Was wollen Hacker erreichen? 6 mögliche Ziele

Warum wir darüber schreiben

Seit der JCE-Sicherheitslücke im Juni 2026 kommt die Frage nach Motiven von Hackern in fast jedem Gespräch auf. Denn sobald klar ist, was bei einem Angriff passiert und warum, lässt sich besser einordnen, was einen betrifft und was nicht. Aus einem diffusen Thema wird eine Liste, die man abarbeiten kann. Wir erklären gerne, wie das läuft. Fragen Sie uns einfach!

Ihre Website als Mittel zum Zweck

Der Verizon 2026 Data Breach Investigations Report (DBIR) wertet Vorfälle aus 145 Ländern aus - und für Unternehmen mit weniger als 1.000 Mitarbeitenden fällt das Ergebnis eindeutig aus: Die Hacker kamen dort in 100 % der Fälle von außen, und in 100 % der Fälle war das Motiv finanziell.

Verdient wird an dem, was die Website selbst hergibt.

„Finanziell" bedeutet dabei etwas anderes, als wonach es klingt. Es heißt nicht, dass jemand es auf Ihr Firmenkonto oder Ihre Buchhaltung abgesehen hat. Verdient wird an dem, was die Website selbst hergibt: Rechenzeit, Reichweite, gespeicherte Daten, ein funktionierender Zugang. Von den sechs Zielen weiter unten richtet sich genau eines direkt auf Zahlungen - die anderen fünf machen aus Ihrer Website ein Betriebsmittel für fremde Geschäfte.

Die Einstiegswege sind unspektakulär, und der Bericht beschreibt das Vorgehen ausdrücklich als opportunistisch: Nicht Branche oder Umsatz entscheiden über einen Angriff, sondern ob kompromittierte Zugangsdaten oder eine nicht geschlossene Lücke vorliegen.

Datenquelle: DBIR

Hacker suchen Versionsnummern, keine Unternehmen.

Die eigentliche Angriffsfläche liegt zwischen „Sicherheitslücke bekannt" und „Sicherheitslücke geschlossen" - und dieses Fenster ist, speziell durch den Einsatz künstlicher Intelligenz, sehr schmal geworden. Der Sicherheitsdienstleister Patchstack hat gemessen, wie lange es dauert, bis eine öffentlich gemachte Lücke zum ersten Mal angegriffen wird: In der Hälfte der Fälle weniger als fünf Stunden. Rund die Hälfte der schweren Lücken wird noch am ersten Tag angegriffen. Die Zahlen stammen aus dem WordPress-Umfeld, für Joomla gibt es keine vergleichbare Messung - der Aufbau ist aber derselbe: Neun von zehn Lücken stecken in Erweiterungen, nicht im System selbst.

Neun von zehn Lücken stecken in Erweiterungen, nicht im System selbst.

Mögliche Ziele hinter einem Angriff

#1 - Ihre Website als Werkzeug

Der häufigste und am wenigsten spektakuläre Fall. Was Hacker hier erreichen wollen, ist Infrastruktur, denn ein Webserver mit guter Anbindung ist eine nutzbare Ressource

• für den Versand von Spam- und Phishing-E-Mails.
• für das Hosting betrügerischer Login-Seiten unter Ihrer seriösen Domain.
• als Zwischenstation für weitere Angriffe.
• zum Schürfen von Kryptowährung.

Ein Hacker, der Ihre Website in dieser Rolle braucht, hat ein Interesse daran, dass sie funktioniert und unauffällig bleibt. Das Aufräumen erledigt der eingeschleuste Code selbst: Er legt die eigentliche Hintertür an einer anderen Stelle ab, entfernt die Datei, über die er hereingekommen ist, und wählt Dateinamen, die in einem Webverzeichnis niemandem auffallen.

Konsequenzen: Der Schaden ist in solchen Fällen schwer zu beziffern und meist indirekt - Ihre Domain und Ihre Server-IP landen auf Sperrlisten, und plötzlich kommen Ihre Angebots-E-Mails nicht mehr an.

#2 - Ihre Sichtbarkeit bei Google

Eine Domain, die seit Jahren gepflegt wird, hat bei Suchmaschinen Vertrauen aufgebaut. Dieses Vertrauen ist verkäuflich. Beim Website-Kidnapping wird der Quellcode so verändert, dass Suchmaschinen-Bots eine andere Version der Seite sehen als Besucher:innen. Das Ziel: Kriminelle nutzen die gute Suchmaschinenposition etablierter Seiten, um Kundschaft für illegale Shops zu gewinnen. Karriere- und Landingpages sind für Hacker beliebte Einstiegspunkte: Sie werden seltener kontrolliert als die Startseite und ranken oft trotzdem gut. 

Tipp: die WKO führt dazu eine eigene FAQ-Seite zu Website Kidnapping

Konsequenzen: Die Folgen sind hier gut messbar - Suchmaschinen entfernen betroffene Seiten aus dem Index, das Ranking bricht ein.

