Website gehackt
Fremde Weiterleitungen, Spam aus dem eigenen Postfach, eine Warnung im Browser oder der Hoster hat die Seite gesperrt: Wenn Sie hier sind, ist wahrscheinlich etwas passiert. Wir helfen in fester Reihenfolge — sichern, verstehen, wiederherstellen, schließen — bei TYPO3, WordPress und Shopware, auch wenn wir die Installation nicht gebaut haben. Erreichbar Mo–Fr 9–16 Uhr unter 0441 21 21 63 0; außerhalb der Geschäftszeiten über das Formular unten. Notfälle bearbeiten wir vor allen anderen Anfragen.
Die wenigsten Angriffe sehen aus wie im Film. Meistens fällt zuerst etwas Kleines auf — und dahinter arbeitet ein Skript, das seit Wochen läuft.
Besucher landen auf fremden Seiten, aber nur von Google aus oder nur auf dem Handy. Im Backend sieht alles normal aus. Typisch für eingeschleuste Weiterleitungen, die gezielt nur Besucher aus Suchmaschinen treffen — der Betreiber selbst sieht sie nie.
In den Suchergebnissen tauchen hunderte Unterseiten in fremder Sprache oder mit fremden Produkten auf. Der Angreifer nutzt Ihre Domain und Ihr Ranking als Vehikel für seine Inhalte.
„Diese Website ist möglicherweise gehackt“ unter dem Suchergebnis, eine rote Warnseite im Browser oder eine Mail des Hosters, der Spamversand festgestellt und die Seite abgeschaltet hat. Ab jetzt kostet jede Stunde Kunden.
Fremde Skripte im Bestellprozess, Zahlungen, die nicht ankommen, Kunden mit unerklärlichen Kartenabbuchungen. Bei Onlineshops ist der Zahlungsweg das Ziel — und der Schaden am größten.
Der verständliche Impuls ist, die auffälligen Dateien zu löschen und das Passwort zu ändern. Beides zerstört Spuren und schließt die Tür nicht. Die Hintertür liegt fast immer woanders als die sichtbare Schadsoftware: in einer zweiten, unauffällig benannten Datei, in einer geänderten Systemdatei, in einem zusätzlichen Administratorkonto, in einem Cronjob oder in einer Erweiterung, die sich selbst wieder herstellt.
Deshalb gilt zuerst: Seite in den Wartungsmodus, Dateien und Datenbank als Kopie sichern, Zugänge sperren, Protokolle sichern. Erst dann wird analysiert. Wer in dieser Reihenfolge arbeitet, kann später sagen, was passiert ist — und muss nicht in vier Wochen von vorn anfangen, weil die Hintertür noch da war.
Wir lesen die Zugriffsprotokolle rückwärts: Upload-Pfade, Login-Masken, Installationswerkzeuge, ungewöhnliche Anfragen kurz vor der ersten Veränderung. Wir vergleichen die Dateien mit den Originalen von Core und Erweiterungen und sehen so, was geändert oder hinzugefügt wurde. Wir prüfen die Datenbank auf fremde Konten und eingeschleuste Inhalte, die installierten Erweiterungen auf bekannte Lücken und die Frage, wo Zugangsdaten lagen, die nicht dort liegen sollten.
Am Ende steht ein Bild: wann es passiert ist, über welchen Weg, und was der Angreifer getan hat. Ohne dieses Bild bleibt jede Wiederherstellung Glückssache — mit ihm wissen wir, welcher Stand sauber ist und welche Lücke zu schließen ist.
Der sauberste Weg ist ein Backup von vor dem Einbruch, ergänzt um alle Updates, die seitdem erschienen sind. Bei einem Shop gleichen wir die Daten ab, die seit dem Backup entstanden sind — Bestellungen, Kundenkonten — und übernehmen sie geprüft. Gibt es kein verlässliches Backup, setzen wir Core und Erweiterungen aus den Originalquellen neu auf und übernehmen nur Inhalte und Uploads, nachdem wir sie geprüft haben.
Danach werden alle Zugangsdaten getauscht, ohne Ausnahme: Administratoren, Datenbank, FTP und SSH, Schnittstellen-Schlüssel, Zahlungsanbieter, Mailversand. Ein Passwort, das der Angreifer kennt, macht die beste Wiederherstellung wertlos.
Die eigentliche Ursache — eine veraltete Erweiterung, ein offenes Installationswerkzeug, ein Formular ohne Prüfung, ein Server auf einer PHP-Version ohne Updates — wird geschlossen, und das System gehärtet: Updates, zweiter Faktor für Verwaltungszugänge, Rechte nach Aufgabe, auf Wunsch eine vorgelagerte Firewall mit Cloudflare.
Dann holen wir das Vertrauen zurück: In der Google Search Console prüfen wir die Sicherheitsprobleme und beantragen die Überprüfung, damit die Warnung verschwindet. Steht die Domain auf Sperrlisten für Mailversand oder Browser-Warnungen, stoßen wir die Entfernung an. Waren personenbezogene Daten erreichbar, gilt die Meldepflicht nach Artikel 33 DSGVO binnen 72 Stunden an die Aufsichtsbehörde — wir liefern die technischen Fakten dafür, die rechtliche Bewertung bleibt bei Ihnen oder Ihrem Datenschutzbeauftragten.
