Ein Hacker-Angriff auf die eigene Website klingt nach einem Problem für große Konzerne — bis es die eigene Kanzlei, Praxis oder den eigenen Handwerksbetrieb trifft. Tatsächlich sind kleine und mittlere Unternehmen ein besonders beliebtes Ziel: Die Websites laufen oft auf veralteten CMS-Versionen, Updates werden aufgeschoben, und niemand im Team ist wirklich zuständig.

Die gute Nachricht: Die meisten erfolgreichen Angriffe nutzen keine raffinierten Sicherheitslücken, sondern simple, längst bekannte Schwachstellen. Mit ein paar konsequent umgesetzten Maßnahmen lässt sich das Risiko drastisch senken. So gehen Sie vor.

1. Updates sind keine Kür, sondern Pflicht

Die überwältigende Mehrheit gehackter WordPress-Websites läuft auf veralteten Plugins, Themes oder einem veralteten CMS-Kern. Jede Sicherheitslücke, die ein Update schließt, wird öffentlich dokumentiert — und ist damit für Angreifer ein offenes Einfallstor, solange sie ungepatcht bleibt.

CMS-Kern, Plugins und Theme mindestens wöchentlich aktualisieren
Nicht mehr genutzte Plugins vollständig deinstallieren, nicht nur deaktivieren
Automatische Updates für unkritische Komponenten aktivieren
Vor größeren Updates ein aktuelles Backup sicherstellen

2. Zugangsdaten: Der meistunterschätzte Angriffspunkt

„admin“ als Benutzername und ein Passwort, das auch für drei andere Dienste genutzt wird — genau das probieren automatisierte Angriffs-Bots pausenlos durch. Diese sogenannten Brute-Force-Angriffe laufen rund um die Uhr, ganz ohne dass ein Mensch gezielt Ihre Seite angreift.

Individuelle Benutzernamen statt „admin“ oder dem eigenen Firmennamen
Zwei-Faktor-Authentifizierung für den Login-Bereich aktivieren
Login-Versuche begrenzen — nach wenigen Fehlversuchen die IP-Adresse sperren
Für jeden Nutzer nur die Berechtigungen vergeben, die er tatsächlich braucht

3. Backups: Ihre Versicherung im Ernstfall

Ein aktuelles, extern gespeichertes Backup entscheidet darüber, ob ein Hack ein Ärgernis von wenigen Stunden ist — oder ein Totalverlust. Backups, die auf demselben Server liegen wie die Website selbst, werden bei einem Angriff oft gleich mit kompromittiert oder verschlüsselt.

Eine solide Backup-Strategie braucht drei Dinge: automatische tägliche Sicherungen, Speicherung an einem separaten Ort (Cloud-Speicher oder externer Server) und regelmäßige Tests, ob sich das Backup tatsächlich wiederherstellen lässt. Ein Backup, das im Ernstfall nicht funktioniert, ist kein Backup.

4. Security-Header & Firewall: Der unsichtbare Schutzwall

Neben sichtbaren Maßnahmen gibt es technische Schutzschichten, die im Hintergrund arbeiten. HTTP-Security-Header wie Content-Security-Policy oder X-Frame-Options verhindern bestimmte Angriffsklassen, bevor sie überhaupt zum Server durchdringen. Eine Web Application Firewall (WAF) filtert schädlichen Traffic, noch bevor er Ihre Website erreicht.

Security-Header serverseitig konfigurieren (lassen sich mit gängigen Tools kostenlos prüfen)
SSL-Zertifikat aktuell halten und HTTPS überall erzwingen
Eine Firewall auf Server- oder Plugin-Ebene einrichten
Datei-Änderungen überwachen lassen, um manipulierte Dateien früh zu erkennen

5. Warnsignale erkennen, bevor es zu spät ist

Viele Hacks bleiben wochenlang unbemerkt — bis Google die Seite als „gehackt“ markiert oder Kunden sich über seltsame Weiterleitungen beschweren. Wer die typischen Warnsignale kennt, kann früher eingreifen und größeren Schaden verhindern.

Unerklärliche Weiterleitungen auf fremde Seiten
Neue, unbekannte Benutzerkonten mit Admin-Rechten
Plötzlich langsame Ladezeiten oder ungewöhnlich hoher Server-Traffic
Google-Warnung „Diese Website könnte gehackt sein“ in den Suchergebnissen

Fazit: Prävention ist günstiger als jede Reparatur

Die hier beschriebenen Maßnahmen kosten überschaubaren Aufwand — ein gehackter Betrieb kostet dagegen Umsatz, Vertrauen und oft Tage an Ausfallzeit. Wer die Grundlagen konsequent umsetzt, schützt sich vor der überwältigenden Mehrheit aller automatisierten Angriffe.

Ist Ihre Website bereits gehackt, down oder ausgesperrt? Unser Website-Notfall-Service meldet sich garantiert innerhalb von 24 Stunden. Oder lassen Sie präventiv prüfen, wie es um Ihre Sicherheit steht: Fordern Sie Ihren kostenlosen SEO & KI-Check an — er deckt auch fehlende Security-Header und weitere Schwachstellen auf.