Insights · Technik

Website gehackt: Was jetzt zu tun ist

Von mowa.studio · Webdesign, Branding & Animation aus Wien · Veröffentlicht im Oktober 2026

Wenn Ihre Website gehackt wurde, kommt es auf die Reihenfolge an: Halten Sie fest, was Sie sehen, nehmen Sie die Seite vom Netz, informieren Sie den Hoster und ändern Sie alle Passwörter. Danach spielen Sie ein sauberes Backup ein oder bereinigen die Website und schließen die Lücke, bevor die Seite wieder online geht. Sind personenbezogene Daten betroffen, etwa Anfragen aus dem Kontaktformular, kann zusätzlich eine Meldung an die Datenschutzbehörde nötig sein, möglichst binnen 72 Stunden.

Anlass sind kritische PHP-Lücken, in Berichten PHP2Shell genannt, für die das PHP-Projekt am 21. Oktober 2026 Updates veröffentlicht hat. Auch wer das PHP-Update schon eingespielt hat, sollte prüfen, ob die Website sauber ist. Der Hoster all-inkl.com etwa schreibt, er habe keine konkreten Hinweise auf eine erfolgreiche Ausnutzung bei sich, könne sie vor den Updates aber nicht völlig ausschließen. Die Schritte unten gelten für jeden Hack. Stand ist der 25. Oktober 2026.

Woran erkennt man, dass eine Website gehackt wurde?

Typische Anzeichen sind:

• Google zeigt in den Suchergebnissen „Diese Website wurde möglicherweise gehackt“, oder Browser warnen, die Seite könne Ihren Computer beschädigen.
• Besucher landen über Ihre Adresse auf fremden Seiten.
• Bei Google tauchen Seiten auf, die Sie nie angelegt haben, etwa mit japanischem Spamtext. Eine Suche nach site:ihre-domain.at hilft, sie zu finden.
• In der Benutzerverwaltung Ihres CMS, etwa WordPress, stehen unbekannte Administratoren, in der Google Search Console ein unbekannter Inhaber.
• Der Search-Console-Bericht „Sicherheitsprobleme“ meldet gehackte Inhalte oder Malware.
• Der Hoster meldet sich oder sperrt die Website, wie es etwa STRATO zum Schutz anderer Kunden notfalls tut.

Was ist nach einem Hack sofort zu tun?

Löschen Sie nicht hektisch Dateien, sonst verschwinden Spuren, die zeigen, wie der Angreifer hereinkam. Die Schritte 2 bis 4 folgen Googles Anleitung für gehackte Websites:

1. Dokumentieren. Screenshots von Warnungen und Weiterleitungen, Datum, Uhrzeit, wer was bemerkt hat.
2. Website vom Netz nehmen. Am besten zeigt Ihr Hoster oder Webentwickler eine Wartungsseite, die nicht vom gehackten Server kommt und Suchmaschinen eine vorübergehende Unterbrechung meldet (Statuscode 503).
3. Hoster informieren. Der Angriff kann auch seine Server und andere Kunden treffen.
4. Alle Passwörter ändern. Vorher den eigenen Rechner von Schadprogrammen säubern, wie es STRATO und das BSI raten. Dann Hosting-Konto, FTP, Datenbank, alle CMS-Konten und jedes Konto, das dasselbe Passwort nutzt. Unbekannte Benutzer notieren und entfernen.

Wirtschaftskammermitglieder erreichen die Cyber-Security-Hotline der WKO unter 0800 888 133 rund um die Uhr. Die vermittelten IT-Security-Fachleute stehen werktags von 8 bis 18 Uhr bereit. Das Erstgespräch ist kostenlos, weitere Einsätze sind kostenpflichtig.

Backup einspielen oder die Website bereinigen?

Das hängt am Backup. Es muss aus der Zeit vor dem Hack stammen, sonst kommt der Schadcode gleich mit zurück. Google unterscheidet drei Fälle:

• Sauberes, aktuelles Backup: einspielen.
• Sauberes, aber älteres Backup: zuerst den infizierten Stand sichern, dann das Backup einspielen und nur neuere, saubere Inhalte übernehmen.
• Kein Backup: eine Kopie der Website bereinigen, nicht den laufenden Server.

