Website gehackt: Was tun als Handwerksbetrieb?

Website gehackt, was tun? Vor allem die richtige Reihenfolge einhalten: erst den Schaden eingrenzen, dann die Lücke finden und schließen, und erst danach geht die Seite wieder online. Hier steht, woran du einen Angriff erkennst, was du sofort selbst erledigst und was du besser abgibst.

Woran merke ich, dass meine Website gehackt wurde?

Viele Angriffe sieht man nicht auf den ersten Blick. Die Seite wirkt für dich ganz normal, während sie im Hintergrund Spam verschickt oder Besucher umleitet. Diese Anzeichen sind typisch:

• Google zeigt in den Suchergebnissen einen Warnhinweis neben deiner Seite, oder der Browser warnt vor dem Aufruf.
• Besucher landen auf fremden Seiten, oft nur vom Handy aus oder nur, wenn sie über Google kommen.
• Auf deiner Seite tauchen fremde Texte oder Links auf, etwa zu Glücksspiel oder Medikamenten.
• Über dein Kontaktformular oder deine Adresse gehen Spam-Mails raus, und Kunden melden seltsame Nachrichten.
• Dein Hoster sperrt den Zugang oder schreibt dir wegen auffälligem Verhalten.
• Die Seite ist plötzlich sehr langsam oder gar nicht mehr erreichbar.

Prüf das am besten vom Handy aus und über die Google-Suche, nicht nur über die gespeicherte Adresse in deinem Browser. Manche Schadprogramme leiten nur Besucher um, die über Google kommen, damit der Betreiber selbst nichts merkt.

Website gehackt: Was tun in der ersten Stunde?

• Nichts löschen und nicht selbst herumprobieren. Mach Bildschirmfotos von dem, was du siehst, mit Datum und Uhrzeit.
• Sag dem Bescheid, der deine Seite betreut, und deinem Hoster. Der Hoster kann die Seite vorübergehend vom Netz nehmen, damit Kunden nicht auf Schadseiten landen.
• Ändere die Passwörter für den Hosting-Zugang, die Verwaltung der Website und alle E-Mail-Postfächer, und zwar von einem Gerät, dem du traust. Für jeden Zugang ein eigenes Passwort.
• Halte dein Google Unternehmensprofil aktuell. Darüber finden dich Kunden mit Telefonnummer weiter, auch wenn die Seite ein paar Tage offline ist.

Bitte keine Plugins löschen oder Dateien „mal eben“ austauschen. Damit verwischst du Spuren, die man braucht, um herauszufinden, wie der Angreifer reingekommen ist. Und genau diese Stelle muss zu sein, bevor die Seite wieder online geht.

Wer ist zuständig, wenn die Seite gehackt wurde?

Das hängt davon ab, was du vereinbart hast. Der Hoster kümmert sich um den Server, aber in der Regel nicht um das, was du darauf installiert hast. Eine Agentur oder ein Freiberufler ist nur dann in der Pflicht, wenn ihr eine laufende Betreuung vereinbart habt. Hat dir jemand die Seite vor Jahren gebaut und danach nicht mehr angefasst, liegt das Aufräumen meist wieder bei dir.

Nach außen ist es in jedem Fall deine Seite, denn dein Name steht im Impressum. Kunden, die auf einer gefährlichen Seite landen, verbinden das mit deinem Betrieb, nicht mit dem Hoster. Wem die Seite eigentlich gehört und wer welche Zugänge haben sollte, klärt unser Artikel zur Frage, wem eine Website gehört.

Die Zugangsdaten zu Hosting, Domain und E-Mail gehören in deine Hand, nicht nur in die deines Betreuers.

Aufräumen: Sicherung zurückspielen oder neu aufsetzen?

Der schnellste Weg ist eine Sicherung von vor dem Angriff. Das Problem: Oft weiß niemand genau, seit wann der Schadcode schon drin ist, und die letzte Sicherung ist dann ebenfalls befallen. Wer Sicherungen nur auf demselben Server ablegt, verliert sie im schlimmsten Fall gleich mit.

