Sie öffnen Ihre Website – und irgendetwas stimmt nicht. Vielleicht leitet sie plötzlich auf eine fremde Seite um. Vielleicht hat Ihr Hoster den Account gesperrt. Vielleicht hat Google eine Warnung angezeigt, und die Anfragen kommen nicht mehr rein.
Um sie zu beruhigen: Vorallem in den letzten Wochen und Monaten sind sie damit nicht allein. Der Einsatz von KI hält auch im Workflow von Hacker:innen Einzug und erlaubt einen systematischen Scan von Software mit sehr überschaubaren Ressourcen. Arbeiten die vorher teils Wochen oder Monate gedauert haben, werden nun in wenigen Stunden oder Tagen von KI automatisiert übernommen, Diese Entwicklung führt zu einem dramatischen Anstieg von gemeldeten (und ausgenutzten) Sicherheitslücken in den vergangenen 12 Monaten.
Woher wir das Wissen? Unser Geschäftsführer und Lead-Developer David Jardin ist seit Jahren Team-Lead des internationalen Joomla-Security-Teams und kennt die Materie entsprechend in- und auswendig.
Dieser Artikel zeigt Ihnen Schritt für Schritt, was zu tun ist, wenn Ihre Joomla-Website gehackt wurde. Und was Sie tun können, damit es nicht noch einmal passiert.
Inhaltsverzeichnis
- Woran erkenne ich, dass meine Joomla-Website gehackt wurde?
- Erste Maßnahmen: Was tun Sie jetzt sofort?
- Den Schaden einschätzen: Wie schlimm ist es?
- Bereinigung: Wie gehe ich vor?
- Ursachenanalyse: Wie kam der Angreifer rein?
- Härtung: Wie sichere ich meine Website dauerhaft?
- Google & Co.: Wie hebe ich Sperren auf?
- Selbst bereinigen oder Hilfe holen?
1. Woran erkenne ich, dass meine Joomla-Website gehackt wurde?
Hacks sind nicht immer offensichtlich. Viele Angreifer sind daran interessiert, möglichst lange unentdeckt zu bleiben – etwa um Spam-Links einzuschleusen, Besucher:innen auf Phishing-Seiten umzuleiten oder Ihre Server-Ressourcen für andere Zwecke zu missbrauchen.
Typische Anzeichen eines Hacks
- Weiterleitungen auf fremde Seiten – Besucher:innen landen plötzlich auf Spam- oder Phishing-Seiten, oft nur auf Mobilgeräten oder bei bestimmten Zugriffen
- Google-Warnung in den Suchergebnissen – „Diese Website wurde möglicherweise gehackt" oder „Gefährlich: Malware"
- Hoster sperrt den Account – Viele Hoster erkennen Schadsoftware automatisch und deaktivieren Accounts zum Schutz anderer Kund:innen
- Unbekannte Dateien oder Admin-Accounts – Wenn Sie im Backend plötzlich Nutzer:innen sehen, die Sie nicht angelegt haben, ist das ein sicheres Zeichen
- Spam-Mails von Ihrer Domain – Angreifer nutzen kompromittierte Server oft als Spam-Schleuder
- Auffällige Performance-Einbrüche – Wenn Ihre Website plötzlich extrem langsam ist, könnte das an laufenden Prozessen liegen, die Sie nicht gestartet haben
- Manipulierte Inhalte – Fremdsprachige Texte, Links auf unbekannte Websites oder veränderte Startseiten
Tipp: Richten Sie Google Search Console und ein einfaches Monitoring-Tool ein, bevor etwas passiert. Viele Hacks werden zuerst von Google entdeckt – nicht vom Website-Betreiber.