Soforthilfe rechnen wir nach Aufwand ab, nach einem kurzen Erstgespräch, in dem wir die Lage einordnen. Eine Zeit- oder Preiszusage ohne Blick in das System geben wir nicht — wer das tut, rät. Was wir zusagen: die Reihenfolge, die Transparenz über jeden Schritt und einen kurzen Bericht am Ende, der festhält, was passiert ist und was getan wurde.
Und wir versprechen keine hundertprozentige Sicherheit. Was wir anbieten, ist der Zustand, in dem Massenangriffe ins Leere laufen und ein Vorfall ein Vorfall bleibt — mit einer laufenden Betreuung, die Updates, Backups und Monitoring übernimmt, damit Sie diese Seite nicht noch einmal brauchen.
Ablauf
Domain, System und das, was Ihnen aufgefallen ist, genügen für den ersten Schritt. Zugänge brauchen wir erst, wenn Sie uns beauftragen — und dann nur so viel wie nötig. Mo–Fr 9–16 Uhr auch telefonisch: 0441 21 21 63 0.
Sie schildern, was Sie sehen: Domain, System, seit wann, welche Zugänge es gibt. Wir sagen Ihnen sofort, was Sie selbst nicht tun sollten.
Wartungsmodus, Kopie von Dateien und Datenbank, Protokolle sichern, Zugänge sperren. Nichts wird gelöscht, bevor es gesichert ist.
Protokolle, Dateivergleich, Datenbank, Erweiterungen. Ergebnis: Einstiegsweg, Zeitpunkt, Umfang.
Sauberer Stand aus Backup oder Neuaufbau, alle Updates, Daten geprüft übernommen, alle Zugangsdaten getauscht.
Ursache geschlossen, Zugänge mit zweitem Faktor, Rechte aufgeräumt, auf Wunsch Firewall und Bot-Schutz vor dem Server.
Search Console, Sperrlisten, Grundlage für die Meldepflicht, kurzer Bericht — und ein Vorschlag, wie es laufend betreut weitergeht.
Projekte auf diesem System
Ein Auszug — nicht die vollständige Kundenliste.
Drei Dinge: Seite in den Wartungsmodus oder beim Hoster vorübergehend abschalten, damit keine Besucher mehr betroffen sind. Nichts löschen und nichts „aufräumen“. Und von einem anderen, sauberen Gerät aus die Passwörter von E-Mail-Postfach und Hoster-Kundenkonto ändern — nicht die der Website selbst, die kommen in der Analyse dran. Dann rufen Sie uns an oder schreiben über das Formular.
Nein. Die sichtbare Schadsoftware ist fast nie der einzige Fremdkörper. Angreifer legen Hintertüren an mehreren Stellen an, damit sie nach dem Aufräumen zurückkommen können. Wer nur löscht, hat in der Regel nach wenigen Wochen denselben Befall — und inzwischen keine Spuren mehr, aus denen sich der Einstiegsweg ablesen ließe.
Dann bauen wir Core und Erweiterungen aus den Originalquellen neu auf und übernehmen aus der befallenen Installation nur das, was sich prüfen lässt: Inhalte aus der Datenbank, Bilder und Dokumente aus dem Upload-Verzeichnis — jeweils nach Prüfung auf eingeschleusten Code. Das ist mehr Arbeit als eine Rücksicherung, aber es ist der Weg, der am Ende sicher sauber ist.
In den allermeisten Fällen nicht gezielt. Automatisierte Skripte prüfen Millionen Domains auf bekannte Schwachstellen und schlagen überall zu, wo eine offen ist — eine veraltete Erweiterung, ein ungeschütztes Installationswerkzeug, ein schwaches Passwort. Die Analyse der Protokolle zeigt den Weg; die Frage nach dem „Wer“ ist meist weniger wichtig als die nach dem „Wie“.
Wenn personenbezogene Daten betroffen waren oder sein könnten — Kundenkonten, Bestellungen, Formulareingaben — verlangt Artikel 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden; bei hohem Risiko sind nach Artikel 34 auch die Betroffenen zu informieren. Wir liefern die technische Grundlage: was erreichbar war, seit wann, was getan wurde. Die rechtliche Bewertung treffen Sie oder Ihr Datenschutzbeauftragter.
Wir rechnen nach Aufwand ab und ordnen die Lage im Erstgespräch kostenfrei ein. Wie viel Arbeit es wird, hängt davon ab, ob ein sauberes Backup existiert, wie groß die Installation ist und wie lange der Angreifer unbemerkt arbeiten konnte. Eine Pauschale ohne Blick in das System nennen wir nicht — sie wäre geraten.
Das sagen wir Ihnen nach der Sicherung und dem ersten Blick in die Protokolle, nicht vorher. Ein sauberes Backup und eine kleine Installation sind eine andere Lage als ein Shop ohne Sicherung mit wochenlangem Befall. Was wir zusagen: Notfälle bearbeiten wir vor allen anderen Anfragen, und Sie wissen jederzeit, an welchem Schritt wir stehen.
Ja. Die meisten Soforthilfe-Anfragen betreffen Installationen, die wir vorher nie gesehen haben. Wir brauchen Zugang zu Hosting und System, dann funktioniert der Ablauf unabhängig davon, wer die Seite gebaut hat. Ob Sie die Seite danach bei uns betreuen lassen oder zur bisherigen Agentur zurückgehen, entscheiden Sie.
Anfrage
Je genauer die Beschreibung, desto schneller können wir einordnen, womit wir es zu tun haben. Schicken Sie keine Passwörter über dieses Formular — die tauschen wir später auf sicherem Weg aus.