Woran erkenne ich, dass meine Website gehackt wurde?

Typische Anzeichen sind Weiterleitungen auf fremde Seiten (oft nur bei Besuchern, die von Google kommen, oder nur auf dem Handy), fremde Links oder Seiten in den Google-Ergebnissen, eine Warnung von Google oder vom Browser, ein falsches „Ich bin kein Roboter“-Fenster, das zum Ausführen eines Befehls auffordert, neue Administratoren, unbekannte PHP-Dateien im Upload-Ordner und eine Sperre oder Warnung Ihres Hosters.

Soll ich die Website sofort löschen?

Nein. Nehmen Sie sie vom Netz oder in den Wartungsmodus, aber löschen Sie nichts. Dateien, Datenbank und Server-Logs zeigen, wie die Angreifer hereingekommen sind und ob Daten betroffen sind. Beides brauchen Sie für die Bereinigung und gegebenenfalls für die Meldung an die Datenschutzbehörde.

Reicht es, ein Backup einzuspielen?

Nur, wenn das Backup sicher vor dem Angriff entstand und Sie danach die Lücke schließen, über die die Angreifer hereinkamen. Sonst ist die Website in kurzer Zeit wieder gehackt. Ändern Sie außerdem alle Passwörter, denn die Angreifer können sie kennen.

Muss ich einen Hack der Datenschutzbehörde melden?

Wenn personenbezogene Daten betroffen sein können, etwa aus Kontaktformularen, Kundenkonten, Bestellungen oder Newsletter-Listen: In Deutschland und Österreich in der Regel ja, nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, außer es besteht voraussichtlich kein Risiko für die Betroffenen. In der Schweiz verlangt Art. 24 DSG eine Meldung an den EDÖB so rasch als möglich, wenn voraussichtlich ein hohes Risiko besteht. Das ist keine Rechtsberatung.

Gilt in der Schweiz auch die 72-Stunden-Frist?

Nein. Das Schweizer Datenschutzgesetz nennt keine feste Frist, sondern verlangt eine Meldung „so rasch als möglich“, und nur bei voraussichtlich hohem Risiko für die Betroffenen. Laut EDÖB-Leitfaden darf die Meldung nicht durch lange Abklärungen verzögert werden. Gilt für Ihr Unternehmen auch die DSGVO, etwa weil Sie Kunden in der EU bedienen, kann zusätzlich die 72-Stunden-Frist gelten.

Wie werde ich die Google-Warnung „Diese Website wurde möglicherweise gehackt“ los?

Bereinigen Sie die Website vollständig, schließen Sie die Lücke und beantragen Sie dann in der Google Search Console im Bericht „Sicherheitsprobleme“ eine Überprüfung. Beschreiben Sie, was Sie gefunden und behoben haben. Laut Google dauert die Prüfung einige Tage bis mehrere Wochen.

Wie kommen Angreifer meistens auf kleine Websites?

Über veraltete Plugins und Themes mit bekannten Lücken, über veraltete PHP-Versionen, über gestohlene oder schwache Passwörter und über raubkopierte Premium-Themes und -Plugins, die schon ab Werk Schadcode enthalten. Gezielte Angriffe auf kleine Websites sind selten; meist laufen automatische Scans über Millionen Websites.

Ich habe keinen Webentwickler mehr. Wer hilft mir?

Ihr Hoster hilft bei Sperren, Backups und Zugängen, bereinigt aber in der Regel keine Websites. Für die Bereinigung brauchen Sie einen Dienstleister, der Dateien und Datenbank prüft, die Ursache findet und die Website danach absichert. Lassen Sie sich vorher sagen, was genau er prüft und ob er die Ursache benennt. Wir übernehmen das auch: Sie erhalten vorab ein Angebot mit klarem Umfang und Preis.

