Notfallhilfe · Root-Server
Ihr Server wurde gehackt?
Dann zählt jede Stunde. Wir sichern zuerst die Spuren, sperren den Angreifer aus und schließen die Lücke, durch die er hereingekommen ist. Erstgespräch kostenlos, die Arbeit danach zum Festpreis.
Voraussetzung ist Root-Zugriff auf den Server. Haben Sie nur ein Webhosting-Paket, ist Ihr Hoster zuständig — das sagen wir Ihnen im Erstgespräch, statt Ihnen etwas zu verkaufen.
Es brennt gerade
Melden Sie sich jetzt.
Zwei Sätze reichen: Was ist passiert, und welche Meldung haben Sie bekommen? Rückruf anfordern oder Formular ausfüllen — beides landet direkt bei uns.
- Erstgespräch kostenlos, rund 30 Minuten
- Festpreis, bevor wir anfangen
- Kein Nacht-, Wochenend- oder Feiertagszuschlag
Wir melden uns so schnell wie möglich zurück, in der Regel noch am selben Tag. Eine Reaktionszeit auf die Minute versprechen wir nicht — garantierte vier Stunden gibt es nur mit der Notfall-Bereitschaft weiter unten, und das steht dort auch so.
Bevor wir überhaupt sprechen
Die ersten dreißig Minuten entscheiden.
Die meisten Schäden, die wir sehen, entstehen nicht durch den Angriff, sondern durch die Aufräumaktion danach. Vier Dinge sollten Sie sofort tun — und vier auf keinen Fall.
Jetzt tun
-
Server vom Netz nehmen, nicht ausschalten
Eine Firewall-Regel oder das Rettungssystem des Rechenzentrums sperrt den Angreifer aus. Ein Neustart oder das Ausschalten löscht dagegen alles, was nur im Arbeitsspeicher steht — laufende Prozesse, offene Verbindungen, entschlüsselte Zugangsdaten.
-
Protokolle sofort wegkopieren
Serverprotokolle werden täglich umgeschichtet und nach ein paar Wochen gelöscht. Wenn der Einbruch vor der letzten Umschichtung lag, ist die entscheidende Zeile schon in einer anderen Datei. Kopieren Sie den ganzen Protokollordner an einen sicheren Ort, bevor irgendetwas anderes passiert.
-
Backups einfrieren
Die meisten Sicherungen laufen rollierend und überschreiben sich nach sieben oder vierzehn Tagen. Genau der Stand von vor dem Einbruch ist der wertvollste, den Sie haben. Nehmen Sie ihn aus der Rotation, solange es ihn noch gibt.
-
Aufschreiben, was Sie gesehen haben
Uhrzeit der ersten Auffälligkeit, Wortlaut der Meldung vom Rechenzentrum, was Sie seitdem selbst gemacht haben. Diese fünf Zeilen sparen uns später eine Stunde Suche — und die zahlen Sie sonst.
Jetzt lassen
-
Nicht neu aufsetzen
Ein frisch installierter Server fühlt sich sauber an, beantwortet aber keine einzige Frage: Wie kam der Angreifer herein? Was hat er mitgenommen? Ist die Lücke im nächsten System wieder drin? Wer ohne Antwort neu aufsetzt, wird oft ein zweites Mal besucht.
-
Nichts löschen
Verdächtige Dateien sind Beweise. Ihr Zeitstempel, ihr Besitzer und ihr Inhalt zeigen den Weg zum Einstiegspunkt. Gelöscht sind sie weg, und die Suche fängt bei null an.
-
Passwörter noch nicht wechseln
Solange der Angreifer im System sitzt, liest er das neue Passwort mit — und Sie haben ihn gewarnt. Zugangsdaten werden getauscht, wenn er draußen ist, dann aber alle auf einmal.
-
Nicht vom betroffenen Gerät aus arbeiten
Keine E-Mails über den Server schreiben, keine Zugangsdaten dort eingeben, keine Fernwartung auf dem verdächtigen Rechner öffnen. Nutzen Sie ein anderes Gerät und einen anderen Zugang.
Sie haben schon neu aufgesetzt oder gelöscht? Kein Drama, aber sagen Sie es uns. Es ändert, wo wir suchen — und es ändert die Einschätzung, was wir noch belegen können und was nicht.
Die eine Voraussetzung
Ohne Root-Zugriff sind wir die Falschen.
