Website gehackt? Woran KMU es merken und was sofort zu tun ist

Eine gehackte Website erkennen Sie meist an fremden Seiten bei Google, an Warnungen im Browser oder in der Google Search Console, an unbekannten Benutzerkonten oder an Weiterleitungen auf fremde Seiten. Dann gilt: Website vom Netz nehmen, Hoster informieren, alle Passwörter ändern, die Website sauber wiederherstellen und erst danach Google um eine Überprüfung bitten. Speichert Ihre Website Personendaten, prüfen Sie zudem, ob eine Meldung an den Eidgenössischen Datenschutzbeauftragten nötig ist.

Warum ist das Thema gerade jetzt wichtig?

Am 21. Oktober 2026 hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schliessen zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619), über die Angreifer ohne Anmeldung Programmcode auf dem Server ausführen können (php.net, Sicherheitsmeldung vom 21.10.2026). PHP ist die Programmiersprache, auf der WordPress und viele andere Systeme laufen. Für PHP 8.1 und ältere Versionen gibt es laut php.net keine regulären Updates mehr.

Laut SRF waren Details vorab durchgesickert, und verschiedene Hoster schalteten Websites vorsorglich ab. Cloudflare zählte gemäss SRF zuerst tausende, kurz darauf Millionen Angriffsversuche. Bestätigte Einbrüche nannte SRF zum Zeitpunkt der Berichte keine.

Schon im August 2026 meldete das Bundesamt für Cybersicherheit (BACS) mehr kompromittierte Websites in der Schweiz. Die meisten nutzten WordPress, und die ausgenutzte Lücke war seit Juli 2026 mit einem Update geschlossen – nur hatten es nicht alle Betreiber eingespielt. Kurz: Jetzt ist ein guter Moment, die eigene Website zu prüfen.

Woran merke ich, dass meine Website gehackt ist?

Nicht jeder Angriff fällt auf. Google beschreibt in seinen Spam-Richtlinien, dass Angreifer oft neue Spam-Seiten anlegen oder Texte und Links so verstecken, dass nur Suchmaschinen sie sehen. Die eigentliche Website wirkt dabei ganz normal. Achten Sie auf diese Anzeichen:

• Fremde Seiten bei Google: Geben Sie bei Google site:ihre-firma.ch ein und blättern Sie einige Trefferseiten durch. Unbekannte Adressen, Texte in fremden Sprachen oder Werbung für gefälschte Markenware sind laut Google ein Warnzeichen. Häufig ist auch Glücksspiel-Werbung: Die Sicherheitsfirma Sucuri fand 2024 unter 422’741 von Suchmaschinen-Spam betroffenen Websites bei 79’817 eingeschleuste Casino- und Glücksspiel-Inhalte, also bei knapp 19 Prozent (Sucuri).
• Warnung im Browser oder bei Google: Google zeigt bei gefährlichen Websites Warnungen an (Google Safe Browsing). Der Bericht «Sicherheitsprobleme» in der Google Search Console zeigt Ihnen, ob Google gehackte Inhalte, Schadsoftware oder Betrugsseiten gefunden hat.
• Unbekannte Benutzer: Neue Administratoren im CMS, die niemand aus Ihrem Team angelegt hat. Oder fremde Inhaber in der Search Console – laut Google ein starkes Zeichen für einen Einbruch.
• Weiterleitungen: Ein Klick in den Google-Ergebnissen führt auf eine fremde Seite, beim direkten Aufruf Ihrer Adresse aber nicht. Genau so arbeiten viele Angriffe: Sie leiten je nach Herkunft oder Gerät unterschiedlich weiter (Google).
• Post vom Hoster oder von Behörden: Der Hoster sperrt Ihre Website oder meldet verdächtige Aktivität – die offizielle WordPress-Hilfe nennt das als klares Anzeichen. Auch das BACS informiert betroffene Betreiber per E-Mail.
• Hinweise von Kundschaft: Der Virenschutz Ihrer Besucherinnen und Besucher schlägt beim Aufruf Ihrer Website Alarm (WordPress).

Was tun, wenn es passiert ist?

