WordPress gehackt – was tun? Anleitung

Plötzlich leitet Ihre Website auf fremde Seiten um, Google zeigt eine Warnung oder im Backend tauchen unbekannte Administratoren auf? Dann ist schnelles, aber überlegtes Handeln gefragt. Diese Anleitung zeigt Schritt für Schritt, was Sie tun sollten, wenn Ihre WordPress-Website gehackt wurde – und wie Sie einen erneuten Angriff verhindern.

Kurz gesagt: Wenn WordPress gehackt wurde, sichern Sie zuerst den aktuellen Zustand, ändern alle Passwörter und versetzen die Website bei Bedarf in den Wartungsmodus. Anschließend entfernen Sie Schadcode aus Dateien und Datenbank oder spielen ein sauberes Backup ein, schließen die ausgenutzte Lücke, aktualisieren alles und beantragen bei Google eine Überprüfung. Ohne das Schließen der Ursache kommt der Angriff meist wieder.

Woran erkennen Sie, dass WordPress gehackt wurde?

Ein Hack zeigt sich oft nicht auf den ersten Blick. Viele Schadprogramme sind so gebaut, dass eingeloggte Administratoren nichts bemerken, während Besucher oder Suchmaschinen umgeleitet werden. Achten Sie auf diese typischen Anzeichen:

Besucher werden auf Spam-, Glücksspiel- oder Phishing-Seiten umgeleitet, oft nur auf Mobilgeräten oder bei Aufrufen über Google.
Google zeigt in den Suchergebnissen „Diese Website wurde möglicherweise gehackt“ oder der Browser warnt vor der Seite.
In der Google Search Console erscheinen Sicherheitsprobleme oder fremde Seiten in fremden Sprachen.
Unbekannte Benutzer mit Administratorrechten existieren.
Der Hoster sperrt das Konto oder meldet massenhaften E-Mail-Versand.
Unbekannte Dateien liegen im WordPress-Verzeichnis, besonders im Uploads-Ordner.
Die Website ist ungewöhnlich langsam oder der Server stark ausgelastet.

Welche Arten von WordPress-Hacks gibt es?

Die meisten Angriffe auf WordPress verfolgen ein wirtschaftliches Ziel: Angreifer wollen den Server und das Vertrauen, das Google Ihrer Domain entgegenbringt, für eigene Zwecke nutzen. Welche Art von Hack vorliegt, bestimmt, wie dringend Sie handeln müssen und welche Folgeschäden drohen.

Art des Hacks	Was passiert	Typisches Anzeichen
SEO-Spam	Tausende Spam-Seiten werden angelegt oder Links eingeschleust	fremde Seiten in der Google-Suche, oft in anderen Sprachen
Weiterleitungen	Besucher werden auf Betrugs- oder Werbeseiten umgeleitet	Umleitung vor allem bei Aufruf über Google oder auf Mobilgeräten
Phishing	Gefälschte Login- oder Bankseiten werden auf Ihrem Server abgelegt	Warnung von Google oder vom Hoster
Spam-Versand	Der Server verschickt massenhaft E-Mails	E-Mails landen im Spam, Hoster sperrt den Versand
Hintertür (Backdoor)	Versteckter Zugang für spätere Angriffe	oft keine sichtbaren Anzeichen
Datendiebstahl	Kundendaten oder Zahlungsformulare werden abgegriffen	veränderte Checkout-Skripte, Beschwerden von Kunden

Was sollten Sie sofort tun? Die ersten 5 Schritte

In der ersten Stunde geht es darum, den Schaden zu begrenzen und Beweise zu sichern. Löschen Sie nichts überstürzt – die infizierten Dateien helfen später, die Ursache zu finden. Gehen Sie in dieser Reihenfolge vor:

Ruhe bewahren und dokumentieren: Screenshots der Warnungen und Auffälligkeiten mit Datum und Uhrzeit anlegen.
Aktuellen Zustand sichern: eine vollständige Kopie von Dateien und Datenbank erstellen – auch wenn sie infiziert ist.
Passwörter ändern: alle WordPress-Administratoren, Hosting-Konto, FTP/SFTP, Datenbank und die mit der Website verbundenen E-Mail-Konten.
Zugriffe begrenzen: bei akuten Weiterleitungen oder Phishing die Website in den Wartungsmodus versetzen.
Hoster informieren: Viele Anbieter helfen bei der Analyse der Server-Logs und stellen ältere Sicherungen bereit.

Wie entfernen Sie Malware aus WordPress?

Malware entfernen Sie entweder durch eine gründliche Bereinigung der bestehenden Installation oder durch das Einspielen eines Backups von vor dem Angriff. Ein Backup ist schneller, funktioniert aber nur, wenn der Zeitpunkt der Infektion bekannt ist und die Lücke anschließend geschlossen wird. Sonst ist die Website nach kurzer Zeit erneut infiziert.

