Website nach Hack wiederherstellen

Der kritischste Schritt kommt vor dem eigentlichen Restore: Sie müssen herausfinden, wann der Hack passiert ist. Denn Malware schlummert oft wochen- oder monatelang unbemerkt im System, bevor sie aktiv wird. Laut dem Sucuri Hacked Website Report hatten knapp 50 Prozent aller kompromittierten Websites mindestens eine Backdoor installiert – oft über Monate hinweg. Das bedeutet: Ihr neustes Backup ist nicht automatisch das sauberste.

So grenzen Sie den Hack-Zeitpunkt ein: Prüfen Sie die Server-Log-Dateien (Access Log und Error Log) auf verdächtige Zugriffe – etwa ungewöhnliche POST-Requests, Zugriffe auf Dateien wie shell.php oder wp-tmp.php, oder massenhafte Login-Versuche. In cPanel finden Sie die Logs direkt im Control Panel, bei anderen Hostern unter /var/log/. Sortieren Sie außerdem die Dateien auf Ihrem Server nach Änderungsdatum: Konzentriert auftretende Änderungen an PHP-Dateien markieren oft den tatsächlichen Angriffszeitpunkt.

Zusätzliche Anhaltspunkte liefern die Google Search Console (ab wann wurden Sicherheitsprobleme gemeldet?), Ihr Malware-Scanner (wann schlug er erstmals Alarm?) und die FTP-Logs (gab es unbekannte Logins?). Wählen Sie ein Backup, das mindestens einen Tag vor dem geschätzten Hack-Zeitpunkt erstellt wurde. Ist der Zeitpunkt unklar, gehen Sie sicherheitshalber 30 Tage oder weiter zurück.

Bevor Sie Ihr Backup nach dem Hack einspielen: Nehmen Sie Ihre Website offline (Wartungsmodus oder temporäre Weiterleitung). Das verhindert, dass Besucher während des Restores auf eine halb funktionierende Seite treffen – und stoppt gleichzeitig die aktive Malware. Wichtig: Sichern Sie den aktuellen Zustand vorher als Beweismaterial, falls Sie den Vorfall melden müssen (DSGVO Art. 33, 72-Stunden-Frist – gilt, wenn personenbezogene Daten betroffen sind und ein Risiko für Betroffene besteht).

Methode 1: Über das Hosting-Panel (cPanel, Plesk) – Die schnellste und einfachste Methode. In cPanel öffnen Sie den Bereich JetBackup (oder den Backup-Manager Ihres Hosters), wählen das gewünschte Datum und klicken auf Restore. Sie können Dateien und Datenbank getrennt wiederherstellen – stellen Sie aber immer beides aus demselben Zeitpunkt wieder her, sonst passen Dateien und Datenbankstand nicht zusammen. Die meisten Hoster bewahren Backups standardmäßig 7 bis 14 Tage auf – manche Premium-Tarife länger. Prüfen Sie in Ihrem Kundenpanel, wie weit Ihre Backup-Historie zurückreicht, bevor ein Hack passiert.

Methode 2: Manuell über FTP und phpMyAdmin – Wenn Ihr Hoster kein Panel-Backup anbietet oder Sie mehr Kontrolle brauchen. Verbinden Sie sich per FTP-Client (z. B. FileZilla) mit frischen Zugangsdaten und laden Sie die Backup-Dateien auf den Server hoch. Die Datenbank importieren Sie über phpMyAdmin: Wählen Sie die richtige Datenbank aus, klicken Sie auf Import und laden Sie die .sql-Datei hoch. Prüfen Sie danach die Konfigurationsdatei Ihres CMS (z. B. wp-config.php bei WordPress): Datenbankname, Benutzer und Passwort müssen zum aktuellen Server passen. Diese Methode erfordert technisches Grundverständnis, funktioniert aber bei jedem Hosting-Anbieter.

Methode 3: Über CMS-Plugins – Wenn Sie vor dem Hack ein Backup-Plugin wie UpdraftPlus (WordPress), Akeeba Backup (Joomla) oder Duplicator eingerichtet haben, können Sie das Backup direkt über das CMS-Backend einspielen. Bei UpdraftPlus navigieren Sie zu Einstellungen > UpdraftPlus Backups, wählen das gewünschte Datum und klicken auf Wiederherstellen. Der große Vorteil: Wenn Ihre Backups auf einem externen Speicher liegen (Google Drive, Dropbox, S3), haben Sie auch dann Zugriff, wenn der Server kompromittiert ist. Die Einschränkung: Das Plugin muss vor dem Hack installiert und konfiguriert gewesen sein.

