Warum wird eine Website gehackt? Die Ursachen

• August 18, 2026
• Unkategorisiert
• 0 Comments

Eine Website muss weder groß noch bekannt sein, um zum Ziel zu werden. Häufig merkt ein Betrieb den Angriff erst, wenn Kunden seltsame Werbelinks sehen, Google vor der Seite warnt oder plötzlich keine Anfragen mehr eingehen. Die Frage „Warum wird Website gehackt?“ ist deshalb berechtigt – und die Antwort hat meist weniger mit einem gezielten Angriff auf dein Unternehmen zu tun, als viele vermuten.

Angreifer arbeiten größtenteils automatisiert. Programme durchsuchen rund um die Uhr Websites nach bekannten Sicherheitslücken, schwachen Passwörtern oder veralteten Erweiterungen. Findet ein Bot eine offene Tür, wird sie genutzt. Ob dahinter ein Handwerksbetrieb, eine Praxis oder ein Onlineshop steht, spielt zunächst keine Rolle.

Warum wird eine Website gehackt? Meist nicht persönlich

Bei den meisten Vorfällen geht es nicht darum, Daten eines bestimmten Unternehmens auszuspionieren. Gekaperte Websites werden oft für Spam, betrügerische Weiterleitungen, Schadsoftware oder Angriffe auf andere Systeme missbraucht. Manchmal legen Angreifer zusätzliche Benutzerkonten an, manchmal verändern sie unauffällig einzelne Dateien oder verstecken Werbelinks im Quellcode.

Gerade kleine Unternehmen sind betroffen, weil ihre Websites nach dem Launch häufig lange nicht gepflegt werden. Das ist verständlich: Die Seite läuft, das Tagesgeschäft hat Vorrang und technische Updates wirken nicht dringend. Genau darin liegt aber das Risiko. Eine Website ist keine gedruckte Broschüre, sondern ein System, das regelmäßig gewartet werden muss.

Die häufigsten Einfallstore für Angreifer

Veraltetes WordPress, Plugins oder Themes

WordPress selbst wird laufend weiterentwickelt und Sicherheitslücken werden in der Regel schnell geschlossen. Kritisch wird es, wenn Updates über Monate ausbleiben. Besonders Plugins und Themes sind ein häufiger Angriffspunkt, denn sie erweitern die Website um Funktionen wie Formulare, Slider, Shops oder Buchungstools.

Ein Plugin kann noch so praktisch sein: Wird es vom Hersteller nicht mehr gepflegt oder ist es nicht kompatibel mit der aktuellen WordPress-Version, kann es zur Schwachstelle werden. Das gilt auch für Premium-Themes, die einmal gekauft und danach nie aktualisiert wurden. Nicht jedes Update ist ein Notfall, aber Sicherheitsupdates sollten nicht warten.

Schwache oder mehrfach verwendete Passwörter

„Praxis2024“ oder der Name des Unternehmens mit Ausrufezeichen ist kein sicheres Passwort. Solche Kombinationen werden von automatisierten Angriffen sehr schnell ausprobiert. Noch problematischer wird es, wenn dieselben Zugangsdaten für WordPress, Hosting, E-Mail und andere Dienste verwendet werden.

Ein kompromittiertes E-Mail-Postfach kann dann der Weg zur Website sein. Gute Passwörter sind lang, einzigartig und werden idealerweise in einem Passwortmanager gespeichert. Für Administrator-Zugänge empfiehlt sich zusätzlich eine Zwei-Faktor-Anmeldung. Sie verhindert viele Angriffe, selbst wenn ein Passwort bekannt geworden ist.

Zu viele oder fragwürdige Erweiterungen

Nicht die Anzahl der Plugins allein ist entscheidend, sondern ihre Qualität und Pflege. Zehn gut gewartete Erweiterungen können sicherer sein als drei veraltete. Problematisch sind Plugins ohne aktuelle Updates, unklare Herkunft oder Funktionen, die längst nicht mehr benötigt werden.

Besondere Vorsicht gilt bei kostenlosen Kopien kostenpflichtiger Themes oder Plugins aus inoffiziellen Quellen. Darin steckt nicht selten bereits Schadcode. Der vermeintlich günstige Download wird dann teuer, wenn die Website bereinigt, ein Shop gesperrt oder das Google-Ranking beschädigt werden muss.

Unsichere Zugänge und falsche Benutzerrechte

Nicht jeder, der Inhalte bearbeitet, braucht Administratorrechte. Trotzdem haben in vielen WordPress-Installationen ehemalige Mitarbeitende, Agenturen oder Dienstleister weiterhin volle Zugriffsrechte. Das erhöht die Angriffsfläche unnötig.

Prüfe regelmäßig, welche Benutzerkonten existieren und welche Rolle sie haben. Für Redakteure genügt oft ein eingeschränkter Zugang. Auch Testkonten und alte Admin-Accounts sollten gelöscht werden, sobald sie nicht mehr gebraucht werden. Weniger Zugänge bedeuten weniger mögliche Einfallstore.

Fehlende Backups und ungepflegtes Hosting

Ein Backup verhindert keinen Hack, entscheidet aber darüber, wie schnell du wieder handlungsfähig bist. Liegt die einzige Sicherung auf demselben Hosting-Account wie die Website, hilft sie im Ernstfall möglicherweise nicht weiter. Sinnvoll sind automatische, getrennt gespeicherte Backups und gelegentliche Tests, ob sich eine Sicherung tatsächlich wiederherstellen lässt.

