Zunächst mal wahrscheinlich ein dummes Gesicht.
Als Admin sollte man die Lücke suchen, durch die eingedrungen wurde, und sie schließen. Es gibt Hackergruppen, die schließen die Lücke, durch die sie eingedrungen sind selbsttätig und verwischen ihre Spuren in den jeweiligen Logfiles, was natürlich insofern unangenehm ist, das der/die entsprechenden Admins den Fehler bzw. die Tür nicht finden, (er ist ja nicht mehr da), und sich den Wolf suchen.
Danach schaut man, wieviel Schaden angerichtet wurde, behebt ihn wenn noch möglich und hofft das man in Zukunft verschont bleibt, und das Sicherheitskonzept so greift, das ein Hack ausgeschlossen werden kann (grau ist alle Theorie)!

Gruß,
Olli