Ich habe meine Website nach einem Hack aus dem Backup wiederhergestellt: reicht das?

Dieser Leitfaden behandelt backup nach hack von der Bestätigung bis zur Bereinigung und Vorbeugung.

Die Website wurde gehackt. Besucher werden auf fremde Seiten umgeleitet, Google zeigt eine Warnung, oder Sie haben einen unbekannten Administrator gefunden. Zum Glück haben Sie ein Backup. Ihr Hoster erstellt jeden Tag eines, oder ein Plugin, das Sie installiert haben. Sie klicken auf „Wiederherstellen“, warten ein paar Minuten, und die Website sieht aus wie vor einer Woche. Problem gelöst.

Einige Tage später passiert alles noch einmal. Dieselbe Weiterleitung, dieselben Warnungen, vielleicht schlimmer als beim ersten Mal. In der Zwischenzeit sind auch die Inhalte verloren gegangen, die nach dem Datum des Backups entstanden sind.

Das ist eine der häufigsten Situationen, mit denen sich Inhaber an uns wenden, und meist kommt dieselbe Frage: „Wie ist das möglich, ich habe die Website doch auf den Stand vor dem Angriff zurückgesetzt?“ Ein Backup ist extrem wichtig, und ohne Backup wären viele Websites verloren. Aber ein Backup einzuspielen und eine gehackte Website zu bereinigen, ist nicht dasselbe. In diesem Artikel erklären wir, warum die Infektion nach dem Einspielen eines Backups oft zurückkehrt, wann ein Backup wirklich hilft, wie Sie das richtige wählen und wie Sie es so einspielen, dass die Website danach sauber bleibt.

Warum das Einspielen eines Backups das Problem oft nicht löst

Bei backup nach hack zählt die richtige Reihenfolge mehr als Eile.

Sie wissen nicht, wann die Infektion begann

Wenn Sie bemerken, dass eine Website gehackt wurde, ist das meist nicht der Tag des Hacks. Angreifer dringen oft in eine Website ein, platzieren eine Backdoor und warten dann. Die Infektion kann Wochen oder Monate bestehen, bevor sie sichtbar wird: bevor Spam in Google erscheint, eine Weiterleitung oder eine Warnung.

Der Grund ist einfach: Der Angreifer hat kein Interesse daran, dass Sie ihn bemerken. Eine stille Backdoor, die monatelang wartet, ist ihm mehr wert als eine Website, die sofort Spam verschickt und an einem Tag bereinigt wird. Spielen Sie ein Backup von vor drei Tagen ein, und der Angreifer kam vor drei Wochen herein, enthält das Backup die Backdoor bereits. Sie haben die Website in einen Zustand versetzt, der sauber aussieht, aber der Angreifer hat weiterhin einen Zugang und muss ihn nur erneut nutzen.

Sie spielen dieselbe Lücke wieder ein

Selbst wenn das Backup wirklich von vor dem Einbruch stammt, enthält es dieselben Versionen von Plugins, Theme und WordPress wie damals. Kam der Angreifer über ein verwundbares Plugin, spielen Sie mit dem Backup auch dieses verwundbare Plugin wieder ein. Das automatisierte Tool, das es beim ersten Mal gefunden hat, findet es wieder, oft innerhalb weniger Tage.

Gestohlene Passwörter gelten weiter

Hat der Angreifer das Passwort eines Administrators, für FTP oder das Hosting-Konto gestohlen, ändert das Backup nichts. Die Passwörter in der Datenbank sind dieselben wie vorher, und Hosting- sowie FTP-Passwörter berührt das Backup gar nicht. Der Angreifer meldet sich einfach wieder an.

Das Backup deckt nicht alles ab

Ein typisches Backup enthält die Dateien der Website und die Datenbank. Es enthält aber nicht alles, was ein Angreifer verändern kann:

• geplante Aufgaben (Cronjobs) auf Serverebene, die Schadcode erneut herunterladen und ablegen können,
• andere Websites und Ordner im selben Hosting-Konto, von denen aus sich die Infektion erneut ausbreiten kann,
• Einstellungen des Hosting-Kontos, zusätzliche FTP-Konten und SSH-Schlüssel,
• DNS-Einträge und Subdomains,
• externe Dienste wie den Google Tag Manager oder E-Mail-Konten.

Einspielen „über“ die bestehenden Dateien

Viele Wiederherstellungstools, auch manche Hosting-Panels, überschreiben einfach die bestehenden Dateien mit denen aus dem Backup. Dateien, die der Angreifer hinzugefügt hat und die nicht im Backup sind, bleiben auf dem Server. Die Website sieht dann wiederhergestellt aus, aber die Backdoor-Datei in uploads existiert noch. Das ist einer der häufigsten Gründe, warum die Infektion direkt nach der Wiederherstellung zurückkehrt.

