Kurz gesagt: Wenn Ihre Website gehackt wurde, ist die wichtigste Frage „was tun, ohne Spuren zu zerstören?“. Wir übernehmen remote die Eindämmung, sichern Logs und Dateien, entfernen Schadcode, schließen die Einfallstür und dokumentieren alles. Sie behalten die Entscheidungen, wir liefern die technischen Fakten.
Website gehackt: was tun in der ersten Stunde?
Die ersten Schritte entscheiden, ob sich der Vorfall später sauber aufklären lässt. Ruhe ist wichtiger als Tempo um jeden Preis. Diese Punkte können Sie selbst sofort erledigen:
- Nichts löschen: keine Dateien entfernen, keine Neuinstallation über den alten Stand, kein Zurückspielen eines Backups, bevor gesichert wurde.
- Abschotten: die Website in den Wartungsmodus setzen oder vorübergehend vom Netz nehmen, wenn Besucher gefährdet sind oder Daten abfließen könnten.
- Logs aufbewahren: Ihren Hoster bitten, Zugriffs- und Fehlerprotokolle nicht zu überschreiben. Bei PHP2Shell rät die Fachpresse, Server-Logs ab dem 20.10.2026 aufzubewahren.
- Zugänge notieren: Wer hat Admin-, FTP-, SSH- und Panel-Zugänge? Passwörter erst nach Absprache ändern, und zwar von einem sauberen Gerät aus.
- Beteiligte informieren: Geschäftsführung, Datenschutzbeauftragte und bei bestehender Police den Versicherer.
Gehen Sie davon aus, dass ein Angreifer mit Zugriff auf den Webserver auch Zugangsdaten aus Konfigurationsdateien lesen konnte. Datenbank-, Mail- und API-Zugänge gehören deshalb auf die Liste der zu ändernden Geheimnisse.
Welche Anzeichen auf eine Kompromittierung hindeuten, beschreibt die Seite Bin ich schon kompromittiert?.
Wie hilft PHP SOS konkret?
- Lagebild: Wir klären mit Ihnen, was beobachtet wurde, welche Systeme betroffen sein könnten und welche Daten dort liegen. Daraus entsteht eine kurze Einschätzung mit den nächsten Schritten.
- Sichern und eindämmen: Wir sichern Dateien, Datenbank und Logs, bevor etwas verändert wird. Danach dämmen wir den Angriff ein, etwa durch Sperren verdächtiger Zugänge, Abschalten befallener Funktionen oder vorübergehendes Abschotten.
- Einfallstor finden und schließen: Wir prüfen PHP-Version und Patchstand, CMS, Erweiterungen und Zugänge. Liegt der Einstieg über PHP2Shell nahe, patchen wir und starten alle PHP-Prozesse neu.
- Bereinigen und wiederherstellen: Webshells, Hintertüren und manipulierte Dateien werden entfernt oder der Stand aus vertrauenswürdigen Quellen neu aufgebaut. Details stehen unter Malware und Webshells entfernen lassen.
- Abschluss und Bericht: Sie erhalten eine Dokumentation des Vorfalls und Empfehlungen für die Härtung. Ist eine gerichtsfeste Aufklärung nötig, ziehen wir spezialisierte Partner für Forensik hinzu.
Was Sie von uns bekommen
- eine Zeitleiste des Vorfalls, soweit sie sich aus den Spuren belegen lässt
- eine Liste der gefundenen und entfernten Schadkomponenten
- die Beschreibung des wahrscheinlichen Einfallstors, klar getrennt nach belegt, wahrscheinlich und unbekannt
- eine Liste aller geänderten Zugänge und Geheimnisse
- Empfehlungen, was dauerhaft abgesichert werden sollte
Der Bericht hilft bei Gesprächen mit Datenschutzbeauftragten, Versicherer und gegebenenfalls Polizei. Für die rechtliche Einordnung, etwa die DSGVO-Meldepflicht innerhalb von 72 Stunden, ersetzt er keine Beratung durch Fachleute.
