Website vor Hackern schützen: Was die aktuelle Angriffswelle für dich bedeutet
In den letzten Wochen haben wir in unserem direkten Umfeld drei Hackerangriffe aus nächster Nähe miterlebt – drei verschiedene Unternehmen, fast zeitgleich. Zwei waren vorbereitet: aktuelle Systeme, saubere Backups, abgesicherte Zugänge. Sie kamen mit einem Schrecken davon. Das dritte Unternehmen traf es hart: Über eine eingeschleuste PHP-Backdoor wurde die Website faktisch zerstört. Gerettet hat sie am Ende nur ein sauberer Wiederherstellungspunkt beim Hosting.
Der Unterschied zwischen kurzem Schreck und Totalschaden war keine Frage von Glück, sondern von Vorbereitung. Genau darum geht es hier: wie du deine Website vor Hackern schützen kannst, bevor es ernst wird – und was zu tun ist, wenn es doch passiert.
Dass das Thema brandaktuell ist, zeigt die Nachrichtenlage. Mitte Juni 2026 haben das Bundeskriminalamt und die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) in Frankfurt gemeinsam mit internationalen Behörden im Rahmen der Operation Endgame die Infrastruktur hinter drei großen Schadprogrammen zerschlagen: Rund 15.000 Webseiten und über 320 Server wurden abgeschaltet, etwa 27 Millionen Zugangsdaten von mehr als 385.000 Opfern sichergestellt. Rund 40 der Server standen in Deutschland.
Auch die Zahlen des BSI-Lageberichts 2025 sprechen eine klare Sprache: durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg um 24 Prozent gegenüber dem Vorjahr. Und der oft gehörte Satz „Wir sind zu klein, um interessant zu sein“ ist gefährlich falsch. Angreifende gehen den Weg des geringsten Widerstands – sie suchen sich nicht die größten Ziele, sondern die am schlechtesten geschützten.
Das Wichtigste in Kürze
- Die meisten Angriffe sind automatisierte Massenangriffe über bekannte, ungepatchte Sicherheitslücken – keine gezielten Einzelaktionen.
- Der Mittelstand steht besonders im Fokus: Laut BSI entfallen rund 80 Prozent der angezeigten Angriffe auf kleine und mittlere Unternehmen.
- Zwei-Faktor-Authentifizierung, konsequente Updates und funktionierende, externe Backups verhindern einen Großteil der Schäden.
- Im Ernstfall zählt Vorbereitung: Ein sauberer Backup- bzw. Wiederherstellungspunkt ist der schnellste Weg zurück.
- Sind Kundendaten betroffen, greift die DSGVO-Meldepflicht – in der Regel innerhalb von 72 Stunden.
Wie erkennst du, dass deine Website gehackt wurde?
Nicht jeder Angriff zeigt sich sofort. Manche Warnzeichen sind aber deutlich – und je früher du sie bemerkst, desto kleiner der Schaden. Achte auf diese Signale:
- Unerwünschte Weiterleitungen auf fremde Seiten oder plötzlich auftauchende Spam- und Werbeinhalte.
- Unbekannte Administrator:innen-Konten oder Nutzer:innen, die du nicht angelegt hast.
- Fremde oder kryptisch benannte Dateien im Verzeichnis, häufig PHP-Skripte.
- Eine Warnung von Google im Suchergebnis („Diese Website kann Ihrem Computer schaden“) oder eine Sperrung durch dein Hosting.
- Ein plötzlicher Einbruch bei Ladezeit und Rankings oder ausgehende Spam-Mails vom Server.
Das Tückische: Gut gemachte Backdoors bleiben oft unsichtbar und laufen im Hintergrund weiter. Deshalb ersetzt kontinuierliches Monitoring das gelegentliche Hinsehen. Wer Dateiänderungen und verdächtige Logins automatisiert überwacht, erkennt einen Vorfall, bevor er eskaliert.