Danach gilt in jedem Fall:

• Alles aktualisieren: CMS, Theme, Plugins und PHP, laut Google als saubere Neuinstallation statt nur als Update. PHP 8.1 und älter bekommt vom PHP-Projekt keine Updates mehr, PHP 8.2 nur noch bis 31. Dezember 2026. Manche Linux-Distributionen und Anbieter von Langzeit-Support liefern eigene Korrekturen. Fragen Sie Ihren Hoster danach oder wechseln Sie, wie das PHP-Projekt rät, auf eine unterstützte Version.
• Aufräumen: ungenutzte Plugins, Themes und alte Testinstallationen löschen.
• Nach Hintertüren suchen: neue, umbenannte und versteckte Dateien, Weiterleitungen in der .htaccess, fremde Inhaber in der Search Console.
• Die Lücke schließen: Wer nicht weiß, wie der Angreifer hereinkam, kann nicht sicher sein, dass er draußen bleibt.
• Passwörter noch einmal ändern: Nach der Bereinigung rät Google ausdrücklich dazu.

Muss ein Hack der Datenschutzbehörde gemeldet werden?

Ja, wenn personenbezogene Daten betroffen sind, etwa Kontaktanfragen, Kundenkonten oder Bestellungen. Ausgenommen sind nur Fälle, die voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Als Datenschutzverletzung zählt nach Art. 4 Nr. 12 DSGVO schon, dass Unbefugte durch den Angriff Zugang zu den Daten bekommen.

Nach Art. 33 DSGVO muss der Verantwortliche, meist das Unternehmen selbst, die Verletzung unverzüglich und möglichst binnen 72 Stunden melden, nachdem sie ihm bekannt wurde. Wer erst nach 72 Stunden meldet, muss die Verzögerung begründen. Bei voraussichtlich hohem Risiko sind nach Art. 34 auch die Betroffenen unverzüglich zu benachrichtigen. Dokumentieren müssen Sie nach Art. 33 Abs. 5 jede Verletzung, auch eine nicht gemeldete.

Die Datenschutzbehörde nimmt Meldungen online, per E-Mail an [email protected] oder per Post entgegen. Fehlende Informationen dürfen laut DSB nachgereicht werden. Ob ein Risiko besteht, muss das Unternehmen selbst beurteilen. Dieser Überblick ist keine Rechtsberatung. Im Zweifel holen Sie wegen der kurzen Frist rasch juristischen Rat ein.

Soll man die Polizei und CERT.at einschalten?

Beides ist möglich, für die meisten Kleinbetriebe aber keine Pflicht. Anzeigen nimmt jede Polizeidienststelle entgegen, die Cybercrime-Meldestelle des Bundeskriminalamts dagegen nur Hinweise. Den widerrechtlichen Zugriff auf Ihr System nach § 118a StGB verfolgen die Behörden nur mit Ihrer Zustimmung, eine Datenbeschädigung nach § 126a StGB auch ohne.

CERT.at, das nationale Computer-Notfallteam, nimmt auch freiwillige Meldungen an [email protected] entgegen. Gesetzlich meldepflichtig sind nach dem seit 1. Oktober 2026 geltenden NISG 2026 grundsätzlich nur mittlere und große Unternehmen bestimmter Sektoren. Kleinbetriebe sind es in der Regel nicht. Prüfen muss das aber jedes Unternehmen selbst.

Wie schützt man die Website vor dem nächsten Hack?

Als häufige Einfallstore nennt Google manipulierte Passwörter, versäumte Updates und unsichere Themes und Plugins. Daraus folgt:

• Regelmäßig aktualisieren, auch PHP: Die PHP-Lücken vom Oktober 2026 stecken laut PHP-Projekt in PHP selbst, Plugin-Updates beheben sie nicht.
• Starke Zugänge: lange, einzigartige Passwörter aus einem Passwortmanager und eine Zwei-Faktor-Anmeldung für alle Administratoren, bei WordPress per Plugin oder über einen externen Identitätsanbieter (SSO).
• Backups, die funktionieren: regelmäßig und automatisiert, wie es Google empfiehlt, und getrennt von der Website aufbewahrt. Das BSI rät, gelegentlich zu prüfen, ob ein Backup alle Daten enthält und lesbar ist.

Bei Websites, die wir betreuen, gehören Updates, Backups und Sicherheits-Checks zu unserer Leistung Hosting & Wartung. Eine Garantie gegen jeden Angriff kann niemand geben, auch wir nicht.