# Checkliste nach einem Hack: 20 Punkte für die Nachbereitung

> Checkliste, wenn die Website gehackt wurde: 20 Punkte von Eindämmung und Beweissicherung über Bereinigung und neue Zugänge bis zu Meldepflichten.

Quelle: https://phpsos.de/ratgeber/checkliste-nach-dem-hack/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Wenn Ihre Website gehackt wurde, hilft diese Checkliste, nichts zu vergessen: erst eindämmen und Beweise sichern, dann Ursache finden und bereinigen, danach alle Zugänge erneuern, Pflichten prüfen und den Vorfall dokumentiert abschließen. Die Reihenfolge ist wichtig, denn wer zuerst löscht, verliert Spuren, und wer nur bereinigt, ohne die Lücke zu schließen, wird erneut angegriffen.

## Wofür diese Checkliste gilt, wenn die Website gehackt wurde

Die Checkliste richtet sich an Geschäftsführung, Inhaber und IT-Verantwortliche nach einem bestätigten oder wahrscheinlichen Angriff auf eine Website, einen Shop oder einen PHP-Webserver. Sie eignet sich auch nach PHP2Shell, wenn ein Server vor dem Update erreichbar war und Hinweise auf eine Kompromittierung vorliegen.

Nicht jeder Punkt passt auf jede Umgebung. Arbeiten Sie die Liste trotzdem vollständig durch und vermerken Sie bei jedem Punkt, ob er erledigt, nicht zutreffend oder offen ist. Dieses Protokoll ist später wertvoll für Versicherung, Datenschutz und interne Nachbereitung.

Tragen Sie zu jedem Schritt Datum, Uhrzeit, verantwortliche Person und Ergebnis ein. Wenn mehrere Personen beteiligt sind, legen Sie eine Person fest, die die Liste führt und Entscheidungen festhält.

## Phase 1: Sofort eindämmen und sichern

1. **Schaden begrenzen:** Website in den Wartungsmodus setzen oder vom Netz nehmen, wenn Besucher gefährdet sind oder Daten abfließen könnten. Das BSI empfiehlt bei PHP2Shell, ungepatchte Webserver vorübergehend vom Netz zu nehmen, wenn ein Update nicht sofort möglich ist.
2. **Nichts löschen:** Keine Dateien entfernen, den Server nicht neu aufsetzen und keine Logs leeren, bevor Spuren gesichert sind.
3. **Logs sichern:** Access-, Error-, PHP-FPM- und Systemlogs auf ein anderes System kopieren und Prüfsummen festhalten. Zu PHP2Shell rät die Fachpresse, Logs ab dem 20.10.2026 aufzubewahren.
4. **Abbild sichern:** Eine Kopie von Dateien und Datenbank, bei virtuellen Servern einen Snapshot, als Beweisstand anlegen und nicht verändern.
5. **Verantwortliche informieren:** Geschäftsführung, Datenschutzbeauftragten, Hoster und, falls vorhanden, Cyberversicherung früh einbinden. Viele Versicherungen haben Meldeobliegenheiten.

## Phase 2: Ursache finden und bereinigen

6. **Einfallstor ermitteln:** Logs, Dateiänderungen und Versionen auswerten. Prüfen Sie PHP selbst, CMS, Themes, Erweiterungen, Zugangsdaten und Serverdienste. Ohne bekannte Ursache bleibt das Risiko eines erneuten Angriffs.
7. **Lücke schließen:** PHP auf eine behobene Version bringen (8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. bestätigter Backport des Anbieters), CMS und Erweiterungen aktualisieren, alle PHP-Worker neu starten.
8. **Zeitraum eingrenzen:** Den frühesten Zeitpunkt verdächtiger Aktivität bestimmen. Er entscheidet, welche Backups sauber sein können und welche Daten betroffen sein könnten.
9. **Hintertüren entfernen:** Webshells, fremde PHP-Dateien in Upload- und Cache-Ordnern, veränderte Kerndateien, Cronjobs, SSH-Schlüssel und Systemdienste prüfen und entfernen. Kerndateien aus sauberer Quelle ersetzen.
10. **Datenbank bereinigen:** Unbekannte Admin-Konten, eingeschleuste Skripte in Inhalten und Einstellungen sowie Spam-Inhalte entfernen.
11. **Neuaufbau erwägen:** Bei tiefgreifender Kompromittierung des Servers ist ein Neuaufbau auf einem frischen, gepatchten System mit geprüften Daten oft der verlässlichere Weg als eine Bereinigung im laufenden System.

## Phase 3: Zugänge erneuern und härten

12. **Passwörter ändern:** Für CMS, Hosting-Konto, Panel, Datenbank, FTP, SFTP, SSH und E-Mail, und zwar von einem sauberen Gerät aus.
13. **Schlüssel und Tokens tauschen:** API-Schlüssel, Zahlungs- und Versanddienst-Schnittstellen, Anwendungsschlüssel des CMS, SSH-Schlüssel und Zertifikate, die auf dem Server lagen, neu erzeugen.
14. **Sitzungen beenden:** Alle aktiven Anmeldungen im CMS und bei Diensten abmelden und registrierte Zwei-Faktor-Geräte prüfen.
15. **Zwei-Faktor-Anmeldung aktivieren:** Für alle Admin-Zugänge, einschließlich Hosting, Domain und DNS.
16. **Server härten:** PHP-Einstellungen, Dateirechte, Ausführungssperren in Upload-Ordnern, Firewall und Sicherheits-Header prüfen und dokumentieren.

