Notfallhilfe · Rückmeldung binnen 24 Stunden · ab 500 € netto
WordPress gehackt?
Wir holen die Seite zurück.
Die Seite leitet plötzlich woanders hin, Google warnt davor, oder der Hoster hat einfach abgeschaltet. Wir übernehmen ab hier: Schadcode raus, Hintertüren zu, Seite wieder online — und danach ein schriftlicher Kurzbericht, was passiert ist.
Wir arbeiten ausschließlich mit WordPress. Läuft deine Seite auf einem anderen System, sagen wir dir das in der ersten Rückmeldung — statt dir Zeit zu nehmen, die du gerade nicht hast.
Was du tun solltest,
bevor du irgendetwas reparierst.
Diese sechs Punkte helfen dir auch dann, wenn du uns nie beauftragst. Der häufigste teure Fehler passiert nämlich in der ersten halben Stunde — aus dem verständlichen Reflex, den Schaden sofort wegräumen zu wollen.
Nichts löschen.
Die veränderten Dateien und die Protokolle des Servers sind der einzige Hinweis darauf, wie jemand hereingekommen ist. Wer aufräumt, bevor jemand nachgesehen hat, macht die Ursache unauffindbar — und dieselbe Lücke steht am nächsten Tag wieder offen.
Die Seite offline nehmen, aber nicht löschen.
Wartungsmodus beim Hoster oder die Domain vorübergehend auf eine leere Seite. Solange die Seite Schadcode ausliefert, sammelt sie Warnungen bei Google und Einträge auf Blocklisten ein — beides kostet später mehr Arbeit als der Hack selbst.
Passwörter ändern — von einem anderen Gerät aus.
Hoster-Konto, FTP und SSH, Datenbank, WordPress-Administrator und das E-Mail-Postfach, an dem all das hängt. Falls der eigene Rechner Teil des Problems ist, hilft ein Passwortwechsel von genau diesem Rechner aus nichts.
Das Backup nicht blind einspielen.
Liegt der Einbruch länger zurück, als einem bewusst ist, steckt die Hintertür im Backup mit drin. Ein Rücksprung ohne vorherige Prüfung stellt dann genau den Zustand wieder her, der gehackt wurde — nur dass jetzt auch noch die Bestellungen der letzten Wochen fehlen.
Prüfen, ob personenbezogene Daten betroffen sein könnten.
Kundenkonten, Bestellungen, Formulareingänge, Newsletter-Adressen. Wenn das der Fall sein kann, läuft eine Frist: Artikel 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde grundsätzlich binnen 72 Stunden ab Kenntnis der Verletzung. Diese Frist läuft ab dem Moment, in dem du es gemerkt hast — nicht ab dem Moment, in dem du es geklärt hast.
Aufschreiben, was du gesehen hast.
Uhrzeit, Screenshot, den Wortlaut der Warnung, was der Hoster am Telefon gesagt hat. Das dauert fünf Minuten und ist später der halbe Bericht — für den Datenschutz, für die Versicherung und dafür, dass die Ursache nicht im Ungefähren bleibt.
Woran man einen Hack erkennt.
Fast nie daran, dass jemand eine Nachricht hinterlässt. Erpressung mit sichtbarer Botschaft ist die Ausnahme — der Regelfall ist still, weil die Seite in diesem Zustand für den Angreifer nützlicher ist. Diese sechs Anzeichen sehen wir am häufigsten:
Die Seite leitet woanders hin
Besucher landen auf fremden Angeboten, oft nur vom Handy aus oder nur, wenn sie über Google kommen. Wer die Adresse selbst eintippt, sieht alles normal — deshalb fällt es meist erst durch einen Anruf von Kunden auf.
Google warnt vor deiner Seite
Im Suchergebnis oder direkt im Browser: „Diese Website kann Ihren Computer schädigen." In der Google Search Console steht dann meist eine Meldung unter Sicherheitsprobleme.
Der Hoster hat abgeschaltet
Eine Mail zu Missbrauch oder Abuse, ein gesperrtes Konto, oder die Seite zeigt nur noch einen Hinweis des Anbieters. Hoster reagieren schnell — an einem auffälligen Konto hängt die Reputation ihrer eigenen Server, und die betrifft alle anderen Kunden mit.
Fremde Unterseiten in Google
Eine Suche nach site:deine-domain.de zeigt Seiten, die mit deinem Betrieb nichts zu tun haben — häufig in einer fremden Sprache. Das ist der klassische Fall, in dem deine Domain für fremde Werbung benutzt wird.
Ein Administrator, den keiner kennt
Im WordPress-Backend steht unter „Benutzer" ein Konto mit Administratorrechten, das niemand angelegt hat. Manchmal getarnt mit einem unauffälligen Namen und der E-Mail-Adresse eines Freemail-Anbieters.
