Website gehackt? Das tun Sie jetzt, Schritt für Schritt

Was Sie in der ersten Stunde tun

Wichtig: nicht wild löschen. Sonst sind die Belege weg, und niemand weiß, wie der Angreifer hereinkam.

1. 01Belege sichern. Bildschirmfotos von allem Auffälligen, mit Datum und Uhrzeit. Notieren Sie, wann Sie es bemerkt haben.
2. 02Hoster oder Webbetreuer anrufen. Sagen Sie klar: „Meine Website wurde gehackt.“ Viele Hoster kennen solche Fälle.
3. 03Seite vom Netz nehmen oder eine Wartungsseite schalten, vor allem wenn Besucher umgeleitet werden. Das geht meist im Verwaltungsbereich des Hosters.
4. 04Alle Passwörter ändern: Hoster-Konto, FTP, Datenbank, Verwaltung der Seite und, falls beim selben Anbieter, die E-Mail-Postfächer. Wo möglich die Anmeldung in zwei Schritten einschalten. Prüfen Sie die Benutzerliste auf Unbekannte.
5. 05Eine Sicherung des jetzigen Zustands anlegen. Auch des gehackten. Sie ist Beweis und Quelle für Ihre echten Inhalte.

Sie wollen das nicht selbst durchstehen? Schreiben Sie uns kurz, was Sie sehen. Wir sagen Ihnen ehrlich, was zu tun ist, und zeigen Ihnen einen kostenlosen Entwurf Ihrer neuen Seite. Jetzt melden

Ist meine Seite wirklich gehackt? Drei Tests ohne Technik

Das Tückische: Viele Hacks sieht der Betreiber nicht. Bei unserer Auswertung der Websites von Lokalen im 6., 7. und 8. Bezirk zeigten 2 von 252 Seiten fremde Inhalte, einmal Casino-Werbung für alle, einmal Spam nur für Suchmaschinen (zur Auswertung). Bei Prüfungen vor Kundengesprächen fanden wir außerdem zweimal versteckte Links zu Online-Apotheken im Quelltext.

Warnzeichen: Google zeigt fremde Titel, fremde Sprachen oder Wörter wie Casino und Potenzmittel. Besucher landen über Google auf einer anderen Seite. Google warnt vor Ihrer Seite oder schreibt Ihnen über die Search Console. In der Verwaltung gibt es Benutzer, die niemand angelegt hat. Die Besucherzahlen steigen plötzlich stark an (laut Wirtschaftskammer ein möglicher Hinweis).

1. 01Google-Suche site:ihre-adresse.at. Zeigt alle Seiten, die Google von Ihnen kennt, auch vom Angreifer angelegte. Achten Sie auf Titel, die Sie nicht kennen. Die Wirtschaftskammer rät, zusätzlich „kaufen“ oder „buy“ anzuhängen.
2. 02Quelltext ansehen. Seite am Computer öffnen, Strg+U drücken (am Mac Wahl+Befehl+U), mit Strg+F nach „pharmacy“, „viagra“, „casino“ oder „loan“ suchen. Ein Treffer, den Sie auf der sichtbaren Seite nicht finden, ist ein Verdacht. Schicken Sie ein Bildschirmfoto an Ihren Webbetreuer.
3. 03Sieht Google etwas anderes als Sie? Manche Hacks zeigen Besuchern die normale Seite und nur Google die Spam-Version (Fachwort: Cloaking). In der kostenlosen Google Search Console: Adresse in die URL-Prüfung eingeben, „Live-URL testen“, „Getestete Seite anzeigen“. Steht dort Fremdes, ist der Verdacht stark. Google empfiehlt dieses Werkzeug dafür.

Findet keiner der Tests etwas, ist das keine Entwarnung: Manche Hacks verstecken sich auch hier. Bei einer Warnung von Google gilt trotzdem die Liste oben.

Im Bericht „Sicherheitsprobleme“ der Search Console zeigt Google, ob es Ihre Seite als gehackt oder gefährlich einstuft (gehackte Inhalte, Schadsoftware oder Täuschung von Besuchern). Betroffene Seiten können in den Suchergebnissen mit einem Warnhinweis erscheinen. Lassen Sie sich dort als Inhaber eintragen; das geht auch bei gehackter Seite.

