Joomla gehackt oder vom Hoster gesperrt: Was jetzt hilft

Ihr Hoster meldet Schadcode und hat die Seite gesperrt, Besucher landen auf fremden Seiten, oder Sie kommen nicht mehr ins Backend? Bei Joomla steckt häufig eine Sicherheitslücke in einer Erweiterung dahinter. Das ist kein Versagen von Ihnen, und viele solcher Seiten lassen sich wieder sauber aufsetzen. Als Neukunde zahlen Sie die Analyse nicht, denn die erste Stunde übernehmen wir.

Anrufen: 05208 28695-0

Problem schildern

Wie Angreifer in Joomla-Seiten kommen

2026 liefen mehrere Angriffswellen über verbreitete Joomla-Erweiterungen:

Astroid Framework, ein Baukasten für Templates: laut Hersteller alle Versionen vor 3.3.11, bekannt seit März 2026.
JCE, ein Editor für Beiträge: Versionen bis 2.9.99.4. Die irische Cybersicherheitsbehörde NCSC meldete im Juli 2026 massenhafte Angriffe.
SP Page Builder: Versionen bis 6.6.1, laut derselben Warnung ebenfalls massenhaft angegriffen.

In unserer Auswertung deutschsprachiger Joomla-Foren vom November 2026 fanden wir 36 Fälle gehackter Seiten, mehrere davon aus diesen Wellen.

Ein Update schließt die Lücke, räumt aber nicht auf. Der Hersteller von Astroid schreibt ausdrücklich, dass sein Update bereits eingeschleuste Dateien weder erkennt noch entfernt. Deshalb kann ein Hack zurückkommen, obwohl alles aktuell ist: Irgendwo liegt dann noch eine Hintertür.

Vier Dinge, die Sie jetzt gefahrlos tun können

Stand sichern, nichts löschen. Heben Sie die Mail Ihres Hosters auf, darin stehen oft die betroffenen Dateien. Bitten Sie ihn um eine Kopie des aktuellen Stands. Diese Kopie wird nicht wieder eingespielt, sie zeigt nur, was passiert ist.
Sperre stehen lassen. Sie schützt Ihre Besucher. Läuft die Seite noch und leitet um, empfiehlt die Joomla-Dokumentation, sie offline zu nehmen. Fragen Sie Ihren Hoster, wenn Sie den Weg nicht kennen.
Passwörter ändern. Von einem sauberen Gerät aus: Kundenmenü des Hosters, FTP und alle Joomla-Administratoren, an die Sie noch herankommen. Das Datenbank-Passwort bleibt für die Bereinigung, weil es zusätzlich in der Datei configuration.php steht und die Seite sonst nicht mehr startet.
Backups erst einmal liegen lassen. Notieren Sie, welche es gibt und seit wann Ihnen etwas auffällt. Die Joomla-Dokumentation rät davon ab, eine gehackte Seite einfach aus der Sicherung zurückzuholen, weil auch die Sicherung den Schadcode enthalten kann.

Meldungen und Spuren im Wortlaut

„Vor wenigen Minuten hat unser Anti-Viren-Scanner eine schädliche Datei auf Ihrem IONOS Webspace erkannt.“
VIRUS_php_obfus in einer Mail des Hosters
PHP-Dateien mit gzinflate(base64_decode( und eine gelöschte Datei, die immer wiederkommt
index.php und .htaccess werden nach der Reinigung neu überschrieben
Unbekannte Plugins wie „System – BLPayload“ oder „System – JCachePro“
„Forbidden. You don’t have permission to access this resource.“ beim Aufruf des Backends
„Fehler: 0 callstack Class WFDeviceDetect not found“
„1364 Field „checked_out“ doesn’t have a default value“ beim Speichern von Beiträgen
Tausende fremde Seiten bei Google, zum Beispiel in japanischer Schrift

Nicht jede Fehlerseite ist ein Hack. Auch ein gescheitertes Upgrade oder eine PHP-Umstellung beim Hoster kann dahinterstecken.

Wann ein Anruf der bessere Weg ist

Wenn Ihnen nur noch der FTP-Zugang bleibt, wenn Schadcode nach dem Löschen wiederkommt oder wenn Sie nicht wissen, welches Backup sauber ist. Auch wer das Wort Hosting zum ersten Mal in so einer Mail liest, ist bei uns richtig.

Könnten Kundendaten oder Formulareinträge betroffen sein, klären Sie das bitte zügig. Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich zu keinem Risiko für Betroffene (Verordnung (EU) 2016/679, Stand 05.11.2026). Wie das in Ihrem Fall aussieht, beurteilt eine Anwältin oder ein Anwalt, wir liefern die technischen Fakten dazu.

Wie wir Ihre Seite wieder sauber bekommen

Sie sagen uns, was Ihr Hoster gemeldet hat oder was Sie sehen. Sobald wir Zugang haben, sichern wir den Zustand. In der ersten Stunde suchen wir die Einstiegsstelle und den Umfang des Befalls. Diese Analyse zahlen Neukunden nicht.

Für die Bereinigung berechnen wir 119 € netto je Stunde, und sie beginnt erst, wenn Sie zugestimmt haben. Dazu gehört, Joomla und die Erweiterungen aus sauberen Quellen neu einzuspielen, alle Passwörter nochmals zu erneuern und die Lücke zu schließen. Sie bekommen einen Bericht, den Sie auch Ihrem Hoster geben können. Mehr dazu unter Soforthilfe.

Daran arbeitet ein Team von zehn Leuten, keine Einzelperson. 2026 haben wir bei einem Vorfall 29 WordPress-Systeme bereinigt und umgezogen. Unsere Telefonannahme ist rund um die Uhr erreichbar, unsere Fachleute sind Mo–Do 7:30–16 Uhr und Fr 8:30–16 Uhr für Sie da.

Fragen, die in dieser Lage aufkommen

Wann schaltet mein Hoster die Seite wieder frei?

Das entscheidet der Hoster. Fragen Sie ihn, welchen Nachweis er braucht. Unser Bericht hält fest, was gefunden und was geändert wurde.

Google warnt vor meiner Seite oder findet sie nicht mehr. Was nun?

In der Google Search Console zeigt der Bericht „Sicherheitsprobleme“, was Google festgestellt hat. Nach der Bereinigung lässt sich dort eine Überprüfung anfordern. Laut Google kann sie einige Tage oder mehrere Wochen dauern.

Muss ich die Seite ganz neu bauen lassen?

Das hängt vom Befall und vom Zustand der Installation ab und zeigt sich in der Analyse. Bei Joomla 3 besprechen wir auch, ob sich ein Upgrade mehr lohnt als die Reparatur.

Schreiben Sie uns, was Ihr Hoster gemeldet hat

Wir melden uns so schnell wie möglich, meist innerhalb einer Stunde. Zugangsdaten gehören nicht ins Formular, den sicheren Weg klären wir am Telefon. Ist alles wieder sauber, gibt es auf Wunsch Betreuung ab 99 € im Monat, netto.