Google und Besucher sehen den Unterschied nicht sofort

Selbst wenn die Wiederherstellung gelingt und die Website wirklich sauber ist, können Spam-Seiten des Angreifers wochenlang bei Google bleiben, und die Browserwarnung bleibt, bis Google die Website erneut prüft. Der Inhaber glaubt dann oft, die Wiederherstellung sei gescheitert, wiederholt sie mit einem noch älteren Backup und verliert unnötig Inhalte. Wie dieser Teil gelöst wird, beschreibt der Artikel Website bereinigt, aber Google zeigt weiter Spam-Seiten.

Wann ein Backup wirklich hilft

Das alles heißt nicht, dass ein Backup wertlos ist. Im Gegenteil, ein Backup ist eines der nützlichsten Werkzeuge bei einer Bereinigung, man muss es nur richtig einsetzen.

• Als Quelle sauberer Inhalte. Texte, Seiten, Bilder und Einstellungen aus einem älteren Backup können helfen, eine saubere Website neu aufzubauen, ohne sich auf infizierte Dateien zu stützen.
• Zum Vergleich. Beim Vergleich der infizierten Website mit einem Backup sieht man leicht, welche Dateien verändert oder hinzugefügt wurden und seit wann.
• Als Sicherheitsnetz. Vor jeder Bereinigung ermöglicht ein Backup des aktuellen Zustands die Rückkehr, falls etwas schiefgeht.
• Als schnelle Lösung, aber als Teil des gesamten Ablaufs. Das Einspielen eines geprüften Backups, zusammen mit dem Aktualisieren von allem, dem Ändern aller Zugänge und dem Schließen des Einstiegswegs, kann der schnellste Weg zu einer sauberen Website sein.

So wählen Sie das richtige Backup

Klären Sie, wann die Infektion wahrscheinlich begann

Einige Hinweise helfen, den Beginn einzuschätzen:

• Änderungsdaten von Dateien. Das älteste Änderungsdatum einer verdächtigen Datei liegt oft am nächsten am Zeitpunkt des Einbruchs. Angreifer ändern manchmal Daten, damit eine Datei alt aussieht, daher ist das nicht völlig zuverlässig, aber ein guter Anfang.
• Das Registrierungsdatum unbekannter Administratoren, sichtbar in der Benutzerliste oder in der Datenbank.
• Der erste Spam oder die erste Warnung in der Search Console und ein plötzlicher Anstieg der indexierten Seiten.
• Hosting-Logs, falls es sie für diesen Zeitraum gibt: verdächtige Anmeldungen, Anfragen an ungewöhnliche Dateien.
• Warnungen von Sicherheits-Plugins, die Sie vielleicht früher ignoriert haben.

Wählen Sie ein Backup, das älter ist als dieser Zeitpunkt, mit Puffer

Die Regel ist einfach: Das Backup sollte älter sein als die früheste Spur der Infektion, mit etwas Puffer. Das Problem: Ein älteres Backup bedeutet auch mehr verlorene Inhalte, neue Texte, geänderte Seiten und bei Onlineshops Bestellungen und Kunden. Deshalb wird in der Praxis oft kombiniert: Dateien und System kommen aus einem älteren, geprüften Backup, neuere Inhalte werden sorgfältig aus der neueren Datenbank übernommen, als Daten, nicht als Code.

Das Backup vor dem Einspielen prüfen

Bevor Sie ein Backup auf die Live-Website einspielen, prüfen Sie es. Ideal ist es, das Backup auf eine Testumgebung (Staging) einzuspielen und zu scannen, oder zumindest die Dateien im Archiv auf bekannte Infektionszeichen zu prüfen: PHP-Dateien in uploads, verschleierter Code, unbekannte Dateien im Core. Wie eine Backdoor aussieht, beschreibt der Artikel WordPress-Backdoor finden und entfernen.

So stellen Sie eine Website korrekt aus einem Backup wieder her

1. Den aktuellen, infizierten Zustand sichern

Erstellen Sie vor der Wiederherstellung eine Kopie der aktuellen Dateien und der Datenbank. Sie brauchen sie, um zu analysieren, wie der Angreifer hineinkam, und um Inhalte zu übernehmen, die nach dem Backup entstanden sind.

