WordPress gehackt – was tun, wenn der Albtraum wahr wird?
Ihre Website zeigt plötzlich fremde Inhalte, leitet Besucher auf dubiose Seiten weiter oder Google warnt vor Ihrer eigenen Domain? Dann wurde Ihre WordPress-Website mit hoher Wahrscheinlichkeit gehackt.
WordPress gehackt – was tun? Die Kurzantwort: Ändern Sie sofort alle Zugangsdaten (Admin, FTP, Hosting, Datenbank), schalten Sie die Website in den Wartungsmodus, sichern Sie den aktuellen Zustand als Beweis und entfernen Sie anschließend die Schadsoftware – per sauberem Backup oder manueller Bereinigung.
In dieser Anleitung führen wir Sie durch alle zehn Schritte, inklusive der Google-Entwarnung und Ihrer rechtlichen Pflichten.
Das Wichtigste auf einen Blick
- Sofortmaßnahmen: Alle Passwörter ändern (Admin, FTP, Hosting, Datenbank), Website in den Wartungsmodus schalten, Ist-Zustand als Beweissicherung exportieren.
- Bereinigung: Ein nachweislich sauberes Backup ist der schnellste Weg zurück. Bei manueller Reinigung: WordPress-Kern überschreiben, Plugins und Themes komplett neu installieren, Datenbank prüfen.
- Google-Entwarnung: Nach der Bereinigung in der Search Console unter „Sicherheitsprobleme” eine Überprüfung beantragen – sonst bleibt die Warnung bestehen.
- Rechtliches: Sind personenbezogene Daten betroffen, verlangt Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden.
- Prävention: Die meisten Hacks nutzen veraltete Plugins oder schwache Passwörter aus. Regelmäßige Wartung, Updates und Zwei-Faktor-Authentifizierung sind der wirksamste Schutz.
So hilft meine Agentur Ihrem Unternehmen, mehr Kunden zu gewinnen
Webdesign – professionelle Websites, die Besucher in Kunden verwandeln.
SEO – mehr Sichtbarkeit bei Google. Messbare Ergebnisse.
WordPress Entwicklung – individuelle Lösungen ohne monatliche Gebühren.
Woran erkennen Sie, dass Ihre WordPress-Website gehackt wurde?
Nicht jeder Hack ist sofort sichtbar. Manche Angreifer verunstalten die Startseite, andere arbeiten bewusst im Verborgenen und missbrauchen Ihre Website monatelang für Spam oder Malware-Verteilung. Das sind die häufigsten Anzeichen:
- Fremde Inhalte oder Weiterleitungen: Ihre Seite zeigt unbekannte Texte, Links oder Pop-ups – oder leitet Besucher auf Glücksspiel- und Pharma-Seiten um.
- Login funktioniert nicht mehr: Ihr Admin-Passwort wurde geändert, obwohl Sie es nicht waren.
- Browser- oder Google-Warnung: Chrome zeigt „Diese Website ist gefährlich” oder in den Suchergebnissen erscheint der Hinweis „Diese Website wurde möglicherweise gehackt”.
- Unbekannte Administratoren: In der Benutzerliste tauchen Konten auf, die Sie nie angelegt haben.
- Search-Console-Meldung: Google informiert Sie unter „Sicherheitsprobleme” über erkannte Malware oder gehackte Inhalte.
- Plötzlicher Traffic- oder Ranking-Einbruch: Google entfernt kompromittierte Seiten teilweise aus dem Index.
- Hoster-Sperrung oder Spam-Beschwerden: Ihr Hosting-Anbieter sperrt die Seite wegen auffälliger Aktivitäten, oder Ihre E-Mails landen plötzlich im Spam.
Wenn Sie unsicher sind: Kostenlose Scanner wie Sucuri SiteCheck oder der Google-Test auf sichere Browsing-Websites geben eine erste Einschätzung von außen – ganz ohne Login.
WordPress gehackt – was tun? Die 10 Schritte zur sauberen Website
Bei einem Hack zählt Geschwindigkeit, aber kein blinder Aktionismus. Arbeiten Sie die folgenden Schritte der Reihe nach ab – so begrenzen Sie den Schaden und zerstören keine Spuren, die Sie später noch brauchen.
