Meine Website wurde gehackt – was muss ich jetzt tun?

Woran Sie einen Hack erkennen

Viele Angriffe auf kleine Websites bemerkt der Inhaber nicht selbst. Google beschreibt in seiner Anleitung für gehackte Websites diese Anzeichen: Google hat Sie benachrichtigt, in der Suche steht ein Hinweis, dass Ihre Website gehackt sein könnte, oder der Bericht zu Sicherheitsproblemen in der Search Console nennt Beispieladressen. Eine Suche nach site:ihre-domain.de zeigt außerdem Seiten, die Sie nie angelegt haben, etwa mit Werbung für Arzneimittel oder in fremder Sprache.

Wichtig: Gehackte Seiten können für Sie völlig normal aussehen. Angreifer zeigen Suchmaschinen und Besuchern oft unterschiedliche Inhalte. Dass Ihre Startseite im Browser stimmt, ist deshalb kein Beweis, dass alles in Ordnung ist.

Die Warnung im Browser

Chrome kennzeichnet Seiten, die Google Safe Browsing als gefährlich eingestuft hat, mit „Schädlich“ und rät laut Chrome-Hilfe, die Website nicht zu verwenden. Das ist etwas anderes als „Nicht sicher“, das auf eine fehlende verschlüsselte Verbindung hinweist; die Unterschiede erklärt der Ratgeber „Nicht sicher“ im Browser.

Die ersten Schritte in der richtigen Reihenfolge

Die folgenden Schritte stützen sich auf Googles Anleitung Quarantine your site. Notieren Sie von Anfang an, was Sie wann gesehen und getan haben; das brauchen Sie später für den Antrag bei Google und gegebenenfalls für die Datenschutzbehörde.

• Beweise sichern: Bildschirmfotos der Warnungen, fremder Seiten und Weiterleitungen, mit Datum und Uhrzeit.
• Seite vom Netz nehmen: Laut Google genügt es nicht, irgendeinen Fehlerstatus auszuliefern. Ein Status 503 („vorübergehend nicht verfügbar“) ist ein sinnvolles Signal, sollte aber von außerhalb des befallenen Servers kommen, zum Beispiel über eine Einstellung beim Hoster.
• Alle Passwörter ändern: Hosting-Konto, FTP/SFTP, Datenbank, Administratorzugang des CMS, E-Mail-Postfächer. Unbekannte Benutzerkonten löschen und ihre Namen für die Ursachensuche notieren.
• Den Hoster informieren: Er kann prüfen, ob auch andere Bereiche betroffen sind, und hat oft Sicherungen aus der Zeit vor dem Befall.
• Hilfe holen, wenn Sie die Technik nicht selbst betreuen: Ihren Webdienstleister oder eine Fachfirma. Bereinigen ohne Fachwissen führt oft dazu, dass die Hintertür bleibt.

Was ein Hack für einen kleinen Betrieb bedeutet

Die Folgen gehen über eine kaputte Startseite hinaus. Besucher sehen Warnungen und kommen nicht wieder, Google kennzeichnet betroffene Seiten in den Suchergebnissen, und unter Ihrer Domain können Spam-Seiten oder Schadsoftware ausgeliefert werden. Wird der Server zum Versand von Spam-Mails missbraucht, landen auch Ihre echten Mails eher im Spam.

Dazu kommt die Verantwortung: Nach § 19 Abs. 4 TDDDG müssen Anbieter geschäftsmäßig angebotener digitaler Dienste, soweit technisch möglich und wirtschaftlich zumutbar, durch technische und organisatorische Vorkehrungen sicherstellen, dass kein unerlaubter Zugriff auf ihre technischen Einrichtungen möglich ist. Eine Firmenwebsite fällt in aller Regel darunter. Wie weit diese Pflicht im Einzelfall reicht, kann dieser Ratgeber nicht beurteilen; er ist keine Rechtsberatung.