2. Löschen, dann einspielen

Spielen Sie das Backup nicht über die bestehenden Dateien. Entfernen Sie zuerst alle Dateien der Website vom Server und spielen Sie dann die Dateien aus dem Backup in einen leeren Ordner. So bleibt keine Datei des Angreifers auf dem Server. Hat Ihr Hoster eine Wiederherstellungsschaltfläche, fragen Sie den Support, ob sie Dateien löscht, die nicht im Backup sind.

3. Die Datenbank separat einspielen und prüfen

Spielen Sie die Datenbank aus demselben Backup ein und prüfen Sie dann Benutzer und Optionen. Kontrollieren Sie die Administratorliste, Optionen mit unbekannten oder verschleierten Werten und die Inhalte von Seiten und Beiträgen auf <script.

4. Sofort alles aktualisieren

Bevor die Website wieder für Besucher erreichbar ist, aktualisieren Sie WordPress, alle Themes und Plugins auf die neuesten Versionen. Entfernen Sie Plugins und Themes, die Sie nicht nutzen, und ersetzen Sie Raubkopien durch Originale. Über die Risiken raubkopierter Software schreiben wir im Artikel Nulled WordPress-Themes und -Plugins.

5. Alle Zugänge ändern

Ändern Sie die Passwörter für Hosting, FTP/SFTP, Datenbank und alle Administratoren und setzen Sie neue Sicherheitsschlüssel (Salts) in der wp-config.php. Prüfen Sie, ob es im Hosting-Konto FTP-Konten oder SSH-Schlüssel gibt, die Sie nicht kennen, und entfernen Sie sie.

6. Server und restliches Konto prüfen

Prüfen Sie die geplanten Aufgaben (Cronjobs) im Control Panel des Hostings, die anderen Websites und Ordner im selben Konto und die DNS-Einträge der Domain. Alte und verlassene Installationen entfernen Sie am besten.

7. Inhalte zurückholen, die nach dem Backup entstanden sind

Wurden nach dem Backup-Datum neue Texte veröffentlicht, Bestellungen empfangen oder Benutzer registriert, übernehmen Sie sie aus der gesicherten Kopie der Datenbank. Das ist ein heikler Schritt: Übertragen werden nur Daten (Texte, Bestellungen, Kunden), keine Optionen, Plugin-Einstellungen oder anderes, das Code enthalten kann. Bei WooCommerce-Shops ist das besonders wichtig, denn Bestellungen dürfen nicht verloren gehen. Wie die Bereinigung eines Shops in der Praxis aussieht, beschreibt der Artikel Gehackter WooCommerce-Shop: so haben wir ihn bereinigt.

8. Prüfen und überwachen

Starten Sie nach der Wiederherstellung einen Scan mit dem Sicherheits-Plugin, bitten Sie den Hoster, das Konto zu scannen, und starten Sie den kostenlosen Website-Check von außen. Wiederholen Sie die Prüfung dann in einigen Tagen und in einer Woche. Kehrt die Infektion zurück, ist der Zugang nicht geschlossen, wie im Artikel Infektion kehrt nach Bereinigung zurück erklärt.

Backup oder Bereinigung der bestehenden Website: wann was

Nutzen Sie diese Prüfung erneut, wenn backup nach hack nach einer Teilbereinigung zurückkehrt.

Es gibt keine Antwort für alle Fälle. So entscheiden wir üblicherweise:

In jedem dieser Fälle gelten danach dieselben Schritte: alles aktualisieren, alle Zugänge ändern, den Einstiegsweg schließen und überwachen. Der Unterschied liegt nur darin, woher die sauberen Dateien kommen.

Was, wenn Sie kein einziges sauberes Backup haben

Betreiber unterschätzen backup nach hack oft, bis Search Console oder Kunden Alarm schlagen.

Das passiert öfter, als man denkt: Backups werden nur sieben Tage aufbewahrt, die Infektion besteht aber seit einem Monat, oder es wurden gar keine Backups gemacht. Die Website lässt sich trotzdem bereinigen, nur auf anderem Weg.

• Core, Themes und Plugins werden frisch aus offiziellen Quellen heruntergeladen, dafür ist kein Backup nötig.
• Der Ordner uploads wird geprüft, und alle Dateien, die keine Bilder oder Dokumente sind, werden entfernt, besonders PHP-Dateien.
• Die Datenbank wird geprüft und direkt bereinigt: Benutzer, Optionen, Inhalte.
• Eigener Code (Child-Theme, eigene Plugins) wird manuell geprüft, Datei für Datei.

Das dauert länger als das Einspielen eines Backups, führt aber zum selben Ergebnis: einer sauberen Website. Danach ist der richtige Moment, ein Backup einzurichten, das beim nächsten Mal wirklich hilft. Wie der gesamte Ablauf aussieht und wann es sinnvoll ist, ihn selbst durchzuführen, lesen Sie im Artikel Malware selbst entfernen oder Profi.