#3 - Daten abgreifen, verschlüsseln, löschen

Kundendaten, Bestellungen, Newsletter-Listen, Formulareingänge, Zugangsdaten von Redakteur:innen; Interessant ist weniger der einzelne Datensatz als die Wiederverwendbarkeit: Ein E-Mail-Passwort aus Ihrem Shop wird andernorts durchprobiert. Der DBIR bestätigt diese Reihenfolge - bei Angriffen auf Webanwendungen sind Zugangsdaten mit 52 % die häufigste abgegriffene Datenkategorie, interne Unterlagen folgen mit 48 %. Das reine Löschen von Daten ohne Erpressungsabsicht ist selten; es bringt niemandem etwas.

Datenquelle: DBIR

#4 - Erpressung und Zahlungsdaten

Das einzige der sechs Ziele, bei dem es unmittelbar um Zahlungen geht - und das auf zwei Wegen. Entweder werden Ihre Daten verschlüsselt und Sie sollen für die Freigabe zahlen; das ist Ransomware, auf Deutsch Erpressungssoftware. Oder im Webshop liest Schadcode die Kreditkartendaten Ihrer Kundschaft beim Eintippen mit - dann zahlen nicht Sie, sondern Ihre Kund:innen - der Shop aber läuft munter weiter.

WICHTIG zu Punkt 3 und 4: Sobald personenbezogene Daten betroffen sind, greift die DSGVO mit einer Meldefrist von 72 Stunden an die Datenschutzbehörde. Das ist der Punkt, an dem ein technischer Vorfall zu einem organisatorischen wird - und der Grund, warum eine dokumentierte Prüfung der Website-Sicherheit mehr wert ist als ein Bauchgefühl.

#5 - Der Zugang selbst als Ware

Es gibt Hacker, deren gesamtes Geschäftmodell daraus besteht, Zugänge zu beschaffen und weiterzuverkaufen. Sie bevorzugen den unbemerkten Zugang und richten selbst keinen sichtbaren Schaden an. Das erklärt, warum bei Sicherheitsvorfällen oft mehrere Hintertüren gefunden werden, die zu unterschiedlichen Zeitpunkten angelegt wurden - und warum das Einspielen eines Backups allein nicht reicht, wenn der Einstiegsweg offen bleibt.

#6 - Aufmerksamkeit fürs kindliche Ego

Die Startseite ist plötzlich schwarz und trägt eine Botschaft. Für Betreiber:innen ist das unangenehm, technisch aber der harmloseste Fall - man sieht sofort, dass die Website gehackt wurde, und kann eingreifen. Im Netzjargon nennt man diese Hacker - leicht abwertend - "Skript-Kiddies", da sie meist ohne Grundlagenkenntnisse und mit vorgefertigten Angriffswerkzeugen hantieren - sie wollen sich einen Namen machen. Klingt banal, aber auch unüberlegtes Handeln kann zu Schäden führen . . .

Was Sie an Ihrer eigenen Website prüfen können

• Sind CMS und alle Erweiterungen auf einer Version, die aktuell mit Sicherheitsupdates versorgt wird?
• Besteht für alle Administrator:innen eine Zwei-Faktor-Authentifizierung (2FA) und gehört jeder aktive Zugang noch zu einer Person im Unternehmen?
• Liegen Backups an einem Ort, den ein kompromittierter Webserver nicht erreicht?
• Kommen Ihre E-Mails zuverlässig an - oder häufen sich Zustellprobleme?
• Wie sehen Ihre Seiten in der Google-Suche aus, wenn Sie site:ihre-domain.at eingeben? Auffällige fremde Begriffe sind ein deutliches Signal.

Mythen aufgedeckt

„Wir sind zu klein, um interessant zu sein."
Die automatisierten Suchprogramme der Hacker kennen Ihre Unternehmensgröße nicht. 

„Man würde es sehen."
Bei vier der sechs Ziele oben ist Unauffälligkeit Teil des Plans. Eine gehackte Website sieht meistens völlig normal aus.

„Das Backup löst das."
Ein Backup stellt den Zustand wieder her, nicht die Ursache. Ohne geschlossene Lücke ist die Website nach dem nächsten Scan wieder erreichbar - und dieselbe Hintertür ist womöglich schon im Backup enthalten. Genauso gilt: Eine Website-Firewall blockt zusätzlich, ersetzt aber keine Updates.

Sie möchten wissen, ob Ihre Website die Prüffragen besteht? Ich schaue mir das gerne mit Ihnen gemeinsam an - in einem kurzen, unverbindlichen Gespräch. Sprechen Sie uns an 

Quellen:

Verizon 2026 Data Breach Investigations Report, Mai 2026, (Kapitel „Basic Web Application Attacks", „Small- and medium-sized businesses")
Patchstack, „State of WordPress Security in 2026", 05.03.2026
Wirtschaftskammer Österreich, „FAQ Website-Kidnapping"
Watchlist Internet, „Website-Kidnapping: So schützen Sie Ihre Website vor Hackingangriffen!", 19.03.2025, 

FAQs zu "Was wollen Hacker erreichen?"