Joomla-Website gehackt? So bereinigen Sie sie Schritt für Schritt

Eine E-Mail vom Hoster, ein roter Warnhinweis im Browser, plötzlich verschwundene Inhalte: Wenn der Verdacht aufkommt, dass die eigene Joomla-Website gehackt wurde, beginnt für viele Betreiber eine stressige Zeit. Wir haben im Juni 2026 ein solches Kundenprojekt bereinigt und dabei eine Lektion auf die harte Tour gelernt. Genau diese Erfahrung geben wir in diesem Leitfaden weiter, damit Sie die Fehler vermeiden, die uns beim ersten Versuch ausgebremst haben.

Eine Joomla-Website zu bereinigen heißt nicht, ein paar verdächtige Dateien zu löschen. Es heißt, in der richtigen Reihenfolge vorzugehen: zuerst die Verankerung des Angreifers entfernen, dann die laufenden Schadprozesse beenden, dann die Schaddateien, und erst danach das Einfallstor schließen. Wer diese Reihenfolge umdreht, wird binnen Stunden erneut infiziert.

Bin ich wirklich gehackt?

Bevor Sie in Aktion treten, klären Sie, ob tatsächlich ein Angriff vorliegt. Manche Symptome haben harmlose Ursachen, andere sind eindeutige Warnzeichen. In unserem Kundenprojekt kam der erste Hinweis vom Hoster: eine kurze E-Mail mit dem Betreff, dass „Schadsoftware gefunden" wurde. Das ist einer der häufigsten Wege, auf dem Betreiber von einem Befall erfahren.

Typische Anzeichen für einen Hack

Achten Sie auf diese Signale. Treffen mehrere zu, ist ein Angriff sehr wahrscheinlich:

• Ihr Hoster oder Ihr Sicherheitsdienst meldet Schadsoftware oder sperrt einzelne Dateien.
• Google zeigt in den Suchergebnissen die Warnung „Diese Website kann Ihren Computer schädigen", oder der Browser blockiert den Zugriff.
• Es tauchen Unterseiten, Weiterleitungen oder Inhalte auf, die Sie nie angelegt haben, oft mit Spam-Themen.
• Im Joomla-Backend gibt es Administrator-Konten, die Sie nicht kennen.
• Die Website lädt auffällig langsam, oder der Server meldet ungewöhnlich hohe Last.
• Im Dateiverzeichnis liegen Dateien mit kryptischen Namen oder an Stellen, an die sie nicht gehören.

Soforthilfe: die ersten Schritte

Wenn der Verdacht bestätigt ist, zählt ein kühler Kopf mehr als Tempo. Übereilte Aktionen löschen oft genau die Spuren, die Sie später für die Analyse brauchen. Gehen Sie der Reihe nach vor.

Das Reihenfolge-Prinzip

Dies ist das Herzstück dieses Leitfadens, und es ist die Lektion, die uns selbst beim ersten Anlauf gefehlt hat. Unser erster Bereinigungsversuch scheiterte, weil wir nur die offensichtlichen Schaddateien entfernt hatten. Die Symptome verschwanden kurz, und alles sah sauber aus. Wenige Stunden später war die Website erneut infiziert.

Der Grund: Ein moderner Angriff besteht nicht nur aus den sichtbaren Schaddateien. Der Angreifer richtet eine sogenannte Persistenz ein, also Mechanismen, die ihn wieder ins System bringen, selbst wenn einzelne Dateien gelöscht werden. In unserem Fall waren das Cronjobs, also automatisch ausgeführte Aufgaben, ein getarnter Prozess, der sich als harmloser System-Prozess maskierte, eine Fernverbindung über ein sogenanntes gsocket-Relay, das Verbindungen durch Firewalls hindurch aufbaut, und ein Dropper, der etwa alle zehn Minuten neue Schaddateien anlegte. Wer nur die Dateien löscht, beseitigt das Symptom, nicht die Ursache.

Die korrekte Reihenfolge

Erst als wir die Reihenfolge umstellten, war der Befall dauerhaft weg. Halten Sie sich an diese vier Stufen:

Der entscheidende Punkt: Solange das Einfallstor offen ist und die Persistenz besteht, wiederholt sich der Kreislauf endlos. Sie löschen, kurz ist Ruhe, dann kommt der Angreifer zurück. Nur die richtige Reihenfolge durchbricht diesen Kreislauf dauerhaft.

Schadcode finden

Bevor Sie löschen können, müssen Sie wissen, was zu löschen ist. Hier machen viele einen folgenschweren Fehler: Sie sortieren die Dateien nach Änderungsdatum und nehmen an, alles Neue sei der Schadcode. Genau das funktioniert bei einem ernsthaften Angriff nicht.

Warum die Datumssuche scheitert

In unserem Kundenprojekt hatte der Angreifer die Dateizeitstempel gefälscht. Die Schaddateien sahen so aus, als wären sie zur selben Zeit wie die Original-Dateien von Joomla entstanden. Wer nach Datum sucht, übersieht sie komplett. Zeitstempel sind kein verlässlicher Beweis, weil sie sich beliebig manipulieren lassen.

Die inhaltsbasierte Suche

Verlässlicher ist der Vergleich mit dem Original. So gehen Sie vor:

Das Einfallstor schließen

Dies ist der Schritt, dessen Vernachlässigung uns die Reinfektion beschert hat. Sie können noch so gründlich putzen: Wenn die Lücke, durch die der Angreifer kam, offen bleibt, ist der nächste Einbruch nur eine Frage der Zeit.

