Kurz gesagt

  • Wenn eine Website gehackt wird, geht es um mehr als nur Ausfallzeit — Kundendaten können gestohlen werden, Google kann Ihre Website mit einer Warnung markieren, die Besucher abschreckt, und Ihr Ruf kann sich Jahre lang nicht erholen.
  • Die meisten Angriffe laufen über gestohlene Passwörter, anfällige Erweiterungen, veraltete Software oder automatisierte Skripts, die das Internet nach leichten Zielen durchsuchen — nicht über gezielte Hacker aus einem Film.
  • Die Technologie, auf der Ihre Website basiert, entscheidet darüber, wie angreifbar sie ist. Websites ohne Datenbank, ohne Login-Seite und ohne Erweiterungen schließen die häufigsten Angriffswege komplett aus.
  • Wenn Sie gehackt wurden, sind die wichtigsten Schritte: Website offline nehmen, alle Passwörter ändern, aus einem sauberen Backup wiederherstellen und bei Google eine Überprüfung beantragen.

Sie wachen auf, rufen Ihre Website auf — und etwas stimmt nicht. Ihre Startseite wurde durch eine Nachricht ersetzt, die Sie nicht geschrieben haben. Oder schlimmer: Sie sieht normal aus, aber Kunden rufen an, weil Google eine rote Warnung zeigt: „Diese Website wurde möglicherweise gehackt.” Oder das Schlimmste: Sie bemerken gar nichts, aber Ihre Kundendaten werden seit Wochen unbemerkt abgefischt. So sieht ein gehackte Website aus — und es passiert jeden Tag tausenden von Menschen.

Was passiert wirklich, wenn eine Website gehackt wird

Ihre Website wird entstellt oder umgeleitet

Der sichtbarste Angriff. Ihre Startseite wird durch die Nachricht des Angreifers ersetzt, oder Besucher, die Ihre Adresse eingeben, werden unbemerkt auf eine andere Seite umgeleitet — oft auf eine Betrugsmasche, eine illegalen Pharma-Shop oder eine Glücksspiel-Seite. Das ist peinlich, aber nicht das schlimmste Szenario. Es ist sichtbar, also wissen Sie sofort, dass etwas nicht stimmt.

Kundendaten werden gestohlen

Der gefährlichste Angriff. Wenn Ihre Website Besucherdaten sammelt — Namen, E-Mail-Adressen, Telefonnummern, Zahlungsdaten — kann ein Angreifer diese Daten über Wochen oder Monate unbemerkt abgreifen. Sie merken den Diebstahl oft erst, wenn Kunden betrügerische Abbuchungen melden oder Ihr Zahlungsanbieter Sie benachrichtigt.

In den meisten US-Bundesstaaten und vielen Ländern sind Sie gesetzlich verpflichtet, betroffene Kunden über einen Datenverlust zu informieren. Das kann zu Klagen, Geldstrafen und dauerhaften Reputationsschäden führen.

Google markiert Ihre Website mit einer Warnung

Google durchsucht Websites automatisch nach bösartigem Code. Wenn es etwas Gefährliches findet, fügt Google Ihrer Website in den Suchergebnissen eine Warnung hinzu: „Diese Website wurde möglicherweise gehackt” oder „Diese Website könnte Ihrem Computer schaden.” Diese Warnung ist verheerend. Besucher, die sie sehen, klicken nicht auf Ihre Website. Ihre Besucherzahlen brechen ein. Die Warnung verschwindet erst, wenn Sie die Website gesäubert und bei Google eine Überprüfung beantragt haben — was Tage dauern kann.

SEO-Spam wird eingeschleust

Angreifer schleusen versteckte Links oder Seiten in Ihre Website ein — Seiten, die Medikamente, Glücksspiel oder Inhalte für Erwachsene bewerben. Diese Seiten sind für Sie oft unsichtbar, aber Google sieht sie. Wenn Google Spam-Inhalte auf Ihrer Website entdeckt, kann es Ihre Suchrankings bestrafen — Sie fallen von Seite 1 auf Seite 5 oder verschwinden komplett. Sie merken es oft erst, wenn Ihre Besucher plötzlich einbrechen. Die Erholung von einer solchen SEO-Strafe kann Wochen oder Monate dauern, selbst nachdem der Angriff beseitigt wurde.