Vorgehen	Vorteil	Nachteil	Geeignet wenn
Sauberes Backup einspielen	schnell, vollständig	Änderungen seit dem Backup gehen verloren	Infektionszeitpunkt bekannt, Backup sicher sauber
Manuelle Bereinigung	keine Datenverluste	zeitaufwendig, Fachwissen nötig	kein sauberes Backup vorhanden
Neuaufbau mit Inhaltsimport	sehr gründlich	hoher Aufwand	Installation stark beschädigt oder mehrfach infiziert

So gehen Sie bei der Bereinigung vor

WordPress-Kern durch eine frische Kopie derselben Version ersetzen (die Ordner wp-admin und wp-includes).
Alle Plugins und Themes löschen und aus offiziellen Quellen neu installieren.
Den Uploads-Ordner nach PHP-Dateien durchsuchen – dort haben sie nichts zu suchen.
wp-config.php und .htaccess auf fremden Code prüfen.
Die Datenbank nach eingeschleusten Skripten, fremden Links und unbekannten Administratoren durchsuchen.
Einen Malware-Scan mit einem Sicherheits-Plugin oder serverseitigen Scanner durchführen.
Die Sicherheitsschlüssel (Salts) in der wp-config.php erneuern, damit alle Sitzungen ungültig werden.

Wie schließen Sie die Sicherheitslücke?

Die Lücke schließen Sie, indem Sie die Ursache des Angriffs finden und beseitigen. In den meisten Fällen ist das ein veraltetes Plugin oder Theme, seltener ein gestohlenes Passwort oder ein unsicheres Hosting. Die Server-Logs zeigen oft, über welche Datei der erste Zugriff erfolgte. Aktualisieren Sie anschließend alle Komponenten und entfernen Sie Erweiterungen, die nicht mehr gepflegt werden. Welche Lücken am häufigsten ausgenutzt werden, zeigt unser Beitrag Die häufigsten Sicherheitslücken in WordPress-Plugins.

Wie entfernen Sie Google-Warnungen nach einem Hack?

Google-Warnungen entfernen Sie über die Google Search Console. Nachdem die Website vollständig bereinigt ist, beantragen Sie im Bereich „Sicherheitsprobleme“ eine Überprüfung und beschreiben kurz, was Sie unternommen haben. Die Prüfung dauert meist einige Tage. Prüfen Sie außerdem, ob Spam-Seiten indexiert wurden, und lassen Sie diese bei Bedarf über das Entfernen-Werkzeug aus den Suchergebnissen nehmen.

Muss ein Hack gemeldet werden?

Wenn bei dem Angriff personenbezogene Daten betroffen sein könnten – etwa Kundenkonten, Bestellungen oder Formulareinträge –, kann eine Meldepflicht nach der DSGVO bestehen. Die Meldung an die zuständige Datenschutzbehörde muss dann in der Regel innerhalb von 72 Stunden erfolgen. Klären Sie das zeitnah mit Ihrem Datenschutzbeauftragten oder einer rechtlichen Beratung.

Wie verhindern Sie einen erneuten Angriff?

Plugins, Themes und WordPress-Kern regelmäßig aktualisieren.
Ungenutzte Plugins und Themes vollständig löschen.
Starke, einzigartige Passwörter und Zwei-Faktor-Authentifizierung für Administratoren nutzen.
Eine Firewall und einen Malware-Scanner einsetzen.
Tägliche externe Backups mit ausreichend langer Aufbewahrung einrichten.
Die Website laufend auf Veränderungen und Erreichbarkeit überwachen.

Häufige Fragen, wenn WordPress gehackt wurde

Kann ich einfach das letzte Backup einspielen?

Nur wenn das Backup sicher von vor der Infektion stammt und Sie die Lücke danach schließen. Viele Infektionen bleiben wochenlang unbemerkt, sodass auch neuere Backups bereits betroffen sein können.

Wie lange dauert es, eine gehackte WordPress-Website zu bereinigen?

Eine typische Bereinigung dauert zwischen wenigen Stunden und einem Arbeitstag. Die Aufhebung von Google-Warnungen kann anschließend noch einige Tage in Anspruch nehmen.

Warum wurde ausgerechnet meine Website gehackt?

In aller Regel war es kein gezielter Angriff. Bots durchsuchen automatisch das Internet nach verwundbaren Plugin-Versionen und greifen jede gefundene Website an – unabhängig von Größe oder Bekanntheit.

Reicht es, ein Sicherheits-Plugin zu installieren?

Nein. Ein Sicherheits-Plugin kann Schadcode finden und Angriffe erschweren, entfernt aber nicht zuverlässig alle Hintertüren und schließt nicht die ursprüngliche Lücke.

Wer hilft mir, wenn ich es nicht selbst schaffe?

Unser Service WordPress gehackt – Malware entfernen bereinigt Dateien und Datenbank, schließt die Lücke und unterstützt bei Google-Warnungen – mit kostenloser Ersteinschätzung und Festpreis.

Fazit

Ein Hack ist ärgerlich, aber fast immer behebbar. Entscheidend ist die Reihenfolge: Zustand sichern, Zugänge sperren, Schadcode entfernen, Ursache schließen, Google informieren. Wer danach auf regelmäßige Updates, Backups und Überwachung setzt, senkt das Risiko eines erneuten Angriffs deutlich. Bei akuten Problemen erreichen Sie unseren WordPress Notfall-Service.

Updates, Backups und Sicherheit – von uns übernommen

Ab 39 € pro Monat, monatlich kündbar, hostingunabhängig.

Jetzt Wartung starten Kostenlose Beratung