📑 Inhaltsverzeichnis

    Die instinktive Reaktion in dem Moment, in dem Sie den Hack bemerken, ist meist dieselbe: sofort Dateien löschen, Plugins entfernen, irgendetwas „säubern“ wollen. Das macht die Lage meistens schlimmer — Sie vernichten die Spuren des Angriffs und übersehen die Hintertür. Die folgende Reihenfolge ist so angelegt, dass der Schaden minimal bleibt.

    1. Zuerst isolieren, nicht löschen

    Das erste Ziel ist, den Schaden zu stoppen, nicht aufzuräumen. Versetzen Sie die Website in den Wartungsmodus oder sperren Sie den Zugriff auf Serverebene, damit Ihre Besucher keinem Schadcode ausgesetzt werden und Suchmaschinen Ihre Seite nicht als „schädlich“ markieren.

    • Nehmen Sie die Website vorübergehend offline (Wartungsseite oder Zugriffssperre auf Serverebene).
    • Beenden Sie alle Administrator-Sitzungen und ändern Sie die Passwörter — Dashboard, FTP, Datenbank und Hosting-Konto inklusive.
    • Wenn die Website Zahlungen entgegennimmt, informieren Sie Ihren Zahlungsdienstleister.

    ⚠️ Löschen Sie noch keine Datei

    Schadhafte Dateien sofort zu löschen ist der häufigste Fehler. Diese Dateien und die Serverprotokolle sind der einzige Beleg dafür, wie der Angreifer hereinkam. Finden Sie die Lücke nicht, wird die gesäuberte Website innerhalb weniger Tage erneut gehackt. Erst kopieren, dann säubern.

    2. Erstellen Sie eine forensische Kopie des Ist-Zustands

    Das mag übertrieben klingen, ist aber Pflicht: Erstellen Sie ein Backup im gehackten Zustand und legen Sie es getrennt ab. Diese Kopie hat zwei Zwecke — Sie können die Lücke analysieren und eine beim Aufräumen versehentlich gelöschte legitime Datei zurückholen. Spielen Sie dieses Backup niemals live ein; es dient ausschließlich der Untersuchung.

    3. Finden Sie heraus, wann sie hereinkamen

    Um auf ein sauberes Backup zurückgehen zu können, müssen Sie das Datum des Angriffs kennen. Sonst spielen Sie ein Backup ein, das den Schadcode ebenfalls enthält, und stehen wieder am selben Punkt. Wo Sie nachsehen:

    • Änderungsdaten der Dateien: Listen Sie die zuletzt geänderten Dateien auf; Core-Dateien mit unerwartetem Datum sind der erste Hinweis.
    • Server-Zugriffsprotokolle: verdächtige POST-Anfragen und Admin-Logins von unbekannten IP-Adressen.
    • Neue Benutzer: Administratorkonten, die Sie nicht angelegt haben.
    • Geplante Aufgaben: Angreifer hinterlassen Cron-Einträge, um dauerhaft zu bleiben.

    4. Gehen Sie auf ein sauberes Backup von VOR dem Angriff zurück

    Sobald Sie das Datum haben, ist die Sache klar: Spielen Sie ein Backup von davor ein. Zwei Dinge sind dabei entscheidend.

    Erstens müssen Sie sicher sein, dass das Backup wirklich sauber ist. Ein Angriff beginnt oft Wochen bevor er auffällt; selbst „das Backup von gestern“ kann Schadcode enthalten. Werden Ihre Backups auf Schadcode geprüft, wissen Sie, welches sauber ist — das ist der Unterschied zwischen Raten und Wissen.

    Zweitens bedeutet Wiederherstellen Datenverlust: Bestellungen, Anmeldungen und Kommentare nach dem Backup-Datum sind weg. Erwägen Sie deshalb, vor der Wiederherstellung kritische Datensätze wie Bestellungen aus der aktuellen Datenbank zu exportieren.

    5. Schließen Sie die Lücke — sonst passiert es wieder

    Ein sauberes Backup beseitigt nur die Wirkung ; besteht die Ursache fort, kommt der Angreifer durch dieselbe Tür zurück. Die häufigsten Einstiegswege:

    • Veraltetes Plugin oder Theme: Einstieg über automatisiertes Scannen nach bekannten Lücken. Das ist die häufigste Ursache.
    • Schwaches Admin-Passwort: wird per Brute Force geknackt.
    • Verwaiste Plugins: ein seit Jahren nicht aktualisiertes Plugin ist eine offene Tür.
    • Nachbarn im Shared Hosting: die Übernahme einer anderen Website auf demselben Server.