Das Einfallstor in unserem Fall: JCE

In dem Kundenprojekt war das Einfallstor eine veraltete Version der Erweiterung JCE, kurz für JoomlaContentEditor. Das ist ein sehr verbreiteter Editor für Joomla, der intern com_jce heißt. In den betroffenen Versionen konnte ein Angreifer ohne Anmeldung Dateien hochladen, indem er die Editor-Profile missbrauchte. Genau über diesen Weg gelangte die getarnte Webshell auf den Server. Betroffen waren alle JCE-Versionen unter 2.9.99.5, sowohl die kostenlose Free- als auch die Pro-Variante, und das über alle Joomla-Generationen von 3 bis 6 hinweg.

So schließen Sie das Einfallstor

Warum veraltete Erweiterungen die häufigste Ursache für gehackte Joomla-Seiten sind und wie Sie sie systematisch aktuell halten, vertiefen wir im Beitrag Veraltete Joomla-Erweiterungen als Sicherheitsrisiko.

Die Datenbank prüfen

Viele Betreiber reinigen nur die Dateien und vergessen die Datenbank. Dabei verstecken sich dort oft die hartnäckigsten Überbleibsel eines Angriffs. Nehmen Sie sich die Datenbank gezielt vor.

Worauf Sie achten

• Injizierter Code: Angreifer schreiben gerne Schadcode oder Spam-Links direkt in Beiträge, Module oder Konfigurationsfelder. Suchen Sie nach Code-Schnipseln und Links, die dort nicht hingehören.
• Fremde Administratoren: Prüfen Sie die Benutzerliste auf Konten, die Sie nicht angelegt haben, besonders solche mit Administrator-Rechten. Löschen Sie unbekannte Konten.
• Veränderte Berechtigungen: Manchmal werden bestehende Konten heimlich zu Administratoren hochgestuft. Kontrollieren Sie die Rechte aller Benutzer.

Schlüssel und Sitzungen zurücksetzen

Selbst nach dem Aufräumen kann ein Angreifer noch gültige Zugänge in der Hand halten. Schließen Sie diese Lücke:

Prüfen und überwachen

Nach der Bereinigung ist die Arbeit noch nicht zu Ende. Gerade in unserem Kundenprojekt zeigte sich die Reinfektion erst nach einigen Stunden. Deshalb ist die Phase der Überwachung so wichtig wie die Bereinigung selbst.

Die Verifikation

• Lassen Sie einen vollständigen Sicherheits-Scan über alle Dateien und die Datenbank laufen und prüfen Sie, ob er sauber ist.
• Kontrollieren Sie, ob die Cronjobs jetzt nur noch Ihre eigenen, gewollten Aufgaben enthalten.
• Beobachten Sie, ob im Hintergrund neue, unbekannte Dateien auftauchen. In unserem Fall war der Dropper daran zu erkennen, dass er regelmäßig neue Dateien anlegte. Bleibt das aus, ist das ein gutes Zeichen.

Mehrere Tage beobachten

Den vollständigen Kreislauf aus Erkennen, Bereinigen und dauerhaftem Schützen fassen wir im übergeordneten Leitfaden Joomla gehackt: erkennen, bereinigen, schützen zusammen.

Bereinigen oder neu aufsetzen?

Eine der wichtigsten Entscheidungen ist, ob Sie die bestehende Installation an Ort und Stelle reinigen oder die Seite sauber neu aufsetzen. Beide Wege sind legitim, und welcher der bessere ist, hängt vom Ausmaß des Befalls ab.

Bereinigen am Bestand

Bei einem überschaubaren, früh entdeckten Befall kann die Reinigung am Bestand der schnellere Weg sein. Voraussetzung ist, dass Sie wirklich sicher jede Hintertür gefunden haben. Bei einem so tief verankerten Angriff wie in unserem Kundenprojekt, mit getarntem Prozess, Fernverbindung und Dropper, ist das aufwendig und erfordert Erfahrung.

Sauber neu aufsetzen

Der sicherste Weg ist oft, Joomla frisch zu installieren und nur die geprüften, sauberen Inhalte und Mediendateien zu übernehmen. So schließen Sie aus, dass eine übersehene Hintertür weiterlebt. Der Mehraufwand lohnt sich, wenn der Befall tief saß oder Sie an der vollständigen Bereinigung zweifeln.

Google-Warnung entfernen

Wenn Google Ihre Seite als gehackt eingestuft hat, erscheint in den Suchergebnissen oder im Browser eine Warnung. Selbst nach erfolgreicher Bereinigung verschwindet diese nicht von allein. Sie müssen die Überprüfung aktiv anstoßen.

Eine ausführliche Anleitung dazu bietet die offizielle Hilfe von Google für gehackte Websites.^[1]

Ihre nächsten Schritte

Sie haben jetzt den vollständigen Fahrplan: erst die Persistenz, dann die Prozesse, dann die Dateien, dann das Einfallstor, und am Ende Passwörter, Schlüssel und Überwachung. Wenn Sie das Gefühl haben, dass der Befall zu tief sitzt, oder wenn sich die Seite trotz Bereinigung immer wieder infiziert, sollten Sie nicht weiter experimentieren. Jede Stunde, in der die Lücke offen bleibt, ist eine Einladung.

Sie möchten zuerst Ihre Lage schildern? Schreiben Sie uns über das Kontaktformular, wir melden uns kurzfristig zurück.

Häufige Fragen

Quellen