Welche Hackerangriffe gerade real sind
Vergiss das Hollywood-Bild vom Einzeltäter, der sich gezielt in deine Seite bohrt. Der Alltag sieht anders aus: Bots scannen das halbe Netz nach bekannten Lücken und schlagen automatisiert zu. Diese Angriffsarten treffen Website-Betreiber:innen 2026 am häufigsten:
| Angriffsart | Wie es funktioniert | Was das für deine Website heißt |
|---|---|---|
| Ransomware | Daten werden verschlüsselt, Freigabe nur gegen Lösegeld – oft mit der Drohung, Gestohlenes zu veröffentlichen. | Laut BSI die teuerste Bedrohung. Trifft KMU überproportional, weil durchdachte Backups fehlen. |
| Phishing & Zugangsdaten-Diebstahl | Gefälschte Mails oder Login-Seiten greifen Zugangsdaten ab. | Ein einziges erbeutetes Admin-Passwort öffnet die Tür zur gesamten Website. |
| Ungepatchte Schwachstellen | Bekannte Lücken in Core, Plugins oder Themes werden automatisiert ausgenutzt. | Größtes Einfallstor überhaupt. Die Ausnutzung von Web-Schwachstellen gewinnt laut BSI weiter an Bedeutung. |
| Schadcode & Backdoors | Versteckte Skripte wie PHP-Backdoors sichern dauerhaften Zugriff. | Genau das hat im eingangs beschriebenen Fall die Website zerstört. |
| Gefälschte Updates | Über kompromittierte Seiten werden vermeintliche Browser-Updates verteilt, die Schadsoftware nachladen. | Das Schadprogramm SocGholish aus der Operation Endgame funktionierte genau so. |
| Supply-Chain | Angriff über einen Dienstleister oder ein Plugin mit Zugriff auf deine Systeme. | Deine Sicherheit endet nicht an der eigenen Firewall, sondern schließt jeden Partner ein. |
| DDoS | Der Server wird mit Anfragen überflutet, bis die Seite nicht mehr erreichbar ist. | Laut BSI neben Ransomware die Hauptbedrohung für Unternehmen. |
KI macht Angriffe schneller – und überzeugender
Der größte Umbruch 2026 kommt durch künstliche Intelligenz. KI-generierte Phishing-Mails sind kaum noch von echter Geschäftskommunikation zu unterscheiden. Die alten Warnzeichen – holprige Sprache, offensichtliche Tippfehler – verschwinden. Beim CEO-Fraud lassen sich Stimme und sogar Video von Führungskräften per Deepfake täuschend echt nachbilden.
Gleichzeitig entstehen völlig neue Angriffe auf die KI selbst. Sicherheitsforschende zeigen, wie sich mit minimal manipulierten Bildern die Schutzmechanismen von KI-Modellen aushebeln lassen, wie KI-Coding-Agenten über harmlos wirkende Code-Repositories zur Installation von Schadsoftware verleitet werden und wie KI-Browser über präparierte Webseiten dazu gebracht werden, sensible Daten preiszugeben. Die Botschaft dahinter: KI senkt die Einstiegshürde für Angreifende und automatisiert Angriffe. Wer KI-Tools im Unternehmen einsetzt, sollte deren Zugriffe und Rechte bewusst begrenzen.
Warum gerade der Mittelstand im Visier steht
Das BSI benennt kleine und mittlere Unternehmen, IT-Dienstleister und Kommunen als Hauptzielgruppen – rund 80 Prozent der angezeigten Angriffe treffen laut BSI-Lagebericht 2025 KMU. Der Grund: Dort fehlen häufig Mittel und Fachwissen für eine solide Verteidigung. Verschärft wird das durch „Ransomware-as-a-Service“, bei dem sich Erpressungssoftware mieten lässt. Das Ausmaß ist erheblich: Der Digitalverband Bitkom beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro; rund 70 Prozent davon entfallen auf Cyberangriffe, und 87 Prozent der befragten Unternehmen waren binnen zwölf Monaten betroffen.
Website gehackt – was tun?
Wenn es passiert ist, entscheidet die richtige Reihenfolge über den Schaden. Diese Schritte helfen im Ernstfall:
- Ruhe bewahren und Umfang klären. Verschaffe dir einen Überblick, welche Systeme betroffen sind, und nimm die Seite bei Bedarf in den Wartungsmodus.
- Alle Passwörter ändern – von einem sauberen, nicht infizierten Gerät aus: Admin-Logins, Hosting, Datenbank, FTP/SFTP.
- Hosting kontaktieren und Wiederherstellungspunkt einspielen. Ein sauberes Backup ist der schnellste Weg zurück – in unserem Fall der eine Rettungsanker, der die zerstörte Seite gerettet hat.
- Schadcode vollständig entfernen. Backdoors und fremde Dateien beseitigen, Core, Themes und Plugins neu aufsetzen. Bei Unsicherheit unbedingt Fachleute hinzuziehen.
