Kurz gesagt: Ist die Website Ihres Vereins gehackt oder steht sie auf ungepatchtem PHP, braucht es keinen großen Etat, aber klare Zuständigkeit. Ein Vorstandsmitglied fragt beim Hoster den Patchstand ab, sichert die Zugänge und entscheidet notfalls, die Seite vorübergehend abzuschalten. Mitgliederdaten haben dabei Vorrang vor dem Terminkalender.
Wie Vereinswebsites typischerweise aufgebaut sind
Die meisten Vereins- und Verbandsseiten laufen auf WordPress oder Joomla, eingerichtet von einem engagierten Mitglied, oft vor vielen Jahren. Typische Funktionen: Termine und Spielpläne, Fotogalerien, ein Mitgliederbereich mit Protokollen, Online-Mitgliedsanträge mit SEPA-Lastschriftmandat, Spendenformulare und Anmeldungen zu Kursen, Turnieren oder Fahrten.
Verbände betreiben zusätzlich Portale für Mitgliedsunternehmen oder Ortsgruppen, Gremienbereiche mit vertraulichen Unterlagen und Seminarbuchungen. Fast alles davon basiert auf PHP und liegt auf günstigem Webhosting.
Welche Mitgliederdaten auf dem Server liegen
Online-Mitgliedsanträge enthalten Namen, Geburtsdaten, Anschriften und Bankverbindungen. In Sportvereinen sind viele Mitglieder minderjährig, Anträge nennen dann auch die Erziehungsberechtigten. Manche Angaben gehören zu den besonderen Kategorien nach Art. 9 DSGVO, etwa Gesundheitsangaben im Reha- und Behindertensport oder die Mitgliedschaft in Gewerkschaften und religiösen Gemeinschaften.
Häufig liegen zusätzlich vergessene Dateien auf dem Server: Mitgliederlisten als Tabelle für den Kassenwart, Exporte für den Versand der Vereinszeitschrift, alte Backups. Gerade sie sind bei einem Angriff schnell kopiert.
Bei Verbänden kommen andere Daten hinzu: Ansprechpartner und Kennzahlen von Mitgliedsunternehmen, Stellungnahmen im Entwurf, Protokolle von Vorstands- und Fachausschusssitzungen. Was dort vertraulich besprochen wurde, kann bei einem Abfluss Verhandlungspositionen schwächen oder Mitglieder gegeneinander aufbringen. Für Verbände ist der Mitgliederbereich deshalb oft heikler als die öffentliche Website.
Verein und Website gehackt: was das konkret bedeutet
- Missbrauch von Bankdaten: Mit Namen und IBAN lassen sich gefälschte Lastschriften oder Betrugsmails im Namen des Vereins vorbereiten.
- Ruf in der Gemeinde: Eine Vereinsseite, die auf dubiose Angebote umleitet, fällt Mitgliedern, Sponsoren und der Lokalpresse auf.
- Meldepflicht: Auch Vereine sind Verantwortliche nach DSGVO. Bei einem Datenabfluss kann eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig sein. Größere Vereine haben dafür einen Datenschutzbeauftragten, kleinere wenden sich an Dachverband oder Rechtsberatung.
Die typische Lücke: Ehrenamt und Vorstandswechsel
Im Verein kennt oft nur eine Person die technischen Details. Tritt sie aus oder wechselt der Vorstand, fehlen Zugangsdaten, und niemand weiß, welche PHP-Version läuft. Ein CMS-Update schließt PHP2Shell nicht. Zuständig für PHP ist bei normalem Webhosting der Hoster, die Nachfrage muss aber vom Verein kommen.
Legen Sie im Vorstand fest, wer für die Website verantwortlich ist, und hinterlegen Sie Zugänge zu Domain, Hosting und Admin-Bereich so, dass mindestens zwei Personen darauf zugreifen können. Schützen Sie Admin-Konten mit Zwei-Faktor-Anmeldung.
Erste Schritte für den Vorstand
- Beim Hoster schriftlich fragen: Ist PHP für unser Paket auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert oder per Backport gepatcht und neu gestartet?
- Ohne klare Antwort oder bei Auffälligkeiten die Seite vorübergehend abschalten. Termine lassen sich so lange per Rundmail verteilen.
- Den Hoster bitten, Logs ab dem 20.10.2026 aufzubewahren.
- Alte Mitgliederlisten, Exporte und ungenutzte Plugins vom Server entfernen und überzählige Admin-Konten löschen.
- Bei Hinweisen auf einen Datenabfluss Datenschutzbeauftragten oder Dachverband einbeziehen.
Mit kleinem Budget sinnvoll priorisieren
Kein Verein muss jede Sicherheitsmaßnahme auf einmal umsetzen. Sinnvoll ist eine Reihenfolge nach Schaden: Zuerst alles schützen oder entfernen, was Bankverbindungen und Daten von Kindern enthält. Dann die Seiten mit Login, also Mitgliederbereich und Admin-Zugang. Zuletzt Termine, Berichte und Galerien, die ohnehin öffentlich sind.
Oft ist die günstigste Lösung, Funktionen abzugeben statt sie selbst zu betreiben. Mitgliedsanträge und Lastschriftmandate lassen sich über eine Vereinsverwaltung abwickeln, die ein Anbieter betreibt, statt über ein selbst gebautes Formular. Verbände mit Portalen für Mitgliedsunternehmen sollten prüfen, ob dort vertrauliche Gremienunterlagen liegen, die besser in einem separat geschützten System aufgehoben wären. Je weniger Daten auf der Vereinswebsite liegen, desto weniger Aufwand verursacht die nächste Lücke.
Wie hilft PHP SOS konkret?
- Wir helfen dem Vorstand, Zugänge zurückzubekommen, und klären mit dem Hoster den Patchstand.
- Bei Verdacht prüfen wir die Seite auf Schadcode und unbekannte Konten und bereinigen sie über unsere Notfallhilfe.
- Wir räumen gezielt auf: Was ein Verein nicht braucht, wird entfernt, statt es weiter abzusichern.
- Wir geben Ihnen eine kurze, verständliche Übergabe mit, damit auch der nächste Vorstand weiß, was wo liegt.
Häufige Fragen
Haftet der Vorstand, wenn die Vereinswebsite gehackt wird?
Der Verein ist für die Daten seiner Mitglieder verantwortlich, und der Vorstand vertritt den Verein. Ob und wie weit eine persönliche Haftung in Betracht kommt, hängt vom Einzelfall und der Satzung ab. Das ist eine Frage für Rechtsberatung oder den Dachverband.
Unser Webmaster ist ausgetreten. Wie kommen wir an die Zugänge?
Vertragspartner des Hosters ist in der Regel der Verein. Mit einem Nachweis der Vertretungsberechtigung, etwa einem Registerauszug, kann der Vorstand beim Hoster Zugänge zurücksetzen lassen. Danach sollten die Zugangsdaten an einem Ort liegen, auf den mindestens zwei Vorstandsmitglieder Zugriff haben.
Was kostet es nichts und hilft sofort?
Beim Hoster schriftlich nach dem PHP-Patchstand fragen, ungenutzte Admin-Konten löschen, nicht mehr benötigte Plugins entfernen und alte Mitgliederexporte vom Server löschen. Das senkt das Risiko deutlich, ersetzt aber keine Prüfung, wenn bereits Anzeichen eines Hacks vorliegen.