De 5 mest effektive akut-trin til at redde din hjemmeside efter et hackerangreb

Hvis din hjemmeside bliver hacket, gælder det om at holde hovedet koldt og hurtigt begrænse skaden: isolér websitet, nulstil al adgang, genskab fra en verificeret backup, fjern skadelig kode og implementér permanente sikkerhedsforanstaltninger. De første 24 timer er afgørende – målet er at stoppe hackerens adgang, beskytte dine brugere og data, undgå negative signaler til Google og få sitet online igen – rent og uden risiko.

Et hackerangreb handler sjældent kun om, at forsiden får et mærkeligt billede. De fleste hackere foretrækker at være usynlige: de opretter spam-sider, manipulerer betalingsformularer, tilføjer ukendte administratorer, gemmer redirect-koder i databasen eller bruger din server til masseopslag og mailudsendelse. Derfor er en redningsaktion mere end bare “at slette filer”. Du skal bevare beviser, dokumentere oprydningen og forebygge gentagelse – og gøre det systematisk.

Her får du en praktisk guide til de første 5 akut-trin, du bør tage hvis din hjemmeside er hacket – uanset om du bruger WordPress, custom CMS, webshop eller virksomhedssite: isolér, fjern adgang, genskab fra ren kilde, verificér og styrk sikkerheden.

Tegn på at din hjemmeside er blevet hacket

Et hackerangreb viser sig ikke nødvendigvis som en crash eller nedbrud. Nogle cyberangreb kan stå på i ugevis uden at blive opdaget. Hvis du oplever bare ét af disse symptomer, skal du håndtere det som en sikkerhedstrussel – ikke bare en fejl:

• Din hjemmeside vises med titler om gambling, medicin, kryptovaluta eller voksenindhold i Googles søgeresultater.
• Browseren advarer om phishing, malware eller usikre forbindelser.
• Du kan ikke logge ind på admin-panelet, eller ser ukendte administratorer.
• Pludselig stigning i serverens CPU, RAM, disk- eller emailtrafik.
• Uventede ændringer i .htaccess, index.php, wp-config.php eller temafiler.
• Besøgende omdirigeres til andre domæner.
• Din hostingkonto udsender masseemails uden din viden.
• Sikkerhedsplugins eller logs er deaktiveret eller slettet.

Hvis din blog normalt har 2.000 daglige besøgende og pludselig producerer 30.000 requests, skyldes det ofte bots, brute force-angreb eller skadelig kode – ikke ægte brugere. Ligeledes hvis et tema på 10 MB vokser til 80 MB på få dage, kan det være tegn på skjulte backdoors.

Første 30 minutter efter hack: Fokus på beviser og kontrol – ikke panik

Første instinkt bør ikke være at slette alt. Hvis du fjerner filer tilfældigt, mister du vigtige spor, gør rensningen sværere og risikerer at genskabe fra den forkerte backup. Start med at dokumentere situationen: dato, tidspunkt, advarsler, berørte URLs, mistænkelige brugere, sidste ændringer og hosting logs. Det hjælper både support og sikkerhedseksperter med at diagnosticere hurtigt.

Har du webshop, medlemsfunktion eller persondata, skal du især føre log: hvilke data kan være kompromitteret, hvornår startede angrebet, hvilke IP-adresser har forsøgt adgang? Hvis din hjemmeside hostes på Hostragons, bør du dele domæne, berørte mapper, tidsrum og fejlmeddelelser med support – så får du hurtigere hjælp. Vil du vide mere om valg af sikker hosting, se Pakker til sikker webhosting.

1. Trin: Isolér hjemmesiden og begræns skaden

Det første akut-trin er at stoppe hackeren og skadelig kode fra at gøre yderligere skade. Det svarer til at lukke for gassen før du slukker branden. Du behøver ikke nødvendigvis at lukke hele sitet, men du skal forhindre besøgende i at blive omdirigeret, ramme falske betalingsformularer eller downloade virus.

Sæt sitet i vedligeholdelse eller begræns adgang midlertidigt

Bruger du WordPress, kan du vise en “maintenance mode”-side. Har du custom CMS, kan du sende en 503-kode eller kun tillade adgang fra bestemte IP-adresser. 503 fortæller Google, at sitet midlertidigt er nede – det er bedre end 404 eller blank side. Hvis sitet spreder phishing eller malware, bør du lukke alt adgang.

