Was ist ein Hacker?
Ursprünglich war Hacker ein Kompliment. Der Begriff stammt aus dem Modelleisenbahn-Club des MIT, wo er seit den späten 1950ern für Tüftler stand, die clevere technische Lösungen bauen. Ein „Hack“ war eine schlaue, schnell gebaute Idee.
Das BSI beschreibt es so: Hacker setzen sich aus technischem Interesse intensiv mit Systemen auseinander und kennen deshalb Wege, Sicherungen zu umgehen. Wer das mit krimineller Absicht tut, heißt in der Fachsprache Cracker. Im Alltag wird das kaum unterschieden — auch hier im Lexikon meint „Hacker“ meist den Angreifer.
- White Hat: greift mit Erlaubnis an, etwa im Penetrationstest, um Lücken zu finden.
- Grey Hat: sucht ohne Auftrag, aber ohne Schadabsicht nach Lücken — trotzdem rechtlich heikel.
- Black Hat: greift an, um zu stehlen, zu erpressen oder zu zerstören.
- Script Kiddie: nutzt fertige Werkzeuge ohne tiefes Wissen. Laut BSI sind viele Angriffe genau so gebaut.
Warum gerade kleine Betriebe getroffen werden
Laut BSI-Lagebericht 2025 suchen Angreifer gezielt nach den verwundbarsten Angriffsflächen. Uninteressante Ziele gibt es nicht mehr. Es geht nicht um Größe oder Branche, sondern um den geringsten Aufwand. Und kleine Firmen sind oft am schlechtesten geschützt.
Lage in Deutschland
Wert
Angezeigte Ransomware-Angriffe
950
davon gegen KMU
rund 80 %
Neue Schwachstellen pro Tag
119
Neue Schadprogramme pro Tag
rund 280.000
Zeitraum: Juli 2024 bis Juni 2025, BSI-Lagebericht 2025. Ransomware ist Schadsoftware, die Daten verschlüsselt und Lösegeld verlangt. Die 950 Fälle sind nur die angezeigten, die echte Zahl liegt höher. Laut Bitkom-Umfrage 2026 unter 1.003 Unternehmen waren 67 % sicher und weitere 29 % vermutlich von Datendiebstahl, Spionage oder Sabotage betroffen.
Wie Hacker in Websites kommen
Weg 1 · Veraltete Plugins
Die Lücke, die niemand geschlossen hat
91 %
der WordPress-Lücken in Plugins
5 Std.
bis zum ersten Angriff
Wer Updates eine Woche liegen lässt, ist zu spät
Patchstack-Bericht 2026 über 11.334 neue Lücken im Jahr 2025. Die 5 Stunden sind der Median für stark angegriffene Lücken.
Weg 2 · Schwache Passwörter
Das gekaperte Admin-Konto
55 Mrd.
blockierte Passwortangriffe
18 %
der Firmen mit Schaden dadurch
Das Login ist die meistbesuchte Tür deiner Website
Wordfence blockierte 2024 so viele automatisierte Login-Versuche auf WordPress-Seiten. Die 18 % stammen aus der Bitkom-Umfrage 2026.
Was das Gesetz sagt
Hacken an sich ist nicht verboten, unbefugtes Eindringen schon. Die wichtigsten Paragrafen im Strafgesetzbuch:
- § 202a StGB, Ausspähen von Daten: wer eine Sicherung überwindet, um an fremde Daten zu kommen — bis zu 3 Jahre Freiheitsstrafe.
- § 202c StGB, der „Hackerparagraf“: Passwörter oder Programme für solche Taten beschaffen oder verbreiten — bis zu 2 Jahre.
- § 303a StGB, Datenveränderung: fremde Daten löschen, verändern oder unbrauchbar machen — bis zu 2 Jahre.
- § 303b StGB, Computersabotage: trifft es ein Unternehmen, bis zu 5 Jahre, in schweren Fällen bis zu 10.
Ein Penetrationstest im Auftrag ist erlaubt. Das Bundesverfassungsgericht hat 2009 klargestellt: Wer mit Einverständnis des Betreibers testet, handelt nicht unbefugt. Fremde Websites ohne Auftrag „mal zu prüfen“, kann dagegen strafbar sein.
