Kurz gesagt: Wenn Ihr Onlineshop gehackt wurde, geht es um drei Dinge gleichzeitig: Kundendaten schützen, Umsatz sichern und nachweisen, dass der Shop wieder sauber ist. Sind Sie betroffen? Melden Sie sich jetzt. Wir übernehmen remote Eindämmung, Ursachenanalyse, Bereinigung und Dokumentation und stimmen uns mit Ihren Dienstleistern ab.
Jetzt nichts löschen und nichts neu aufsetzen. Bevor Sie Dateien entfernen oder den Shop zurückspielen, müssen Dateien, Datenbank und Logs gesichert sein. Rufen Sie an oder schreiben Sie per WhatsApp. Der schnellste Weg ist Notfall melden.
Sind Sie betroffen? Anzeichen im Onlineshop
Bei Shops steht mehr auf dem Spiel als bei einer Visitenkarten-Seite. Achten Sie auf diese Signale:
- Kunden melden, dass ihre Karte oder ihr Konto nach einer Bestellung bei Ihnen missbraucht wurde
- Ihr Zahlungsdienstleister oder Ihre Bank fragt nach auffälligen Transaktionen
- im Bezahlvorgang erscheinen Felder, Fenster oder Weiterleitungen, die Sie nicht eingerichtet haben
- Bestellungen, Preise oder Gutscheine wurden ohne Ihr Zutun verändert
- im Administrationsbereich gibt es unbekannte Benutzer oder ungewöhnliche Anmeldungen
- Ihr Mailserver versendet Spam im Namen des Shops, oder Kunden erhalten Phishing-Mails mit Ihrem Absender
- Dateien in Verzeichnissen für Medien, Cache oder Plugins sind neu oder verändert, obwohl niemand deployt hat
- die Last steigt ohne erkennbare Besuchersteigerung
Was Sie jetzt sofort tun
- Entscheiden, ob die Kasse offline geht. Sobald Zahlungs- oder Kundendaten gefährdet sein könnten, nehmen Sie den Checkout oder den Shop vorübergehend vom Netz, etwa mit einer Wartungsseite. Der Entschluss liegt bei Ihnen; wir beraten dazu.
- Nichts löschen, nichts überschreiben. Keine Updates im Livesystem, kein Zurückspielen eines Backups.
- Zahlungsdienstleister vorbereiten. Prüfen Sie, welche Meldewege Ihr Vertrag vorsieht, und halten Sie die Ansprechpartner bereit.
- Logs aufbewahren. Bitten Sie Hoster und Agentur, Zugriffs-, Fehler- und Shop-Logs zu sichern. Die Fachpresse rät, Server-Logs ab dem 20.10.2026 aufzubewahren.
- Zugänge auflisten: Shop-Admin, Server, Datenbank, Zahlungsportale, Schnittstellen zu Warenwirtschaft und Versand. Passwörter erst nach Absprache ändern.
- Interne Stellen informieren: Geschäftsführung, Datenschutzbeauftragte, Versicherer. Hinweise zur Police stehen unter Cyberversicherung im Schadensfall.
- Uns melden, bevor Ihre Agentur den Shop auf eigene Faust repariert.
Wie hilft PHP SOS bei einem gehackten Onlineshop?
- Lage aufnehmen: Shopsystem, Version, PHP-Stand, Hoster, Zahlungsarten, eingebundene Dienste. Wir klären, welche Daten im Shop liegen.
- Sichern und eindämmen: Abbild von Dateien und Datenbank, Sicherung der Logs, Sperren auffälliger Zugänge, Absicherung der Kasse.
- Ursache und Umfang bestimmen: Wir prüfen Kerndateien, Erweiterungen, Templates, geplante Aufgaben und Datenbankinhalte auf Manipulationen und versuchen zu belegen, was abgeflossen sein kann. Wo die Spuren nicht reichen, sagen wir das offen.
- Bereinigen und wiederherstellen: Entfernen von Schadcode oder Neuaufbau aus vertrauenswürdigen Quellen, je nach Befund. Die Abwägung zwischen beidem beschreibt Neu aufsetzen oder bereinigen?.
- Härten, wieder freigeben, berichten: PHP-Stand, Rechte, Admin-Schutz, Überwachung. Sie erhalten eine Dokumentation, die Sie Zahlungsdienstleister, Datenschutzbeauftragten und Versicherer vorlegen können.
Wächst der Vorfall über den Shop hinaus, etwa auf Warenwirtschaft oder interne Systeme, wechseln wir in eine Incident Response. Wenn Sie rechtsfest wissen müssen, was passiert ist, kommt zusätzlich IT-Forensik in Betracht.
