Month: September 2026

Wer an einen Hackerangriff denkt, stellt sich oft eine verunstaltete Startseite vor. In der Praxis ist es meist umgekehrt: Wer eine Website übernimmt, will möglichst lange unentdeckt bleiben. Eingeschleuster Code verschickt Spam, leitet einen Teil der Besucher um oder wartet einfach auf seinen Einsatz. Die folgenden fünf Anzeichen sind ein guter Anlass, genauer hinzuschauen.

1. Besucher landen auf fremden Seiten

Ein Kunde erzählt dir, er sei beim Aufruf deiner Website auf einer dubiosen Gewinnspiel- oder Shopseite gelandet, du selbst kannst das aber nicht nachvollziehen? Das ist typisch. Viele Umleitungen greifen nur auf dem Handy, nur beim ersten Besuch oder nur, wenn jemand über Google kommt. Angemeldete Administratoren sind oft bewusst ausgenommen.

2. Seltsame Suchergebnisse oder Warnungen von Google

Gib in Google «site:» gefolgt von deiner Domain ein. Tauchen Seiten mit fremdsprachigen Titeln, Medikamenten oder Markenartikeln auf, die du nie erstellt hast, hat jemand Inhalte eingeschleust. Auch eine Warnung im Browser oder eine Nachricht in der Google Search Console ist ein deutliches Signal.

3. Unbekannte Benutzer oder Dateien

Prüf in WordPress die Liste der Benutzer: Gibt es Administratoren, die niemand kennt? Ebenso verdächtig sind PHP-Dateien im Upload-Ordner. Dort gehören Bilder und Dokumente hin, kein ausführbarer Code. Auf meinem Server ist die PHP-Ausführung in Upload-Ordnern deshalb grundsätzlich verboten.

4. Die Website wird langsam oder verschickt Spam

Wird deine Website ohne erkennbaren Grund träge, oder meldet sich dein Anbieter, weil von deinem Konto Spam versendet wird, arbeitet möglicherweise fremder Code im Hintergrund mit. Auf meinem Server sind ausgehende Verbindungen des Webservers gesperrt: Eingeschleuster Code kann so weder Daten abschicken noch Spam versenden.

5. Das Sicherheits-Plugin meldet nichts

Klingt beruhigend, ist es aber nicht immer. Gute Schadsoftware schaltet Sicherheits-Plugins ab oder versteckt sich vor ihnen. Darum prüfe ich jede Website zusätzlich von aussen, über den Server: jede Nacht den WordPress-Kern gegen die offiziellen Prüfsummen, alle Code-Dateien gegen ihren Fingerabdruck und alle externen Verweise im Vergleich zum Vortag. Wenn du eines der Anzeichen bemerkst: nichts überstürzt löschen, Zugänge ändern und eine Fachperson beiziehen, die die Ursache findet und nicht nur das Symptom entfernt.

«Wir machen doch Backups.» Diesen Satz höre ich oft, meist kurz bevor sich herausstellt, dass die Sicherung unvollständig, veraltet oder gar nicht auffindbar ist. Eine Sicherung ist kein Selbstzweck. Was zählt, ist der Moment, in dem du sie brauchst, und dann muss die Wiederherstellung funktionieren.

Datenbank und Dateien gehören zusammen

Eine WordPress-Website besteht aus zwei Teilen: der Datenbank mit Texten, Einstellungen und Bestellungen und den Dateien mit Bildern, Themes und Plugins. Wer nur einen Teil sichert, hat im Ernstfall ein Puzzle mit fehlenden Stücken. Ich sichere deshalb jede Woche beides zusammen, als Komplettsicherung, sonntags in der Nacht.

Mehrere Stände statt nur einem

Wird eine Website unbemerkt manipuliert, steckt der fremde Code womöglich schon in der letzten Sicherung. Darum reicht ein einziger Stand nicht. Ich bewahre die letzten 4 Wochenstände und zusätzlich 3 Monatsstände auf. So lässt sich auch ein Zustand von vor einigen Wochen zurückholen.

Vor dem Zurückspielen: erst den Ist-Zustand sichern

Eine Wiederherstellung überschreibt den aktuellen Stand. Wer dabei vorschnell handelt, verliert unter Umständen Daten, die seit der Sicherung dazugekommen sind. Bei mir wird vor jeder Wiederherstellung automatisch eine Sicherheitskopie des aktuellen Stands gezogen. Danach geht das Zurückspielen per Klick.

Frag deinen Anbieter

Wenn du wissen möchtest, wie gut deine Website geschützt ist, stell deinem Anbieter drei einfache Fragen: Was genau wird gesichert? Wie viele Stände werden wie lange aufbewahrt? Und wann wurde zum letzten Mal eine Wiederherstellung durchgeführt? Klare Antworten sind ein gutes Zeichen.

Die unangenehmste Art, von einem Ausfall zu erfahren, ist die Mail eines Kunden: «Die Website geht nicht.» Bis dahin ist oft viel Zeit vergangen. Eine Erreichbarkeits-Wache dreht das um: Die Wache bemerkt den Ausfall, bevor es jemand anderes tut.

Was genau geprüft wird

Die Wache auf meinem Server ruft jede Website alle 2 Minuten auf. Dabei prüft sie, ob die verschlüsselte HTTPS-Verbindung zustande kommt, ob die Website mit einem gültigen Status antwortet und wie lange die Antwort dauert. Diese Werte landen in einem Verlauf, der im Panel für die letzten 30 Tage sichtbar ist.

Warum erst nach drei Fehlversuchen Alarm

Ein einzelner Aussetzer kann eine harmlose Ursache haben, etwa eine kurze Störung im Netz. Damit ein Alarm wirklich etwas bedeutet, schlägt die Wache erst nach 3 Fehlversuchen in Folge an, also nach rund 6 Minuten. Dann erhalte ich eine E-Mail und suche die Ursache. Ist die Website wieder erreichbar, folgt automatisch die Entwarnung mit der Dauer des Ausfalls.

Zertifikate und Server im Blick

Nicht jeder Ausfall kommt plötzlich. Ein abgelaufenes Zertifikat oder ein voller Speicher kündigen sich an. Ein zweiter Monitor prüft darum alle 5 Minuten Speicher, Arbeitsspeicher, Last und Zertifikate und warnt 14 Tage, bevor ein Zertifikat abläuft. Die Zertifikate von Let’s Encrypt erneuern sich zwar automatisch, die Warnung ist das Sicherheitsnetz, falls das einmal nicht klappt.

Was eine Wache nicht kann

Eine Wache bemerkt Probleme, lösen kann sie sie nicht. Dafür braucht es einen Menschen. Ich bin berufstätig, habe ein Privatleben und bin keine 24-Stunden-Hotline. Die Wache sorgt dafür, dass ich es in Minuten weiss und nicht erst Tage später – und mit meinem KI-Assistenten ist die Ursache meist schnell gefunden und behoben.