2. Erste Maßnahmen: Was Sie jetzt sofort tun sollten, wenn Ihre Joomla Website gehackt ist.
Das Allerwichtigste: Nicht in Panik verfallen – aber gleichzeitig gilt: keine Zeit verlieren. Folgendes sollten Sie als erstes tun:
Zugänge absichern
Ändern Sie sofort alle Passwörter, die mit der Website in Verbindung stehen:
- Joomla-Administrator-Passwort
- FTP/SFTP-Zugangsdaten
- Hosting-Control-Panel
Wichtig: Tun Sie das von einem sauberen Gerät aus. Wenn Ihr lokaler Rechner mit Malware infiziert ist, nützt ein neues Passwort wenig.
Backup sichern und damit den "Tatort" einfrieren
Sichern Sie den aktuellen Stand der gehackten Website, auch wenn er kompromittiert ist. Das klingt erstmal wenig intuitiv, hat aber einen Grund: Für die spätere Ursachenanalyse brauchen Sie den „Tatort" so, wie er war.
Ihren Hoster informieren
Die meisten Hoster haben eigene Sicherheitsteams und können Ihnen sagen, was auf Server-Ebene passiert ist. Außerdem sind Sie in vielen Hosting-Verträgen verpflichtet, einen Hack zu melden.
Website temporär einschränken
Wenn die Website aktiv Schadcode ausliefert oder Besucher:innen auf fremde Seiten umleitet, sollten Sie eine Wartungsseite aufschalten bzw. dafür Sorgen, dass keine weiteren Nutzer:innen mehr auf die Seite gelangen. Das schützt Ihre Nutzer:innen und verhindert weiteren Reputationsschaden.
3. Den Schaden einschätzen: Wie schlimm ist der Hack meiner Joomla-Website?
Nicht jeder Hack ist gleich. Es gibt einen Unterschied zwischen einer oberflächlichen Defacement-Attacke (jemand hat die Startseite entstellt) und einer tief verwurzelten Backdoor-Installation.
Drei Szenarien, die in der Praxis häufig vorkommen
Szenario A: Inhaltsmanipulation
Schadcode wurde in Datenbankinhalte oder Template-Dateien injiziert – zum Beispiel Spam-Links oder JavaScript-Redirects. Aufwand zur Bereinigung: mittel.
Szenario B: Backdoor / Shell
Ein Angreifer hat eine PHP-Shell oder ähnliche Schadsoftware hochgeladen, über die er dauerhaften Zugriff hat. Das ist gefährlich, weil er sich jederzeit wieder einloggen kann – auch nachdem Sie scheinbar alles bereinigt haben. Aufwand: hoch.
Szenario C: Server-Kompromittierung
Die Lücke liegt nicht in Joomla, sondern tiefer – im Server selbst oder in der Hosting-Infrastruktur. In diesem Fall reicht eine CMS-Bereinigung nicht aus. Aufwand: sehr hoch.
Zur Beruhigung: Dieses Szenario trifft bei professionellen Hosting-Dienstleistern quasi nie auf.
Nicht sicher, welches Szenario bei Ihnen vorliegt? Lassen Sie uns einen Blick drauf werfen →
4. Wie gehe ich bei der Bereinigung einer gehackten Joomla Website vor?
Wer sich auskennt, kann eine Bereinigung selbst durchführen. Das setzt jedoch einiges an Wissen voraus und ist für Seitenbetreiber:innen oftmals wenig praktikabel
Schritt 1: Prüfung woher der Angreifer kam
Im ersten Schritt gilt es festzustellen, was das vermeidliche Angriffstor des Hacks war. Professionelle Dienstleister:innen haben oftmals einen Überblick über kritische und verbreitete Sicherheitslücken in der Vergangenheit und so schnell einen ersten Anhaltspunkt. Erst wenn klar ist, woher der Angreifer kam, macht es Sinn mit der Bereinigung der Seite zu starten, oder ein Backup einzuspielen, dass definitiv älter ist, als der Zeitpunkt der Kompromitierung.
Server-Logs (Apache/Nginx Access-Log, Error-Log) sind in diesem Fall Gold wert. Dort sehen Sie, über welche URL der Angreifer reingekommen ist – oft verrät das auch, welche Erweiterung die Lücke hatte.