Müssen Sie den Hack melden? Wohin?

Datenschutzbehörde. Ein Hack ist eine Datenpanne, sobald Daten von Menschen betroffen sein können: Kontaktformular, Reservierungen, Kundenkonten, Newsletter-Liste, Bewerbungen. Dann müssen Sie als Verantwortlicher unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon wissen, melden, außer es entsteht voraussichtlich kein Risiko für die Betroffenen (Art. 33 DSGVO). Die Datenschutzbehörde bietet ein Online-Formular und ein PDF-Formular an, die Meldung geht auch per E-Mail an dsb@dsb.gv.at oder per Brief an die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien. Fehlen nach 72 Stunden noch Angaben, kann man schrittweise melden. Bei hohem Risiko müssen Sie die Betroffenen selbst informieren (Art. 34). Dokumentieren müssen Sie jede Datenpanne, auch wenn Sie nicht melden (Art. 33 Abs. 5): was passiert ist, welche Folgen, was Sie getan haben.

Auch bei bloßem Spam hatte jemand Zugriff auf Ihren Server. Prüfen Sie, ob dort personenbezogene Daten liegen. Im Zweifel fragen Sie Ihre Rechtsberatung oder die Wirtschaftskammer, bevor die Frist abläuft.

CERT.at (freiwillig): Das nationale Computer-Notfallteam nimmt Meldungen von Unternehmen entgegen (Vorfall melden), per E-Mail an team@cert.at oder telefonisch unter +43 1 5056416 78. Polizei: Wurde Ihre Seite für Betrug genutzt, etwa als Umleitung auf einen Fake-Shop, rät die Wirtschaftskammer, auch die Strafverfolgungsbehörden zu informieren. Watchlist Internet: Den Fake-Shop selbst können Sie über deren Meldeformular melden.

Reparieren oder neu? Unsere ehrliche Antwort

Google empfiehlt nach einem Hack eine saubere Neuinstallation statt nur eines Updates, weil eine einzige übersehene Datei genügt, damit es wieder passiert. Reinigen heißt also: jede Datei prüfen, die Lücke finden, alles neu aufsetzen und hoffen, dass nichts übrig ist. Das lohnt sich nur, wenn die Seite gut aussieht, es eine saubere Sicherung aus der Zeit vor dem Hack gibt und danach jemand sie laufend aktuell hält.

Oft ist das nicht so: alte Seite, kein Mensch kümmert sich, Plugins seit Jahren nicht aktualisiert, am Handy schlecht lesbar. Dann zahlen Sie für die Reparatur einer Seite, die Sie ohnehin ersetzen sollten. Laut Wirtschaftskammer sind gerade ungewartete und WordPress-basierte Seiten besonders gefährdet.

Und der Baukasten? Bei einem Baukasten sind Sie bei einem Angriff meist auf sich allein gestellt, weil niemand Ihre Seite betreut. Sie müssen selbst merken, dass etwas nicht stimmt, selbst herausfinden, was zu tun ist, und selbst den Anbieter erreichen. Das ist unsere Beobachtung aus Gesprächen mit Betrieben, keine Aussage über einen bestimmten Anbieter.

Ehrlich vorab: Wir reinigen keine fremden Server und reparieren keine gehackten Seiten. Wir bauen Ihnen eine neue, saubere Seite; die alte sehen wir uns nur an, um Texte und Adressen zu übernehmen. Wenn Sie jemanden suchen, der Ihre alte Seite flickt, sind wir der falsche Ansprechpartner. Wenn Sie wollen, dass es danach ein Ende hat, sind wir der richtige.

