Website gehackt oder down?
Ihr Plan für die erste Stunde.

Die erste Stunde: Ihr Notfallplan

Arbeiten Sie die Schritte der Reihe nach ab. Notieren Sie dabei Uhrzeit und was Sie getan haben – das brauchen Sie später für den Hosting-Anbieter, eine neue Agentur und gegebenenfalls die Datenschutzbehörde.

1. 1Prüfen, ob die Seite wirklich down istRufen Sie die Seite aus einem anderen Netz auf, etwa über das Mobilfunknetz Ihres Handys. Sehen Sie auf der Statusseite Ihres Hosting-Anbieters nach, ob eine Störung gemeldet ist. Zeigt der Browser eine Zertifikatswarnung, ist oft nur das SSL-Zertifikat abgelaufen. Meldet der Browser, dass die Adresse nicht gefunden wird, prüfen Sie im Kundenmenü Ihres Domain-Anbieters, ob die Domain ausgelaufen ist oder die DNS-Einträge geändert wurden.
2. 2Bei Verdacht auf Hack: Wartungsmodus einschaltenWenn Besucher auf fremde Seiten umgeleitet werden oder der Checkout verändert aussieht, nehmen Sie die Seite vom Netz. Viele Systeme haben einen Wartungsmodus, bei WordPress über ein Plugin oder den Hosting-Anbieter. Geht das nicht, kann Ihr Hosting-Anbieter die Seite sperren oder auf eine Hinweisseite umstellen. So schützen Sie Ihre Kunden, während Sie weiter prüfen.
3. 3Passwörter ändern – von einem sauberen GerätÄndern Sie die Passwörter für Hosting-Kundenmenü, Server (SFTP/SSH), Datenbank, Admin-Konten des Shops oder CMS und das E-Mail-Postfach, an das Passwort-Resets gehen. Nutzen Sie dafür einen Rechner, bei dem Sie keinen Verdacht auf Schadsoftware haben. Schalten Sie, wo möglich, die Zwei-Faktor-Anmeldung ein.
4. 4Zugänge sichern und fremde Konten findenSehen Sie in der Benutzerverwaltung von Shop oder CMS nach, ob neue Administratoren angelegt wurden. Prüfen Sie, wer Zugriff auf Hosting, Domain und Zahlungsanbieter hat. Fremde Konten nicht sofort löschen, sondern sperren und mit Screenshot dokumentieren.
5. 5Backup-Stand prüfenKlären Sie, welche Sicherungen es gibt: beim Hosting-Anbieter, in einem Backup-Plugin, bei der Agentur. Wichtig ist das Datum. Ein Backup ist nur dann eine Hilfe, wenn es aus der Zeit vor dem Angriff stammt – und das wissen Sie oft erst nach der Analyse. Spielen Sie deshalb nicht vorschnell etwas zurück.
6. 6Nichts löschen – Beweise sichernInfizierte Dateien, Server-Logs (die Protokolle, in denen der Server jeden Zugriff festhält) und verdächtige Datenbankeinträge zeigen, wie der Angreifer hereingekommen ist. Wer sie löscht, schließt das Loch nicht und verliert die Spur. Bitten Sie Ihren Hosting-Anbieter, die Logs der letzten Wochen zu sichern, und lassen Sie eine vollständige Kopie des aktuellen Zustands ziehen.
7. 7Hosting-Anbieter informierenIhr Hosting-Anbieter hat oft eigene Logs, kann Zugriffe sperren und weiß, ob andere Kunden betroffen sind. Schildern Sie, was Sie beobachtet haben und was Sie schon getan haben. Fragen Sie nach Backups und danach, ob er bei der Bereinigung unterstützt.

Ihre Agentur ist Auftragsverarbeiter? Dann muss sie Ihnen eine Datenschutzverletzung, von der sie erfährt, unverzüglich melden (Art. 33 Abs. 2 DSGVO). Halten Sie Ihre Anfrage schriftlich fest – auch wenn niemand antwortet.

Woran Sie einen Hack erkennen

Nicht jeder Angriff legt die Seite lahm. Viele bleiben wochenlang unbemerkt, weil die Website für den Betreiber normal aussieht. Achten Sie auf diese Anzeichen:

Melden: Was Sie müssen – und was Sie sollten

Sobald personenbezogene Daten betroffen sein könnten – Kundenkonten, Bestellungen, Adressen, Newsletter-Listen –, wird aus dem Technik- ein Datenschutzproblem. Dann laufen Fristen.

1. Stunde 0

   Datenpanne wird bekannt

   Ab jetzt laufen die Fristen. Jede Verletzung intern dokumentieren – auch wenn Sie nicht melden.

2. Sofort

   Zahlungsanbieter informieren

   Bei Verdacht, dass Kartendaten oder Zahlungsinformationen mitgelesen wurden.

   Pflicht

3. Unverzüglich, möglichst binnen 72 Stunden

   Meldung an die Aufsichtsbehörde

   Art. 33 DSGVO, in der Regel die Datenschutzbehörde Ihres Bundeslandes. Später nur mit Begründung der Verzögerung.

