Gehackte Website: Warum die Reparatur so teuer ist – und Wartung schützt

Eine gehackte Website merkt man meistens zu spät. Der Betrieb läuft, das Telefon klingelt, niemand schaut täglich auf die eigene Seite – und dann kommt der Anruf von einem Kunden: „Bei euch auf der Website steht komisches Zeug.“ Oder Google zeigt plötzlich eine rote Warnseite an. Spätestens dann wird klar, dass eine gehackte Website kein technisches Randproblem ist, sondern ein Geschäftsproblem. Und leider eins, dessen Reparatur deutlich aufwendiger und teurer ist, als die meisten erwarten.

Wie Websites überhaupt gehackt werden

Das Bild vom Hacker, der sich gezielt eine bestimmte Firma aussucht, stimmt bei kleinen Betrieben fast nie. Was tatsächlich passiert, ist viel banaler: Automatisierte Programme klappern rund um die Uhr Millionen von Websites ab und testen, ob irgendwo eine bekannte Sicherheitslücke offen ist. Ob dahinter ein Konzern steckt oder ein Zweimannbetrieb aus dem Westerwald, ist diesen Programmen völlig egal. Sie suchen nicht dich – sie suchen eine offene Tür.

Und diese offenen Türen gibt es reichlich. Der Sicherheitsdienstleister Patchstack zählte für das Jahr 2025 über 11.000 neu gemeldete Sicherheitslücken im WordPress-Umfeld – rund 42 Prozent mehr als im Jahr davor. Der weitaus größte Teil davon, etwa neun von zehn Fällen, steckte nicht in WordPress selbst, sondern in Plugins und Themes. Also genau in den Erweiterungen, die auf fast jeder Website laufen: Kontaktformular, Cookie-Banner, Slider, Shop-Modul, SEO-Tool.

Dazu kommt das Tempo. Wenn eine Lücke öffentlich bekannt wird, dauert es bei stark ausgenutzten Schwachstellen oft nur wenige Stunden, bis die ersten automatisierten Angriffe laufen. Eine Website, die nur alle paar Monate aktualisiert wird, steht in diesem Zeitfenster praktisch offen.

Was passiert, wenn deine Website gehackt ist

Die wenigsten Angriffe sind laut. Niemand hängt ein Totenkopf-Logo auf die Startseite – das wäre für Angreifer sogar kontraproduktiv, weil es sofort auffällt. Typischer ist, dass deine Website still und heimlich für etwas anderes benutzt wird:

• Versteckte Werbelinks: Auf deinen Unterseiten tauchen für Google unsichtbare Links zu dubiosen Angeboten auf.
• Weiterleitungen: Besucher, die über das Handy kommen, landen auf einer fremden Seite. Wer direkt am Rechner draufgeht, merkt nichts.
• Spam-Versand: Dein Server verschickt tausende Mails. Ergebnis: Deine Domain landet auf Sperrlisten, und plötzlich kommen auch deine normalen Geschäftsmails beim Empfänger nicht mehr an.
• Untergeschobene Dateien: Auf deinem Webspace liegen fremde Login-Seiten, mit denen bei anderen Leuten Bankdaten abgefischt werden.

Die Folgen treffen dich dann von mehreren Seiten gleichzeitig: Google markiert die Seite als unsicher und wirft sie aus den Suchergebnissen. Der Hoster sperrt den Webspace, weil von dort Spam ausgeht. Und Kunden, die auf eine Warnseite stoßen, rufen nicht an, sondern klicken weiter zum Wettbewerber.

Warum die Reparatur einer gehackten Website so aufwendig ist

1. Aufräumen ist Detektivarbeit

Bei einem Einbruch im Ladengeschäft sieht man, was fehlt. Bei einer gehackten Website nicht. Der Schadcode liegt selten an einer Stelle, sondern verteilt sich über Dutzende Dateien, versteckt sich in der Datenbank, legt zusätzliche Benutzerkonten an und baut sich nach dem Löschen von selbst wieder auf. Man kann also nicht einfach „die eine Datei“ löschen. Man muss den kompletten Bestand durchgehen und mit einer sauberen Ausgangsversion vergleichen – Datei für Datei.

2. Die Einbruchstelle muss gefunden werden

Selbst wenn alles blitzsauber ist, ist die Arbeit nicht fertig. Solange die Lücke offen bleibt, durch die die Angreifer hereingekommen sind, ist die Seite in wenigen Tagen wieder infiziert. Das heißt: Server-Protokolle auswerten, Zeitpunkt des Einbruchs eingrenzen, das verantwortliche Plugin identifizieren, alle Passwörter und Zugangsdaten austauschen. Das ist der Teil, der die meiste Zeit frisst – und den man nicht überspringen kann.