Ein Einbruch spielt sich unterhalb der Website ab: in Systemprozessen, Cronjobs, Diensten, Benutzerrechten und Protokollen. An all das kommt nur heran, wer Verwaltungsrechte auf dem Server hat. Bei einem gewöhnlichen Webhosting-Paket hat die niemand außer Ihrem Hoster — und der ist dann auch der Richtige. Ihn anzurufen kostet Sie nichts. Uns dafür zu bezahlen, dass wir dasselbe tun, was Sie selbst per FTP könnten, wäre unredlich.
| Was Sie haben | Wer helfen kann |
|---|---|
| Root-Server, VPS oder dedizierter Server — mit oder ohne Plesk, cPanel oder Confixx | Wir. Das ist genau unser Fall. |
| Managed Server, bei dem Sie Root-Rechte haben | Wir — nach kurzer Abstimmung mit Ihrem Anbieter, damit sich niemand in die Quere kommt. |
| Webhosting-Paket ohne Systemzugang (nur FTP und Datenbank) | Ihr Hoster für den Server. Die betroffene Website können wir trotzdem bereinigen. |
| Baukasten oder gehostetes CMS (Wix, Jimdo, Shopify, WordPress.com) | Der Anbieter. Dort gibt es keinen Server, an den man heran käme. |
Sie wissen nicht, was davon auf Sie zutrifft? Das klären wir im Erstgespräch in fünf Minuten. Dafür stellen wir nichts in Rechnung, auch dann nicht, wenn die Antwort „nicht wir" lautet.
Ablauf
Wie wir vorgehen
Immer in dieser Reihenfolge. Bereinigen, bevor die Spuren gesichert sind, ist der häufigste Fehler — danach lässt sich nicht mehr belegen, was passiert ist.
Erstgespräch
Rund 30 Minuten, kostenlos. Was ist aufgefallen, welche Meldung kam, was haben Sie schon unternommen? Am Ende steht eine ehrliche Einschätzung — inklusive der Variante, dass Sie uns nicht brauchen.
Spuren sichern
Protokolle samt der bereits umgeschichteten Stände, laufende Prozesse, offene Netzwerkverbindungen, Dateizeitstempel, geplante Aufgaben. Alles wird kopiert und beiseitegelegt, bevor irgendetwas verändert wird.
Angreifer aussperren
Schadprozesse beenden, Verankerungen entfernen — Cronjobs, Systemdienste, Autostart-Einträge —, Adressen sperren, betroffene Anwendungen stilllegen. Ab hier kommt niemand mehr nach.
Einstiegspunkt schließen
Der wichtigste Schritt und der, den Billiganbieter überspringen: Wie kam er herein? Veraltete Anwendung, geratenes Passwort, offener Dienst, gestohlener Schlüssel? Erst wenn das beantwortet ist, wird bereinigt, aktualisiert und gehärtet.
Bericht & Nachkontrolle
Ein verständlicher Bericht: was passiert ist, wie er hereinkam, was nachweislich abgeflossen ist und was wir geändert haben. Danach vier Wochen automatische Nachkontrolle, damit ein übersehener Rest nicht unbemerkt wieder anläuft.
Ein Fall aus unserer Praxis · August 2026
Ein Kundenserver, acht Stunden unbemerkt.
Der Auslöser war eine Lastmeldung des Rechenzentrums: CPU über 75 Prozent. Bei zwölf Kernen lag die Last bei 17,7. Was nach einem Leistungsproblem aussah, war ein Einbruch, der zu diesem Zeitpunkt bereits sieben Stunden zurücklag. Der Ablauf, mit den Zeitstempeln aus den Protokollen:
-
02:07:19
Einstieg
Eine CRM-Anwendung auf einer Kundendomain nimmt Anfragen an der Anmeldeseite entgegen. Erst eine, die durchgeht, danach nur noch Fehler. Die Installation lag zwei Nebenversionen hinter dem Update, das genau diese Lücke im März geschlossen hatte.
-
02:07:38
Hintertür
Neunzehn Sekunden später liegen zwei PHP-Dateien auf dem Server, benannt wie ein harmloser Datenexport. Beide führen aus, was man ihnen über die Adresszeile mitgibt.
-
02:07:50
Funktionstest
Ein einzelner Befehl, der nichts weiter tut, als die eigene Benutzerkennung auszugeben. Der Angreifer prüft, ob seine Hintertür trägt. Danach sieben Stunden Funkstille.