Deine E-Mails kommen nicht mehr an
Wenn der Server im Hintergrund Spam verschickt, landet seine Adresse auf einer Blockliste. Auf einmal erreichen deine Angebote niemanden mehr — und niemand verbindet das mit der Website.
Drei Fälle in vier Wochen.
Vorher war das die Ausnahme.
Das ist unsere eigene Zahl aus den letzten vier Wochen, keine Statistik aus einer Studie — und drei Fälle sind keine belastbare Stichprobe. Wir schreiben sie trotzdem hin, weil sie der ehrliche Grund dafür ist, dass es diese Seite gibt. Was wir dabei beobachtet haben:
- Niemand hat sich deinen Betrieb ausgesucht. Die Angriffe laufen automatisiert. Ein Skript klappert Adressen ab und probiert bekannte Lücken durch — dein Betrieb ist eine Zeile in einer Liste, nicht ein Ziel.
- Zwischen bekannter Lücke und Angriff liegen Stunden, nicht Wochen. Sobald eine Sicherheitslücke veröffentlicht wird, ist sie sofort in Umlauf. Ein Plugin, das seit zwei Monaten auf ein Update wartet, ist dann kein Versäumnis mehr, sondern ein offenes Tor.
- Die Einstiegshürde ist gefallen. Aus einer veröffentlichten Sicherheitsmeldung ein funktionierendes Angriffsskript zu bauen, war früher Handwerk und kostete Zeit. Heute lässt man es sich erklären. Ob das den Anstieg in Zahlen erklärt, wissen wir nicht — dass es die Hürde gesenkt hat, sehen wir an dem, was bei uns ankommt.
- WordPress ist deshalb betroffen, weil es der Marktführer ist. Der Aufwand für einen automatisierten Angriff lohnt sich nur dort, wo Millionen Seiten laufen. Das ist kein Argument gegen WordPress — es ist der Grund, warum Updates dort nicht optional sind.
Ein fester Preis, bevor die Arbeit anfängt.
Notfälle werden vorgezogen · Rückmeldung innerhalb von 24 Stunden
- Bestandsaufnahme: was wurde verändert, seit wann, und wodurch ist jemand hereingekommen
- Vollständige Sicherung des Ist-Zustands, bevor irgendetwas angefasst wird
- Schadcode entfernen — in den Dateien, in der Datenbank und in den geplanten Aufgaben auf dem Server
- Hintertüren schließen: fremde Administratoren raus, Zugangsdaten und Sicherheitsschlüssel durchgehend neu
- Sauberer Stand: Kern, Theme und Erweiterungen aktualisiert, aufgegebene Erweiterungen ersetzt
- Seite wieder online — mit Nachkontrolle, dass sie sauber bleibt
- Schriftlicher Kurzbericht: was passiert ist, was gefunden wurde, wann — für eure Unterlagen, den Datenschutz und die Versicherung
Warum pauschal und nicht nach Stunden
Wer im Notfall nach Aufwand abrechnet, hat kein Interesse daran, schnell fertig zu sein. Für die Fälle, die üblicherweise bei uns ankommen, bleibt es bei 500 € netto. Wird es mehr, erfährst du das nach der Bestandsaufnahme und entscheidest dann — nicht am Ende auf der Rechnung.
Wann es mehr wird
Bei einem Shop mit Kunden- und Zahlungsdaten, wenn mehrere Domains auf demselben Server betroffen sind, oder wenn es gar kein brauchbares Backup gibt. Auch die Entfernung einer Google-Sicherheitswarnung und der Einträge auf Blocklisten rechnen wir getrennt ab — das hängt an fremden Systemen und dauert entsprechend.
Was nicht drin ist
Die dauerhafte Absicherung. Die Bereinigung schließt die Lücke von heute, sie kann aber nicht die nächsten zwölf Monate abdecken. Dafür gibt es laufende Betreuung — die verkaufen wir dir hier nicht als Bedingung, sondern erwähnen sie, weil es die ehrliche Antwort auf „kommt das wieder?" ist.
Fünf Schritte, keine Überraschungen.
Du meldest dich
Formular, Telefon oder WhatsApp. Wirklich nötig ist eine einzige Angabe: die betroffene Domain.
Erste Einschätzung von außen
Wir sehen uns die Seite an, ohne dass du uns dafür Zugänge geben musst: was sichtbar ist, wie dringend es ist, was es voraussichtlich kostet. Erst danach entscheidest du.
Zugänge und Sicherung
Du gibst uns Zugang zu Hoster und WordPress. Wir sichern Dateien und Datenbank im Ist-Zustand — wir arbeiten nie auf dem einzigen Stand, den es gibt.
Bereinigung
Schadcode raus, Hintertüren zu, Zugangsdaten neu, alles auf einen sauberen und aktuellen Stand. Inhalte werden repariert, nicht gelöscht.
