Website gehackt: die ersten Schritte und die 72-Stunden-Frist

Ein Kunde ruft an, weil Ihre Seite ihn auf eine Glücksspielseite weiterleitet. Oder Google zeigt eine rote Warnseite statt Ihres Shops. Oder der Hoster sperrt Ihr Paket wegen Spamversands.

Der erste Impuls ist fast immer derselbe: irgendetwas löschen und hoffen, dass es weg ist. Genau das ist der falsche Anfang — und es ist auch nicht der Punkt, an dem die dringendste Frist läuft.

Dieser Artikel beschreibt die Reihenfolge, die funktioniert: sichern, bewerten, melden, bereinigen, schließen. Ich bin Entwickler, kein Anwalt und kein Forensiker. Bei sensiblen Datenbeständen — Gesundheitsdaten, Zahlungsdaten, größere Kundenbestände — gehört ab dem zweiten Schritt jemand dazu, der das beruflich macht.

Die erste Stunde: sichern, nicht löschen

Bevor Sie irgendetwas reparieren, sichern Sie den Zustand.

Machen Sie eine vollständige Kopie, so wie die Seite gerade ist — Dateien und Datenbank. Nicht überschreiben, nicht bereinigen, einfach eine Kopie an einen separaten Ort legen. Das ist Ihr Beweismaterial. Wenn Sie später klären müssen, ob Kundendaten abgeflossen sind, ist diese Kopie das Einzige, woraus sich das rekonstruieren lässt.

Sichern Sie die Logs. Server-Logs, Zugriffs-Logs, was Ihr Hoster anbietet. Viele Anbieter halten sie nur wenige Tage vor. Wer sie am dritten Tag anfragt, bekommt oft nichts mehr.

Notieren Sie die Uhrzeit, zu der Sie den Vorfall bemerkt haben. Klingt banal, ist aber der Startpunkt einer gesetzlichen Frist — dazu gleich mehr.

Was Sie sofort tun sollten und dürfen: die Seite offline nehmen oder auf eine Wartungsseite umstellen. Das schützt Ihre Besucher und beendet den laufenden Schaden, ohne Spuren zu vernichten.

Was Sie nicht tun sollten: ein Backup einspielen und weitermachen. Das überschreibt alles und lässt die Frage offen, wie der Angreifer hereinkam. Wenn die Lücke bleibt, ist die Seite in zwei Wochen wieder betroffen — nur haben Sie dann keine Spuren mehr.

Ist wirklich etwas passiert?

Nicht jede Auffälligkeit ist ein Einbruch. Bevor Sie den vollen Prozess starten, prüfen Sie, was Sie tatsächlich sehen.

Ziemlich eindeutige Anzeichen: Weiterleitungen auf fremde Seiten, Inhalte, die niemand von Ihnen eingestellt hat, eine Google-Warnung, eine Sperrung durch den Hoster, plötzliche Spam-Beschwerden.

Mehrdeutige Anzeichen: Die Seite ist langsam, ein Formular funktioniert nicht, ein Plugin macht Fehler. Das kann ein Angriff sein, ist aber häufiger ein Update-Konflikt oder ein volles Postfach.

Ein Punkt, den viele falsch einordnen: Fehlgeschlagene Login-Versuche in den Logs sind kein Einbruch. Jede öffentlich erreichbare Anmeldemaske sammelt sie, rund um die Uhr, automatisiert. Relevant wird es erst, wenn ein Versuch erfolgreich war.

Die 72-Stunden-Uhr

Das ist der Teil, den fast alle unterschätzen, und der Grund, warum "erstmal in Ruhe reparieren" teuer werden kann.

Nach Art. 33 DSGVO müssen Sie eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, nachdem Ihnen die Verletzung bekannt wurde.

Drei Details entscheiden hier:

Die Frist beginnt mit der Kenntnis, nicht mit dem Vorfall. Wenn der Einbruch vor drei Wochen stattfand und Sie ihn heute morgen bemerken, läuft die Uhr ab heute morgen.

Die 72 Stunden laufen durch. Wochenenden und Feiertage sind eingeschlossen. Wer freitags um 16 Uhr Kenntnis erlangt, hat bis Montag 16 Uhr.

Sie müssen nicht fertig analysiert haben. Art. 33 Abs. 4 erlaubt ausdrücklich eine schrittweise Meldung: Sie geben zunächst an, was Sie wissen, und ergänzen später. Eine vorläufige Meldung ist erlaubt — eine verspätete muss begründet werden.