-
09:15:24
Nachladen
Ein Skript von einem fremden Server holt einen Kryptominer nach und verankert ihn dreifach: als Cronjob im Drei-Minuten-Takt, beim Systemstart und als eigener Dienst des Benutzers. Wer nur den Prozess beendet, hat drei Minuten Ruhe.
-
10:13:28
Datenzugriff
Erst eine Suche nach Zugangsdaten über alle Websites des Servers, dann ein gezielter Datenbankauszug: 138 Kilobyte Konfigurationswerte. Welche Tabelle er abgefragt hat, stand in den Protokollen — deshalb ließ sich belegen und nicht nur hoffen, dass keine Kundendaten dabei waren.
-
ab 11 Uhr
Übernahme
Spuren gesichert, Miner beendet, alle drei Verankerungen entfernt, vier Adressen gesperrt, die betroffene Anwendung vom Netz. Am selben Nachmittag war der Server sauber und die Ursache belegt.
Drei Dinge, die diesen Fall entschieden haben
Die wichtigste Zeile stand im umgeschichteten Protokoll
Die Protokolle wurden um 06:47 rotiert, der Einbruch war um 02:07. Wer nur die aktuelle Datei liest, findet den Einstieg nicht und bereinigt am Symptom. Deshalb sichern wir zuerst und lesen danach.
Das Dateidatum war eine Falle
Der Miner trug den 17. Juni als Änderungsdatum, die Ladeskripte den Einbruchstag. Ein entpacktes Archiv behält die Zeitstempel des Angreifers — das Datum am Schadprogramm ist sein Baudatum, nicht der Einbruchszeitpunkt. Diese Spur führt zwei Monate in die falsche Richtung.
Die Rechtetrennung hat gehalten
Der Miner lief unter dem Website-Benutzer, nicht als Systemverwalter. Die Suche des Angreifers über die anderen Websites des Servers brachte ihm fünf Kilobyte. Genau dafür trennt man Berechtigungen — vorher, nicht hinterher.
Was auch zur Wahrheit gehört
Auf diesem Server lief ein kommerzieller Malwarescanner. Er hat den Angriff nicht verhindert und nicht gemeldet. Wer Ihnen erzählt, ein Produkt allein halte so etwas auf, verkauft Ihnen ein Gefühl. Aufgefallen ist der Einbruch, weil jemand einer Lastmeldung nachgegangen ist.
Was danach eingebaut wurde
Wächter für neue Dateien, aber mit Verstand
Die erste Fassung meldete jede neue PHP-Datei und produzierte in einer Nacht fünfzehn Fehlalarme — ein Plugin-Update reicht. Heute schlägt sie nur an, wenn Benutzereingabe und Ausführungsbefehl in derselben Datei stehen. Getestet gegen die echte Hintertür (erkannt) und gegen 400 Plugin-Dateien (kein einziger Fehlalarm).
Miner-Erkennung über die Nice-Last
Kryptominer laufen mit heruntergesetzter Priorität, um nicht aufzufallen. Der Alarm misst genau diesen Anteil über alle Kerne im Zehn-Minuten-Mittel. Ein Prozess auf einem von zwölf Kernen bleibt darunter, ein echter Miner belegt alle.
Stündliche Nachkontrolle
Ein Prüflauf zur vollen Stunde, Mail nur bei Auffälligkeiten. Läuft auf dem Server selbst und ist damit unabhängig davon, ob gerade jemand hinschaut.
Diese Wächter sind kein Sonderfall, sie gehören zu unserem Server-Monitoring.
Was es kostet
Der Festpreis steht, bevor wir anfangen. Kein Stundenzähler, der im Hintergrund mitläuft, während Sie schon genug Sorgen haben.
Der Ernstfall ist da und muss zuerst gestoppt werden. Für alles Weitere entscheiden Sie danach mit einem klaren Bild.
- Spuren gesichert, bevor etwas verändert wird
- Schadprozesse beendet, Verankerungen entfernt
- Angreifer ausgesperrt, Adressen gesperrt
- Schadensbild: was ist betroffen, was nicht
- Lagebericht mit Empfehlung, wie es weitergeht
Sauber machen und die Tür schließen, durch die er hereinkam. Das ist der Teil, der verhindert, dass es noch einmal passiert.
- Alles aus dem Notfall-Einsatz (bis 4 Std.)
- Schadcode vollständig entfernt, nicht nur der Miner
- Einstiegspunkt belegt und geschlossen
- Härtung: Zugänge, Rechte, Dienste, Aktualisierungen
- Alle Zugangsdaten und Schlüssel getauscht
- Austrag aus Sperrlisten bei Google & Co.