Wichtiger als das Zurückspielen ist, dass die Lücke vorher geschlossen wird. Sonst ist die frisch aufgeräumte Seite bald wieder befallen, weil Angreifer dieselbe Tür ein zweites Mal finden.

Ist die Seite alt, gibt es keine brauchbare Sicherung und hängen viele veraltete Erweiterungen daran, ist ein sauberer Neuaufbau manchmal günstiger, als immer wieder zu flicken. Das ist eine ehrliche Rechnung, die du mit deinem Betreuer durchgehen solltest.

Wie kommen Angreifer auf eine Handwerker-Website?

Dass eine Website gehackt wird, liegt selten daran, dass jemand gezielt deinen Betrieb ausgesucht hat. Angreifer lassen Programme nach Seiten mit einer bekannten Lücke suchen und nehmen, was offen ist. Die Tür ist fast immer veraltete Software: die Seite selbst, ihre Erweiterungen oder die Technik darunter.

Ein aktuelles Beispiel: Am 21. Oktober 2026 erschienen die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sie schließen zwei Lücken (CVE-2026-109618 und CVE-2026-109619), über die Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen können. PHP ist eine Programmiersprache, auf der unter anderem WordPress-Seiten und viele Kontaktformulare laufen.

Aktuelle PHP-Sicherheitslücke: Wie gefährlich ist das für meine Seite?

Gefährlich sind diese Lücken, weil der Angreifer dafür kein Passwort braucht. Wer eigenen Code auf dem Server ausführen kann, kann dort zum Beispiel über dein Formular Spam verschicken, Anfragen deiner Kunden mitlesen, Besucher auf Betrugsseiten umleiten oder Schadcode verstecken, der erst später auffällt. Merkt Google das, steht eine Warnung neben deiner Seite, und der Kunde ruft den Betrieb darunter an.

Ob deine Seite betroffen sein kann, hängt davon ab, ob sie PHP nutzt und welche Version auf dem Server läuft. Das ist keine Frage der Größe. Auch auf kleinen Handwerkerseiten läuft das Kontaktformular oft über PHP.

Nach unserer Einschätzung zählt bei so einer Lücke jeder Tag. Mit dem Update wird auch bekannt, dass es eine Lücke gab, und von da an lohnt es sich für Angreifer, nach Servern zu suchen, die noch nicht nachgezogen haben.

Frag deinen Betreuer oder Hoster deshalb noch heute, welche PHP-Version deine Seite nutzt und ob die Updates vom 21. Oktober eingespielt sind. Bei vielen Hostern siehst du die Version auch selbst im Kundenbereich. Steht dort 8.1 oder älter, ist für deine Version am 21. Oktober kein Update erschienen. Dann sollte dein Betreuer klären, ob die Seite auf eine neuere Version umziehen muss.

Ältere WordPress-Seiten bleiben oft genau deshalb auf alten Versionen, weil Erweiterungen mit neuen nicht mehr laufen. Dann muss mehr gemacht werden als ein Klick im Kundenbereich.

Zeigt deine Seite schon Anzeichen aus der Liste oben, reicht ein Update nicht. Es schließt die Tür, wirft aber niemanden raus, der schon drin ist.

Sicherheit selbst im Blick behalten oder abgeben?

Wer Updates und Sicherungen selbst im Blick behalten will, braucht regelmäßig Zeit und muss wissen, wo er nachsieht. Den meisten Inhabern fehlt genau das, und dann fällt eine Lücke erst auf, wenn Kunden anrufen. Was eine laufende Betreuung abdecken sollte und was davon schriftlich geregelt gehört, steht in unserem Artikel zur Frage, ob eine Website gewartet werden muss. Für WordPress-Seiten gibt es einen eigenen Artikel dazu, welche Wartung wirklich nötig ist und wer sich kümmert.

Eine Seite ohne Verwaltungsoberfläche und ohne Erweiterungen bietet Angreifern weniger Stellen zum Ansetzen, und so baut Contentura die Seiten ihrer Kunden. Ganz ohne Pflege kommt aber auch so eine Seite nicht aus, denn schon das Kontaktformular läuft über PHP und braucht dieselben Updates.