Ihre Website wird genutzt, um andere anzugreifen

Angreifer können Ihren Server nutzen, um Spam-E-Mails zu verschicken, gefälschte Seiten zu hosten, die auf Passwörter abzielen, oder Angriffe auf andere Websites zu starten — alles unter Ihrem Domainnamen und mit Ihren Serverressourcen. Das kann dazu führen, dass Ihre Website von E-Mail-Anbietern blockiert wird (Ihre E-Mails kommen nicht mehr an), Ihr Hosting-Anbieter Ihr Konto sperrt oder sogar Behörden aktiv werden.

Wie Websites gehackt werden — die 4 Wege

1. Gestohlene oder schwache Passwörter

Der häufigste Einstieg. Angreifer nutzen automatisierte Programme, die Tausende von Passwortkombinationen gegen Ihre Login-Seite durchprobieren — eine Technik, die „Brute-Force-Angriff” genannt wird. Wenn Ihr Admin-Passwort „passwort123” oder „firma2024” lautet, sind Sie gehackt.

Lösung: Verwenden Sie ein langes, einzigartiges Passwort — ein Passwort wie „richtig-pferd-batterie-stift” ist stark und merkfähig. Aktivieren Sie Zwei-Faktor-Authentifizierung, falls verfügbar.

2. Anfällige Erweiterungen oder Designs

Wenn Ihre Website ein System wie WordPress nutzt, sind Erweiterungen (genannt Plugins) und Designs der häufigste Angriffsvektor. Plugins werden von verschiedenen Entwicklern erstellt. Wenn eine Sicherheitslücke in einem beliebten Plugin entdeckt wird, durchsuchen Angreifer das Internet nach Websites, die dieses Plugin verwenden, und brechen ein.

Lösung: Halten Sie alle Plugins und Designs aktuell. Entfernen Sie Plugins, die Sie nicht nutzen. Verwenden Sie nur Plugins von vertrauenswürdigen Quellen.

Passend dazu: Warum WordPress-Websites ausfallen — und was die Reparatur kostet — Plugins sind sowohl ein Wartungs- als auch ein Sicherheitsproblem.

3. Veraltete Kern-Software

Die Software, die Ihre Website betreibt, veröffentlicht regelmäßig Sicherheitsupdates. Wenn Sie diese Updates nicht installieren, bleiben bekannte Schwachstellen offen — und Angreifer kennen genau die Versionen, die verwundbar sind.

Lösung: Aktivieren Sie automatische Updates für Ihre Kern-Software. Oder nutzen Sie eine Technologie, die überhaupt keine Updates benötigt.

4. Serverseitige Angriffe

Manchmal greift der Angreifer nicht direkt Ihre Website an, sondern den Server, auf dem sie läuft. Wenn Ihr Hosting-Anbieter kompromittiert wurde oder Sie sich einen Server mit einer gehackten Website teilen, kann Ihre Website betroffen sein — selbst wenn Ihre eigene Sicherheit einwandfrei ist.

Lösung: Wählen Sie einen seriösen Hosting-Anbieter. Nutzen Sie ein Content Delivery Network (CDN), das bösartigen Traffic herausfiltert, bevor er Ihre Website erreicht.

Passend dazu: Warum Ihre Website immer online ist und sofort lädt — Cloudflare schützt vor bösartigem Traffic und hält Ihre Website erreichbar.

Warum WordPress-Websites das Hauptziel sind

WordPress betreibt etwa 43 % aller Websites. Diese Beliebtheit macht es zum größten Ziel — Angreifer bauen automatisierte Werkzeuge, die nach WordPress-Websites suchen und bekannte Schwachstellen ausnutzen.

Das Plugin-Ökosystem ist WordPress’ größte Stärke und gleichzeitig seine größte Sicherheitsschwäche. Mit über 60.000 kostenlosen Plugins (und Tausenden weiteren kostenpflichtigen) sind viele schlecht programmiert, von ihren Entwicklern aufgegeben oder enthalten Sicherheitslücken. Jedes Plugin ist eine weitere mögliche Tür in Ihre Website.