Kundendaten, Meldepflichten und Kommunikation
Im Shop liegen Namen, Adressen, Bestellungen und oft Zahlungsbezüge. Sobald solche Daten betroffen sein könnten, läuft eine Frist: Die DSGVO kennt eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, wenn ein Risiko für die Betroffenen nicht ausgeschlossen werden kann. Ob das für Ihren Fall gilt, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten oder einem Anwalt; wir geben keine Rechtsberatung. Wir liefern die technischen Grundlagen, die Sie dafür brauchen. Mehr zur Frist: DSGVO-Meldepflicht.
Auch die Kommunikation an Kunden gehört zum Vorfall. Wie Sie sachlich informieren, ohne etwas zu verschweigen oder zu spekulieren, beschreiben Kunden nach einem Vorfall informieren und Krisenkommunikation nach einem Angriff. Auf die Möglichkeit einer Anzeige gehen wir unter Anzeige bei der Polizei ein.
Shopsysteme und PHP-Stand
Ob WooCommerce, Shopware, Magento oder PrestaShop: Alle laufen auf PHP. Ein Update der Shopsoftware schließt die PHP-Lücken PHP2Shell nicht. Die Branchenseite IT-Sicherheit für Onlineshops fasst die Besonderheiten zusammen, die Plattformseiten WooCommerce und Shopware 6 gehen auf die Systeme im Einzelnen ein.
Wie wir den Shop wieder freigeben
Ein Shop geht erst dann wieder voll an den Start, wenn drei Dinge zusammenpassen: Der Schadcode ist entfernt, der Einstieg ist geschlossen und die Zugangsdaten sind erneuert. Dazu gehören Admin-Konten, Datenbankpasswörter, API-Schlüssel zu Zahlungs- und Versandanbietern sowie Mailzugänge. Wir prüfen den Checkout zuletzt mit einer Testbestellung, damit sichtbar ist, dass der Bezahlvorgang unverändert arbeitet. Danach empfehlen wir eine engere Überwachung für die folgenden Wochen, weil Angreifer bekannte Opfer gern erneut prüfen. Eine Garantie, dass nie wieder etwas geschieht, gibt es nicht; was es gibt, ist ein dokumentierter Stand und klare Zuständigkeiten.
Was Sie uns schicken sollten
- Shopsystem und Version, Hoster, wenn bekannt auch die PHP-Version
- was zuerst aufgefallen ist und seit wann
- Hinweise von Kunden, Bank oder Zahlungsdienstleister im Wortlaut
- Name der Agentur oder des Entwicklers, die den Shop betreuen
- Stand und Ort der letzten Sicherung
Warum PHP SOS
Wir arbeiten Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie bekommen einen Ansprechpartner, der Ihren Shop-Vorfall vom ersten Kontakt bis zum Abschluss führt. Wir arbeiten remote in ganz Deutschland und Europa, halten jeden Schritt schriftlich fest und versprechen nichts, was niemand halten kann. Wir arbeiten, bis der Vorfall abgeschlossen und dokumentiert ist.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Jede Stunde mit einem kompromittierten Checkout kann Kundendaten kosten. Melden Sie sich jetzt, per Anruf oder WhatsApp, und wir übernehmen ab der ersten Nachricht. Jetzt Notfall melden
Häufige Fragen
Soll ich meinen Onlineshop sofort abschalten, wenn er gehackt wurde?
Wenn Kundendaten oder Zahlungsvorgänge gefährdet sind, ist ein vorübergehendes Abschalten der Kasse oder des ganzen Shops oft die richtige Entscheidung. Das Abwägen zwischen Umsatzausfall und Schaden treffen Sie, wir liefern die technische Einschätzung dazu. Wichtig ist, dabei keine Dateien zu löschen.
Muss ich Kunden informieren, wenn mein Shop gehackt wurde?
Das hängt davon ab, ob personenbezogene Daten betroffen sein können und welches Risiko für die Betroffenen besteht. Treffen Sie die Entscheidung gemeinsam mit Ihrer oder Ihrem Datenschutzbeauftragten oder einem Anwalt. Unser Bericht liefert dafür die technischen Fakten.
Woran erkenne ich, dass im Checkout fremder Code Zahlungsdaten abgreift?
Hinweise sind unbekannte Skripte im Bezahlvorgang, Meldungen von Kunden über Missbrauch ihrer Karte nach einem Einkauf oder Hinweise des Zahlungsdienstleisters. Sicher klärt das nur eine Prüfung der Dateien und der Datenbank.
Kann ich den Shop einfach aus dem Backup wiederherstellen?
Ein Backup bringt Sie nur dann sauber zurück, wenn es vor dem Einbruch erstellt wurde und das Einfallstor danach geschlossen ist. Beides ist vorher oft unklar. Deshalb sichern wir zuerst und bewerten dann gemeinsam mit Ihnen.
Hilft die Soforthilfe auch bei Shopware, WooCommerce oder Magento?
Ja. Die Vorgehensweise ist bei allen PHP-Shops ähnlich: sichern, eindämmen, Ursache finden, bereinigen, härten. Systemspezifische Besonderheiten prüfen wir am jeweiligen Shop.