Wie der Weg mit uns aussieht

1. 01Sie melden sich, wir sehen uns Ihre Seite an. Auch so, wie Google sie sieht. Wir sagen Ihnen offen, was wir finden. Kostenlos.
2. 02Sie bekommen einen Entwurf Ihrer neuen Seite. Kostenlos und unverbindlich. Innerhalb von 48 Stunden nach dem Erstgespräch sehen Sie ihn im Browser, bevor Sie irgendetwas entscheiden. Bis die neue Seite online ist, überbrücken Sie die Zeit mit einer Wartungsseite beim Hoster oder nehmen die Seite vom Netz.
3. 03Gefällt sie Ihnen, bauen wir sie fertig, zum Fixpreis: Kompakt (eine Seite) 599 Euro, Sichtbar 999 Euro, Rundum 1.499 Euro, einmalig, jeweils netto zuzüglich Umsatzsteuer. Die Vorschau der fertigen Seite bekommen Sie binnen 14 Tagen nach Vertrag und vollständigen Unterlagen. Bezahlt wird erst nach Ihrer Abnahme. Keine Anzahlung. Verbindlich wird der Auftrag erst mit Ihrer Unterschrift, den Entwurf vorab sehen Sie unverbindlich.
4. 04Ihre Adresse bleibt. Die echten alten Adressen leiten wir dauerhaft auf die neuen Seiten weiter, damit bei Google möglichst wenig verloren geht (garantieren kann das niemand, so läuft ein Umstieg ab). Die vom Angreifer angelegten Spam-Adressen übernehmen wir nicht.

Warum die neue Seite weniger Angriffsfläche hat: Unsere Seiten laufen ohne Datenbank und ohne die vielen Erweiterungen, die WordPress-Seiten laufend aktualisiert brauchen. Ein großer Teil der typischen Einfallstore fällt weg. Ganz ausschließen kann einen Angriff niemand, auch wir nicht. Zugänge, Passwörter und Hosting bleiben Schwachstellen. Darum:

Betreuung ab Livegang: 29 Euro im Monat (zuzüglich Umsatzsteuer, 348 Euro im Jahr, jährlich im Voraus verrechnet, Laufzeit ein Jahr, verlängert sich automatisch, Kündigung einen Monat vorher): Hosting, laufende Sicherheitsupdates und die Pflege der Einträge, die auf Ihre Website zeigen, damit sich ab jetzt jemand darum kümmert. Ihre Internetadresse bleibt bei Ihnen; die jährliche Gebühr dafür zahlen Sie wie bisher direkt bei Ihrem Anbieter.

Wechseln statt weiterflicken? Wenn die bisherige Betreuung den Hack nicht bemerkt hat, lesen Sie vorher, was Ihnen beim Wechsel gehört.

Der nächste Schritt dauert zwei Minuten: Gratis-Entwurf anfragen oder 15 Minuten telefonieren, kostenlos. Mehr zu Preisen und Paketen: Website erstellen lassen in Wien.

Häufige Fragen

Wie überprüfe ich, ob meine Website gehackt ist?

Drei einfache Tests: site:ihre-adresse.at bei Google eingeben und nach fremden Titeln suchen, den Quelltext (Strg+U) nach Wörtern wie „pharmacy“ oder „casino“ durchsuchen, und in der Google Search Console die URL-Prüfung mit „Live-URL testen“ machen. Im Bericht „Sicherheitsprobleme“ steht außerdem, ob Google selbst etwas gefunden hat.

Meine Seite sieht normal aus, Google zeigt aber Spam. Wie geht das?

Das ist Cloaking: Besucher sehen die normale Seite, nur Suchmaschinen die Spam-Version. Google wertet das als Spam und als Hack. Sie sehen es nur mit dem Test in der Search Console.

Muss ich einen Hack der Datenschutzbehörde melden?

Wenn personenbezogene Daten betroffen sein können, etwa aus Kontaktformular, Reservierungen oder Newsletter, grundsätzlich ja, unverzüglich und möglichst binnen 72 Stunden, außer es entsteht voraussichtlich kein Risiko für die Betroffenen. Dokumentieren müssen Sie den Vorfall in jedem Fall.

Wer haftet, wenn meine Website gehackt wurde?

Für die Daten auf Ihrer Website sind Sie als Betrieb der Verantwortliche im Sinne der DSGVO, auch wenn eine Agentur oder ein Hoster sie technisch betreut. Wer für Sie als Auftragsverarbeiter arbeitet, muss Ihnen einen Datenvorfall unverzüglich melden (Art. 33 Abs. 2 DSGVO). Laut Wirtschaftskammer kann man außerdem haften, wenn man ein bekanntes Problem ignoriert und dadurch Schaden entsteht. Wie weit Ihr Webbetreuer oder Hoster haftet, hängt von Ihren Verträgen ab. Das klärt eine Rechtsberatung, nicht diese Seite.

