Kurz gesagt: Sind Sie betroffen? Rufen Sie an. Wir helfen. Haben Sie den Verdacht, dass Ihr Server gehackt wurde, zählt zuerst eines: Spuren erhalten. Wir übernehmen remote ab der ersten Nachricht das Lagebild, die Sicherung, die Eindämmung, die Bereinigung und die Dokumentation, bis der Vorfall abgeschlossen ist.
Jetzt nichts löschen und nichts neu aufsetzen. Auch kein Backup zurückspielen, bevor gesichert wurde. Wer aufräumt, vernichtet genau die Spuren, die zeigen, wie der Angreifer hereinkam. Notfall melden, dann gehen wir gemeinsam vor.
Sind Sie betroffen? Anzeichen, dass ein Server gehackt wurde
Ein Verdacht reicht, um sich zu melden. Sie müssen den Angriff nicht beweisen. Typische Hinweise sind:
- Der Webserver oder PHP-FPM startet Prozesse wie
shoderbash. Das ist ein starkes Warnsignal, das wir auf der Seite Der Webserver startet eine Shell erklären. - In Upload-, Cache- oder Temp-Ordnern liegen neue oder unbekannte PHP-Dateien.
- Es gibt Cronjobs, die niemand angelegt hat, oder SSH-Schlüssel, die keiner zuordnen kann.
- Die Last ist ohne erkennbaren Grund hoch, oder der Server baut ungewöhnliche ausgehende Verbindungen auf.
- Mails Ihres Servers landen im Spam oder werden abgelehnt.
- Der Hoster, ein Kunde oder eine Warnung im Browser meldet Schadcode.
- Im CMS tauchen Administratorkonten auf, die niemand angelegt hat.
Weitere Anzeichen finden Sie unter Bin ich schon kompromittiert?. Treffen mehrere Punkte zu, behandeln Sie den Server als gehackt, bis das Gegenteil belegt ist.
Server gehackt: Was Sie jetzt sofort tun
- Ruhe bewahren und nichts verändern. Keine Dateien löschen, keine „schnellen Reparaturen“, keine Neuinstallation über den alten Stand.
- Zeitpunkt festhalten. Notieren Sie, was Sie wann beobachtet haben, und wer zuletzt Änderungen am System vorgenommen hat.
- Logs bewahren. Zugriffs-, Fehler- und Systemprotokolle dürfen nicht rotieren oder überschrieben werden. Bei PHP2Shell rät die Fachpresse, Server-Logs ab dem 20.10.2026 aufzubewahren.
- Angriffsfläche verkleinern. Nehmen Sie den Server vom öffentlichen Netz oder sperren Sie ihn per Firewall, wenn Daten abfließen könnten. Schalten Sie ihn nicht einfach aus.
- Zugänge sammeln. Wer hat SSH-, Panel-, FTP-, CMS- und Datenbankzugang? Ändern Sie Passwörter erst nach Absprache und nur von einem sauberen Gerät aus.
- Ansprechpartner benennen. Eine Person mit Entscheidungsbefugnis sollte erreichbar sein, auch für Abschalten und Neustarts.
- Melden Sie sich jetzt. Rufen Sie an oder schreiben Sie per WhatsApp. Alles Weitere klären wir mit Ihnen Schritt für Schritt.
Vom Netz nehmen oder weiterlaufen lassen?
Das ist die häufigste Frage in den ersten Minuten, und sie hat keine pauschale Antwort. Läuft ein Onlineshop mit Zahlungen oder ein Portal mit Kundendaten, überwiegt meist der Schutz der Daten. Dann ist ein vorübergehendes Abschotten richtig, etwa über eine Wartungsseite oder eine Firewall-Regel, die nur Ihre Administratoren zulässt.
Ein hartes Ausschalten ist dagegen selten der beste erste Schritt, weil im Arbeitsspeicher Spuren liegen, die ein Neustart löscht. Besser ist ein Abbild des Systems, zum Beispiel ein Snapshot beim Hoster, bevor etwas verändert wird. Bei der PHP2Shell-Lage empfiehlt das BSI, Webserver vorübergehend vom Netz zu nehmen, wenn ein Update nicht sofort möglich ist. Das bedeutet nicht, dass jeder abgeschaltete Server gehackt wurde.
Ob Sie in Ihrem Fall abschotten, drosseln oder weiterlaufen lassen, entscheiden wir mit Ihnen anhand dessen, was auf dem System liegt.
Neu aufsetzen oder bereinigen?
Viele wollen den Server am liebsten sofort neu aufbauen. Das ist nicht falsch, aber erst nach der Sicherung. Sonst bleibt unklar, wie der Angreifer hereinkam, und derselbe Weg steht auch dem neuen System offen. Die Abwägung beschreibt die Seite Server neu aufsetzen oder bereinigen?, die Sicherung vor einem Neuaufbau die Seite Beweise sichern, bevor Sie neu aufsetzen.
Wichtig: Ein PHP-Update allein löst das Problem nicht. Es schließt die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware. Wie sich Spuren in den Protokollen finden lassen, steht unter Webserver-Logs nach einem Angriff auswerten. Und gehen Sie davon aus, dass Zugangsdaten aus Konfigurationsdateien mitgelesen wurden: Datenbank-, Mail- und API-Zugänge gehören auf die Liste der zu erneuernden Geheimnisse.