Häufige Fehler beim Einspielen eines Backups

• Das neueste Backup einspielen, ohne zu prüfen, wann die Infektion begann.
• Über die bestehenden Dateien einspielen, sodass Dateien des Angreifers auf dem Server bleiben.
• Einspielen ohne Aktualisierung, sodass das verwundbare Plugin auf der Website bleibt.
• Einspielen ohne Passwortänderung, sodass der Angreifer mit denselben Daten hineinkommt.
• Nur Dateien oder nur die Datenbank einspielen, sodass der infizierte Teil bleibt.
• Den infizierten Zustand ohne Kopie löschen, sodass sich nicht feststellen lässt, wie der Angreifer hineinkam.
• Bestellungen und Inhalte vergessen, die nach dem Backup-Datum entstanden sind.

So erstellen Sie Backups, die wirklich helfen

Das Backup, das Sie zum Zeitpunkt des Hacks haben, ist nur so gut, wie es vorher eingerichtet war. Einige Regeln:

• Bewahren Sie Backups außerhalb des Servers auf. Ein Backup im selben Hosting-Konto kann zusammen mit der Website infiziert oder gelöscht werden. Nutzen Sie externen Speicher (Cloud, separater Server).
• Bewahren Sie mehr Versionen länger auf. Da eine Infektion wochenlang bestehen kann, bevor Sie sie bemerken, reichen sieben Tage Backups oft nicht. Wir empfehlen mindestens 30 Tage Historie, für wichtige Websites mehrere Monate, etwa über tägliche, wöchentliche und monatliche Kopien.
• Sichern Sie Dateien und Datenbank. Ein reines Datenbank-Backup stellt keine Dateien wieder her, ein reines Datei-Backup keine Inhalte.
• Bewahren Sie Backups nicht im öffentlichen Ordner der Website auf. Ein Website-Archiv oder Datenbankexport im öffentlichen Ordner kann jeder herunterladen. Das ist ein häufiger Fund von Sicherheitsscannern, über den wir im Artikel Wordfence oder Hoster meldet Malware schreiben.
• Testen Sie die Wiederherstellung gelegentlich. Ein Backup, das Sie nie einzuspielen versucht haben, funktioniert vielleicht nicht. Eine Probewiederherstellung auf einer Testumgebung alle paar Monate deckt Probleme auf, solange sie noch nicht dringend sind.
• Die 3-2-1-Regel ist ein guter Ausgangspunkt: drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon extern.
• Schützen Sie den Zugang zu Ihren Backups. Das Konto für den externen Speicher sollte ein starkes Passwort und Zwei-Faktor-Authentifizierung haben. Ein Angreifer, der an Ihre Backups kommt, kann sie löschen oder Daten daraus entnehmen.

Checkliste nach dem Einspielen eines Backups

• ☐ Das gewählte Backup ist älter als die früheste Spur der Infektion.
• ☐ Das Backup wurde vor dem Einspielen geprüft.
• ☐ Die Dateien wurden in einen leeren Ordner eingespielt, nicht über die bestehenden.
• ☐ Die Datenbank wurde eingespielt und geprüft (Administratoren, Optionen, Skripte).
• ☐ WordPress, Themes und Plugins sind aktualisiert, inaktive und raubkopierte entfernt.
• ☐ Alle Passwörter und Sicherheitsschlüssel sind geändert, unbekannte FTP-Konten und SSH-Schlüssel entfernt.
• ☐ Cronjobs, andere Websites im Konto und DNS-Einträge wurden geprüft.
• ☐ Inhalte und Bestellungen nach dem Backup wurden als Daten zurückgeholt.
• ☐ Plugin-Scan, Scan des Hosters und externe Prüfung sind sauber.
• ☐ Eine erneute Prüfung ist in einigen Tagen und in einer Woche eingeplant.

Nächster Schritt

Haben Sie Ihre Website aus einem Backup wiederhergestellt und sind nicht sicher, ob sie sauber ist, oder ist das Problem bereits zurück, starten Sie den kostenlosen Website-Check. Soll jemand den gesamten Ablauf übernehmen, von Auswahl und Prüfung des Backups über Bereinigung und Schließen des Zugangs bis zur Wiederherstellung verlorener Bestellungen, melden Sie sich oder rufen Sie +381 65 402 5000 an. Die Bereinigung beginnt bei 100 €, das Wartungspaket mit regelmäßigen Backups und Monitoring bei 30 € pro Monat.