Wie lange dauert es, bis Google die Warnung entfernt?

Laut Google dauert die Überprüfung einige Tage oder mehrere Wochen. Beantragen Sie sie erst, wenn alles bereinigt ist: im Bericht „Sicherheitsprobleme“ auf „Überprüfung anfordern“ klicken und beschreiben, was Sie behoben haben. Von Angreifern angelegte Spam-Adressen sollen danach „nicht gefunden“ (404) oder „dauerhaft entfernt“ (410) melden. Das Entfernen-Werkzeug blendet sie laut Google nur rund sechs Monate aus.

Was kostet es, wenn Sie mir eine neue Seite bauen?

599 Euro für eine Seite (Kompakt), 999 Euro Sichtbar, 1.499 Euro Rundum, einmalig, netto. Der Entwurf vorab ist kostenlos, bezahlt wird nach der Abnahme. Dazu ab Livegang die Betreuung für 29 Euro im Monat netto, jährlich im Voraus verrechnet, ein Jahr Laufzeit mit automatischer Verlängerung. Die Jahresgebühr für Ihre Internetadresse zahlen Sie wie bisher direkt bei Ihrem Anbieter.

Reparieren Sie meine gehackte Seite?

Nein. Wir arbeiten nicht an fremden Servern und reinigen nichts. Wir bauen eine neue, saubere Seite und leiten Ihre echten alten Adressen darauf weiter.

Kann ich eine gehackte WordPress-Seite selbst reparieren?

Wenn Sie mit Hosting, Datenbank und FTP umgehen können, ja; Google beschreibt die Schritte. Wichtig ist, sauber neu zu installieren statt nur zu aktualisieren. Wer das nicht täglich macht, ist mit Hilfe meist schneller und sicherer.

Warum wird meine WordPress-Seite ständig gehackt?

Meist bleibt eine Lücke offen: ein veraltetes Plugin oder Theme, ein altes Passwort oder eine bei der Bereinigung übersehene Datei. Wird eine Seite trotz Reparatur immer wieder gehackt, ist ein sauberer Neuaufbau meist nachhaltiger.

Ich habe eine gehackte Website besucht. Was soll ich tun?

Keine Daten eingeben, Seite schließen, Browser und Betriebssystem aktualisieren, Virenscan laufen lassen. Haben Sie ein Passwort oder Zahlungsdaten eingegeben, Passwort ändern und die Bank informieren.

Quellen

• Google Search Central, Spam-Richtlinien (Cloaking, gehackte Inhalte, versteckter Text und Links), developers.google.com/search/docs/essentials/spam-policies, abgerufen am 14.10.2026.
• Google Search Console Hilfe: Bericht „Sicherheitsprobleme“ (support.google.com/webmasters/answer/9044101), URL-Prüftool (…/answer/9012289), Entfernen-Tool (…/answer/9689846), abgerufen am 14.10.2026.
• Google (web.dev): Hilfe für gehackte Websites, „Woher weiß ich, ob meine Website gehackt wurde“, Website in Quarantäne, Website bereinigen, Cloaked-Keywords-Hack, web.dev/articles/hacked, abgerufen am 14.10.2026.
• DSGVO Art. 33 und 34, eur-lex.europa.eu, abgerufen am 14.10.2026.
• Österreichische Datenschutzbehörde, Meldung Data Breach, dsb.gv.at, abgerufen am 14.10.2026.
• CERT.at, Vorfall melden, cert.at/de/services/vorfall-melden, abgerufen am 14.10.2026.
• WKO, Checkliste und FAQ Website-Kidnapping (10.03.2025), wko.at/it-sicherheit, abgerufen am 14.10.2026.
• Watchlist Internet, Meldeformular, watchlist-internet.at/melde-formular, abgerufen am 14.10.2026.
• Eigene Auswertung der Websites von Lokalen im 6., 7. und 8. Bezirk, Stand 4.10.2026.