Website gehackt: Was tun? Sofortmaßnahmen & Meldepflicht

Ihre Website leitet plötzlich auf ein Casino um, Google zeigt „Diese Website wurde möglicherweise gehackt“, oder Ihr Hoster hat die Seite gesperrt. Das ist unangenehm, aber kein Grund für Panik: Die meisten Hacks kleiner Websites lassen sich sauber beheben, wenn Sie die richtigen Schritte in der richtigen Reihenfolge gehen.

Dieser Leitfaden zeigt, woran Sie einen Hack erkennen, was Sie in der ersten Stunde tun, wie Sie die Website bereinigen und wann Sie den Vorfall in Deutschland, Österreich oder der Schweiz einer Datenschutzbehörde melden müssen.

Das Wichtigste in Kürze

Nichts löschen. Website vom Netz nehmen oder in den Wartungsmodus setzen, aber Dateien, Datenbank und Logs behalten.

Alle Passwörter ändern: Hosting, FTP/SFTP, Datenbank, WordPress-Admins, E-Mail.

Ursache finden, sonst sind Sie nach der Bereinigung bald wieder gehackt. Häufigste Ursachen: veraltete Plugins und veraltete PHP-Versionen.

Meldepflicht prüfen: DE und AT binnen 72 Stunden (DSGVO), CH „so rasch als möglich“ bei hohem Risiko (DSG). Nur wenn personenbezogene Daten betroffen sein können.

Google-Warnung: nach der Bereinigung Überprüfung in der Search Console beantragen.

Keine Zeit oder kein Entwickler? Wir bereinigen Ihre Website, mit Angebot vorab.

Woran Sie erkennen, dass Ihre Website gehackt wurde

Angreifer wollen meist nicht auffallen. Viele Hacks zeigen sich deshalb nur unter bestimmten Bedingungen:

Weiterleitungen auf fremde Seiten, oft nur bei Besuchern, die über Google kommen, nur auf dem Handy oder nur beim ersten Besuch. Sie selbst als eingeloggter Admin sehen davon nichts.
Fremde Inhalte in Google: Suchen Sie nach site:ihre-domain.de. Tauchen Seiten mit Pharma-, Casino- oder japanischen Begriffen auf, die Sie nie angelegt haben, wurden Inhalte eingeschleust.
Falsches „Ich bin kein Roboter“-Fenster oder eine falsche Cloudflare-Prüfung, die Besucher auffordert, eine Tastenkombination zu drücken und einen Befehl einzufügen. Diese „ClickFix“-Masche verbreitet über gehackte WordPress-Seiten Schadsoftware auf den Rechnern Ihrer Besucher.
Warnungen von Google in den Suchergebnissen, vom Browser („Gefährliche Website“) oder von Virenscannern Ihrer Besucher.
Post vom Hoster: Sperre der Website, gesperrter E-Mail-Versand wegen Spam oder ein Hinweis auf Schadcode. Vorsicht: Auch Phishing-Mails geben sich als Hoster aus. Klicken Sie nicht auf Links in der Mail, sondern melden Sie sich direkt im Kundenmenü an oder rufen Sie den Support an.
Im Backend: neue Administratoren, unbekannte Plugins, geänderte Dateien, PHP-Dateien im Ordner wp-content/uploads, wo sie nichts zu suchen haben.

Die erste Stunde: Sofortmaßnahmen

Website vom Netz nehmen oder in den Wartungsmodus setzen. Schützt Ihre Besucher und Ihren Ruf. Viele Hoster können die Website auf Anfrage sperren.
Nichts löschen. Sichern Sie Dateien, Datenbank und, falls verfügbar, die Zugriffs-Logs des Webservers im aktuellen, gehackten Zustand. Damit lässt sich später klären, wie die Angreifer hereinkamen und ob sie Daten gesehen haben.
Passwörter ändern, und zwar von einem sauberen Rechner aus: Hosting-Kundenmenü, FTP/SFTP, Datenbank, alle WordPress-Administratoren und die E-Mail-Konten, an die Passwort-Links gehen. Schalten Sie, wo möglich, die Zwei-Faktor-Anmeldung ein.
Hoster informieren. Fragen Sie nach Backups aus der Zeit vor dem Angriff und nach Logs. Einige Hoster sehen auch, welche Dateien wann geändert wurden.
Notieren Sie, was Sie wann bemerkt haben. Für die Datenschutz-Dokumentation zählt der Zeitpunkt, an dem Sie von dem Vorfall erfahren haben.

