Website gehackt: Der Notfallplan für Backups, Zugänge und die ersten Stunden
Eine kompromittierte Website kostet Unternehmen mehr als nur Nerven: Sie gefährdet Vertrauen, Umsatz und im schlimmsten Fall Kundendaten. Dieser Beitrag zeigt, welche Sofortmaßnahmen in den ersten Stunden nach einem Hackerangriff zählen, warum Backups allein nicht ausreichen und mit welcher Checkliste Sie Ihr Unternehmen jetzt schon absichern.
Sie öffnen morgens den Rechner, rufen Ihre Website auf … und landen auf einer fremden Seite. Oder ein Kunde ruft an und teilt Ihnen mit: "Google warnt uns vor Ihrer Domain." Genau in diesem Moment zeigt sich, ob ein Unternehmen vorbereitet ist oder improvisiert.
In den vergangenen Monaten haben wir etliche Websites gerettet, die nach einem Malwarebefall aufwändig wiederhergestellt werden mussten, überwiegend auf WordPress und Joomla, den beiden am weitesten verbreiteten Content-Management-Systemen.
Die technische Bereinigung war dabei nur ein Teil der Aufgabe. Besonders schwierig wurde es immer dann, wenn keine verlässlichen Backups vorhanden waren oder unklar blieb, wer im Notfall entscheiden und Zugänge freigeben darf.
Der wichtigste Grundsatz lautet deshalb:
Ein Malwarebefall ist kein reines IT-Problem. Er ist ein betrieblicher Notfall, für den Technik, Verantwortlichkeiten und Entscheidungen vorbereitet sein müssen.
Was bei einem Hack auf einer Website passiert
Die Symptome unterscheiden sich stark. Manche Angriffe fallen sofort auf, andere bleiben monatelang unentdeckt. Typische Warnzeichen sind:
- Die Website leitet Besucher auf unbekannte oder unseriöse Seiten weiter.
- Inhalte oder Dateien verändern sich ohne nachvollziehbaren Grund.
- Suchmaschinen oder Browser warnen vor einer unsicheren Website.
- CMS, Hosting-Panel oder E-Mail-Konten zeigen ungewöhnliche Anmeldungen.
- Die Website wird spürbar langsam, versendet Spam oder ist nicht mehr zuverlässig erreichbar.
Das Ausmaß der Bedrohung zeigen aktuelle Zahlen deutlich: Nach Angaben des Sicherheitsdienstleisters Patchstack wurden allein im WordPress-Ökosystem 2025 rund 11.334 neue Sicherheitslücken bekannt. Das ein Anstieg von 42 Prozent gegenüber dem Vorjahr. Der Hoster GoDaddy berichtet von 834.661 eindeutigen Websites, auf denen sein Malware-Research-Team im Jahr 2025 Schadcode erkannte. Angreifer nutzen dabei bekannte Schwachstellen meist innerhalb weniger Stunden nach ihrer Veröffentlichung aus.
Die Angriffe erfolgen also selten aus Zufall, sondern es werden bekannte Schwachstellen gezielt ausgenutzt: veraltete CMS-Versionen, ungepflegte Erweiterungen, schwache oder wiederverwendete Passwörter, zu weitreichende Zugriffsrechte, eine veraltete oder unsichere Server-Konfiguration.
Nicht selten bleibt ein Hack zuerst einmal ohne sichtbare Symptome. Damit er nicht sofort auffällt, wird das eigentliche Ziel des Angriffs zeitversetzt verfolgt: Schadcode versendet Spam, leitet Besucher um, manipuliert Inhalte oder nutzt die Website als Sprungbrett für weitere Angriffe.
Wenn eine Website gehackt wird, betreffen die Folgen oftmals nicht nur den technischen Betrieb. Sie beschädigen Vertrauen, bremsen Kampagnen und Leadgewinnung aus und lösen zusätzlichen Abstimmungs- und Wiederherstellungsaufwand aus. Sind personenbezogene Daten betroffen, wird zudem zeitnah eine rechtliche und datenschutzrechtliche Bewertung notwendig.
Warum die Wiederherstellung einer gehackten Website oft unnötig lange dauert
Ein sauberer technischer Wiederaufbau kostet Zeit und Sorgfalt: Das System muss isoliert, die Ursache geprüft, Schadcode (sofern möglich) entfernt, Zugangsdaten erneuert und eine vertrauenswürdige Version wiederhergestellt werden.