- Konten und Kontobewegungen prüfen. Kontrolliere Zahlungs- und Zugangsdaten auf unautorisierte Aktivitäten – gerade bei Shops.
- Betroffene informieren. Könnten personenbezogene Daten abgeflossen sein, greift die DSGVO-Meldepflicht. Kommuniziere transparent gegenüber deinen Kund:innen.
Wer hilft dir dabei? Der erste Kontakt ist meist der Hosting-Support, der Wiederherstellungspunkte bereitstellt und den Server sperren kann. Für die Bereinigung braucht es Fachwissen: Backdoors sauber aus Verzeichnissen und Datenbank zu entfernen, ist Handarbeit. Genau hier setzt eine WordPress-Betreuung aus Frankfurt an – Bereinigung im Akutfall und dauerhafte Absicherung gegen den nächsten Angriff.
Wie du deine Website in Zukunft vor Hackern schützt
Die gute Nachricht: Die meisten erfolgreichen Angriffe nutzen keine hochkomplexen Methoden, sondern schlecht geschützte Angriffsflächen. Schon einfache Maßnahmen senken das Risiko drastisch. Diese Punkte gehören auf jede Website:
- Zwei-Faktor-Authentifizierung für alle Admin-Zugänge. Am besten per Authenticator-App (nicht SMS), zum Beispiel eingerichtet über WP Defender. Ein gestohlenes Passwort allein reicht dann nicht mehr.
- Updates konsequent einspielen. WordPress-Core, Themes und Plugins zeitnah aktualisieren, Sicherheitsreleases automatisch. Ungepatchte Lücken sind das größte Einfallstor.
- Backups, die im Ernstfall funktionieren. Automatisiert, versioniert, extern gespeichert – nicht nur auf demselben Server – und regelmäßig getestet. Wichtig: Backups schützen vor Ransomware, aber nicht vor Datenabfluss.
- Starke, einzigartige Passwörter mit Passwort-Manager. Keine Mehrfachnutzung über mehrere Dienste hinweg.
- Least Privilege. Nur so viele Administrator:innen-Konten wie nötig; ausgeschiedene Nutzer:innen sofort entfernen.
- Ungenutzte Plugins und Themes löschen – nicht nur deaktivieren. Jede Erweiterung ist zusätzliche Angriffsfläche.
- Web Application Firewall und Login-Schutz. Rate-Limiting und eine abgesicherte Login-URL blocken einen Großteil automatisierter Angriffe.
- Monitoring aktivieren. Dateiänderungen und verdächtige Logins überwachen, um Vorfälle früh zu erkennen.
- Kontobewegungen und Zugänge regelmäßig prüfen. So fallen Missbrauch und fremde Konten schneller auf.
- Updates zuerst auf Staging testen, dann live ausrollen – das verhindert Ausfälle.
- Mitarbeitende sensibilisieren. Phishing, CEO-Fraud und Deepfakes zielen auf den Menschen, nicht auf die Firewall.
Diese Liste klingt nach viel – im Kern ist es Routine. Wer die Absicherung nicht selbst laufend im Blick behalten will, gibt sie in feste Hände: Regelmäßige Updates, Sicherheitschecks und Backups sind Teil unserer Arbeit an jeder professionell umgesetzten Website.
Vorbereitet sein zahlt sich aus
Zurück zu den drei Fällen vom Anfang: Zwei Unternehmen waren vorbereitet und kamen davon, eines nicht. Der Unterschied lag nicht in der Größe oder der Branche, sondern in ein paar konsequent umgesetzten Basics. Eine Website vor Hackern zu schützen ist kein Großprojekt – es ist eine Gewohnheit. Und die günstigste Versicherung gegen einen Totalschaden ist ein Backup, das wirklich funktioniert.
Quellen
- Bundeskriminalamt (BKA) / ZIT Frankfurt am Main: „Operation Endgame mit weiterem Erfolg“, Pressemitteilung vom 24.06.2026. bka.de
- BSI: „Die Lage der IT-Sicherheit in Deutschland 2025″. bsi.bund.de
- Bitkom: Studie „Wirtschaftsschutz 2025″. bitkom.org
- Borns IT- und Windows-Blog: „Sicherheitsdesaster durch AI-Hacks“, 01.07.2026. borncity.com
- Yahoo Finance / BeInCrypto: „Hacker stehlen 75,87 Millionen USD von Krypto-Plattformen im Juni 2026″, 07/2026. finance.yahoo.com