- Abschlussbericht und vier Wochen Nachkontrolle
Wenn der Angreifer Systemrechte hatte oder zu lange drin war, ist Flicken die teurere Lösung. Dann bauen wir daneben neu.
- Notfall-Einsatz enthalten (bis 4 Std.)
- Neuer Server, sauber aufgesetzt und gehärtet
- Daten geprüft übernommen statt blind kopiert
- Websites und Postfächer umgezogen
- Alter Server als Beweismittel archiviert
- Drei Monate Monitoring inklusive
Alle Preise netto zzgl. MwSt. Was über den Festpreis hinausgeht, rechnen wir im 15-Minuten-Takt zum Notfallsatz ab — und sagen es vorher, nicht auf der Rechnung.
Stundensatz und Bereitschaft
Zwei Zahlen, die auf keiner Notfall-Seite fehlen sollten — und die man erfahrungsgemäß erst nach dem dritten Klick findet.
Für alles jenseits des Festpreises, im 15-Minuten-Takt abgerechnet. Marktüblich sind 200 bis 324 € — und darauf dann noch Zuschläge. Bei uns gilt ein Satz, auch nachts, am Wochenende und an Feiertagen. Ein Einbruch um drei Uhr morgens ist kein Sonderwunsch des Kunden.
Vorher statt hinterher: Wir kennen Ihren Server, haben die Zugänge hinterlegt und melden uns garantiert innerhalb von vier Stunden, sieben Tage die Woche. Der Stundensatz sinkt im Einsatz auf 140 €. Enthalten, wenn Sie bei uns hosten oder im Monitoring sind.
Übrigens: Kein Preis ist hier in Stein gemeißelt.
Budget und Paket passen nicht ganz zusammen? Sprechen Sie uns an: Wir finden einen fairen Deal. Gerade Gründer und junge Unternehmen unterstützen wir gern, zum Beispiel mit einem günstigeren Projektstart in Kombination mit Hosting oder laufender Betreuung.
Was das anderswo kostet
Recherchiert am 27.08.2026. Der Markt zerfällt in drei Segmente, die kaum etwas miteinander zu tun haben — wer sie in einen Topf wirft, vergleicht Stundensätze mit Schadenssummen.
Bereinigung einer einzelnen Website
145 € – 500 € je Vorfall
WordPress-Spezialisten, Festpreis, meist ohne Serverzugang. Das reicht, wenn nur eine Installation betroffen ist — und nicht, wenn der Server selbst offen steht.
Erhoben bei: tortuga-security.de, wpfuchs.de, forge12.com, sixhop.net
Server-Notdienst mit Root-Zugriff
200 € – 324 € je Stunde
Stundensätze zwischen 100 € bei kleinen Anbietern und über 250 € bei großen Beratungshäusern, Schwerpunkt bei 200 €. Nacht- und Wochenendzuschläge sind die Regel. Hier stehen wir.
Unser Satz 170 € je Stunde
Erhoben bei: notdienst.seo-manager.info, terruhn.it, cybairbag.de
Incident Response im Unternehmen
5.000 € – 60.000 € je Vorfall
Forensik-Häuser mit Rahmenvertrag, gerichtsfester Beweisführung und Behördenbegleitung. Ein einzelner Vorfall bewegt sich hier im fünfstelligen Bereich aufwärts.
Erhoben bei: cybairbag.de, it-forensik.de, aroundsec.com
Die Zahlen stammen aus öffentlich einsehbaren Preisangaben und Fachbeiträgen der genannten Anbieter. Wir verlinken sie bewusst nicht — es sind teils Wettbewerber, und der Name genügt zum Nachprüfen.
Wofür Sie jemand anderen brauchen
Wir sind eine kleine Agentur mit Servererfahrung, kein Forensik-Institut. Diese Grenze ziehen wir lieber jetzt als mitten im Einsatz.
Gerichtsfeste Beweisführung
Wenn Ihre Versicherung oder eine Staatsanwaltschaft ein verwertbares Gutachten braucht, gehört der Fall zu einem zertifizierten IT-Forensiker. Wir sichern die Spuren so, dass diese Arbeit möglich bleibt — und übergeben sauber.
Verschlüsselte Systeme (Ransomware)
Bei laufender Erpressung mit verschlüsselten Daten geht es um Verhandlung, Entschlüsselung und Meldewege. Das ist ein eigener Beruf. Wir helfen beim Eindämmen und beim Wiederaufbau, nicht beim Rest.
