WordPress gehackt: Was jetzt zu tun ist (Sofortmaßnahmen)

Du hast gemerkt, dass deine WordPress-Seite gehackt wurde? Ruhe bewahren und der Reihe nach vorgehen. Die ersten Stunden entscheiden, wie groß der Schaden wird und ob der Angreifer wiederkommt.

1. Nicht sofort alles löschen

Der Impuls, die Seite einfach zu überschreiben oder neu zu installieren, ist verständlich, aber riskant. Dabei gehen Spuren verloren, die zeigen, wie der Angreifer hineingekommen ist. Ohne diese Information bleibt die Lücke offen und die Seite ist oft nach Tagen wieder infiziert.

2. Ein Backup des aktuellen Zustands ziehen

Sichere Dateien und Datenbank so, wie sie jetzt sind, auch wenn sie befallen sind. Das Backup dient nur als Beweis und zur Analyse, nicht zum Wiederherstellen. Lege es an einem Ort ab, der nicht auf dem befallenen Server liegt.

3. Zugänge ändern

Ändere die Passwörter, und zwar von einem sauberen Rechner aus:

WordPress-Admin-Konten (alle, auch alte)
Hosting-Zugang, FTP/SFTP und SSH
Datenbank-Passwort (muss danach in der wp-config.php angepasst werden)
E-Mail-Konto, das für die Domain-Verwaltung genutzt wird

Prüfe außerdem unter Benutzer → Alle Benutzer, ob Konten existieren, die du nicht angelegt hast, und entferne sie.

4. Seite vorübergehend vom Netz nehmen, wenn Besucher gefährdet sind

Wenn die Seite Schadsoftware ausliefert, Besucher umleitet oder Phishing-Inhalte zeigt, schalte sie in den Wartungsmodus oder lass den Hoster sie sperren. Das schützt deine Besucher und deinen Ruf. Eine Seite, die Malware verteilt, landet sonst schnell auf der Google-Blacklist.

5. Hoster informieren

Viele Hoster helfen bei der Analyse oder haben Server-Backups aus der Zeit vor dem Befall. Frag nach dem Datum der letzten sauberen Sicherung und nach Logdateien, denn aus ihnen lässt sich der Einfallsweg meist ablesen.

6. Einfallstor finden und schließen

Das ist der Schritt, den die meisten überspringen. Typische Ursachen:

veraltete Plugins oder Themes mit bekannter Sicherheitslücke
geklaute oder schwache Passwörter
„Nulled“ (raubkopierte) Themes oder Plugins mit eingebauter Hintertür
unsichere Dateirechte oder ein bereits infizierter Nachbar-Account auf demselben Hosting

Solange die Lücke offen ist, nützt jede Bereinigung nur kurz.

7. Bereinigen oder sauber neu aufsetzen

Zwei Wege führen zum Ziel:

Wiederherstellen aus einem Backup vor dem Befall, danach sofort alle Updates einspielen und Zugänge ändern.
Neu aufsetzen: WordPress-Kern, Plugins und Themes frisch aus den offiziellen Quellen installieren, nur Inhalte (Beiträge, Medien) und eine geprüfte Datenbank übernehmen.

Wichtig ist, dass keine Hintertüren (Backdoors) übrig bleiben. Sie verstecken sich oft in wp-content/uploads, in Mu-Plugins oder in scheinbar harmlosen Dateien mit zufälligen Namen.

8. Google-Warnung aufheben lassen

Wurde deine Seite von Google als gefährlich markiert, verschwindet die Warnung nicht von selbst. Nach der Bereinigung beantragst du in der Google Search Console eine Überprüfung (Bereich „Sicherheit und manuelle Maßnahmen“). Die Prüfung dauert meist einige Tage.

9. Damit es nicht wieder passiert

Updates für WordPress, Plugins und Themes zeitnah einspielen, am besten automatisch (warum das so wichtig ist)
Nicht benötigte Plugins und Themes löschen, nicht nur deaktivieren
Starke, einzigartige Passwörter und Zwei-Faktor-Anmeldung für Admins
Regelmäßige, externe Backups
Die Seite regelmäßig prüfen lassen, zum Beispiel mit unserem kostenlosen Sicherheitscheck

Du willst das nicht selbst machen?

Wir übernehmen die Bereinigung zum Festpreis: Malware entfernen, Lücke schließen, Zugänge rotieren und bei der Google-Warnung helfen. Dazu gibt es 4 Wochen Re-Hack-Garantie. Antwort in der Regel innerhalb von 2 Stunden werktags.