Häufige Fehler
Fehler 1 · Sich für zu klein halten
Angriffe laufen automatisiert. Bots scannen das ganze Netz nach bekannten Lücken und probieren Passwörter durch. Ob dahinter ein Konzern oder ein Friseursalon steht, ist ihnen egal.
Fehler 2 · Ungenutzte Plugins einfach deaktivieren
Ein deaktiviertes Plugin liegt weiter auf dem Server und kann trotzdem eine Lücke sein. Was du nicht brauchst, löschst du.
Fehler 3 · Sich allein aufs Backup verlassen
Ein Backup holt verschlüsselte Daten zurück. Laut BSI schützt es aber nicht davor, dass Angreifer gestohlene Daten veröffentlichen. Schutz und Sicherung gehören zusammen.
Fehler 4 · Nach dem Angriff erst mal abwarten
Die 72-Stunden-Frist der DSGVO läuft ab dem Moment, in dem du von der Panne weißt. Prüf sofort, ob Kundendaten betroffen sind, und dokumentier jeden Schritt.
So schützt du deine Website
- Updates sofort einspielen: WordPress, Theme und Plugins. Automatische Updates für kleine Versionssprünge einschalten.
- Zwei-Faktor-Anmeldung: Das BSI rät dazu, wo immer ein Dienst sie anbietet. Für jedes Admin-Konto Pflicht.
- Passwort-Manager nutzen: lange, einzigartige Passwörter, etwa mit 1Password oder Bitwarden.
- Sicherheits-Plugin: Wordfence oder Patchstack erkennen Angriffe und bekannte Lücken.
- Backups außerhalb des Servers: regelmäßig, automatisch und mit getesteter Wiederherstellung.
- Einstieg für Betriebe: Der CyberRisikoCheck nach DIN SPEC 27076, den das BSI empfiehlt, zeigt dir die größten Baustellen.
Häufige Fragen
Ist Hacken in Deutschland strafbar?
Unbefugtes Eindringen in fremde Systeme ist strafbar, vor allem nach § 202a StGB mit bis zu drei Jahren Freiheitsstrafe. Wer mit Erlaubnis des Betreibers testet, etwa im Penetrationstest, handelt dagegen nicht unbefugt.
Was ist der Unterschied zwischen Hacker und Cracker?
Hacker sind ursprünglich technisch Begeisterte, die Systeme verstehen wollen. Cracker nutzen dieses Wissen mit krimineller Absicht. Im Alltag wird beides meist „Hacker“ genannt.
Darf ich meine eigene Website testen lassen?
Ja. Ein Penetrationstest im Auftrag und mit deinem Einverständnis ist legal. Leg schriftlich fest, was getestet wird. Fremde Websites ohne Auftrag zu testen, kann strafbar sein.
Was tun, wenn meine Website gehackt wurde?
Zugänge sperren und Passwörter ändern, Website vom Netz nehmen oder in den Wartungsmodus setzen, sauberes Backup einspielen, Lücke schließen. Prüf sofort, ob personenbezogene Daten betroffen sind — dann gilt die 72-Stunden-Meldefrist nach Art. 33 DSGVO.
Was ist ein Bug-Bounty-Programm?
Ein Programm, bei dem Firmen Sicherheitsforschern eine Belohnung zahlen, wenn sie Lücken melden statt ausnutzen. Bei WordPress-Plugins läuft ein großer Teil der Meldungen über solche Programme, etwa bei Wordfence.
Quellen
- BSI: Durchführungskonzept für Penetrationstests
- bpb: Kleine Geschichte der Hackerkultur (2023)
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025
- § 202a StGB: Ausspähen von Daten
- § 202c StGB: Vorbereiten des Ausspähens und Abfangens von Daten
- § 303a StGB: Datenveränderung
- § 303b StGB: Computersabotage
- Bundesverfassungsgericht: Beschluss 2 BvR 2233/07 (2009)
- EUR-Lex: Datenschutz-Grundverordnung
- BSI: Zwei-Faktor-Authentisierung