• Lad ikke admin-panelet være åbent – brug IP-begrænsning.
• Deaktiver PHP i upload-mapper midlertidigt.
• Stop SMTP-adgang hvis emailmisbrug foregår.
• Hvis betalingsmodul er kompromitteret, deaktivér betalingsgateway midlertidigt.

Gem logs og nuværende filstatus

Under isolationen skal du sikre adgangslogs, fejl-logs, FTP-logs og kontrolpanel-historik. De fleste hacks starter med gamle plugins, svage FTP-passwords, lækkede admin-konti eller forkert file-permission. Uden logs bliver det svært at finde årsagen – og så risikerer du, at sitet bliver hacket igen om få dage.

Download filerne fra serveren til en lokal computer for analyse – men brug antivirus, da filerne kan være inficerede. Har dit hostingpanel backup-funktion, bør du tage et snapshot af situationen – kun til analyse, ikke som backup til gendannelse. Læs mere om professionelle backup-strategier på Hosting løsninger med automatisk backup.

2. Trin: Nulstil alle adgangsoplysninger, passwords og nøgler

Mange tror, at det er nok at skifte admin-password – men hackeren kan have adgang via FTP, database, hosting-panel, SSH-nøgle, email, API-token eller tredjepartsintegrationer. Derfor skal ALLE adgangsoplysninger nulstilles og sessions afsluttes.

Hvilke passwords skal skiftes?

• Hostingpanel-password.
• FTP, SFTP og SSH-bruger passwords.
• Databasebruger password og connection settings.
• CMS-administratorer og redaktører.
• Email-konti – især dem der sender fra domænet.
• API-nøgler, betalingstokens, CDN- og DNS-paneladgang.
• Git, deploy, automatisering og backup-tjenester.

Stærke passwords bør være minimum 16 tegn, unikke og ikke kunne gættes. Brug aldrig samme password flere steder – datalæk kan kompromittere flere systemer. Aktiver 2-faktor login hvor det er muligt, især på admin-konti. Det reducerer risiko for brute force markant.

Fjern mistænkelige brugere og afslut aktive sessions

Ser du brugere du ikke kender i CMS’et, bør du først dokumentere rolle, oprettelsesdato og handlinger – og derefter slette dem. I WordPress kan du nulstille sikkerhedsnøgler for at afslutte alle sessions. I custom systemer skal du rydde session-tabellen. Webshops bør især tjekke personale-konti med admin-rettigheder, ikke kundekonti.

Eksempel: En hacker kan have fået adgang til en gammel redaktør-konto og uploadet web shell via et plugin. Hvis du kun skifter admin-password, er hackeren stadig aktiv via redaktør-kontoen. Derfor bør du gennemgå alle roller og minimere antallet af admin- og redaktørkonti. DNS, domæne og SSL-adgang skal også være sikret – se domæneadministration og DNS-sikkerhed og løsninger til SSL certifikat.

3. Trin: Genskab fra ren backup eller isolér inficerede områder

Den hurtigste og sikreste vej til at redde sitet er at genskabe fra en verificeret, ren backup lavet før angrebet. Men “ren” er nøglen: Hvis hacken startede for en uge siden, og du kun har backup fra i går, kan den stadig være inficeret. Tjek altid backup-datoer, logs og filændringer sammen.

Sådan vælger du den rigtige backup

Find ud af, hvornår første tegn på hack opstod. Fx hvis du fik en advarsel i Google Search Console d. 12. marts, men server-logs viser mistænkelige POST-requests d. 5. marts, skal backups før d. 5. marts analyseres. Scan backup-filer for malware før du gendanner.

• Backup’en skal være ældre end det estimerede hack-start tidspunkt.
• Der må ikke være ukendte admin-brugere i backup’en.
• Fil-integritet: sammenlign CMS-core med original version.
• Søg i databasen efter skjulte iframes, base64-kode, scripts og spam.
• Efter gendannelse – opdater al software.

Hvis du ikke har en ren backup?

Har du ingen backup, skal redningen foregå mere omhyggeligt: Kopiér sitet til et staging-miljø. Flyt mistænkelige filer til karantæne. Geninstaller CMS-core fra officielle kilder. Opdatér temaer og plugins med rene versioner. Upload-mappen er ofte brugt til skjul – tjek for .php, .phtml, .phar og andre executable filer.