Auch beim Hosting gibt es Unterschiede. Ein günstiger Tarif ist nicht automatisch unsicher. Entscheidend sind aktuelle Server-Software, Schutzmechanismen, verlässliche Backups und ein Support, der bei einem Sicherheitsvorfall erreichbar ist. Für einen kleinen Informationsauftritt reicht oft ein solider Standardtarif. Bei einem Shop oder einer Website mit Kundendaten sollte Sicherheit stärker in die Entscheidung einfließen.

Der Schaden beginnt oft nach dem eigentlichen Hack

Eine gehackte Website ist nicht nur ein technisches Problem. Wenn Besucher auf dubiose Seiten weitergeleitet werden, leidet das Vertrauen sofort. Bei Shops können Bestellungen ausbleiben, bei lokalen Dienstleistern gehen wertvolle Anfragen verloren. Wird Schadsoftware erkannt, können Browser oder Suchmaschinen deutliche Warnhinweise anzeigen.

Hinzu kommt der Zeitaufwand: Dateien prüfen, Zugänge ändern, Schadcode entfernen, die Ursache finden und die Seite absichern. Wer nur die sichtbaren Symptome beseitigt, erlebt oft kurze Zeit später den nächsten Vorfall. Deshalb reicht es nicht, eine manipulierte Datei zu löschen. Man muss nachvollziehen, wie der Zugriff möglich war.

Wenn personenbezogene Daten betroffen sein könnten, kommen zudem Datenschutzpflichten ins Spiel. Hier hängt das richtige Vorgehen vom Einzelfall ab. Bei Unsicherheit ist es sinnvoll, technische Prüfung und datenschutzrechtliche Beratung getrennt, aber abgestimmt anzugehen.

Was du bei einem Verdacht sofort tun solltest

Panik hilft nicht, Abwarten aber auch nicht. Wenn deine Website plötzlich anders aussieht, ungewöhnliche Nutzerkonten auftauchen oder Besucher Warnmeldungen erhalten, sichere zuerst den aktuellen Zustand. So lässt sich später besser nachvollziehen, was passiert ist.

1. Ändere alle wichtigen Passwörter. Dazu gehören WordPress-Administratoren, Hosting, Datenbank, SFTP und die zugehörigen E-Mail-Postfächer. Verwende überall neue, individuelle Passwörter.
2. Schränke den Zugriff ein. Bei einem Shop oder einer Seite mit Kundenlogin kann es sinnvoll sein, die Website vorübergehend in den Wartungsmodus zu versetzen. Das hängt davon ab, wie akut der Vorfall ist und ob Schadcode aktiv Besucher gefährdet.
3. Prüfe Benutzerkonten und Änderungen. Unbekannte Admins, neue Plugins, veränderte Weiterleitungen oder verdächtige Dateien sind klare Warnsignale. Lösche nichts vorschnell, ohne eine Sicherung anzulegen.
4. Spiele nicht blind ein altes Backup ein. Ein Backup kann bereits kompromittiert sein oder die Sicherheitslücke bleibt bestehen. Prüfe zuerst die Ursache, aktualisiere Komponenten und kontrolliere Zugänge.
5. Lass die Website fachlich bereinigen, wenn der Umfang unklar ist. Gerade versteckter Schadcode ist ohne Erfahrung schwer zuverlässig zu finden. Nach der Bereinigung sollten Server, WordPress und Erweiterungen geprüft und abgesichert werden.

Website-Wartung ist die sinnvollste Prävention

Die beste Schutzmaßnahme ist keine einzelne Sicherheits-Erweiterung. Sie entsteht aus einer verlässlichen Routine. Updates, Backups, Sicherheitsprüfungen und eine kurze Funktionskontrolle gehören zusammen. Gerade nach größeren WordPress- oder Plugin-Updates sollte geprüft werden, ob Formulare, Buchungen, Shop-Funktionen und wichtige Seiten weiterhin korrekt laufen.

Eine praxistaugliche Wartung umfasst mindestens diese Punkte:

• WordPress, Plugins und Themes regelmäßig aktualisieren
• automatische Backups getrennt vom Webspace speichern
• Administratoren und Benutzerrechte in festen Abständen prüfen
• nicht benötigte Plugins, Themes und Konten entfernen
• Sicherheitsmeldungen sowie ungewöhnliche Änderungen kontrollieren
• wichtige Funktionen nach Updates testen

Wie häufig das nötig ist, hängt von der Website ab. Eine einfache Unternehmensseite braucht weniger Aufmerksamkeit als ein WooCommerce-Shop, eine Mitgliederplattform oder eine Seite mit vielen Formularen. Komplett ohne Pflege sollte aber keine WordPress-Website bleiben.

Wer die Wartung selbst übernimmt, sollte feste Termine im Kalender einplanen und Änderungen dokumentieren. Wer dafür im Alltag keine Zeit hat, gibt die technische Kontrolle besser an einen verlässlichen Ansprechpartner ab. Bei Nile Media gehört Website-Wartung genau deshalb nicht ans Ende eines Projekts, sondern zur langfristig funktionierenden digitalen Präsenz.

Deine Website soll Vertrauen schaffen und Anfragen ermöglichen, nicht zur stillen Baustelle werden. Mit aktuellen Systemen, klaren Zugängen und getesteten Backups reduzierst du das Risiko deutlich – und weißt im Ernstfall, was zu tun ist.