Das bedeutet nicht, dass WordPress schlecht ist — es ist leistungsstark und flexibel. Aber WordPress-Websites erfordern aktive, laufende Wartung, um sicher zu bleiben: Plugins aktualisieren, Designs aktualisieren, die Kern-Software aktuell halten, Sicherheits-Scans durchführen, Backups verwalten.

Passend dazu: Warum WordPress-Websites ausfallen — und was die Reparatur kostet — der Wartungsaufwand im Detail.

Warum manche Websites praktisch nicht hackbar sind

Die ehrliche Wahrheit: Die meisten Website-Hacks nutzen Dinge aus, die auf traditionellen Websites existieren, aber auf einfacheren Websites nicht vorhanden sind. Konkret:

  • Keine Datenbank — es gibt keine Datenbank, in die bösartiger Code eingeschleust werden kann
  • Keine Login-Seite — es gibt keine Login-Seite, die mit Passwort-Rate-Programmen angegriffen werden kann
  • Keine Plugins oder Designs — es gibt keinen Drittanbieter-Code mit Sicherheitslücken
  • Keine serverseitige Software — es gibt kein WordPress oder Content-Management-System, das aktualisiert werden muss

Eine statische Website — Seiten, die vorgefertigte Dateien sind und keine Software, die auf einem Server läuft — schließt diese Angriffsmethoden komplett aus. Es gibt nichts, worin man sich einloggen, nichts, das man ausnutzen, nichts, das man aktualisieren muss.

Was trotzdem möglich ist: Ein entschlossener Angreifer könnte versuchen, den Hosting-Anbieter zu kompromittieren, die Domain zu kapern oder einen Flut-Angriff (den Server mit so viel Traffic überfluten, dass er nicht mehr reagiert) zu starten. Diese Szenarien sind seltener und schwerer durchzuführen. Wir schützen dagegen: Cloudflare’s Traffic-Filterung absorbiert Flut-Angriffe, und Domain-Sicherheit verhindert Kapern.

Der ehrliche Vergleich: Eine WordPress-Website ist ein Haus mit 60.000 Türen (Plugins), die jede verschlossen und gewartet werden muss. Eine statische Website ist ein Haus ohne Türen, durch die man einbrechen könnte — der einzige Weg hinein führt über das Viertel (das Hosting), das wir separat schützen.

Keine Website ist zu 100 % immun. Aber eine statische Website schließt die Angriffsmethoden aus, die die große Mehrheit aller Website-Hacks verursachen.

Passend dazu: Warum Ihre Website nicht kompliziert sein muss — einfachere Technologie ist auch sicherer.

Wenn Sie gehackt wurden — was Sie jetzt tun

  1. Website offline nehmen — Ersetzen Sie sie vorübergehend durch eine Wartungsseite oder nehmen Sie sie komplett vom Netz. Eine gehackte Website, die online ist, kann Besucher infizieren und Ihren Ruf weiter schädigen.
  2. Alle Passwörter ändern — Hosting, Admin, FTP, Datenbank, E-Mail. Gehen Sie davon aus, dass jedes Passwort kompromittiert ist.
  3. Entwickler oder Hosting-Anbieter kontaktieren — Sie können den Angriffsvektor identifizieren, die Website säubern und aus einem Backup wiederherstellen.
  4. Aus einem sauberen Backup wiederherstellen — Wenn Sie ein Backup von vor dem Angriff haben, stellen Sie es wieder her. Wenn nicht, muss die Website manuell gesäubert werden — was teuer und zeitaufwändig ist.
  5. Auf bösartigen Code scannen — Verwenden Sie einen Sicherheits-Scanner, um verbleibenden bösartigen Code zu finden und zu entfernen.
  6. Überprüfung bei Google beantragen — Sobald die Website sauber ist, bitten Sie Google über die Search Console, die Website neu zu scannen. Die Warnung wird entfernt, sobald Google bestätigt, dass die Website sicher ist.
  7. Betroffene Kunden informieren — Wenn auf Kundendaten zugegriffen wurde, sind Sie möglicherweise gesetzlich verpflichtet, sie zu informieren. Ziehen Sie einen Anwalt hinzu.

