Joomla gehackt: erkennen, bereinigen und dauerhaft schützen

„Joomla gehackt" ist eine Suche, die meist in Panik getippt wird: nach einer roten Warnung im Browser, einer E-Mail vom Hoster oder seltsamen Inhalten auf der eigenen Seite. Wir kennen diese Situation aus erster Hand. Im Juni 2026 haben wir ein Kundenprojekt bereinigt, bei dem ein Hoster „Schadsoftware gefunden" gemeldet hatte, eine Joomla-5-Website auf Shared Hosting. Was wie ein kleiner Putzauftrag aussah, entpuppte sich als tief verankerter Angriff. Aus dieser Erfahrung ist diese sechsteilige Serie entstanden. Dieser Beitrag ist der Überblick. Er zeigt Ihnen, woran Sie einen Hack erkennen, was Sie sofort richtig tun, in welcher Reihenfolge Sie bereinigen und wie Sie Ihre Seite dauerhaft schützen. Für jedes Thema verlinken wir auf den passenden Detail-Beitrag.

Ein gehackter Joomla lässt sich in fast allen Fällen vollständig retten. Entscheidend ist nicht, wie schnell Sie Dateien löschen, sondern in welcher Reihenfolge Sie vorgehen: zuerst die Verankerung des Angreifers entfernen, dann die Prozesse, dann die Dateien, und erst danach das Einfallstor schließen. Wer diese Reihenfolge umdreht, ist binnen Stunden erneut infiziert.

Diese Serie besteht aus sechs Beiträgen. Dieser Überblick bündelt sie, jeder andere Beitrag vertieft ein Thema. So finden Sie schnell genau die Hilfe, die zu Ihrer Lage passt.

Woran Sie einen gehackten Joomla erkennen

Bevor Sie etwas unternehmen, sollten Sie sicher sein, dass tatsächlich ein Angriff vorliegt. Manche Symptome haben harmlose Ursachen, etwa ein abgelaufenes Zertifikat oder ein fehlerhaftes Update. Andere sind eindeutige Warnzeichen. In unserem Kundenprojekt kam der erste Hinweis vom Hoster: eine kurze E-Mail mit dem Hinweis, dass „Schadsoftware gefunden" wurde. Das ist einer der häufigsten Wege, auf dem Betreiber von einem Befall erfahren.

Typische Anzeichen für einen Hack

Achten Sie auf diese Signale. Treffen mehrere davon zu, ist ein Angriff sehr wahrscheinlich:

• Ihr Hoster oder ein Sicherheitsdienst meldet Schadsoftware oder sperrt einzelne Dateien.
• Google zeigt in den Suchergebnissen die Warnung „Diese Website kann Ihren Computer schädigen", oder der Browser blockiert den Zugriff.
• Es tauchen Unterseiten, Weiterleitungen oder Inhalte auf, die Sie nie angelegt haben, oft mit Spam-Themen wie Glücksspiel oder Medikamenten.
• Im Joomla-Backend gibt es Administrator-Konten, die Sie nicht kennen.
• Die Seite lädt auffällig langsam, oder der Server meldet ungewöhnlich hohe Last.
• Im Dateiverzeichnis liegen Dateien mit kryptischen Namen oder an Stellen, an die sie nicht gehören, etwa ausführbarer Code in einem Bilder-Ordner.

Wie Sie diese Anzeichen sicher prüfen und Schritt für Schritt darauf reagieren, lesen Sie ausführlich im Beitrag Joomla-Website gehackt? So bereinigen Sie sie Schritt für Schritt.

Sofort das Richtige tun

Wenn der Verdacht bestätigt ist, zählt ein kühler Kopf mehr als Tempo. Übereilte Aktionen löschen oft genau die Spuren, die Sie später für die Analyse brauchen. Die folgenden Schritte sind der ruhige Einstieg in jede Bereinigung.

Das ist nur der Anfang. Die vollständige Bereinigung mit allen Schritten, von der Persistenz bis zur Google-Warnung, beschreiben wir im Detail im Beitrag Joomla-Website gehackt? So bereinigen Sie sie Schritt für Schritt.

Das Reihenfolge-Prinzip in Kürze

Das ist die wichtigste Lektion aus unserem Kundenprojekt, und sie hat uns selbst beim ersten Anlauf gefehlt. Unser erster Versuch scheiterte, weil wir nur die offensichtlichen Schaddateien entfernt hatten. Die Symptome verschwanden kurz, alles sah sauber aus. Wenige Stunden später war die Seite erneut infiziert.

Der Grund: Ein moderner Angriff besteht nicht nur aus sichtbaren Schaddateien. Der Angreifer richtet eine sogenannte Persistenz ein, also Mechanismen, die ihn wieder ins System bringen, selbst wenn einzelne Dateien gelöscht werden. In unserem Fall waren das automatisch ausgeführte Aufgaben (Cronjobs), ein getarnter Prozess, der sich als harmloser System-Prozess maskierte, eine Fernverbindung über ein sogenanntes gsocket-Relay, das Verbindungen durch Firewalls hindurch aufbaut, sowie ein Dropper, der etwa alle zehn Minuten neue Schaddateien anlegte. Wer nur die Dateien löscht, beseitigt das Symptom, nicht die Ursache.