In der Praxis entscheiden meist drei organisatorische Lücken, wie lange ein solcher Vorfall wirklich dauert.
1. Backups existieren, helfen im Ernstfall aber nicht
Von den meisten professionellen Websites werden Backups angefertigt. Häufig stellt sich die Backup-Strategie jedoch als unzureichend heraus, oder die Backups sind nicht brauchbar.
Entscheidend für eine erfolgreiche Backup-Strategie sind folgende Fragen:
- Wie häufig wird gesichert?
- Umfasst die Sicherung Dateien und Datenbank?
- Wo liegt das Backup (getrennt vom kompromittierten Hosting)?
- Wie lange werden Versionen aufbewahrt?
- Lässt sich die Sicherung vollständig zurückspielen?
Besonders problematisch ist es, wenn das einzige Backup auf demselben Hosting liegt oder bereits infiziert wurde. Ebenso riskant sind Backups, die zwar vorhanden sind, aber nie getestet wurden. Erst bei der Wiederherstellung zeigt sich dann, dass Dateien fehlen, die Datenbank nicht passt oder wichtige Zugangsdaten nicht verfügbar sind.
Merke: Ein Backup ist erst dann ein zuverlässiges Backup, wenn die Wiederherstellung regelmäßig geprüft wird.
2. Niemand hat die nötigen Zugänge oder darf unmittelbar entscheiden
Für eine schnelle Reaktion benötigt das Team Zugänge zu Hosting, Domainverwaltung, CMS, E-Mail-Postfächern und externen Dienstleistern. Fehlen diese Zugänge oder liegen sie nur bei einer einzelnen Person, gerät die technische Arbeit ins Stocken.
Noch kritischer wird es, wenn unklar bleibt, wer entscheidet.
- Darf die Website kurzfristig offline gehen?
- Wer genehmigt die Wiederherstellung aus einem älteren Stand?
- Wer informiert Vertrieb, Kommunikation oder Datenschutzbeauftragte?
- Welche Kosten bis zu welcher Höhe sind für die Bereinigung/Wiederherstellung freigegeben?
Diese Fragen sollten Sie nicht erst unter Zeitdruck klären. Eine dokumentierte Vertretungsregelung schafft zudem Handlungssicherheit bei Urlaub, Krankheit oder Personalwechsel.
3. Ursachen werden nicht dauerhaft beseitigt
Die Wiederherstellung aus einem sauberen Sicherungsstand ist oft der schnellste Weg zurück in den Betrieb. Sie ersetzt aber keine Ursachenanalyse. Bleibt die Schwachstelle offen, nutzen Angreifer denselben Weg erneut.
Zu einem vollständigen Vorgehen gehören mindestens:
- CMS-Kern, Plugins, Erweiterungen und Templates aktualisieren
- nicht benötigte Komponenten entfernen
- sämtliche Passwörter und gegebenenfalls API-Schlüssel erneuern
- Benutzerkonten, Rollen und Berechtigungen prüfen
- Hosting- und Serverkonfiguration kontrollieren
- Sicherheitsprotokolle und verdächtige Änderungen auswerten
- Monitoring und regelmäßige Wartung etablieren
- Weitere Websites im selben Document-Root auf dem Server müssen geprüft oder im Zweifelsfall restlos entfernt werden
Die ersten Stunden: Was Sie im Ernstfall tun sollten.
Bei einem Malware-Verdacht zählt ein geordnetes Vorgehen mehr als hektischer Aktionismus. Diese fünf Schritte begrenzen den Schaden und bereiten die Wiederherstellung vor.
1. Vorfall dokumentieren und Zuständigkeit aktivieren.
Halten Sie fest, wann und wie der Verdacht entstand: betroffene URLs, Fehlermeldungen, Screenshots, Warnhinweise, auffällige Änderungen. Benennen Sie eine Person, die Entscheidungen bündelt und die Kommunikation koordiniert.
2. Schaden begrenzen.
Versetzen Sie die Website je nach Befund in einen Wartungsmodus oder schränken Sie den Zugriff ein. Vermeiden Sie unkoordinierte Änderungen direkt auf dem kompromittierten System. Sie verwischen so Spuren und erschweren die spätere Analyse.