## Phase 4: Pflichten, Kommunikation und Abschluss

17. **Meldepflichten prüfen:** Können personenbezogene Daten betroffen sein, kann nach [DSGVO Art. 33 eine Meldung innerhalb von 72 Stunden](https://phpsos.de/compliance/dsgvo-meldepflicht-72-stunden/) nötig sein. Die Bewertung gehört zu Datenschutzbeauftragtem oder Anwalt. Branchenpflichten, etwa nach NIS2, gesondert prüfen.
18. **Anzeige erwägen:** Die [Zentralen Ansprechstellen Cybercrime](https://phpsos.de/compliance/anzeige-polizei-zac/) der Polizei nehmen Anzeigen von Unternehmen auf. Die gesicherten Logs sind dafür eine wichtige Grundlage.
19. **Kunden und Google informieren:** Betroffene sachlich und abgestimmt informieren. Zeigt Google eine Warnung, nach der Bereinigung die Überprüfung beantragen, wie unter [Google-Warnung entfernen](https://phpsos.de/ratgeber/google-warnung-entfernen/) beschrieben.
20. **Abschluss dokumentieren und überwachen:** Ursache, Zeitraum, Maßnahmen und offene Punkte in einem Bericht festhalten, Lehren für den Notfallplan ableiten und die Systeme in den folgenden Wochen verstärkt überwachen.

## Häufige Fehler bei der Nachbereitung

Viele Vorfälle ziehen sich in die Länge, weil in der ersten Aufregung an der falschen Stelle gespart oder zu schnell gehandelt wird. Diese Fehler sollten Sie vermeiden:

- **Nur das Sichtbare entfernen:** Eine gelöschte Spam-Seite oder eine entfernte Weiterleitung ist kein Beweis für eine saubere Website. Hintertüren bleiben oft unbemerkt.
- **Passwörter vom betroffenen System aus ändern:** Läuft auf dem Rechner oder Server noch Schadsoftware, können neue Zugangsdaten sofort wieder abfließen.
- **Blind ein Backup zurückspielen:** Ohne geschlossene Lücke und ohne Prüfung des Backups steht der Angreifer schnell wieder in der Tür.
- **Den Patch als Entwarnung verstehen:** Ein Update auf eine behobene PHP-Version beweist nicht, dass vorher nichts passiert ist, und entfernt keine eingeschleuste Schadsoftware.
- **Pflichten zu spät prüfen:** Fristen beginnen mit dem Bekanntwerden des Vorfalls, nicht mit dem Ende der Bereinigung.
- **Keine Dokumentation:** Ohne Protokoll lassen sich Fragen von Versicherung, Behörden oder Kunden später kaum beantworten.

> **Wichtig:**
> Diese Checkliste ersetzt keine Rechtsberatung. Bei Fragen zu Meldepflichten, Haftung oder Versicherung wenden Sie sich an Ihren Datenschutzbeauftragten, einen Anwalt oder Ihren Versicherer.

## Wie hilft PHP SOS konkret?

- Wir übernehmen die strukturierte [Incident Response](https://phpsos.de/leistungen/incident-response/) und führen die Checkliste gemeinsam mit Ihnen, Punkt für Punkt mit Protokoll.
- Wir sichern Logs und Systemstände so, dass sie für Versicherung, Behörden und eine mögliche [IT-Forensik](https://phpsos.de/leistungen/it-forensik/) nutzbar bleiben.
- Wir schließen die Lücke, bereinigen oder bauen neu auf und erneuern Zugänge in der richtigen Reihenfolge.
- Wir liefern einen Abschlussbericht mit Ursache, Maßnahmen und Empfehlungen und überwachen die Systeme danach auf Wunsch weiter.


## Häufige Fragen

**Was ist das Erste, was ich tun sollte, wenn meine Website gehackt wurde?**  
Ruhe bewahren, nichts löschen und den Schaden begrenzen. Nehmen Sie die Website bei Bedarf vom Netz oder in den Wartungsmodus und sichern Sie Logs und Dateien, bevor Sie bereinigen. Danach folgen Ursachensuche und Bereinigung.

**Reicht es, die Website aus einem Backup wiederherzustellen?**  
Meist nicht. Das Backup kann bereits Schadcode enthalten, und die Lücke, über die der Angreifer kam, ist nach dem Zurückspielen noch offen. Erst Ursache schließen, dann einen geprüften, sauberen Stand auf ein aktualisiertes System einspielen.

**Muss ich einen Hack der Datenschutzbehörde melden?**  
Wenn personenbezogene Daten betroffen sein können, sieht Art. 33 DSGVO grundsätzlich eine Meldung innerhalb von 72 Stunden nach Bekanntwerden vor, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist. Die Bewertung gehört zu Ihrem Datenschutzbeauftragten oder einem Anwalt.

**Wann ist ein Vorfall wirklich abgeschlossen?**  
Wenn die Ursache geschlossen, alle bekannten Hintertüren entfernt, Zugänge erneuert, Pflichten erfüllt und die Maßnahmen dokumentiert sind. Eine Zeit verstärkter Überwachung danach gehört dazu, um übersehene Spuren zu erkennen.

## Quellen

- [DSGVO Art. 33: Meldung an die Aufsichtsbehörde](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Polizei: Zentrale Ansprechstellen Cybercrime](https://www.polizei.de/)
- [BSI: Hinweise zu IT-Sicherheitsvorfällen](https://www.bsi.bund.de/)
- [php.net: Sicherheitsmeldungen zu PHP2Shell](https://www.php.net/)