30-Sekunden-Sicherheits-Check

Bevor Sie diesen Tab schließen, prüfen Sie diese fünf Punkte:

  • Mein Admin-Passwort ist lang und einzigartig (nicht „passwort123” oder mein Name)
  • Ich weiß, welche Plugins meine Website nutzt, und alle sind aktuell
  • Meine Website-Software (WordPress oder andere) läuft in der neuesten Version
  • Ich habe ein aktuelles Backup, aus dem ich bei Bedarf wiederherstellen kann
  • Meine Website verwendet HTTPS (das Schloss-Symbol im Browser)

Wenn Sie bei zwei oder mehr „nein” gesagt haben, hat Ihre Website Sicherheitslücken, die ein Angreifer heute ausnutzen könnte.

Häufige Fragen

Woher weiß ich, ob meine Website gehackt wurde?

Anzeichen: Ihre Startseite sieht anders aus, neue Seiten oder Links erscheinen, die Sie nicht erstellt haben, Google zeigt eine Warnung, Ihre Besucherzahlen brechen plötzlich ein, Kunden melden Umleitungen auf andere Websites, Ihr Hosting-Anbieter schickt eine Sicherheitswarnung, oder Ihre E-Mails kommen nicht mehr an (ein Zeichen, dass Ihr Server für Spam missbraucht wird). Wenn Sie einen Angriff vermuten, prüfen Sie die Google Search Console auf Sicherheitswarnungen und führen Sie sofort einen Security-Scanner aus.

Kann eine statische Website gehackt werden?

Nicht über die gängigsten Methoden. Statische Websites haben keine Datenbank, in die Code eingeschleust werden kann, keine Login-Seite, die angegriffen werden kann, und keine Plugins mit Sicherheitslücken. Die verbleibenden Risiken sind indirekt: Der Hosting-Anbieter könnte kompromittiert werden, die Domain könnte gekapert werden, oder ein Flut-Angriff könnte den Server überlasten. Dagegen schützen wir mit Cloudflare’s Traffic-Filterung und Domain-Sicherheit. Keine Website ist zu 100 % immun, aber eine statische Website schließt die Angriffsmethoden aus, die die große Mehrheit aller Hacks verursachen.

Ist WordPress weniger sicher als andere Plattformen?

WordPress selbst ist angemessen sicher — die Kern-Software wird von einem großen Team gepflegt. Das Sicherheitsproblem ist das Ökosystem: 60.000+ Plugins unterschiedlicher Qualität, viele aufgegeben oder schlecht programmiert. Jedes Plugin ist ein möglicher Einstiegspunkt. WordPress ist nicht grundsätzlich unsicher, erfordert aber ständige Wachsamkeit: Plugins aktualisieren, Sicherheits-Scans durchführen, Schwachstellen überwachen. Wenn Sie dafür keine Zeit oder Expertise haben, schließt eine einfachere Plattform das Problem komplett aus.

Was kostet die Reparatur einer gehackten Website?

Mit einem sauberen Backup: 200–500 $ (Wiederherstellung, Scan, Passwörter ändern, bei Google einreichen). Ohne Backup, wenn die Website manuell gesäubert werden muss: 500–3.000+ $. Wenn Kundendaten gestohlen wurden und rechtliche Schritte folgen: potenziell zehntausende an Anwalts- und Vergleichskosten. Die Kosten der Verhütung — von Anfang an mit sicherer Technologie zu bauen — sind ein Bruchteil der Kosten der Wiederherstellung.

Fazit

Eine gehackte Website ist nicht nur ein technisches Problem — sie kann Ihnen Kunden, Suchrankings und Ihren Ruf kosten. Die günstigste Sicherheit ist die Wahl einer Technologie, die Angriffsmethoden ausschließt, bevor sie entstehen.

Möchten Sie eine Website, die auf herkömmlichem Weg nicht gehackt werden kann? Unser Hosting nutzt statische Technologie mit Cloudflare-Schutz — keine Datenbank, keine Plugins, keine Login-Seite zum Angreifen. So funktioniert unser Hosting →

Sorgen Sie sich, dass Ihre aktuelle Website angreifbar ist? Kostenloses Angebot anfordern →