Schritt 1: Alle Zugangsdaten sofort ändern
Ändern Sie sämtliche Passwörter: WordPress-Admin, FTP/SFTP, Hosting-Kundencenter, Datenbank und das zugehörige E-Mail-Konto. Denken Sie daran, das neue Datenbankpasswort auch in der wp-config.php zu hinterlegen. Kommen Sie nicht mehr ins Backend, setzen Sie das Admin-Passwort über phpMyAdmin direkt in der Datenbank zurück oder kontaktieren Sie Ihren Hoster. Haben mehrere Personen Admin-Zugriff, müssen alle ihre Passwörter erneuern.
Schritt 2: Website in den Wartungsmodus schalten
Nehmen Sie die Seite vorübergehend vom Netz – per Wartungsmodus-Funktion Ihres Hosters, einem Wartungsmodus-Plugin oder einem Passwortschutz über die .htaccess. So schützen Sie Ihre Besucher vor Schadsoftware und verhindern weiteren Reputationsschaden, während Sie aufräumen.
Schritt 3: Ist-Zustand sichern (Beweissicherung)
Erstellen Sie ein vollständiges Backup des aktuellen, infizierten Zustands – Dateien und Datenbank. Das klingt paradox, ist aber wichtig: Sie sichern damit Beweise für mögliche Versicherungs- oder Rechtsfragen und haben eine Rückfallebene, falls bei der Bereinigung etwas schiefgeht. Bewahren Sie dieses Backup klar getrennt von Ihren sauberen Sicherungen auf.
Schritt 4: Eigenen Rechner prüfen
Ein oft übersehener Punkt: Manchmal liegt das Einfallstor nicht auf dem Server, sondern auf Ihrem PC – etwa durch einen Keylogger, der Ihre Passwörter mitgelesen hat. Führen Sie einen vollständigen Virenscan durch, bevor Sie neue Passwörter über denselben Rechner eingeben. Sonst greifen die Angreifer die neuen Zugangsdaten gleich wieder ab.
Schritt 5: Unbekannte Benutzerkonten entfernen
Prüfen Sie unter „Benutzer” alle Konten mit Administrator- oder Redakteursrechten. Löschen Sie jedes Konto, das Sie nicht eindeutig zuordnen können – Angreifer legen häufig eigene Admin-Zugänge an, um auch nach einer Passwortänderung wieder hineinzukommen. Erneuern Sie zusätzlich die WordPress-Sicherheitsschlüssel (Security Keys) in der wp-config.php, damit alle bestehenden Login-Sitzungen ungültig werden.
Schritt 6: Malware aufspüren
Scannen Sie die Website mit einem Sicherheits-Tool wie Wordfence, Sucuri oder MalCare – oder nutzen Sie den Malware-Scanner Ihres Hosters. Typische Verstecke für Schadcode sind die .htaccess, index.php, functions.php, header.php und footer.php sowie Upload-Verzeichnisse mit ausführbaren PHP-Dateien, die dort nicht hingehören. Achten Sie auf Dateien mit auffällig aktuellem Änderungsdatum.
Schritt 7: Bereinigen oder sauberes Backup einspielen
Jetzt die Grundsatzentscheidung: Liegt ein Backup vor, das nachweislich vor dem Angriff erstellt wurde, ist die Wiederherstellung der schnellste und sicherste Weg – anschließend sofort alle Updates einspielen, sonst nutzt der Angreifer dieselbe Lücke erneut. Ohne sauberes Backup bereinigen Sie manuell:
- WordPress-Kern: Die Verzeichnisse
wp-adminundwp-includesmit einer frisch heruntergeladenen WordPress-Version gleicher Versionsnummer überschreiben (per SFTP, nicht per Auto-Installer – der würde die Datenbank anfassen). - Plugins: Plugin-Ordner löschen und die Plugins im Backend neu installieren. Nicht genutzte Plugins ersatzlos entfernen.
- Themes: Ungenutzte Themes komplett löschen; das aktive Theme durch eine frische Originalversion ersetzen (eigene Anpassungen vorher aus dem Beweis-Backup dokumentieren).
- Datenbank: Auffällige Einträge prüfen – etwa fremde Skripte in Beiträgen, unbekannte Optionen in
wp_optionsoder eingeschleuste Spam-Links.
Schritt 8: Alles aktualisieren und erneut scannen
Aktualisieren Sie WordPress, alle Plugins und das Theme auf die neueste Version und lassen Sie danach einen zweiten vollständigen Scan laufen. Erst wenn dieser sauber ist, geht die Website wieder online. Wichtig zu wissen: Manche Sicherheitslücken hinterlassen auch nach dem Update noch Hintertüren – wie die wp2shell-Lücke gezeigt hat, bei der Angreifer eingeschleuste Dateien behalten, selbst wenn das verwundbare Plugin längst gepatcht ist.
