Kurz gesagt: Ist die Website im Handwerk gehackt oder durch PHP2Shell gefährdet, müssen Sie selbst kein Techniker sein. Wichtig ist, die richtigen Fragen an Hoster und Webdesigner zu stellen, Zugänge zu sichern und die Website im Zweifel kurz abzuschalten. Den Rest übernehmen Fachleute.
Warum Handwerker-Websites gefährdet sind
Die Website eines Handwerksbetriebs ist meist schlank: Leistungen, Referenzfotos, ein Kontaktformular, vielleicht eine Seite mit Stellenangeboten. Gebaut wurde sie oft vor Jahren von einer kleinen Agentur, einem Freelancer oder jemandem aus der Familie, häufig mit WordPress. Seitdem läuft sie still vor sich hin.
PHP2Shell trifft genau solche Seiten. Die Lücken liegen in PHP selbst, der Programmiersprache unter fast allen Websites dieser Art. Angreifer brauchen dafür kein Passwort. Sie suchen das Internet automatisiert nach verwundbaren Servern ab, egal ob dort ein Konzern oder ein Dachdeckerbetrieb steht.
Welche Daten auf einer Handwerker-Website liegen
Auf den ersten Blick wenig. Auf den zweiten: Anfragen mit Namen, Adressen und Telefonnummern, Fotos von Bädern, Dächern und Heizungsräumen, die Kunden zur Einschätzung hochladen, und Bewerbungen mit Lebenslauf und Zeugnissen. Manche Formular-Plugins speichern all das dauerhaft in der Datenbank, auch wenn Sie die Anfrage längst per Mail erhalten haben.
Für Angreifer sind diese Daten weniger wertvoll als der Server selbst. Eine gehackte Handwerker-Website dient häufig als Absender für Spam, als Ablage für Betrugsseiten oder als Weiterleitung auf Fake-Shops. Ihr guter Name in der Region wird so zur Tarnung. Bemerkt wird das oft erst, wenn ein Kunde anruft und fragt, warum Ihre Seite plötzlich Werbung für Online-Casinos zeigt.
Was ein gehackter Server für den Betrieb bedeutet
- Weniger Aufträge: Zeigt Google eine Warnung oder leitet die Seite um, bleiben Anfragen aus, oft unbemerkt über Wochen.
- Mails im Spam: Verschickt der Server Spam, landen auch Ihre Angebote und Rechnungen bei Kunden im Spamordner.
- Ärger mit dem Hoster: Hoster sperren auffällige Pakete, manchmal samt Postfächern.
- Gefälschte Rechnungen: Sind auch Mailzugänge betroffen, können Kunden Rechnungen mit fremder Kontoverbindung erhalten.
Handwerk und Website gehackt: Wer ist zuständig?
In kleinen Betrieben ist die Lage oft unübersichtlich. Der Hosting-Vertrag läuft auf den Inhaber, die Zugangsdaten hat der frühere Webdesigner, und niemand weiß genau, welche PHP-Version läuft. Bei normalem Webhosting aktualisiert der Hoster PHP für den Server. Ob er das getan hat, sollten Sie schriftlich erfragen. Eine Vorlage dafür finden Sie im Ratgeber Hoster nach dem Patch-Status fragen.
Wichtig zu wissen: Ein Update der Website oder ihrer Plugins schließt die PHP-Lücke nicht. Und ein Patch entfernt keinen Schadcode, der schon vorher eingeschleust wurde.
Legen Sie die Zugangsdaten für Domain, Hosting und Website-Admin an einem sicheren Ort im Betrieb ab, nicht nur beim Webdesigner. Im Notfall verlieren Sie sonst Zeit mit der Suche.
Die ersten Stunden: eine Checkliste für Inhaber
- Beim Hoster nachfragen: Ist PHP für mein Paket gepatcht und neu gestartet? Antwort schriftlich geben lassen.
- Gibt es keine klare Antwort oder Anzeichen eines Hacks, die Website über das Kundenmenü des Hosters vorübergehend abschalten. Anfragen laufen in der Zeit über Telefon und Mail.
- Hoster bitten, die Server-Logs ab dem 20.10.2026 aufzubewahren.
- Alle Passwörter erst ändern, wenn der Server sauber ist, sonst liest ein Angreifer die neuen gleich mit.
- Prüfen, ob es ein aktuelles Backup gibt, und wer es einspielen kann.
Nach dem Vorfall: die Website bewusst einfach halten
Viele Handwerker-Websites tragen Ballast mit sich herum: Plugins für Funktionen, die nie genutzt wurden, alte Testseiten, ein vergessenes Gästebuch. Jedes dieser Teile muss gepflegt werden. Nach einem Vorfall lohnt sich ein Schnitt: Was keine Anfragen bringt, kommt weg.
Klären Sie außerdem, ob Formulare Anfragen dauerhaft speichern müssen oder ob eine Mail an den Betrieb genügt. Stellen Sie sicher, dass es regelmäßige Backups gibt, die nicht auf demselben Server liegen. Und prüfen Sie, ob Ihr Hosting-Paket noch zur Website passt oder ob ein betreutes Paket mit klarer Zuständigkeit für PHP für Sie die einfachere Lösung ist.
Wie hilft PHP SOS konkret?
- Wir sprechen für Sie mit Hoster und Webdesigner und klären, wer was tun muss, in verständlichen Worten.
- Wir prüfen remote, ob der Server gepatcht ist und ob Schadcode, fremde Admin-Konten oder Spam-Skripte vorhanden sind.
- Bei einem Befall bereinigen wir die Website im Rahmen unserer Notfallhilfe und helfen, eine Google-Warnung wieder zu entfernen.
- Wir sichern Ihre Zugänge neu und übergeben Ihnen eine kurze Dokumentation für Ihre Unterlagen.
- Wer sich nicht mehr selbst kümmern will, bekommt mit einem Wartungsvertrag eine feste Zuständigkeit.
Häufige Fragen
Meine Website hat ein Bekannter gebaut. Wer ist jetzt zuständig?
Verantwortlich für die Website ist der Betrieb, auf den Domain und Hosting laufen. Der Webdesigner kann helfen, ist aber nur zuständig, wenn ein Wartungsvertrag das regelt. Für PHP auf dem Server ist bei normalem Webhosting meist der Hoster zuständig.
Woran merke ich, dass meine Handwerker-Website gehackt wurde?
Typische Zeichen sind Weiterleitungen auf fremde Seiten, fremdsprachige Inhalte in den Google-Ergebnissen, eine Warnung im Browser oder plötzlich ausbleibende Anfragen. Manchmal meldet sich auch der Hoster, weil der Server Spam verschickt. Oft ist aber zunächst nichts zu sehen.
Kann ein Website-Hack auch meine E-Mails betreffen?
Liegen Website und Postfächer im selben Hosting-Paket, ist das möglich. Ein Angreifer kann den Server zum Spamversand nutzen, wodurch Ihre Mails bei Kunden im Spam landen. Ändern Sie nach der Bereinigung auch die Passwörter der Postfächer.