   Pflicht

4. Unverzüglich, bei hohem Risiko

   Betroffene benachrichtigen

   Art. 34 DSGVO, etwa wenn Passwörter oder Zahlungsdaten abgeflossen sind.

5. Nach der Bereinigung

   Überprüfung bei Google beantragen

   In der Search Console unter „Sicherheitsprobleme“ – erst wenn alles sauber ist. Google nennt mehrere Tage bis Wochen.

Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): Eine Verletzung des Schutzes personenbezogener Daten müssen Sie unverzüglich und möglichst binnen 72 Stunden melden, nachdem sie Ihnen bekannt wurde. Das entfällt nur, wenn sie voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Kommt die Meldung später, müssen Sie die Verzögerung begründen. Jede Verletzung müssen Sie außerdem intern dokumentieren – auch wenn Sie nicht melden. Zuständig ist in der Regel die Datenschutzbehörde Ihres Bundeslandes.

Benachrichtigung der Betroffenen (Art. 34 DSGVO): Hat die Verletzung voraussichtlich ein hohes Risiko für Ihre Kunden zur Folge – etwa weil Passwörter oder Zahlungsdaten abgeflossen sind –, müssen Sie auch die Betroffenen unverzüglich informieren.

Zahlungsdaten: Besteht der Verdacht, dass Kartendaten oder Zahlungsinformationen mitgelesen wurden, informieren Sie sofort Ihren Zahlungsanbieter. Er kann Transaktionen überwachen, und Ihr Vertrag mit ihm enthält meist eigene Meldepflichten.

BSI: Das Bundesamt für Sicherheit in der Informationstechnik bietet Unternehmen Checklisten für die ersten Schritte nach einem IT-Sicherheitsvorfall (organisatorisch und technisch) und eine Meldestelle.

Nach der Bereinigung – Google: Erst wenn die ganze Website sauber und die Lücke geschlossen ist, beantragen Sie in der Search Console unter „Sicherheitsprobleme“ eine Überprüfung. Beschreiben Sie das Problem, Ihre Schritte und das Ergebnis. Google nennt für solche Prüfungen mehrere Tage bis Wochen. Wer zu früh einreicht, verlängert das Verfahren.

Kein Rechtsrat: Dieser Abschnitt fasst die gesetzlichen Pflichten allgemein zusammen. Ob und was Sie melden müssen, hängt vom Einzelfall ab. Ziehen Sie bei einer Datenpanne Ihren Datenschutzbeauftragten oder einen Anwalt hinzu – die 72 Stunden laufen trotzdem.

Was kostet der Stillstand? Rechnen Sie es durch

Pauschale Zahlen zu Ausfallkosten helfen wenig. Rechnen Sie lieber mit Ihren eigenen Werten. Für einen Shop ist die einfachste Näherung:

Beispiel: Ein Shop mit 500.000 € Jahresumsatz macht im Schnitt rund 57 € pro Stunde. Zwei Tage offline sind 48 Stunden – also rund 2.700 € Umsatz, der fehlt. Tagsüber und an Aktionstagen ist der Wert höher, nachts niedriger.

Dazu kommen Kosten, die in der Formel nicht stehen: bezahlte Anzeigen, die weiter auf eine tote Seite laufen, Rankings, die nach einer Google-Warnung leiden, Kunden, die beim Wettbewerber bestellen und dort bleiben. Bei einer CMS-Website ohne Shop sind es vor allem entgangene Anfragen. Zählen Sie, wie viele Kontaktanfragen Sie im Monat bekommen und was eine im Schnitt wert ist.

Vorsorge: Damit der nächste Notfall kleiner ausfällt

Die meisten Notfälle werden erst dadurch schlimm, dass niemand weiß, wo was liegt. Diese Punkte kosten wenig Zeit und sparen im Ernstfall Stunden:

Wie wir helfen

Ist Ihre Agentur nicht erreichbar, können Sie uns direkt ansprechen. Unsere Agenten lesen Code und Konfiguration Ihres Shops oder CMS ein, auch ohne Dokumentation. Auf Wunsch analysieren wir den Vorfall, bereinigen das System und schließen die Lücke; die Meldepflichten nach DSGVO bleiben bei Ihnen als Verantwortlichem, wir liefern dafür die technische Dokumentation. Nur für den Zugriff auf personenbezogene Daten schließen wir vorher einen AV-Vertrag nach Art. 28 DSGVO. Jede Änderung läuft zuerst auf einer Testumgebung, der Prüf-Agent – unser Agent, der jede Änderung vor der Freigabe testet – prüft sie, ein Mensch gibt frei.

▶

Beim Abspielen lädt das Video von YouTube (Google).Datenschutz

Danach können wir die Betreuung dauerhaft übernehmen: monatlich kündbar, mit Monitoring rund um die Uhr. Updates, Fehlerbehebung und Sicherheit sind in der Pauschale enthalten. Auf Wunsch hosten wir in deutschen Rechenzentren – siehe Hosting. Erstgespräch mit Martin, unserem KI-Berater, unter Kontakt.

Weitere Ratgeber für Shop- oder CMS-Betreiber mit Ärger mit der Agentur finden Sie unter Agentur wechseln.