Database-rensning er mindst lige så vigtig som fil-rensning. Skadelig kode kan gemme sig i indstillinger, widgets, tema-options eller indhold. Søg efter script, iframe, eval, atob, base64_decode, gzinflate, shell_exec og document.location – men husk, ikke al base64 er skadelig. Tag altid en kopi af databasen før du redigerer.

4. Trin: Fjern skadelig kode, opdatér og luk sikkerhedshuller

Gendannelse er ikke nok. Hvis du ikke finder indgangsvejen, risikerer du nyt angreb. Fjerde trin handler om at fuldføre fil- og database-rensningen, opdatere software og rette permissions.

Checkliste til filsystemet

• List alle nyligt ændrede filer – tjek for uventede ændringer.
• Sammenlign CMS-core med den officielle version.
• Tjek om upload-mapper indeholder executable filer.
• Undersøg skjulte filer: .user.ini, .htaccess mv. bruges ofte til redirects.
• Stram file-permissions: typisk 644 for filer, 755 for mapper.
• Fjern gamle temaer, plugins, backup-zips og testmapper.

I WordPress skal du slette (ikke bare deaktivere) ubrugte plugins. Gamle sliders, forms eller filhåndterings-plugins, selv deaktiverede, kan udgøre risiko hvis filerne stadig ligger på serveren. Nulled temaer og ulovlige plugins indeholder ofte backdoors – det kan koste dig både branding og kundedata.

Optimal opdateringsrækkefølge

Opdater først core-systemet, derefter temaer, så plugins. Er din PHP-version gammel, skal du skifte til en opdateret og understøttet version. Sider med forældet PHP i 2026 er ekstremt sårbare, da de ikke får sikkerhedsfixes. Vælg hosting med up-to-date PHP, isolerede konti, regelmæssig backup og firewall. Se muligheder på Hostragons webhosting.

Tjek også at SSL-certifikatet er gyldigt. SSL beskytter ikke mod hacking, men krypterer data mellem bruger og server og mindsker effekten af falske formularer. SSL er obligatorisk på login, betaling og medlemskab. Se køb SSL certifikat for certifikatløsninger.

5. Trin: Verificér, overvåg og implementér permanent beskyttelse før relancering

Sidste trin er at sikre, at sitet virkelig er rent – og forhindre gentagelse. Hvis du springer dette over, kan advarsler og malware hurtigt vende tilbage. Verificering handler både om teknisk scanning og om at tjekke arbejdsprocesser.

Pre-launch kontrol

• Tjek forsiden, login, betaling og populære URLs på forskellige enheder.
• Tjek Google Search Console for sikkerhedsproblemer og manuelle sanktioner.
• Undersøg sitemap og robots.txt.
• Analyser serverlogs for gentagne 404, 500, POST og login-forsøg.
• Tjek email reputation – er du havnet på blacklist, start oprydning.
• Test betalings-, kontakt- og uploadformularer.

Hvis Google eller browseren markerer sitet som farligt, skal du sende en “reconsideration request” efter rensning. Forklar præcist hvad der er renset, hvilke huller der er lukket og hvilke tiltag du har taget – fx “gammel filhåndterings-plugin er fjernet, alle admin-passwords er skiftet, PHP i upload-mappen er deaktiveret”.

Permanent beskyttelse: Praktiske sikkerhedstiltag

Sikkerhed er en løbende proces – ikke en engangsopgave. Selv små virksomhedssider bør have en månedlig rutine. Minimum: ugentlig opdateringskontrol, daglig backup, stærke password-politikker og log-overvågning. Har du meget trafik, anbefales WAF (web application firewall), CDN, botbeskyttelse og ekstern scanning.

På virksomhedssider bør ansvarsfordeling være klar: Hvem opdaterer, hvem tjekker backups, hvem får besked ved sikkerhedsadvarsel, hvornår sættes sitet i maintenance mode? Disse beslutninger skal være på plads INDEN et angreb – så undgår du panik og får en effektiv respons.

Ekstra rednings-trin for SEO, omdømme og brugertryghed

Selvom dit site er teknisk renset, skal du tjekke SEO-siden. Hackere opretter ofte tusindvis af spam-URLs. Hvis de er indekseret i Google, skal du fjerne dem via 404, 410 eller passende redirects – men undgå at redirecte alle til forsiden, da Google kan tolke det negativt.