Ruhe bewahren und geordnet vorgehen. Die folgenden Schritte stützen sich auf die Anleitungen von Google und WordPress:

1. Festhalten, was Sie sehen. Notieren Sie, was Ihnen auffällt, seit wann, und was zuletzt geändert wurde, etwa ein neues Plugin oder ein Update. Bildschirmfotos helfen später bei der Analyse.
2. Hoster informieren. Besonders bei geteilten Servern können auch andere Websites betroffen sein (Google). Der Hoster kann oft auch prüfen, ob wirklich ein Angriff vorliegt.
3. Website vom Netz nehmen. Laut Google soll die Website vorübergehend keine Inhalte mehr ausliefern, idealerweise mit einer Wartungsseite, die ausserhalb der befallenen Dateien liegt. Ein solcher Unterbruch dürfte die Platzierung bei Google laut Google kaum beeinflussen.
4. Alle Passwörter ändern. Nicht nur das Login der Website, sondern alle Zugänge: Hosting-Konto, FTP/SFTP, Datenbank und alle Benutzer im CMS. Unbekannte Konten notieren und löschen (Google). Nach der Bereinigung die Passwörter ein zweites Mal ändern, rät WordPress.
5. Zwei-Faktor-Anmeldung einschalten. Ein zusätzlicher Code aufs Handy, wo immer es geht. Das empfehlen WordPress und das BACS.
6. Sauber wiederherstellen. Ein Backup hilft nur, wenn es vor dem Angriff entstanden ist. Google rät zu einer sauberen Neuinstallation statt eines blossen Updates, weil sonst Dateien der alten Version liegen bleiben können (web.dev). Danach alles auf den neusten Stand bringen und Unbenutztes entfernen.
7. Hintertüren entfernen lassen. Angreifer legen oft neue Dateien an, über die sie später wieder hineinkommen (WordPress). Ohne Fachwissen sind sie schwer zu finden – hier lohnt sich eine Fachperson. Lassen Sie auch Ihren eigenen Computer auf Schadsoftware prüfen: Zugangsdaten werden laut WordPress oft dort abgegriffen.
8. Spam-Adressen aus Google entfernen. Löschen Sie die eingeschleusten Seiten so, dass sie den Fehlercode 404 («nicht gefunden») oder 410 («entfernt») liefern. Google behandelt beide gleich und nimmt bereits erfasste Adressen aus dem Index (Google). Schneller geht es mit dem Entfernen-Tool der Search Console – aber nur für Seiten, die nie wieder erscheinen sollen (web.dev).
9. Google um Überprüfung bitten. Erst wenn alles bereinigt ist: Im Bericht «Sicherheitsprobleme» auf «Überprüfung anfordern» klicken und genau beschreiben, was Sie unternommen haben. Das dauert laut Google in der Regel einige Tage oder Wochen. Unbegründete Anträge können die Bearbeitung verlängern.
10. Vorfall dem BACS melden. Über das Meldeformular auf der Kontaktseite des BACS können Sie Cybervorfälle melden.
11. Datenschutz prüfen. Speichert Ihre Website Personendaten, etwa Kundenkonten, Bestellungen oder Formulareingaben, und könnten Unbefugte darauf zugegriffen haben? Dann müssen Sie nach Art. 24 des Datenschutzgesetzes (DSG) dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) die Verletzung «so rasch als möglich» melden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Die betroffenen Personen informieren Sie, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Wann ein hohes Risiko vorliegt, erklärt der Leitfaden des EDÖB. Im Zweifel holen Sie rechtlichen Rat ein.

Wie schütze ich mich künftig?

Die gute Nachricht: Viele Angriffe nutzen bekannte Lücken, für die es bereits Updates gibt – so auch bei der Welle, die das BACS im August 2026 beobachtete. Das BACS und die offizielle WordPress-Anleitung zur Absicherung empfehlen unter anderem:

• Alles aktuell halten: CMS, Plugins und Designs, und beim Hoster auch die PHP-Version. Wo möglich automatische Updates einschalten.
• Wenige Plugins: Nur, was wirklich gebraucht wird. Unbenutzte löschen.
• Zwei-Faktor-Anmeldung für alle Konten, die das unterstützen.
• Regelmässige Backups an einem sicheren Ort, damit auch eine Fassung von vor einem Angriff vorhanden ist.
• Überwachung: die Website in der Google Search Console anmelden und Warnungen ernst nehmen.

Ein anderer Weg ist eine statische Website: Sie besteht aus fertigen Seiten, ohne Login, ohne Datenbank und ohne Plugins. Wo diese Bausteine fehlen, gibt es weniger, das angegriffen werden kann. Ein CMS wie WordPress bleibt eine gute Wahl, wenn jemand die Pflege zuverlässig übernimmt. Welche Lösung zu welchem Betrieb passt, vergleichen wir ausführlich im Artikel WordPress oder KI-Website?.

Wo erhalten Sie Unterstützung?

Sie möchten Ihre Website absichern lassen oder überlegen, sie neu und mit weniger Angriffsfläche aufzubauen? Wir beraten Sie gerne. Mehr dazu unter IT & Netzwerk-Security und Webdesign.

Design Planet aus Buchs ZH begleitet KMU persönlich vor Ort in der ganzen Deutschschweiz sowie in Deutschland, Österreich und Liechtenstein – und per Videoanruf überall.