Überspringt man diesen Schritt kann es schnell passieren, dass man ein Backup einspielt, in dem die Sicherheitslücke bereits ausgenutzt wurde und der Schadcode so auch Teil des Backups ist.
Schritt 2 - Die eigentliche Bereinigung
Szenario A: Ein unkompromiotierstes Backup der Seite wieder einspielen
Das einfachste Szenario zur Bereinigung einer Joomla-Website nach einem Hack ist das Einspielen eines Fullbackups (Datenbank + Datei-System) vor der Kompromitierung der Seite. Dieses Verfahren ist dann praktikabel wenn:
- Ein Backup der Seite vorliegt (Hoster bieten meist Backups, teils jedoch mit relativ kurzer Vorhaltezeit)
- Auf der Seite seit der Erstellung des Backups keine wesentlichen Änderungen gemacht wurden
Besonders Punkt 2 ist hier zu beachten. Stellen wir uns beispielsweise vor, die Website unserer fiktiven Regionalzeitung wurde gehackt. Der Hack wurde am 15.10.2026 entdeckt. Das letzte "cleane" Backup ohne Schadcode ist vom 30.09.2026, also circa 2 Wochen alt. Würden wir nun dieses Fullbackup einspielen, wären sämtliche in der Zwischenzeit auf der Website veröffentlichen Artikel nach der Wiederherstellung verschwunden. Dieses Szenario trifft in der Regel also nur auf "statische" Marketing-Seiten mit geringer Änderungsfrequenz und ohne User-Generated-Content zu.
Szenario B: Die Joomla-Website manuell bereinigen
Sofern kein Backup vorliegt, oder die Wiederherstellung eines Backups aus den oben genannten Gründen unpraktikabel ist, führt kein Weg an einer manuellen Bereinigung der Seite vorbei. In diesem Fall müssen Datei-System und Datenbank "händisch" bereinigt werden. Das bedeutet, dass etwaige Dateien, die auf dem Webspace nix zu suchen haben gelöscht werden müssen und auch die Datenbank auf wenig vertrauenserweckende Inhalte geprüft werden sollte.
Leider sind Hacks hier oft recht "undankbar" und verteilen ihren Schadcode an verschiedenste Stellen des Datei-Systems. Die manuelle Bereinigung kann also je nach Umfang der Kompromitierung mit einem recht hohen Aufwand verbunden sein. Erfahrungswerte aus den vergangenen Hacks liegen hier bei circa. 1-4 Stunden Aufwand pro Seite.
Unterstützen können hierbei etwaige Schadcode-Scans von Anbietern wie backupmonkey.io oder vergleichbaren Anbietern. Diese Prüfen das Dateisystem automatisiert auf Aufälligkeiten und geben einen entsprechenden Report zurück.
Achtung: Die manuelle Bereinigung eines gehackten Joomla bedarf technischem Wissen und sollte ausschließlich von Leuten durchgeführt werden, die wissen, was sie tun. Andernfalls besteht ein nicht unerhebliches Risiko, dass die Bereinigung nicht vollständig ist und sich Angreifer durch hinterlegte "Backdoors" zu einem späteren Zeitpunkt erneut Zugriff über die Seite verschaffen. Hier gilt: Lieber ein Mal in den sauren Apfel beißen und die Mehraufwände in Kauf nehmen, anstat im Zweifelsfall ein zweites Mal schlecht darzustehen.
Keine Zeit oder keine Sicherheit, dass Sie alles erwischen? djumla übernimmt die Bereinigung →
5. Ursachenanalyse: Wie kam der Angreifer rein?
Das ist der wichtigste Schritt – und der, der am häufigsten übersprungen wird.
Wer einfach Malware entfernt und weitermacht, wird mit hoher Wahrscheinlichkeit innerhalb von Wochen erneut gehackt. Denn das Einfallstor ist noch offen.