Wann Sie nicht melden müssen: wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Der klassische Fall sind Daten, die nach dem Stand der Technik verschlüsselt waren und deren Schlüssel nicht kompromittiert wurde.

Und was auch ohne Meldepflicht gilt: Art. 33 Abs. 5 verlangt, dass Sie jeden Vorfall intern dokumentieren. Was passiert ist, welche Daten betroffen waren, wie Sie das Risiko bewertet haben, was Sie unternommen haben. Auch dann, wenn Sie zu dem Ergebnis kommen, dass keine Meldung nötig ist — die Bewertung selbst muss nachvollziehbar sein.

Zuständig ist für Unternehmen, Vereine und freiberuflich Tätige die Landesdatenschutzbehörde Ihres Bundeslandes. Die meisten stellen dafür ein Online-Formular bereit.

Wenn hohes Risiko besteht: Art. 34

Eine zweite Pflicht kommt hinzu, wenn die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet. Dann müssen Sie nach Art. 34 DSGVO auch die betroffenen Personen selbst benachrichtigen, unverzüglich.

Das ist unangenehm, aber es ist die Situation, in der Transparenz am günstigsten ist. Kunden verzeihen einen Vorfall deutlich eher als das Gefühl, monatelang nichts erfahren zu haben.

Drei Arten von Verletzungen unterscheidet die Praxis, und die dritte wird regelmäßig übersehen:

• Vertraulichkeit — Unbefugte haben Daten eingesehen.
• Integrität — Daten wurden unbefugt verändert.
• Verfügbarkeit — Daten sind verloren oder zerstört, etwa durch Ransomware oder gelöschte Backups.

Der dritte Fall ist meldepflichtig, obwohl nichts "nach außen" gelangt ist. Ein dauerhafter Verlust kann für Betroffene ein hohes Risiko bedeuten.

Bereinigen: die Reihenfolge

Erst jetzt, mit gesicherter Kopie und laufender oder geklärter Meldung, geht es ans Aufräumen.

Alle Zugangsdaten wechseln. Hosting, Datenbank, CMS-Konten, FTP, E-Mail. Auch die, von denen Sie glauben, dass sie nicht betroffen sind. Wer Zugriff auf einen Bereich hatte, hatte oft Zugriff auf mehr.

Prüfen, ob fremde Konten angelegt wurden. Ein häufiges Muster: Der Angreifer legt sich ein zusätzliches Administratorkonto an, damit er auch nach einem Passwortwechsel wieder hereinkommt. Gehen Sie die Benutzerliste durch.

Backup einspielen — aber das richtige. Ein Backup von gestern enthält den Einbruch meist schon. Sie brauchen eines von vor dem Vorfall, und dafür müssen Sie zuerst wissen, wann er stattfand. Deshalb kommt dieser Schritt nicht als erster.

Alles aktualisieren. CMS, Erweiterungen, Themes, Serversoftware. Der häufigste Einstiegsweg ist eine bekannte Lücke in einer veralteten Komponente, für die es längst ein Update gab.

Die Lücke schließen. Wenn Sie nicht wissen, wie der Angreifer hereinkam, ist der Vorfall nicht abgeschlossen. Bereinigen ohne Ursachenklärung bedeutet, dass Sie in ein paar Wochen wieder anfangen.

Aus der Google-Warnung herauskommen

Wenn Google die Seite als schädlich markiert hat, verschwindet die Warnung nicht automatisch nach der Bereinigung.

In der Search Console gibt es dafür den Bereich "Sicherheitsprobleme". Dort sehen Sie, was Google gefunden hat, und können nach der Bereinigung eine Überprüfung beantragen. Das dauert in der Regel einige Tage.

Wichtig: Beantragen Sie die Überprüfung erst, wenn Sie sicher sind, dass die Seite sauber ist. Eine abgelehnte Überprüfung verlängert den Prozess.

Falls Sie keinen Zugriff auf die Search Console haben, weil ein früherer Dienstleister sie eingerichtet hat — das ist ein eigenes Problem, und wie man es löst, steht in einem anderen Artikel.

Nach der Freigabe kommt die Seite in die Ergebnisse zurück, aber nicht in derselben Minute. Bleibt sie danach längere Zeit gar nicht auffindbar, ist das kein Rest des Vorfalls mehr, sondern eine Frage der Indexierung — dazu hier.

Vorbeugen ist deutlich billiger

Nach dem Vorfall ist der richtige Zeitpunkt, um die Struktur zu ändern, die ihn möglich gemacht hat.