Schritt 9: Google-Warnung entfernen lassen
Hat Google Ihre Website als gehackt markiert, verschwindet die Warnung nicht von selbst. Öffnen Sie die Google Search Console, prüfen Sie den Bericht unter „Sicherheit und manuelle Maßnahmen” → „Sicherheitsprobleme” und beantragen Sie nach der Bereinigung eine Überprüfung. Beschreiben Sie dabei kurz, was Sie unternommen haben. Die erneute Prüfung dauert in der Regel wenige Tage, in Einzelfällen bis zu zwei Wochen. Reichen Sie außerdem Ihre Sitemap neu ein, falls der Angreifer Spam-Seiten erzeugt hatte.
Schritt 10: Betroffene informieren – und rechtliche Pflichten prüfen
Viele Website-Betreiber möchten einen Hack am liebsten verschweigen. Doch Transparenz schafft Vertrauen – und in vielen Fällen ist sie sogar gesetzlich vorgeschrieben: Wurden personenbezogene Daten kompromittiert (z. B. Kundendaten aus Kontaktformularen, Shop-Bestellungen oder Newsletter-Anmeldungen), verlangt Art. 33 DSGVO eine Meldung an die zuständige Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden. Besteht ein hohes Risiko für die Betroffenen, müssen Sie diese nach Art. 34 DSGVO zusätzlich direkt benachrichtigen. Dokumentieren Sie den Vorfall in jedem Fall schriftlich – auch wenn Sie zum Ergebnis kommen, dass keine Meldepflicht besteht. Im Zweifel lohnt die kurze Rücksprache mit einem Datenschutzbeauftragten oder Anwalt.
Warum wurde ausgerechnet Ihre WordPress-Website gehackt?
Die unbequeme Wahrheit: In den allermeisten Fällen war es kein gezielter Angriff. Automatisierte Bots durchsuchen das Netz rund um die Uhr nach Websites mit bekannten Sicherheitslücken – und schlagen überall dort zu, wo sie fündig werden. Die häufigsten Einfallstore sind:
- Veraltete Plugins und Themes – mit Abstand die häufigste Ursache
- Nicht eingespielte WordPress-Core-Updates
- Schwache oder mehrfach verwendete Passwörter ohne Zwei-Faktor-Authentifizierung
- Plugins und Themes aus unseriösen Quellen („nulled” Themes enthalten häufig ab Werk Schadcode)
- Unsichere Server-Konfiguration oder fehlende Firewall
Die gute Nachricht: Genau deshalb ist der Schutz so planbar. Wer Updates, Backups und Zugangssicherheit im Griff hat, schließt die Einfallstore, über die weit über 90 Prozent aller automatisierten Angriffe laufen.
So verhindern Sie den nächsten Hack
Ein Hack ist immer auch ein Weckruf. Mit dieser Routine machen Sie Ihre Website dauerhaft zum unattraktiven Ziel:
- Updates zeitnah einspielen – WordPress-Core, Plugins und Theme, idealerweise wöchentlich geprüft
- Automatische externe Backups – täglich oder wöchentlich, gespeichert außerhalb des Webservers
- Zwei-Faktor-Authentifizierung für alle Admin-Konten aktivieren
- Sicherheitsplugin mit Firewall einrichten (z. B. Wordfence oder Solid Security) und Login-Versuche begrenzen
- Ballast entfernen: Ungenutzte Plugins und Themes löschen – deaktivieren genügt nicht
- Benutzerkonten schlank halten: Nur so viele Admins wie nötig, Rechte nach Bedarf vergeben
- Dateiberechtigungen korrekt setzen (644 für Dateien, 755 für Verzeichnisse) und XML-RPC deaktivieren, wenn ungenutzt
- Monitoring einrichten, das Sie bei Dateiänderungen oder Ausfällen automatisch benachrichtigt
All das kostet laufend Zeit – und genau daran scheitert es in der Praxis am häufigsten. Wenn Sie diese Routine nicht selbst stemmen wollen, übernimmt eine professionelle WordPress-Wartung Updates, Backups, Sicherheits-Monitoring und den Ernstfall-Support für Sie.
Häufige Fragen: WordPress gehackt – was tun?
Was tun, wenn die Homepage gehackt wurde?