Bereinigen: Backup oder Handarbeit

Mit einem sauberen Backup geht es am schnellsten. Sauber heißt: entstanden, bevor die Angreifer zum ersten Mal Zugriff hatten. Das ist oft früher als die ersten sichtbaren Anzeichen. Spielen Sie es ein, aktualisieren Sie sofort alles und schließen Sie die Lücke (nächster Abschnitt), bevor die Website wieder online geht.

Ohne sauberes Backup heißt es bereinigen. Bei WordPress sind das die wichtigsten Stellen:

WordPress-Kern neu installieren: Ordner wp-admin und wp-includes durch frische Kopien ersetzen.
Plugins und Themes neu installieren, und zwar aus der Originalquelle. Was Sie nicht brauchen, löschen Sie. Raubkopierte Premium-Plugins („nulled“) sind eine häufige Quelle von Schadcode.
wp-content/uploads durchsuchen: Dort gehören Bilder und Dokumente hin, keine .php-Dateien.
wp-config.php und .htaccess prüfen auf eingeschleuste Zeilen, etwa Weiterleitungen oder eingebundene fremde Dateien.
Datenbank prüfen: Administratoren in wp_users, die Einstellungen siteurl und home, eingeschleuste <script>-Tags in Beiträgen und Widgets.
Geplante Aufgaben (Cron) im Hosting und in WordPress prüfen. Angreifer legen dort gern Aufgaben an, die den Schadcode wiederherstellen.

Kommt der Schadcode nach dem Bereinigen zurück, haben Sie eine Hintertür übersehen oder die Lücke ist noch offen.

Die Ursache finden und schließen

Ohne diesen Schritt ist jede Bereinigung nur vorübergehend. Die häufigsten Einfallstore bei kleinen Websites:

Ursache	So prüfen Sie es
Veraltete Plugins oder Themes mit bekannter Lücke	In WordPress unter Dashboard → Aktualisierungen. Plugins ohne Update seit Jahren ersetzen.
Veraltete PHP-Version	Kostenloser PHP-Check oder in den PHP-Einstellungen beim Hoster. PHP 8.1 und älter bekommt keine Sicherheitsupdates mehr, PHP 8.2 nur noch bis 31. Dezember 2026. Manche Hoster verlangen dafür sogar eine Extended-Support-Gebühr.
Gestohlene oder schwache Passwörter	Wer hatte Zugang (Agentur, Ex-Mitarbeiter, Freelancer)? Alle Zugänge neu vergeben, ungenutzte löschen. Auch Schadsoftware auf dem eigenen Rechner kann gespeicherte Zugangsdaten stehlen: Rechner prüfen.
Raubkopierte Themes oder Plugins	Gekaufte Erweiterungen nur aus der Originalquelle beziehen.
Vergessene Test- oder Altinstallationen	Alte Unterverzeichnisse und Subdomains im selben Webspace: Sie teilen sich den Zugriff mit Ihrer Website.

Kein Hack? Spam über das Kontaktformular oder seltsame Adressen in der Search Console sind oft nur Bots, die Ihre Website abklappern. Ein Hack liegt erst vor, wenn sich Dateien, Inhalte oder Nutzer auf Ihrer Website verändert haben.

Die Zugriffs-Logs des Webservers zeigen oft genau, über welche Datei der erste Zugriff lief. Fragen Sie Ihren Hoster danach.

Meldepflicht: Deutschland, Österreich, Schweiz

Ein Hack ist meldepflichtig, wenn personenbezogene Daten betroffen sein können. Bei Websites heißt das zum Beispiel: gespeicherte Anfragen aus dem Kontaktformular, Kundenkonten, Bestellungen in einem Shop, Newsletter-Listen oder Bewerbungen. Eine reine Visitenkarten-Website ohne gespeicherte Daten ist meist nicht betroffen. Auch dann sollten Sie den Vorfall intern dokumentieren.

