellung
• Überwachung, die bei Ausfällen und unerwarteten Änderungen meldet

Checkliste für den Ernstfall

• Kopie des aktuellen Zustands gesichert
• Seite bei Gefahr für Besucher offline genommen
• Hoster informiert, Protokolle angefordert
• Fremde Konten und veränderte Dateien bereinigt
• Alle Zugänge und Schlüssel erneuert
• Datenschutz-Prüfung dokumentiert, 72-Stunden-Frist im Blick
• Ursache gefunden und geschlossen