3. Das Backup ist oft keine Lösung

„Dann spielen wir eben das Backup zurück“ klingt naheliegend, funktioniert aber selten so einfach. Viele Infektionen liegen wochenlang unbemerkt auf dem Server – dann ist auch die Sicherung schon verseucht. Und wenn das Backup alt genug ist, um sauber zu sein, fehlen darin alle Änderungen, Anfragen und Bestellungen seitdem.

4. Der Ruf muss wiederhergestellt werden

Zum Schluss folgt der Papierkram: Überprüfung bei Google beantragen, Domain von Spam-Sperrlisten streichen lassen, den Hoster überzeugen, den Webspace wieder freizugeben. Jeder dieser Schritte dauert – und in dieser Zeit ist deine Seite für Kunden nicht oder nur eingeschränkt erreichbar.

Unterm Strich sind das schnell ein bis mehrere Arbeitstage. Der Ausfall, die verlorenen Anfragen und im schlimmsten Fall der Vertrauensverlust bei Kunden kommen obendrauf. Deshalb kostet die Reparatur einer gehackten Website in aller Regel ein Vielfaches dessen, was regelmäßige Wartung im ganzen Jahr gekostet hätte.

Warum Wartung der beste Schutz ist

Die gute Nachricht: Die meisten erfolgreichen Angriffe sind keine Meisterleistung, sondern nutzen Versäumnisse aus, die sich mit überschaubarem Aufwand vermeiden lassen. Wer regelmäßig aktualisiert, schließt genau die Türen, an denen die automatisierten Programme rütteln.

Website-Wartung ist deshalb weniger Technik als Routine. Sinnvoll ist:

• Updates in kurzen Abständen – WordPress, Plugins und Theme, nicht einmal im Jahr, sondern regelmäßig und kontrolliert.
• Ausmisten: Jedes Plugin, das du nicht brauchst, ist zusätzlicher Code und damit zusätzliches Risiko. Deaktiviert reicht nicht – runter damit.
• Backups, die außerhalb des Servers liegen und die auch getestet wurden. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Hoffnung, kein Backup.
• Starke, einzigartige Passwörter und Zwei-Faktor-Anmeldung für alle Zugänge. Und kein Benutzername „admin“.
• Nur so viele Rechte wie nötig: Wer nur Beiträge schreibt, braucht keinen Administrator-Zugang.
• Ein Blick von außen: Regelmäßig prüfen, ob die Seite noch normal ausgeliefert wird – auch mobil.

Das lässt sich selbst erledigen, wenn man die Zeit und die Ruhe dafür hat. Für die meisten Betriebe ist es allerdings praktischer, das abzugeben – nicht weil es kompliziert wäre, sondern weil es regelmäßig passieren muss. Genau daran scheitert es im Alltag: Zwischen Baustelle, Sprechstunde und Auftragslage denkt niemand freiwillig an ein Plugin-Update. Wie so eine laufende Betreuung aussehen kann, findest du auf der Seite zu meinen Leistungen.

Und wenn es schon passiert ist?

Falls du gerade den Verdacht hast, dass deine Website gehackt wurde: Nicht in Panik selbst herumlöschen. Damit vernichtet man meistens genau die Spuren, die man zum Finden der Lücke bräuchte. Sinnvoller ist, den Hoster zu informieren, alle Passwörter zu ändern und dann strukturiert vorzugehen – oder jemanden draufschauen zu lassen, der das schon öfter gemacht hat.

Fazit

Eine gehackte Website ist teuer, weil man nicht nur putzt, sondern sucht: nach jedem Rest Schadcode, nach der offenen Tür und danach nach dem verlorenen Vertrauen von Google, Hoster und Kunden. Regelmäßige Wartung kostet dagegen wenig, läuft im Hintergrund und verhindert den Großteil dieser Fälle, bevor sie entstehen. Es ist derselbe Gedanke wie beim Auto: Der Ölwechsel ist nicht das Spannendste – aber deutlich günstiger als der Motorschaden.

Du bist dir nicht sicher, wie es um deine Website steht, oder möchtest sie nicht mehr selbst im Blick behalten müssen? Melde dich einfach – ich schaue mir deine Seite an und sage dir ehrlich, ob Handlungsbedarf besteht. Ein unverbindliches Gespräch kostet dich nichts außer ein paar Minuten: Hier geht es zum Kontakt.