Wieder online — und der Bericht
Die Seite geht zurück ins Netz, wir kontrollieren nach. Du bekommst den schriftlichen Kurzbericht und dazu die zwei, drei Dinge, die du selbst noch erledigen solltest.
Domain rein.
Den Rest machen wir.
Pflicht sind drei Felder: Domain, Name und E-Mail. Alles Weitere hilft uns, die Lage schon vor dem ersten Kontakt einzuschätzen — wenn du etwas nicht weißt, lass es einfach stehen. „Weiß ich nicht" ist hier eine völlig normale Antwort.
Wird gesendet …
Angekommen. Wir sehen uns die Domain an.
Du bekommst gleich eine Bestätigung per Mail — mit den Sofortmaßnahmen von dieser Seite zum Abhaken. Rückmeldung von uns innerhalb von 24 Stunden. Wenn es keine Stunde Zeit hat: +49 160 8434361.
Was uns im Notfall zuerst gefragt wird.
Was kostet die Notfallhilfe genau?
Ab 500 € netto, pauschal. Für die Fälle, die üblicherweise bei uns ankommen — eine gehackte WordPress-Seite mit Schadcode in Dateien und Datenbank — bleibt es bei diesem Betrag. Wird es mehr, weil zum Beispiel ein Shop mit Kundendaten betroffen ist, mehrere Seiten auf demselben Server liegen oder kein brauchbares Backup existiert, sagen wir das nach der Bestandsaufnahme und du entscheidest dann. Nicht am Ende auf der Rechnung.
Wie schnell meldet ihr euch?
Innerhalb von 24 Stunden nach deiner Meldung, mit einer ersten Einschätzung von außen: was sichtbar ist, wie dringend es ist und was es voraussichtlich kostet. Wenn es eilt, ruf an — telefonisch geht es meist schneller als über das Formular.
Ihr habt meine Seite nicht gebaut. Helft ihr trotzdem?
Ja, das ist sogar der Regelfall. Wir brauchen keinen bestehenden Vertrag und keine Vorgeschichte — nur die Domain und die Zugänge zu Hoster und WordPress. Ob wir die Seite ursprünglich gebaut haben, ändert am Ablauf nichts.
Wir nutzen kein WordPress. Könnt ihr helfen?
Nein. Wir arbeiten ausschließlich mit WordPress und wären bei Typo3, Joomla, Shopware oder einem selbst gebauten System keine Hilfe, sondern eine Verzögerung. Das sagen wir dir in der ersten Rückmeldung, statt dir Zeit zu nehmen, die du gerade nicht hast.
Reicht es nicht, einfach ein Backup einzuspielen?
Manchmal ja — aber nur, wenn man weiß, dass das Backup älter ist als der Einbruch. Und genau das weiß man am Anfang nicht. Wer den Zeitpunkt nicht kennt, stellt mit dem Backup häufig die Hintertür gleich mit wieder her und verliert obendrein alles, was seitdem entstanden ist. Deshalb steht bei uns die Bestandsaufnahme vor der Wiederherstellung.
Können dabei Inhalte verloren gehen?
Bevor wir irgendetwas verändern, sichern wir den Ist-Zustand vollständig — Dateien und Datenbank. Wir arbeiten nie auf dem einzigen Stand, den es gibt. Wenn sich herausstellt, dass eine Datei sowohl Schadcode als auch echte Inhalte enthält, wird sie repariert und nicht gelöscht.
Müssen wir den Vorfall melden?
Das hängt davon ab, ob personenbezogene Daten betroffen sein konnten. Wenn ja, sieht Artikel 33 DSGVO grundsätzlich eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden ab Kenntnis vor, in bestimmten Fällen zusätzlich eine Benachrichtigung der Betroffenen. Ob das in deinem Fall greift, entscheidet ihr mit eurem Datenschutzbeauftragten oder eurem Rechtsbeistand — wir liefern dafür den technischen Kurzbericht, wir beraten nicht rechtlich.
Kommt der Hack wieder?
Wenn nur bereinigt und nichts geändert wird: ziemlich sicher ja. Die Bereinigung schließt die Lücke, durch die jemand hereingekommen ist, und tauscht die Zugangsdaten. Was sie nicht leisten kann, ist die nächsten zwölf Monate abzudecken — ein Plugin, das im November eine neue Lücke bekommt, ist im November wieder ein offenes Tor. Dafür gibt es laufende Betreuung; die ist nicht Teil des Notfallpreises und wir verkaufen sie auch nicht als Bedingung.
Dieser Text beschreibt unser technisches Vorgehen und ersetzt keine Rechtsberatung. Ob in eurem Fall eine Meldepflicht nach Artikel 33 DSGVO besteht und wie sie zu erfüllen ist, klärt ihr mit eurem Datenschutzbeauftragten oder eurem Rechtsbeistand. Wir liefern dafür den technischen Kurzbericht.