Erst als wir die Reihenfolge umstellten, war der Befall dauerhaft weg. Diese vier Stufen sind das Rückgrat jeder seriösen Bereinigung:

Die häufigste Ursache: veraltete Erweiterungen

Joomla selbst ist eine solide Basis. Die meisten erfolgreichen Angriffe nutzen nicht den Kern aus, sondern eine veraltete Erweiterung mit einer bekannten Lücke. Genau so war es auch in unserem Kundenprojekt. Das Einfallstor war eine veraltete Version des sehr verbreiteten Editors JCE, kurz für JoomlaContentEditor, intern com_jce.

In den betroffenen Versionen konnte ein Angreifer ohne jede Anmeldung Dateien hochladen, indem er die Editor-Profile missbrauchte. Über diesen Weg gelangte die getarnte Webshell auf den Server. Betroffen waren alle JCE-Versionen unter 2.9.99.5, sowohl die kostenlose Free- als auch die kostenpflichtige Pro-Variante, und das über alle Joomla-Generationen von 3 bis 6 hinweg.

Das Muster dahinter ist immer dasselbe: Eine Schwachstelle wird öffentlich, automatisierte Programme durchsuchen das Netz nach verwundbaren Seiten, und kurz darauf werden Tausende davon gleichzeitig angegriffen. Zwischen dem Bekanntwerden einer Lücke und den ersten flächendeckenden Angriffen liegen oft nur Stunden. Deshalb sind veraltete Erweiterungen so gefährlich. Joomla pflegt dafür eine eigene Liste, die Vulnerable Extensions List (VEL), in der bekannte verwundbare Erweiterungen gemeldet werden.^[2]

Warum veraltete Erweiterungen die häufigste Ursache für gehackte Joomla-Seiten sind und wie Sie sie systematisch aktuell halten, vertiefen wir im Beitrag Veraltete Joomla-Erweiterungen als Sicherheitsrisiko.

Wenn der Hoster Schadcode meldet

Für viele Betreiber ist die Hoster-Meldung der erste Kontakt mit dem Thema. Eine kurze E-Mail, manchmal eine gesperrte Datei, und plötzlich ist klar: Da stimmt etwas nicht. Genau so begann auch unser Kundenprojekt. Wichtig ist zu verstehen, was so eine Meldung bedeutet und was nicht.

Bewahren Sie Ruhe, antworten Sie sachlich und stellen Sie dem Hoster gezielte Fragen: Welche Dateien wurden beanstandet? Sind weitere Websites des Accounts betroffen? Welche Backups gibt es und aus welchem Zeitraum? Drängt der Hoster auf schnelles Löschen, achten Sie trotzdem darauf, zuerst eine Beweissicherung zu erstellen. Sonst verlieren Sie die Spuren, die Sie für das Aufspüren des Einfallstors brauchen.

Wie Sie auf eine Hoster-Meldung souverän reagieren, welche Formulierungen helfen und welche Stolperfallen es gibt, lesen Sie im Beitrag Hoster meldet Schadsoftware, was tun.

Ein echter Fall aus der Praxis

Theorie hilft, doch ein echter Fall macht das Muster greifbar. Unser Kundenprojekt aus dem Juni 2026 zeigt, wie raffiniert ein moderner Angriff aufgebaut ist und warum die richtige Reihenfolge so wichtig ist.

Der Ausgangspunkt war eine Joomla-5-Website auf Shared Hosting. Der Hoster meldete „Schadsoftware gefunden". Das Einfallstor war die veraltete JCE-Erweiterung. Über den Upload-Weg hatte ein Angreifer eine Webshell platziert und darauf ein ganzes Geflecht aus Persistenz aufgebaut: einen getarnten Prozess, ein gsocket-Relay als Fernverbindung durch die Firewall hindurch, mehrere Cronjobs und einen Dropper, der etwa alle zehn Minuten neue Schaddateien nachlegte. Damit der Schadcode schwer zu finden war, hatte der Angreifer zusätzlich die Dateizeitstempel gefälscht.

Unser erster Bereinigungsversuch entfernte nur die sichtbaren Symptome. Wenige Stunden später war die Seite erneut infiziert, weil Persistenz und Einfallstor unberührt geblieben waren. Erst der zweite Anlauf in der richtigen Reihenfolge war erfolgreich. Dabei zeigte sich auch, dass der Befall sich über mehrere Websites desselben Accounts ausgebreitet hatte.

Dauerhaft schützen

Eine bereinigte Seite ist noch keine sichere Seite. Der beste Schutz ist, dass es gar nicht erst zum Befall kommt. Sicherheit ist dabei kein einmaliges Projekt, sondern eine Routine. Die folgende Checkliste fasst die wirksamsten Maßnahmen zusammen. Sie kosten wenig Zeit und verhindern die allermeisten Angriffe.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet darüber hinaus allgemein verständliche Empfehlungen zur Absicherung von Websites und IT-Systemen, die sich gut als Ergänzung eignen.^[4]

Ihre nächsten Schritte

Sie haben jetzt den vollständigen Überblick: Sie erkennen die Anzeichen, kennen die richtige Reihenfolge beim Bereinigen, wissen um die häufigste Ursache und haben eine Checkliste für dauerhaften Schutz. Über die verlinkten Detail-Beiträge können Sie jedes Thema vertiefen, das gerade für Sie wichtig ist. Wenn Ihre Seite akut betroffen ist oder sich trotz Bereinigung immer wieder infiziert, sollten Sie nicht weiter experimentieren. Jede Stunde, in der die Lücke offen bleibt, ist eine Einladung.

Häufige Fragen

Quellen