Woran erkenne ich, dass meine Joomla-Seite gehackt wurde?

Nicht jede Auffälligkeit auf einer Joomla-Seite bedeutet gleich einen Hack – aber viele der klassischen Warnsignale sind eindeutig genug, um sie ernst zu nehmen. Das Problem ist meist nicht, dass gar nichts auffällt, sondern dass Betreiber unsicher sind, ob es sich wirklich um einen Angriff handelt oder um einen harmlosen technischen Fehler.

Dieser Ratgeber ordnet die häufigsten Anzeichen bei kompromittierten Joomla-Installationen ein, zeigt, wie Sie den Verdacht mit einfachen Mitteln überprüfen, und erklärt, welche Schritte nach einem bestätigten Hack wirklich sinnvoll sind – und welche nur Symptome kaschieren.

Wichtig vorab: Ein Hack ist fast nie Zufall. Angreifer nutzen in aller Regel bekannte Schwachstellen aus – in veralteten Erweiterungen, im Joomla-Kern selbst oder über schwache Zugangsdaten. Wer die folgenden Anzeichen kennt, verliert bei einem echten Vorfall weniger wertvolle Zeit damit, den Verdacht erst einmal für sich zu behalten.

Typische Anzeichen, dass Ihre Joomla-Seite gehackt wurde

Die folgenden Symptome treten bei den meisten kompromittierten Joomla-Seiten in ähnlicher Form auf. Einzelne Punkte können auch andere Ursachen haben, mehrere davon gleichzeitig sind aber ein starkes Indiz.

• Fremde Weiterleitungen: Besucher landen statt auf Ihrer Seite plötzlich auf einer anderen Domain – etwa einem Online-Shop, einer Casino- oder Dating-Seite.
• Eingeblendete Werbung oder Spam-Links: Auf der Seite tauchen Anzeigen, Pop-ups oder Textlinks auf, die Sie nie selbst eingefügt haben – teils gut versteckt im Quelltext oder in Artikeltexten.
• Google-Warnung: In der Google Search Console erscheint unter „Sicherheitsprobleme" ein Hinweis wie „Diese Website wurde möglicherweise gehackt", oder Besucher sehen im Browser eine Safe-Browsing-Warnung vor dem Seitenaufruf.
• Plötzlicher Ranking-Absturz: Rankings und organischer Traffic brechen ohne erkennbaren Grund massiv ein – oft, weil Google die Seite abgestraft oder aus dem Index genommen hat.
• Unbekannte Super-User-Konten: Im Joomla-Backend unter „System → Benutzer" taucht ein Konto mit Super-Administrator-Rechten auf, das Sie nicht angelegt haben – oft mit unauffälligem oder täuschend echtem Benutzernamen.
• Veränderte oder unbekannte Dateien: Im Dateisystem finden sich neue PHP-Dateien, veränderte Kerndateien oder Ordner mit kryptischen Namen, die dort nicht hingehören.
• Spam-Mails über die eigene Domain: Ihr Hoster oder Kunden melden, dass massenhaft Spam-Mails von einer Adresse Ihrer Domain verschickt werden.
• Sperrung durch den Hoster: Der Hosting-Anbieter sperrt die Seite vorübergehend wegen Missbrauchsmeldungen oder auffälligem Verhalten.
• Ungewöhnlich hohe Serverlast: Die Seite wird ohne erklärbaren Besucheranstieg spürbar langsamer, weil im Hintergrund fremde Skripte laufen – etwa für Spam-Versand oder als Teil eines Botnetzes.

So prüfen Sie den Verdacht

Bevor Sie vorschnell handeln, lohnt sich eine strukturierte Prüfung. So vermeiden Sie sowohl Fehlalarme als auch, einen echten Hack zu übersehen.

Inkognito-Fenster und ein anderes Gerät oder Netz nutzen. Viele Angreifer setzen auf sogenanntes Cloaking: Eingeloggten Admins oder wiederkehrenden Besuchern wird die normale Seite gezeigt, neuen Besuchern aus Suchmaschinen dagegen die manipulierte Version mit Weiterleitung oder Spam-Inhalten. Prüfen Sie die Seite deshalb im Inkognito-Modus, ausgeloggt, und wenn möglich zusätzlich von einem anderen Gerät oder Netzwerk aus.

Google Search Console auf Sicherheitsprobleme prüfen. Unter „Sicherheit & manuelle Maßnahmen" zeigt die Search Console an, ob Google Schadsoftware, Spam-Inhalte oder gehackte Inhalte auf Ihrer Seite erkannt hat – meist mit konkreten Beispielen betroffener URLs.

Benutzerliste unter System → Benutzer kontrollieren. Werfen Sie im Joomla-Backend unter „System → Verwalten → Benutzer" einen Blick auf alle Konten mit Super-Administrator- oder Administrator-Zugriffsebene. Prüfen Sie dabei auch das Anlegedatum jedes Kontos – ein Account, der zu einem Zeitpunkt entstand, an dem Sie nachweislich niemanden angelegt haben, ist ein klares Warnsignal.