Was wir von Ihnen brauchen
- Zugänge: zum Server (SSH oder Panel), zum CMS-Backend und zur Datenbank, alternativ die Erlaubnis, mit Ihrem Hoster direkt zu sprechen
- Ansprechpartner: eine erreichbare Person mit Entscheidungsbefugnis für Abschalten, Neustarts und Passwortwechsel
- Informationen: seit wann das Problem auffällt, welche Änderungen es zuletzt gab, wer Zugriff hatte
- Backups: wo Sicherungen liegen und wie alt sie sind
- Kontakt zu Dienstleistern: Agentur, Entwickler oder Hoster, die das System kennen
Was wir nicht versprechen
Wir können nicht versprechen, dass jeder Angriff vollständig rekonstruierbar ist. Wenn Logs fehlen oder bereits überschrieben sind, bleiben Lücken, und die benennen wir offen. Wir versprechen auch nicht, dass eine bereinigte Seite für immer sicher bleibt. Wir arbeiten an dem Vorfall, bis er abgeschlossen und dokumentiert ist, und sagen Ihnen, was danach noch zu tun ist.
Rechtsberatung leisten wir nicht. Fragen zu Meldepflichten, Haftung oder Versicherungsschutz gehören zu Datenschutzbeauftragten, Anwalt und Versicherer. Für eine strukturierte Abarbeitung nach dem Vorfall hilft unsere Checkliste nach einem Hack.
Wann eine größere Vorfallsbearbeitung nötig ist
Manche Vorfälle reichen über eine einzelne Website hinaus: mehrere Server, abgeflossene Kundendaten, Erpressung oder ein Angreifer, der sich im Netz weiterbewegt. Dann wechseln wir in eine strukturierte Incident Response mit festen Rollen, Lagebesprechungen und abgestimmter Kommunikation. Den Übergang besprechen wir mit Ihnen, sobald sich das abzeichnet.
Auch nach einem kleineren Vorfall lohnt ein Blick nach vorn. Eine bereinigte Website ohne Härtung, Updates und Überwachung bleibt ein naheliegendes Ziel, denn Angreifer prüfen bekannte Opfer oft erneut. Sinnvoll ist deshalb, nach dem Abschluss festzulegen, wer künftig für Updates, Backups und Kontrolle zuständig ist. Häufig zeigt der Vorfall genau dort eine Lücke: Niemand fühlte sich verantwortlich, oder die Zugänge lagen bei einem Dienstleister, der nicht mehr erreichbar war. Diese Fragen klären wir mit Ihnen im Abschlussgespräch, damit aus dem Vorfall ein besserer Betrieb wird.
Häufige Fragen
Soll ich die gehackte Website sofort löschen und neu aufsetzen?
Bitte nicht übereilt. Wer alles löscht, vernichtet die Spuren, die zeigen, wie der Angreifer hineingekommen ist und ob Daten abgeflossen sind. Besser ist es, die Seite vom Netz zu nehmen oder abzuschotten und zuerst zu sichern.
Woran erkenne ich, dass meine Website gehackt wurde?
Typische Zeichen sind fremde Weiterleitungen, Spam-Seiten im Google-Index, unbekannte Admin-Konten, neue PHP-Dateien oder Warnungen von Browser, Hoster oder Google. Auch eine stark gestiegene Serverlast oder auffälliger ausgehender Datenverkehr können Hinweise sein.
Muss ich einen Hackerangriff melden?
Wenn personenbezogene Daten betroffen sein könnten, kann eine Meldepflicht an die Aufsichtsbehörde innerhalb von 72 Stunden bestehen. Ob das bei Ihnen zutrifft, klären Sie bitte mit Ihrer oder Ihrem Datenschutzbeauftragten oder einem Anwalt.
Hilft die Notfallhilfe auch, wenn der Server beim Hoster liegt?
Ja. Wir arbeiten mit dem Zugang, den Sie haben, und stimmen uns bei Bedarf mit Ihrem Hoster ab. Was wir prüfen können, hängt von den Rechten ab, die Sie uns geben können.