Datenschutz: Wann Sie den Vorfall melden müssen

Speichert Ihre Website personenbezogene Daten, etwa Anfragen aus dem Kontaktformular, Kundenkonten oder Bewerbungen, und hatte der Angreifer möglicherweise Zugriff darauf, liegt eine Verletzung des Schutzes personenbezogener Daten vor. Nach Art. 33 der Datenschutz-Grundverordnung melden Sie diese unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Dokumentieren müssen Sie jeden Vorfall, auch wenn Sie ihn nicht melden.

Besteht voraussichtlich ein hohes Risiko für die Betroffenen, müssen Sie diese nach Art. 34 DSGVO zusätzlich benachrichtigen. Zuständig ist in Deutschland die Datenschutzbehörde Ihres Bundeslandes; die Anschriften stehen bei der BfDI. Im Zweifel lassen Sie sich von Ihrem Datenschutzbeauftragten oder einer Anwältin beraten.

Bereinigen und die Lücke schließen

Nur die sichtbaren Spam-Seiten zu löschen reicht nicht. Solange die Lücke offen ist, über die der Angreifer hineinkam, ist die Seite oft nach Tagen wieder befallen. Google nennt in Top ways sites get hacked als häufige Wege: erratene Passwörter, veraltete Software, veraltete oder ungepatchte Themes und Plugins, Täuschung von Mitarbeitern, schwache Sicherheitsregeln und versehentlich öffentlich gestellte Daten.

• Eine Sicherung aus der Zeit vor dem Befall wiederherstellen. Prüfen Sie, ob sie wirklich sauber ist; auch Sicherungen können schon befallen sein.
• CMS, Theme, alle Plugins und die PHP-Version auf einen unterstützten Stand bringen. Wie das zur Routine wird, steht im Ratgeber veraltete Plugins und CMS.
• Nicht genutzte Plugins, Themes, Testinstallationen und alte Unterordner löschen.
• Für alle Administratorzugänge eine Zwei-Faktor-Anmeldung einrichten, wo das System es anbietet.
• Formulare, Mailversand und alle wichtigen Seiten nach der Wiederherstellung einmal selbst testen.

Reparieren oder neu aufsetzen?

Ist die Website alt, seit Jahren nicht gepflegt und hängt an Plugins, für die es keine Updates mehr gibt, kann ein sauberer Neuaufbau günstiger sein als die zweite oder dritte Bereinigung. Wer das nicht selbst entscheiden möchte, findet bei der Webagentur Scherzinger eine Einschätzung unter Website überarbeiten lassen.

Bei Google wieder sauber werden

Hat Google ein Sicherheitsproblem erkannt, steht es im Bericht zu Sicherheitsproblemen der Search Console. Dort beantragen Sie eine Überprüfung, aber erst, wenn alle gemeldeten Probleme auf der ganzen Website behoben sind, nicht nur auf den Beispielseiten. Der Antrag sollte das Problem genau beschreiben, die Schritte zur Behebung nennen und das Ergebnis belegen. Solange ein Antrag läuft, stellen Sie keinen zweiten.

Wie lange die Prüfung dauert, hängt laut Google von der Art des Problems ab: bei Schadsoftware einige Tage, bei Spam bis zu mehreren Wochen, bei Phishing etwa einen Tag. Wer zu früh beantragt, verlängert nur die Zeit mit Warnung.

Vorbeugen: was der Sicherheits-Check von außen sieht

Der Sicherheits-Check zeigt kostenlos, ob die Grundlagen stimmen: HTTPS und Zertifikat, Sicherheits-Header, sichtbare Software-Versionen, veraltete JavaScript-Bibliotheken und eine erkennbar alte PHP-Version. Er arbeitet passiv wie ein Besucher. Einen bestehenden Befall, Schadcode auf dem Server oder schwache Passwörter erkennt er nicht; dafür braucht es Zugang zum Server und eine fachliche Prüfung.

Weitere Schutzmaßnahmen erklären die Ratgeber HTTPS und Security-Header und Kontaktformular absichern.