Ändern Sie zuerst alle Zugangsdaten (Admin, FTP, Hosting, Datenbank), schalten Sie die Homepage in den Wartungsmodus und sichern Sie den aktuellen Zustand. Anschließend entfernen Sie die Schadsoftware – entweder durch ein sauberes Backup von vor dem Angriff oder durch manuelle Bereinigung von WordPress-Kern, Plugins und Themes. Zum Schluss beantragen Sie in der Google Search Console die Entfernung der Sicherheitswarnung.
Warum wird WordPress so häufig gehackt?
Nicht weil WordPress unsicher wäre, sondern weil es so verbreitet ist: Über 40 Prozent aller Websites weltweit laufen mit WordPress – für automatisierte Angriffe ist es damit schlicht das größte Ziel. Bots scannen massenhaft nach Installationen mit veralteten Plugins, ungepatchten Sicherheitslücken oder schwachen Passwörtern. Wer Updates und Zugangssicherheit konsequent pflegt, ist für diese Massenangriffe kein lohnendes Ziel mehr.
Wie erkenne ich, ob meine WordPress-Website gehackt wurde?
Typische Anzeichen sind fremde Inhalte oder Weiterleitungen, ein nicht mehr funktionierender Admin-Login, Browser- oder Google-Warnungen, unbekannte Administrator-Konten und Meldungen in der Google Search Console unter „Sicherheitsprobleme”. Externe Scanner wie Sucuri SiteCheck liefern eine schnelle erste Einschätzung ohne Login.
Kann ich eine gehackte Website einfach aus dem Backup wiederherstellen?
Ja – sofern das Backup nachweislich vor dem Angriff erstellt wurde und Sie unmittelbar danach alle Updates einspielen und sämtliche Passwörter ändern. Sonst nutzen die Angreifer dieselbe Sicherheitslücke einfach erneut. Prüfen Sie das Backup-Datum gegen den vermuteten Zeitpunkt des Hacks; im Zweifel scannen Sie auch das wiederhergestellte System.
Wie lange dauert es, bis Google die Warnung entfernt?
Nach der beantragten Überprüfung in der Search Console entfernt Google die Warnung meist innerhalb weniger Tage, in Einzelfällen kann es bis zu zwei Wochen dauern. Der Vorgang lässt sich nicht beschleunigen – umso wichtiger ist eine gründliche Bereinigung vor dem Antrag, denn abgelehnte Überprüfungen verlängern den Prozess.
Muss ich einen Hack der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sind – etwa aus Kontaktformularen, Kundenkonten oder Bestellungen – schreibt Art. 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden vor, sofern ein Risiko für die Betroffenen nicht ausgeschlossen werden kann. Bei hohem Risiko müssen zusätzlich die Betroffenen selbst informiert werden. Dokumentieren Sie den Vorfall in jedem Fall schriftlich.
Reicht ein Sicherheitsplugin, um meine Website zu schützen?
Ein Sicherheitsplugin ist ein wichtiger Baustein, aber kein Komplettschutz. Die meisten Hacks gelingen über veraltete Software und schwache Zugangsdaten – dagegen helfen nur konsequente Updates, starke Passwörter mit Zwei-Faktor-Authentifizierung und regelmäßige externe Backups. Erst die Kombination dieser Maßnahmen senkt das Risiko wirksam.
Was kostet es, eine gehackte WordPress-Website bereinigen zu lassen?
Das hängt vom Umfang der Infektion ab: Eine einzelne kompromittierte Datei ist schnell behoben, tief eingenistete Malware mit Datenbank-Befall erfordert deutlich mehr Aufwand. Seriöse Anbieter analysieren zunächst den Schaden und nennen Ihnen dann einen verbindlichen Preis. Bei wolpersweb erhalten Sie nach einer kurzen Analyse ein Festpreisangebot – inklusive Absicherung gegen erneute Angriffe.
Fazit: Ein Hack ist ärgerlich – aber lösbar
Eine gehackte WordPress-Website ist kein Weltuntergang. Mit den zehn Schritten aus dieser Anleitung bekommen Sie Ihre Seite wieder sauber, entfernen die Google-Warnung und erfüllen Ihre rechtlichen Pflichten. Entscheidend ist, was danach passiert: Wer Updates, Backups und Zugangssicherheit dauerhaft im Griff behält, macht seine Website für automatisierte Angriffe uninteressant.
Ihre Website wurde gehackt und Sie möchten das Problem nicht allein lösen? Wir bereinigen Ihre WordPress-Website schnell und diskret, sichern sie nachhaltig ab und übernehmen auf Wunsch die laufende Wartung – damit es beim einen Mal bleibt. Jetzt unverbindlich anfragen.