	Deutschland	Österreich	Schweiz
Gesetz	Art. 33 und 34 DSGVO	Art. 33 und 34 DSGVO, ergänzt durch das DSG	Art. 24 DSG (revidiertes Datenschutzgesetz)
Melden an	Datenschutz-Aufsichtsbehörde Ihres Bundeslands	Datenschutzbehörde (DSB), online, per E-Mail oder Formular	EDÖB
Wann melden	Außer es besteht voraussichtlich kein Risiko für die Betroffenen	wie Deutschland	Wenn voraussichtlich ein hohes Risiko für die Betroffenen besteht
Frist	Unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden	wie Deutschland	So rasch als möglich, keine feste Frist
Betroffene informieren	Bei voraussichtlich hohem Risiko	wie Deutschland	Wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt
Dokumentieren	Immer	Immer	Immer, mindestens zwei Jahre aufbewahren (laut EDÖB)

Drei Punkte, die oft falsch dargestellt werden:

Die 72 Stunden laufen ab Bekanntwerden, nicht ab dem Angriff. Sie können auch eine erste, unvollständige Meldung abgeben und Details nachreichen.
In der Schweiz gibt es keine 72-Stunden-Frist, auch wenn manche Vorlagen das behaupten. Laut Leitfaden des EDÖB darf die Meldung aber nicht durch lange Abklärungen verzögert werden. Wer auch Kunden in der EU bedient, kann zusätzlich unter die DSGVO fallen.
Melden ist keine Selbstanzeige. Die Behörden wollen wissen, was passiert ist und was Sie dagegen tun. Problematisch ist vor allem, gar nicht oder zu spät zu melden.

Diese Übersicht ist keine Rechtsberatung. Haben Sie einen Datenschutzbeauftragten, beziehen Sie ihn sofort ein.

Die Google-Warnung entfernen

Hat Google Ihre Website als gehackt oder gefährlich markiert, sehen Sie das in der Google Search Console im Bericht Sicherheitsprobleme. Haben Sie Ihre Website dort noch nicht eingerichtet, holen Sie das jetzt nach; die Bestätigung geht über einen DNS-Eintrag oder eine Datei.

Bereinigen Sie alle im Bericht genannten Seiten und schließen Sie die Lücke.
Klicken Sie im Bericht auf Überprüfung anfordern und beschreiben Sie, was Sie gefunden und wie Sie es behoben haben.
Warten Sie. Laut Google dauert die Prüfung einige Tage bis mehrere Wochen. Stellen Sie keinen neuen Antrag, solange einer offen ist.

Eingeschleuste Spam-Seiten können noch eine Weile in den Suchergebnissen auftauchen. Liefern sie nach der Bereinigung den Status 404 oder 410, verschwinden sie nach und nach.

So verhindern Sie den nächsten Hack

Updates für WordPress, Plugins und Themes regelmäßig einspielen, am einfachsten automatisch für Sicherheitsupdates.
Aktuelle PHP-Version nutzen, derzeit 8.4 oder 8.5. Hier prüfen.
Ungenutzte Plugins, Themes und Altinstallationen löschen.
Zwei-Faktor-Anmeldung für alle Administratoren und das Hosting-Konto.
Backups außerhalb des Webspace, mit mehreren Ständen über mindestens 30 Tage. Sonst ist das letzte saubere Backup oft schon überschrieben, wenn Sie den Hack bemerken.
Regelmäßig von außen prüfen: 8 kostenlose Checks für Ihre Website-Sicherheit.
Jemand muss zuständig sein. Viele gehackte Websites haben eines gemeinsam: Seit die Agentur oder der Freelancer weg ist, hat sich niemand mehr gekümmert.

Sie möchten das nicht allein machen? Wir bereinigen gehackte Websites und sichern sie danach ab:

Website gehackt: Was tun? Sofortmaßnahmen und Meldepflicht in DE, AT und CH