Das Backup ist eingespielt – aber die Arbeit ist noch nicht getan. Das wiederhergestellte System enthält exakt dieselbe Sicherheitslücke, die den Hack überhaupt erst ermöglicht hat. Wenn Sie jetzt einfach live gehen, ist es nur eine Frage der Zeit, bis der Angreifer durch dasselbe Einfallstor zurückkehrt. Laut Patchstack wurden 2024 insgesamt 7.966 neue WordPress-Schwachstellen gemeldet – 96 Prozent davon in Plugins. Wer nach dem Restore nicht sofort aktualisiert, lässt die Tür buchstäblich offen stehen.

Nicht vergessen: Wenn Google Ihre Website auf die Blacklist gesetzt hat, müssen Sie nach der Bereinigung eine Überprüfung über die Search Console anfordern. Ohne diesen Schritt bleibt die rote Warnseite im Browser bestehen – auch wenn Ihre Website längst sauber ist.

Kein Backup, das weit genug zurückreicht? Oder alle vorhandenen Backups sind bereits infiziert? Dann bleiben für Ihre gehackte Website zwei Wege:

Option A: Manuelle Bereinigung. Bei WordPress ersetzen Sie die Core-Dateien komplett durch frische Downloads von wordpress.org – nur den wp-content-Ordner und die wp-config.php behalten Sie. Löschen Sie alle Plugins und Themes und installieren Sie frische Versionen. Durchsuchen Sie den uploads-Ordner manuell nach verdächtigen PHP-Dateien (dort gehören nur Mediendateien hin) und prüfen Sie die Datenbank auf eingeschleusten Code. Eine Schritt-für-Schritt-Anleitung finden Sie in meinem Ratgeber zur Malware-Entfernung. Wichtig: Manuelle Bereinigung ist fehleranfällig. Ein einziger übersehener Schadcode-Schnipsel reicht, damit der Angreifer zurückkehrt.

Option B: Neuaufbau. Bei stark kompromittierten Websites ist ein sauberer Neuaufbau manchmal die sicherste und langfristig günstigste Lösung. Retten Sie Ihre Inhalte (Texte, Bilder) aus dem Google-Cache, der Wayback Machine oder lokalen Sicherungen. Setzen Sie eine frische CMS-Installation auf und übertragen Sie nur die reinen Inhalte – keine Datenbank-Dumps, keine alten Konfigurationsdateien.

Bevor Sie Ihre Website wieder live schalten, sollten Sie sichergehen, dass die Wiederherstellung erfolgreich war und keine Restinfektionen vorliegen. Kombinieren Sie dafür externe und serverseitige Prüfungen:

• Remote-Scanner: Prüfen Sie Ihre URL mit Sucuri SiteCheck und dem Google Transparency Report. Diese Scanner erkennen Malware im Frontend und prüfen den Blacklist-Status bei Google, McAfee, Norton und weiteren Diensten.
• Server-seitiger Scan: Installieren Sie einen serverseitigen Scanner wie Wordfence (WordPress) oder ClamAV. Diese Tools prüfen jede einzelne Datei und vergleichen sie mit bekannten sauberen Versionen.
• Manuelle Prüfpunkte: Kontrollieren Sie die Benutzerliste auf unbekannte Admin-Accounts, die .htaccess-Datei auf fremde Redirect-Regeln, die CMS-Konfigurationsdatei auf eingeschleusten Code und die Cron-Jobs auf unbekannte Einträge.
• Andere Websites auf demselben Server: Wenn Sie mehrere Websites auf demselben Hosting-Account betreiben, prüfen Sie alle. Cross-Site-Contamination ist eine der häufigsten Ursachen für Reinfektionen.

Wer seine Website nach einem Hack wiederherstellen musste, sollte die Lektion nutzen: Richten Sie ein automatisches Backup nach der 3-2-1-Regel ein – 3 Kopien, 2 verschiedene Speichermedien, 1 externe Kopie. So haben Sie im Ernstfall immer ein sauberes Backup zur Hand. Eine Anleitung dazu finden Sie in meinem Artikel zum Thema Backups. Und denken Sie daran: Ein ungetestetes Backup ist kein Backup. Spielen Sie Ihre Sicherungen regelmäßig testweise ein, um sicherzugehen, dass sie im Ernstfall funktionieren.