Tjek Search Console for indekserede sider, sikkerhedsproblemer, manuelle sanktioner og sitemaps. Når skadeligt indhold er fjernet, kan du genindsende sitemap – men først når spam-sider reelt er væk. Hvis dit brandnavn viser skadelige titler, skal du anmode om genindeksering af rene sider.

For brugertryghed er det vigtigt at kommunikere åbent – uden at skabe panik. Hvis brugerdata, betalingsinfo eller medlemskab kan være kompromitteret, skal du følge juridiske krav om databeskyttelse og informere relevant. På en simpel præsentationsside er det mindre kritisk, men på webshop eller medlemsplatform skal du være ekstra grundig.

Typiske fejl du bør undgå ved akut-redning

Nogle fejl under redning kan gøre mere skade end hackerangrebet. Den mest almindelige er at tro, at problemet er løst så snart sitet er online. Er der en backdoor-fil tilbage, kan hackeren vende tilbage. En anden fejl er at gendanne backup uden verificering – så genudgives skadelig kode.

• Undlade at tage backup før rensning.
• Kun slette synlige skadelig filer og ignorere årsagen.
• Fortsætte med gamle plugins eller temaer.
• Give alle admin-brugere fuld adgang unødvendigt.
• Slette eller overskrive logs uden analyse.
• Tro at SSL alene gør sitet sikkert.
• Installere temaer/plugins fra billige eller ukendte kilder.

Især for file-permissions gælder det: undgå for brede rettigheder. 777 virker som en hurtig løsning, men er ekstremt risikabelt i produktion. “Least privilege” princippet skal gælde – kun mapper der absolut skal kunne skrives til, bør have write-adgang.

Kort opsummering af akut-indsats

Redningsstrategien bør være: isolér først, nulstil adgang, genskab fra ren backup eller foretag kontrolleret rensning, luk sikkerhedshuller, verificér før relancering. Så minimerer du både teknisk risiko, SEO-skade og tab af omdømme.

Med Hostragons får du sikker hosting, SSL, domænehåndtering og backup-løsninger til at gøre dit site robust mod fremtidige angreb. Vil du optimere dit nuværende setup, start med Hostragons hostingpakker og Domæneforespørgsel og domænestyring. Husk – balance mellem hastighed, sikkerhed, backup og support er afgørende før du vælger hosting.

Ofte stillede spørgsmål

Skal jeg tage hjemmesiden offline med det samme hvis den er hacket?

Hvis dit site spreder malware, omdirigerer brugere eller har kompromitterede betalingsformularer, bør du straks begrænse adgang. Ved mindre angreb kan du bruge 503 maintenance mode eller IP-begrænsning. Målet er at beskytte brugere og samtidig signalere til Google, at nedetiden er midlertidig.

Er det altid nok at genskabe fra backup?

Nej. En ren backup sikrer hurtig gendannelse, men hvis du ikke finder indgangsvejen, kan sitet blive hacket igen. Efter backup skal du skifte passwords, opdatere software, tjekke file-permissions og fjerne sårbare plugins, temaer eller konfigurationsfejl.

Mister min hjemmeside SEO-rank hvis den er blevet hacket?

Kortvarige, korrekt håndterede hacks påvirker ikke nødvendigvis SEO permanent. Men hvis spam-sider indekseres, Google advarer brugere eller sitet er offline længe, kan du miste placeringer. Efter rensning skal du tjekke Search Console, sende reconsideration request og sikre, at spam-URLs er fjernet.

Hvorfor bliver min WordPress-side hacket igen og igen?

Gentagne hacks skyldes ofte efterladte backdoors, gamle plugins, svage passwords, for mange admin-konti, forkerte file-permissions eller inficerede backups. Du må ikke nøjes med at slette skadelig kode – lav en grundig analyse og nulstil al adgang.

Påvirker hosting-valg min hjemmesides sikkerhed?

Ja. Isolerede konti, opdateret PHP, regelmæssig backup, firewall, malware scan, hurtig support og SSL gør en stor forskel. Sikker hosting fjerner ikke alle risici, men mindsker angrebsflader og gør redning lettere.