Wie hilft PHP SOS konkret?
- Lage aufnehmen: Wir klären mit Ihnen, was beobachtet wurde, welche Systeme betroffen sein könnten und welche Daten dort liegen.
- Sichern und schließen: Wir sichern Dateien, Datenbank und Logs, bevor etwas verändert wird. Danach dämmen wir den Angriff ein und schließen die Einfallstür, bei PHP2Shell mit Patch und Neustart aller PHP-Prozesse.
- Prüfen und bereinigen: Wir suchen nach Webshells, Hintertüren, Cronjobs und fremden Zugängen und entfernen sie. Details stehen unter Malware und Webshells entfernen lassen.
- Härten und berichten: Sie erhalten eine Dokumentation mit Zeitleiste, Fundstellen und Empfehlungen. Reicht der Vorfall über einen Server hinaus, wechseln wir in eine strukturierte Incident Response.
Was Sie nicht tun sollten
Im Stress passieren vermeidbare Fehler. Löschen Sie keine „verdächtigen“ Dateien auf Verdacht, ohne sie vorher gesichert zu haben. Führen Sie keine Befehle aus Foren aus, die Sie nicht verstehen. Und installieren Sie keine Sicherheits-Plugins auf einem Server, der möglicherweise schon kompromittiert ist: Schadcode kann Scanner täuschen, und das Ergebnis wiegt Sie in falscher Sicherheit. Vorsicht auch bei Tipps, alle Anfragen mit einer bestimmten Sitzungs-ID zu blockieren; Fachautoren lehnen solche Ratschläge zu PHP2Shell ausdrücklich ab. Sicher prüfen können Sie die eigene Version mit php -v und einem Blick in den Paket-Changelog Ihrer Distribution, denn Backports lassen die Versionsnummer oft gleich.
Was Sie uns schicken sollten
- eine kurze Beschreibung: was ist aufgefallen, seit wann, was wurde zuletzt geändert
- die Art des Systems: eigener Server, vServer, Managed Server oder Hosting-Paket
- den Zugang per SSH oder Panel oder die Erlaubnis, mit Ihrem Hoster zu sprechen
- Hinweise zu vorhandenen Sicherungen und deren Alter
- Warnmeldungen von Hoster, Browser oder Kunden im Wortlaut
Fehlt etwas davon, melden Sie sich trotzdem. Die Lücken schließen wir im Gespräch.
Warum PHP SOS
Wir arbeiten Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie haben einen Ansprechpartner, wir arbeiten remote, ohne Anfahrt, in ganz Österreich und Europa. Jeder Schritt wird dokumentiert, und wir trennen offen zwischen belegt, wahrscheinlich und unbekannt. Versprechen, die niemand halten kann, machen wir nicht. Ein Überblick über die Nachbereitung steht in der Checkliste nach einem Hack, die ganze Notfallhilfe unter Website gehackt? Notfallhilfe remote. Zur Meldepflicht bei Datenpannen lesen Sie die 72-Stunden-Regel; die rechtliche Bewertung bleibt bei Datenschutzbeauftragten und Anwälten.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Warten Sie nicht, bis aus dem Verdacht ein größerer Schaden wird. Wir übernehmen ab der ersten Nachricht und bleiben dran, bis der Vorfall abgeschlossen und dokumentiert ist. Jetzt Notfall melden.
Häufige Fragen
Server gehackt: Soll ich ihn sofort ausschalten?
Nicht übereilt. Ein Abschalten kann flüchtige Spuren im Arbeitsspeicher vernichten. Besser ist es, den Server vom Netz zu trennen oder per Firewall abzuschotten und zuerst zu sichern. Wenn Sie unsicher sind, melden Sie sich vorher bei uns.
Wie finde ich heraus, ob mein Server wirklich gehackt wurde?
Hinweise liefern Prozesse, die der Webserver startet, neue PHP-Dateien in Upload- oder Cache-Ordnern, unbekannte Cronjobs und SSH-Schlüssel sowie ungewöhnliche ausgehende Verbindungen. Sicherheit gibt erst eine Analyse der Logs und Dateien. Es gibt keine bestätigten PHP2Shell-Indikatoren, die Erkennung beruht auf Verhaltensanalyse.
Reicht ein PHP-Update, wenn der Server schon gehackt wurde?
Nein. Ein Patch schließt die Einfallstür, entfernt aber keine bereits eingeschleuste Schadsoftware und beweist nicht, dass vorher nichts passiert ist. Nach dem Update müssen außerdem alle PHP-Prozesse neu gestartet werden.
Muss ich einen gehackten Server melden?
Wenn personenbezogene Daten betroffen sein könnten, kann eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig sein. Die Einschätzung treffen Ihre Datenschutzbeauftragte oder Ihr Anwalt, wir liefern dafür die technischen Fakten.
Kann ich den gehackten Server selbst bereinigen?
Bei kleinen Systemen ist das möglich, aber riskant: Wer nur sichtbare Dateien entfernt, übersieht oft Hintertüren, Cronjobs oder Zugänge. Wir prüfen, ob eine Bereinigung reicht oder ein Neuaufbau aus sauberen Quellen sinnvoller ist.