Meldepflichten und Rechtsberatung
Ob ein Vorfall binnen 72 Stunden an die Datenschutzbehörde gemeldet werden muss oder unter NIS-2 fällt, entscheiden Ihr Datenschutzbeauftragter und Ihr Anwalt. Wir liefern die technischen Fakten dafür, aber keine Rechtsauskunft.
Häufige Fragen im Ernstfall
Woran erkenne ich überhaupt, dass mein Server gehackt wurde?
Die häufigsten Anzeichen sind eine Abuse- oder Lastmeldung vom Rechenzentrum, plötzlich hohe CPU-Auslastung ohne erkennbaren Grund, ausgehender Spamversand, eine Sperrwarnung von Google im Browser, unbekannte Benutzerkonten oder Cronjobs und Dateien mit fremdem Änderungsdatum. Ein Kryptominer ist der häufigste Fall, weil er sich sofort in der Rechnung des Rechenzentrums bemerkbar macht.
Soll ich den Server einfach neu aufsetzen?
Nicht als Erstes. Ein neu installierter Server ist sauber, aber Sie wissen dann nicht, wie der Angreifer hereinkam. War es eine veraltete Anwendung, ein schwaches Passwort oder ein gestohlener Schlüssel, ist die Lücke nach dem Neuaufbau meistens wieder da. Erst die Ursache klären, dann entscheiden — und Neuaufbau ist danach oft der richtige Weg, nur eben mit Wissen statt auf Verdacht.
Was kostet die Hilfe bei einem gehackten Server?
Der Notfall-Einsatz kostet 690 € netto als Festpreis für bis zu vier Stunden: Spuren sichern, Angreifer aussperren, Schadensbild, Lagebericht. Die vollständige Bereinigung mit Härtung beginnt bei 1.590 € netto, ein Neuaufbau mit Umzug bei 2.990 € netto. Alles darüber hinaus rechnen wir mit 190 € netto je Stunde ab, ohne Nacht- oder Wochenendzuschlag. Das Erstgespräch ist kostenlos.
Wie schnell können Sie anfangen?
Wir melden uns so schnell wie möglich zurück, in der Regel noch am selben Tag, und beginnen nach Ihrer Freigabe. Eine garantierte Rückmeldung innerhalb von vier Stunden gibt es mit der Notfall-Bereitschaft für 49 € im Monat — die schließt man allerdings vorher ab, nicht mitten im Vorfall.
Ich habe kein Root-Zugriff. Können Sie trotzdem helfen?
Für den Server nicht — dort kommt nur Ihr Hoster an Prozesse, Dienste und Systemprotokolle. Die betroffene Website selbst können wir auch ohne Root bereinigen, wenn Sie FTP- und Datenbankzugang haben. Sagen Sie uns im Erstgespräch, was Sie gebucht haben, dann ordnen wir das ein.
Was brauchen Sie von mir, um loszulegen?
Root-Zugang oder einen Zugang, aus dem sich einer machen lässt, die Kontaktdaten Ihres Rechenzentrums, die Meldung, die Sie bekommen haben, und eine kurze Beschreibung, was Sie seit der Entdeckung selbst gemacht haben. Der letzte Punkt ist wichtiger, als er klingt.
Können Sie garantieren, dass es nicht wieder passiert?
Nein, und wer das verspricht, sollte Sie misstrauisch machen. Wir können den nachgewiesenen Einstiegspunkt schließen, das System härten und eine Überwachung einbauen, die den nächsten Versuch früh meldet. Absolute Sicherheit gibt es bei einem Server, der am Internet hängt, nicht.
Muss ich den Vorfall melden?
Möglicherweise. Sind personenbezogene Daten betroffen und besteht ein Risiko für die Betroffenen, sieht die DSGVO eine Meldung an die Aufsichtsbehörde binnen 72 Stunden vor. Ob das in Ihrem Fall greift, entscheiden Ihr Datenschutzbeauftragter oder Ihr Anwalt. Wir liefern die technische Grundlage dafür: was nachweislich abgeflossen ist und was nicht.
Je früher wir draufschauen, desto weniger bleibt zu reparieren.
Schildern Sie kurz, was passiert ist. Das Erstgespräch kostet nichts und endet notfalls damit, dass wir Ihnen sagen, wen Sie stattdessen anrufen sollten.