Die häufigsten Einfallstore bei Joomla
- Veraltete Extensions – Das ist mit Abstand der häufigste Grund. Viele Angriffe laufen automatisiert und scannen das Web nach bekannten Lücken in verbreiteten Erweiterungen
- Schwache oder wiederverwendete Passwörter – Brute-Force-Angriffe auf das Backend sind häufig und effektiv, wenn keine Schutzmaßnahmen vorhanden sind. Abhilfe schafft hier beispielsweise ein Schutz per htaccess.
- Veralteter Joomla-Core – Auch Core-Lücken werden aktiv ausgenutzt, insbesondere kurz nach Veröffentlichung eines Security-Patches (Angreifer scannen dann nach ungepatchten Installationen)
- Unsichere Hosting-Umgebung – Geteilte Hosting-Umgebungen ohne Isolation können dazu führen, dass eine kompromittierte Nachbar-Website Ihre Installation angreift. Aber Entwarnung: In der Praxis ist sowas bei professionellen Dienstleistern quasi ausgeschlossen.
Unsere Erfahrung aus 20 Jahren Agenturgeschäft: Fast immer sind es veraltete Extensions, die dafür Sorgen, dass Website kompromitiert werden.
6. Härtung: Wie sichere ich meine Joomla-Website dauerhaft?
Nach der Bereinigung gilt: Das war kein Pech. Das war eine Lücke. Und Lücken lassen sich (in der Regel) schließen.
- Regelmäßige Updates: Halten Sie Joomla-Core und alle Extensions konsequent aktuell. Aktivieren Sie Benachrichtigungen über verfügbare Updates. An dieser Stelle sei noch ein Hinweis erlaubt: Regelmäßig bedeutet in diesem Kontext nicht "jeden Montag". Erfahrungswerte aus der Vergangenheit zeigen, dass Sicherheitslücken bereits wenige Stunden nach erscheinen des Security-Patches automatisiert und systematisch ausgenutzt werden. Hier bleiben meist also nur wenige Stunden Reaktionszeit. Andernfalls kann es bereits zu spät sein. Daher unser Tipp: Konzentrieren Sie sich auf ihr Kernbusiness. Website-Wartung ist leider in Zeiten von KI kein Thema, dass nebenbei bespielt werden kann, sondern sollte von professionellen Dienstleistern übernommen werden, die einen Einblick in die Community haben und somit frühzeitig von (potenziellen) Sicherheitslücken und entsprechenden Releases erfahren.
- Zwei-Faktor-Authentifizierung: Joomla bringt 2FA bereits mit. Aktivieren Sie es für alle Administrator-Accounts. Das allein verhindert einen Großteil der Brute-Force-Angriffe.
- Backup-Strategie: Automatisierte, regelmäßige Backups – extern gespeichert, nicht nur auf dem gleichen Server. Täglich, mindestens 30 Tage Aufbewahrung.
- Web Application Firewall (WAF): Eine WAF filtert bösartige Anfragen, bevor sie Joomla erreichen – entweder als Hosting-Feature oder über einen CDN-Dienst wie Cloudflare.
- Extensions aufräumen: Installieren Sie nur, was Sie wirklich brauchen. Und: Deinstallieren Sie Extensions vollständig (nicht nur deaktivieren) – inaktive Extensions können nach wie vor eine Angriffsfläche bieten.
Wir als Agentur haben schon vor den Angriffswellen der vergangenen Wochen alle von uns betreuten Websites mit einer zusätzlichen Härtung versehen, die dafür sorgt, dass hochgeladene PHP-Dateien in Upload-Ordnern (bspw. dem Bild-Verzeichnis von Joomla) nicht ausgeführt werden dürfen. Das verhindert zwar nicht, dass Sicherheitslücken auf diesen Seiten ausgenutzt werden können - Angreifer können nach wie vor PHP-Dateien in den entsprechenden Verzeichnissen platzieren. Der große Vorteil: Diese können aber im Anschluss nicht ausgeführt werden und somit keinen Schaden einrichten.