Updates automatisieren oder beauftragen. Die große Mehrheit der Einbrüche in Websites läuft über bekannte Lücken in veralteter Software. Nicht über raffinierte Angriffe, sondern über automatisierte Scanner, die das ganze Netz nach Installationen absuchen, die seit Monaten kein Update gesehen haben.

Angriffsfläche verkleinern. Jede Erweiterung, die Sie nicht brauchen, ist eine potenzielle Lücke mehr. Ausbauen statt deaktivieren.

Backups, die getrennt liegen. Ein Backup auf demselben Server ist bei Ransomware wertlos. Getrennter Speicherort, und einmal im Jahr testen, ob die Wiederherstellung tatsächlich funktioniert.

Zwei-Faktor-Authentifizierung für alle administrativen Zugänge.

Weniger bewegliche Teile. Ein grundsätzlicher Punkt: Eine Website mit Dutzenden Erweiterungen, die alle aktuell gehalten werden müssen, hat strukturell mehr Angriffsfläche als eine, die als statische Seite ausgeliefert wird und gar keine ausführbare Umgebung im Netz stehen hat. Welcher Ansatz für welchen Fall passt, habe ich im Vergleich verschiedener Architekturen beschrieben.

Und ein rechtlicher Punkt, der oft untergeht: Die Verantwortung für die Sicherheit der Daten liegt bei Ihnen als Betreiber, nicht beim Dienstleister — was ebenso für Impressum und Datenschutzerklärung gilt, siehe dazu den Artikel zu Impressum und DSGVO.

Häufige Fragen

Muss ich einen Hackerangriff immer der Datenschutzbehörde melden? Nein, aber die Ausnahme ist enger, als viele denken. Gemeldet werden muss, sobald voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Keine Meldepflicht besteht, wenn ein solches Risiko voraussichtlich nicht besteht — etwa bei nach dem Stand der Technik verschlüsselten Daten mit nicht kompromittiertem Schlüssel. Dokumentieren müssen Sie den Vorfall in jedem Fall.

Ab wann laufen die 72 Stunden? Ab dem Zeitpunkt, zu dem Ihnen die Verletzung bekannt wurde — nicht ab dem Vorfall selbst. Die Frist läuft ununterbrochen, Wochenenden und Feiertage eingeschlossen.

Was, wenn ich nach 72 Stunden noch nicht alles weiß? Dann melden Sie vorläufig. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich, Informationen schrittweise nachzureichen. Eine unvollständige Meldung innerhalb der Frist ist deutlich besser als eine vollständige danach — bei Verspätung müssen Sie die Verzögerung begründen.

Reicht es, wenn ich ein Backup einspiele? Nein, und es kann sogar schaden. Ein Backup überschreibt die Spuren, aus denen sich rekonstruieren lässt, ob Daten abgeflossen sind. Außerdem enthält ein aktuelles Backup den Einbruch meist bereits. Sichern Sie zuerst den Ist-Zustand, klären Sie den Zeitpunkt, und spielen Sie dann ein Backup von davor ein.

Wer ist bei mir zuständig? Für Unternehmen, Vereine und freiberuflich Tätige die Landesdatenschutzbehörde des jeweiligen Bundeslandes. Die meisten bieten ein Online-Formular für die Meldung an.

Muss ich meine Kunden informieren? Nur wenn voraussichtlich ein hohes Risiko für sie besteht — dann allerdings unverzüglich, nach Art. 34 DSGVO. Bei einem Risiko unterhalb dieser Schwelle genügt die Meldung an die Behörde.

Ich habe die Datei mit dem Schadcode gelöscht. Ist es damit erledigt? Vermutlich nicht. Wenn der Weg hinein offen bleibt, kommt derselbe Code wieder. Und wenn ein zusätzliches Administratorkonto angelegt wurde, reicht ein Passwortwechsel allein nicht. Ein Vorfall ist abgeschlossen, wenn die Ursache bekannt und geschlossen ist.

Kurz zusammengefasst

Sichern, bevor Sie reparieren. Die Uhr läuft ab dem Moment, in dem Sie es merken. Eine vorläufige Meldung ist erlaubt und besser als eine späte.

Und der Vorfall endet nicht mit der sauberen Seite, sondern mit der geschlossenen Lücke.

Wenn dieser Text Sie erreicht, während Sie mitten drin stecken: Der wichtigste Schritt ist der erste. Machen Sie die Kopie, bevor Sie irgendetwas anfassen.