Ist meine Website gehackt? 7 Anzeichen, die du selbst prüfen kannst.

Eine gehackte Website merkt man als Betreiber oft als Letzter. Wer eine Seite übernimmt, will nicht auffallen: Die Startseite sieht aus wie immer, im Hintergrund verschickt der Server Spam, leitet Handy-Besucher auf fremde Seiten um oder füllt Google mit Seiten voller Casino-Werbung. Kunden sehen das, du nicht. Die gute Nachricht: Die meisten Spuren kannst du in ein paar Minuten selbst prüfen, ohne Technikwissen.

Der 5-Minuten-Selbsttest

1. Google fragen: Gib bei Google site:deine-domain.de ein (mit deiner Adresse, ohne „www“). Du siehst alle Seiten, die Google von dir kennt. Tauchen Titel mit Casino, Potenzmitteln, Krediten oder japanischen und chinesischen Schriftzeichen auf, ist das ein starkes Warnsignal.
2. Googles Warnliste prüfen: Unter Google Transparenzbericht: Safe Browsing deine Adresse eingeben. Dort steht, ob Google deine Seite als gefährlich führt.
3. Am Handy über Google aufrufen: WLAN aus, mobile Daten an, deinen Firmennamen googeln und auf das Suchergebnis tippen, nicht die Adresse direkt eintippen. Landest du auf einer fremden Seite, leitet ein Schadcode gezielt Besucher von Google um.
4. In den Quelltext schauen: Am Computer deine Startseite öffnen, Strg + U drücken und mit Strg + F nach „casino“, „viagra“ oder „loan“ suchen. Versteckte Spam-Links sieht man auf der Seite selbst nicht.

Die 7 häufigsten Anzeichen

1. Fremde Seiten bei Google

Der häufigste Hack bei WordPress-Seiten legt hunderte neue Unterseiten an, oft mit japanischen Titeln oder Werbung für Markenware. Google zeigt sie unter deinem Namen an. Das schadet deinem Ruf und deinen Plätzen in der Suche.

2. Eine rote Warnseite im Browser

„Täuschende Website“ oder „Diese Website kann deinen Computer schädigen“: Steht deine Seite auf Googles Warnliste, sehen Besucher diese Warnung, bevor sie überhaupt etwas von dir zu sehen bekommen. Die meisten gehen dann sofort wieder.

3. Umleitungen, aber nur manchmal

Viele Schadcodes leiten nur bestimmte Besucher um: nur am Handy, nur wer von Google kommt, nur beim ersten Besuch. Deshalb fällt es dir selbst nicht auf, wenn du deine Adresse direkt eintippst.

4. Links und Texte, die nicht von dir sind

Unsichtbare Links im Fußbereich, fremde Wörter im Seitentitel bei Google, neue Beiträge, die niemand geschrieben hat. Oft sind sie für Besucher versteckt und nur für Suchmaschinen gedacht.

5. Neue Benutzer, Plugins oder Dateien

Im WordPress-Bereich taucht ein Administrator auf, den keiner kennt, oder ein Plugin mit unbekanntem Namen. Auf dem Server liegen Dateien mit kryptischen Namen. Das ist ein klares Zeichen, dass jemand Zugriff hatte.

6. Post von Google oder vom Hoster

Ist deine Seite in der Google Search Console eingetragen, meldet Google gefundene Probleme dort unter „Sicherheitsprobleme“ und per Mail. Auch Hoster sperren Seiten oder schreiben, wenn vom Server plötzlich massenhaft Mails verschickt werden.

7. Kunden melden sich

„Bei euch auf der Seite kam komische Werbung“ oder „Ich habe eine seltsame Mail von euch bekommen“: Solche Hinweise unbedingt ernst nehmen. Oft sind Kunden die Ersten, die etwas merken.

Warum gerade kleine Betriebe?

Angreifer suchen nicht gezielt dich aus. Programme durchsuchen rund um die Uhr das Netz nach Seiten mit bekannten Lücken, meist veraltete Plugins, Themes oder WordPress-Versionen. WordPress läuft auf rund 40 Prozent aller Websites, entsprechend lohnend ist es für Angreifer. Eine Handwerker-Seite, die seit Jahren niemand aktualisiert hat, ist ein leichtes Ziel.

Was tun, wenn deine Seite gehackt ist?

• Nicht einfach Dateien löschen. Ohne die Ursache zu finden, ist der Schadcode oft nach Tagen wieder da.
• Alle Passwörter ändern: Hosting, FTP, Datenbank, WordPress-Benutzer und die zugehörigen Mail-Konten. Am besten von einem Gerät aus, das du für sauber hältst.
• Hoster informieren und nach einer Sicherung von vor dem Angriff fragen.
• Lücke schließen: veraltete Plugins und Themes aktualisieren oder entfernen, unbekannte Benutzer löschen.
• Bei Google melden: In der Search Console nach der Bereinigung eine Überprüfung beantragen, damit Warnungen verschwinden.
• An den Datenschutz denken: Wurden über die Seite Kundendaten gesammelt, zum Beispiel über ein Kontaktformular, kann eine Meldepflicht an die Datenschutzbehörde bestehen, in der Regel innerhalb von 72 Stunden. Das lässt du am besten kurz von deinem Datenschutzbeauftragten oder Anwalt prüfen. Dieser Artikel ist keine Rechtsberatung.

Vorbeugen ist billiger als aufräumen

Die meisten Hacks wären mit wenig Aufwand verhindert worden:

• Updates für WordPress, Plugins und Themes regelmäßig einspielen, nicht nur einmal im Jahr
• Plugins, die du nicht brauchst, ganz löschen
• Starke, unterschiedliche Passwörter und, wo möglich, eine zweite Bestätigung per Handy-App
• Automatische Sicherungen, die nicht nur auf demselben Server liegen

Und die ehrliche Einordnung: Eine WordPress-Seite ist nur so sicher wie ihre Pflege. Wer keine Zeit für Updates hat, fährt mit einer Seite ohne Datenbank, ohne Plugins und ohne Login meist besser. Da gibt es die üblichen Einfallstore gar nicht erst. Wie das aussieht, zeigen wir dir auf unserer Seite zur Website-Sicherheit.