Ein Beispiel dafür kann wie folgt aussehen, muss aber je nach Seitensetup angepasst werden, um die Funktionen der Seite nicht einzuschränken (weitere Verzeichnisse bspw. von Extensions müssen freigegeben werden):
# Allow access to specific files
RewriteCond %{REQUEST_URI} !^/index\.php$
RewriteCond %{REQUEST_URI} !^/administrator/index\.php$
RewriteCond %{REQUEST_URI} !^/administrator/components/com_admintools/restore\.php$
RewriteCond %{REQUEST_URI} !^/administrator/components/com_akeeba/restore\.php$
RewriteCond %{REQUEST_URI} !^/administrator\/components\/com_joomlaupdate\/restore\.php$
RewriteCond %{REQUEST_URI} !^/administrator\/components\/com_joomlaupdate\/extract\.php$
RewriteCond %{REQUEST_URI} !^/backupcleaner\.php$
# Block access to all other existing .php files
RewriteCond %{REQUEST_URI} \.php$
RewriteCond %{REQUEST_FILENAME} -f
RewriteRule .* - [F]
7. Google & Co.: Wie hebe ich Sperren auf?
Wenn Google Ihre Website als gefährlich markiert hat, müssen Sie nach der Bereinigung aktiv werden:
- Überprüfung in der Google Search Console – Gehen Sie zu „Sicherheit und manuelle Maßnahmen" → „Sicherheitsprobleme". Dort sehen Sie, was Google beanstandet.
- Überprüfung beantragen – Sobald Sie die Bereinigung abgeschlossen haben, beantragen Sie eine manuelle Überprüfung. Google prüft Ihre Website und hebt die Warnung in der Regel innerhalb weniger Tage auf.
- Safe Browsing Status prüfen – Unter Google Safe Browsing können Sie jederzeit prüfen, ob Ihre Domain noch als gefährlich gelistet ist.
- Hoster-Sperre aufheben lassen – Informieren Sie Ihren Hoster nach der Bereinigung und bitten Sie um Reaktivierung. Legen Sie im Zweifel einen kurzen Bericht vor, was Sie bereinigt haben.
8. Selbst bereinigen oder professionelle Hilfe holen?
Eine ehrliche Einschätzung:
Selbst bereinigen ist sinnvoll, wenn …
- Sie technisches Know-how mitbringen (Server-Zugang, Datenbankverständnis, Umgang mit FTP/SSH)
- der Hack offensichtlich und oberflächlich ist - (was ohne Detailwissen quasi nicht einschätzbar ist)
- Sie die Ursache klar identifizieren können
Professionelle Unterstützung ist sinnvoll, wenn …
- Sie sich nicht sicher sind, ob Sie alles erwischt haben
- der Hack sich wiederholt – oder sich nach einer Bereinigung schnell wiederholt
- Ihre Website geschäftskritisch ist und Ausfallzeit echten Schaden verursacht
- Sie keine Zeit haben, die Sache gründlich anzugehen
Ein schlecht bereinigter Hack ist schlimmer als gar keiner – weil er in falscher Sicherheit wiegt, während die Backdoor weiter offen steht.
Wir übernehmen das für Sie – von der Analyse bis zur nachhaltigen Absicherung.
Jetzt Hack-Bereinigung anfragen →
Fazit
Ein Hack ist unangenehm – aber kein Weltuntergang. Wer strukturiert vorgeht, die Ursache findet und die richtigen Maßnahmen umsetzt, hat gute Chancen, die Website schnell und sauber wieder in Betrieb zu nehmen.
Das Wichtigste in Kürze:
- Sofort Passwörter ändern
- Backup sichern (nicht einspielen ohne Ursachenanalyse)
- Schadensbild einschätzen
- Gründlich bereinigen – Kerndateien, Datenbank, Extensions, Uploads
- Einfallstor finden und schließen
- Härten – Updates, 2FA, Monitoring, Backup-Strategie
- Google-Sperrung aufheben lassen
Haben Sie Fragen zu Ihrem konkreten Fall – oder brauchen Sie Unterstützung?
Wir helfen Ihnen →