Zuletzt geänderte Dateien sichten. Per FTP, SFTP oder Dateimanager im Hosting-Panel lässt sich das Änderungsdatum von Dateien sortieren. Wurden kürzlich Dateien verändert, die eigentlich niemand angefasst hat – etwa im Joomla-Kernverzeichnis, in Templates oder in Erweiterungsordnern –, ist das ein starker Hinweis.

Externen Scanner als Erst-Check nutzen. Ein kostenloser externer Malware-Scanner prüft die öffentlich sichtbare Seite auf bekannte Schadcode-Muster, Blacklist-Einträge und verdächtige Skripte. Das ist ein guter erster Anhaltspunkt, aber ehrlich eingeordnet: Der Scan sieht nur, was von außen sichtbar ist. Serverseitig versteckte Schadsoftware, Backdoors ohne sichtbare Auswirkung oder Manipulationen in der Datenbank erkennt ein solcher externer Scan häufig nicht. Ein „sauberes" Ergebnis ist also kein vollständiger Entwarnungsbeweis.

Sofortmaßnahmen bei bestätigtem Hack

Bestätigt sich der Verdacht, kommt es auf die Reihenfolge an. Diese Schritte sollten möglichst zügig, aber überlegt erfolgen:

• Alle Zugangsdaten ändern: Joomla-Login, FTP- beziehungsweise SFTP-Zugang, Datenbank-Passwort und der Login beim Hosting-Anbieter. Angreifer nutzen kompromittierte Zugangsdaten häufig für einen erneuten Zugriff, selbst nachdem sichtbare Schäden beseitigt wurden.
• Ist-Zustand sichern: Bevor Sie irgendetwas löschen, sichern Sie den aktuellen, kompromittierten Zustand vollständig – Dateien und Datenbank. Dieses Backup dient als Beweissicherung und als Grundlage für eine spätere Analyse, welche Schwachstelle ausgenutzt wurde.
• Seite gegebenenfalls offline oder in den Wartungsmodus versetzen: Solange Schadinhalte aktiv sind, sollten Besucher nicht mit ihnen in Kontakt kommen. Eine temporäre Offline-Schaltung oder ein Wartungshinweis verhindert weiteren Schaden, während die Bereinigung läuft.

Wichtig: Löschen Sie nicht einfach die offensichtlich befallenen Dateien und erklären die Sache damit für erledigt. Das beseitigt zwar die sichtbaren Symptome, aber nicht die Ursache.

Warum bloßes Löschen der Malware-Dateien nicht reicht

Eine Schadsoftware auf der Seite ist immer eine Folge, nicht die eigentliche Ursache. Irgendwo gab es eine Einfallstür: eine veraltete Erweiterung mit bekannter Sicherheitslücke, ein veraltetes Joomla selbst, ein kompromittiertes Passwort oder ein verwundbares Formular. Wird nur die eingeschleuste Datei entfernt, die Lücke selbst aber nicht identifiziert und geschlossen, bleibt der Zugang für den Angreifer im Zweifel weiter offen.

Besonders relevant bei Joomla: Der Support für Joomla 3 endete offiziell im August 2023 – seither erhält der Kern keine Sicherheitsupdates mehr. Wer noch auf Joomla 3 läuft, betreibt damit dauerhaft eine Version, deren bekannt gewordene Schwachstellen nicht mehr geschlossen werden. Mehr dazu, was das konkret bedeutet und welche Schritte zum Umstieg sinnvoll sind, in unserem Artikel zum Joomla-3-Support-Ende.

Typische Einfallstore sind also veraltete Erweiterungen oder ein veraltetes Joomla mit öffentlich bekannten Sicherheitslücken, wiederverwendete oder schwache Passwörter sowie kompromittierte FTP- oder Hosting-Zugänge. Erst wenn klar ist, über welchen dieser Wege der Angreifer hereinkam, lässt sich die Lücke gezielt schließen – ein pauschales „alles updaten und hoffen" reicht dafür in der Regel nicht aus.

In der Praxis führt das häufig zu einer Reinfektion binnen weniger Tage oder Wochen – oft sogar mit derselben Schadsoftware, weil automatisierte Angriffs-Skripte regelmäßig erneut nach derselben Lücke suchen. Eine saubere Bereinigung umfasst deshalb immer auch, den Angriffsweg zu finden, alle eingeschleusten Hintertüren (sogenannte Backdoors) und unbekannten Benutzerkonten zu entfernen und die zugrunde liegende Schwachstelle zu schließen – nicht nur die auffälligste Datei.

Wenn das nicht reicht

Die hier beschriebenen Schritte helfen, einen Hack zu erkennen und erste Schäden zu begrenzen. Die eigentliche Ursachenanalyse und vollständige Bereinigung – inklusive Backdoor-Suche und geschlossener Sicherheitslücke – erfordert aber technische Erfahrung, die im Alltag nicht jeder Website-Betreiber hat. Wenn Ihnen dafür die Zeit oder das Fachwissen fehlt, unterstützen wir mit einer professionellen Bereinigung mit Festpreis-Analyse.

Häufige Fragen