3. Zugänge absichern.
Ändern Sie relevante Passwörter umgehend, und zwar nicht nur im CMS, sondern auch für Hosting, Domainverwaltung, Datenbank, SFTP/SSH, Administrator-E-Mail-Adressen und verbundene Dienste. Aktivieren Sie, wo möglich, Mehrfaktor-Authentifizierung.
4. Vertrauenswürdigen Wiederherstellungspunkt bestimmen.
Prüfen Sie verfügbare Backups auf Vollständigkeit und Zeitpunkt. Entscheidend ist nicht das jüngste Backup um jeden Preis, sondern ein nachvollziehbar sauberer Stand. Im Zweifel sollten erfahrene Fachleute die Auswahl und Prüfung übernehmen.
5. Ursache schließen und Betrieb überwachen.
Nach der Bereinigung folgt die Absicherung: Updates, Berechtigungen, Konfiguration und Monitoring müssen zusammenpassen. Erst wenn diese Punkte umgesetzt und die Website geprüft ist, nehmen Sie den regulären Betrieb wieder auf.
Die Vorsorge-Checkliste für Geschäftsführung oder IT-Leitung
Als zuständige Führungskraft müssen Sie nicht jedes technische Detail selbst verantworten. Sie sollten aber sicherstellen können, dass folgende Fragen eindeutig beantwortet sind:
- Gibt es automatisierte, versionierte Backups von Website-Dateien und Datenbank?
- Liegt mindestens eine Sicherung getrennt vom produktiven Hosting?
- Wurde eine Wiederherstellung in den letzten Monaten erfolgreich getestet?
- Wer besitzt und verwaltet die Zugänge zu Domain, Hosting, CMS und zentralen E-Mail-Konten?
- Gibt es eine Vertretungsregelung mit klaren Entscheidungsbefugnissen?
- Werden CMS, Erweiterungen und Templates planmäßig aktualisiert?
- Sind ungenutzte Plugins, Komponenten und Benutzerkonten entfernt?
- Gibt es ein definiertes Vorgehen für Meldung, Kommunikation und technische Eskalation im Sicherheitsfall?
Bleibt eine Antwort offen, besteht Handlungsbedarf, um Risiken transparent zu machen und Verantwortlichkeiten zu klären.
Zum Vergleich: Laut Patchstack verfügen aktuell nur 27 Prozent der Website-Betreiber über einen dokumentierten Notfallplan für Sicherheitsvorfälle. Die übrigen 73 Prozent improvisieren im Ernstfall und verlieren dabei wertvolle Zeit.
Sicherheit entsteht nicht durch ein einzelnes Tool
Es gibt keine einzelne Maßnahme, die eine Unternehmenswebsite dauerhaft unangreifbar macht. Wirksamer Schutz entsteht aus dem Zusammenspiel von aktuellem Systemstand, klaren Zugriffsrechten, belastbaren Backups, kontinuierlicher Wartung und einem geübten Notfallprozess.
Gerade bei WordPress und Joomla lässt sich das gut umsetzen, wenn die Verantwortung nicht zwischen Fachabteilung, externer Agentur und Hosting-Anbieter verloren geht.
Eine gepflegte Dokumentation und ein definierter Verantwortlicher machen aus einem potenziellen Chaos einen beherrschbaren Prozess.
Take-away: Vorbereitet sein, bevor es dringend wird
Einen Hackerangriff können Sie nicht immer verhindern. Seine Folgen lassen sich jedoch deutlich begrenzen. Wer die Website regelmäßig wartet, Wiederherstellungen testet und Zuständigkeiten verbindlich regelt, verkürzt Ausfallzeiten, reduziert den Wiederherstellungsaufwand und schützt die eigene digitale Vertrauensbasis.
Sie möchten prüfen, wie gut Ihre Website auf einen Sicherheitsvorfall vorbereitet ist?
formativ.net unterstützt Sie bei der akuten Malware- und Wiederherstellungshilfe, bei Sicherheitschecks und Website-Audits sowie beim Aufbau eines belastbaren Backup- und Notfallkonzepts. Auch die laufende Wartung, Updates und das Monitoring Ihrer Website übernehmen wir gern.
Unverbindliches Sicherheits- und Wiederherstellungs-Gespräch vereinbaren