    Erste Aufgabe nach der Wiederherstellung: Core, Themes und Plugins aktualisieren, ungenutzte löschen (Deaktivieren genügt nicht — solange die Dateien da sind, lassen sie sich ausnutzen), alle Passwörter erneuern und Zwei-Faktor-Authentifizierung einschalten.

    6. Prüfen Sie, dass alles sauber ist

    Die Arbeit ist nicht erledigt, nur weil die Website wieder läuft. Hintertüren sind meist still. Lassen Sie Ihre neuen Backups durch eine Malware-Prüfung laufen, sehen Sie Administratorkonten und geplante Aufgaben erneut durch. Wurden Sie von Suchmaschinen als „schädliche Website“ markiert, beantragen Sie eine erneute Überprüfung.

    🛡 Damit es beim nächsten Mal leichter ist

    Der anstrengendste Teil ist die Frage „welches Backup ist sauber?“. Wenn Ihre Backups regelmäßig eine Schadcode-Prüfung durchlaufen und Sie eine unveränderliche (WORM) Kopie besitzen, bleibt Ihr sauberer Rückkehrpunkt bestehen, selbst wenn ein Angreifer in Ihr System gelangt. Vergleichen Sie die Methoden oder testen Sie es einfach 14 Tage kostenlos .

    Was Sie nicht tun sollten

    • Zahlen Sie kein Lösegeld. Zahlen garantiert nicht, dass die Daten zurückkommen, und macht Sie erneut zum Ziel.
    • Löschen Sie nicht nur die Datei, die Sie sehen. Die Hintertür liegt fast immer woanders.
    • Verwenden Sie dieselben Passwörter nicht erneut. Der Angreifer hat sie womöglich bereits.
    • Überschreiben Sie nicht Ihr einziges Backup. Ein in Panik erstelltes neues Backup kann die saubere Kopie überschreiben, die Sie noch haben.

    Häufig gestellte Fragen

    Wie rettet man eine gehackte WordPress-Website?

    In dieser Reihenfolge: Website isolieren, eine Kopie des Ist-Zustands zur Untersuchung sichern, das Datum des Angriffs bestimmen, auf ein sauberes Backup von davor zurückgehen, die ursächliche Lücke schließen (Updates, Passwörter, ungenutzte Plugins löschen) und schließlich die Bereinigung überprüfen. Dateien sofort zu löschen ist der häufigste Fehler, weil es das Auffinden der Lücke unmöglich macht.

    Genügt es, eine gehackte Website aus einem Backup wiederherzustellen?

    Nein. Die Wiederherstellung beseitigt die Wirkung, nicht die Ursache. Besteht die genutzte Lücke fort, ist der Angreifer bald zurück. Nach der Wiederherstellung müssen Sie Core, Themes und Plugins aktualisieren, ungenutzte löschen, alle Passwörter erneuern und Zwei-Faktor-Authentifizierung aktivieren.

    Woher weiß ich, welches Backup sauber ist?

    Ein Angriff beginnt meist Wochen bevor er auffällt, deshalb kann selbst das neueste Backup Schadcode enthalten. Bestimmen Sie über Dateiänderungsdaten und Server-Zugriffsprotokolle den Beginn des Angriffs und gehen Sie auf ein Backup von davor zurück. Werden Ihre Backups regelmäßig auf Schadcode geprüft, wissen Sie es, statt zu raten.

    Soll ich nach einem Hack Lösegeld zahlen?

    Nein. Zahlen garantiert nicht, dass die Daten zurückkommen, finanziert den Angreifer und macht Sie erneut zum Ziel. Mit einem unabhängigen, unveränderlichen Backup müssen Sie sich gar nicht erst an den Verhandlungstisch setzen.

    Meine Website wurde gehackt — hilft mein Hoster?

    Hoster leisten in der Regel Unterstützung auf Serverebene und können das vorhandene Backup einspielen; dieses wird jedoch meist nur kurz aufbewahrt und nicht auf Schadcode geprüft. Ein eigenes, unabhängiges, datiertes und geprüftes Backup macht die Wiederherstellung grundlegend einfacher.