Wenn deine WordPress-Seite gehackt wurde, entscheiden die nächsten Schritte darüber, wie groß der Schaden wird: für deine Besucher, deine Daten und dein Google-Ranking.
Oft beginnt es so: Ein Kunde meldet eine seltsame Weiterleitung, Google zeigt eine Warnung oder dein Hoster sperrt das Paket. Jetzt kommt es darauf an, das Richtige in der richtigen Reihenfolge zu tun und ein paar typische Fehler zu vermeiden.
Woran du erkennst, dass deine WordPress-Seite gehackt wurde
Nicht jeder Hack ist auf den ersten Blick sichtbar. Diese Anzeichen sind die häufigsten:
- Weiterleitungen: Besucher landen auf Spam-, Glücksspiel- oder Fake-Shop-Seiten, oft nur mobil oder nur beim ersten Besuch.
- Unbekannte Admin-Konten: In der Benutzerliste tauchen Administratoren auf, die niemand kennt.
- Google-Warnung: In den Suchergebnissen steht „Diese Website wurde möglicherweise gehackt“, oder der Browser zeigt eine rote Warnseite.
- Fremde Inhalte: Bei einer Google-Suche nach
site:deine-domain.deerscheinen Seiten mit japanischen Zeichen, Pharma- oder Kreditwerbung. - Post vom Hoster: Dein Hoster meldet Schadcode oder Spam-Versand oder hat das Paket gesperrt.
Trifft einer dieser Punkte zu, geh davon aus, dass die Seite kompromittiert ist, und starte mit den folgenden Schritten.
Was du jetzt tun solltest: 7 Schritte in der richtigen Reihenfolge
Wichtig: Ändere Passwörter nur von einem Rechner aus, dem du vertraust. Ist dein eigenes Gerät infiziert, landen auch die neuen Passwörter beim Angreifer.
- Ruhe bewahren und dokumentieren: Mach Screenshots von allem, was auffällt: Weiterleitungen, Warnungen, fremde Benutzer, E-Mails vom Hoster. Notiere Uhrzeit und betroffene Adressen. Diese Infos brauchst du später für die Analyse.
- Aktuellen Zustand sichern: Erstelle über deinen Hoster ein komplettes Backup von Dateien und Datenbank und beschrifte es klar als „gehackt“. Überschreibe damit keine älteren Backups, denn die sind vielleicht noch sauber.
- Besucher schützen: Nimm die Seite vorübergehend vom Netz oder schalte einen Wartungsmodus ein, zum Beispiel über eine Sperre in der
.htaccess, die nur deine eigene IP-Adresse zulässt. Bei Shops: Bestellungen und Zahlungen pausieren. - Alle Zugänge ändern: Vergib neue, starke Passwörter für alle WordPress-Administratoren, das Kundenkonto beim Hoster, FTP/SFTP, die Datenbank (danach in der
wp-config.phpeintragen) und das E-Mail-Postfach der Admin-Adresse. Aktiviere, wo möglich, die Zwei-Faktor-Anmeldung. - Fremde Benutzer und Sitzungen entfernen: Notiere unbekannte Konten (Name, E-Mail, Registrierdatum) und lösche sie. Erneuere die Sicherheitsschlüssel (Salts) in der
wp-config.php. Damit werden alle angemeldeten Sitzungen beendet, auch die des Angreifers. - Hoster informieren und Logs sichern: Bitte deinen Hoster um die Zugriffsprotokolle (Access-Logs) der letzten Wochen. Viele Hoster löschen sie nach wenigen Tagen, und ohne Logs lässt sich die Einfallstür oft nicht mehr finden.
- Prüfen, ob personenbezogene Daten betroffen sind: Liegen Kundendaten, Bestellungen oder Formulareinträge auf der Seite, kann eine Datenpanne vorliegen. Nach Art. 33 DSGVO muss sie in vielen Fällen innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden. Kläre das zeitnah mit deinem Datenschutzbeauftragten.
Was du jetzt nicht tun solltest
Unter Zeitdruck passieren schnell Fehler, die die Bereinigung schwerer machen:
- Nicht einfach ein altes Backup einspielen. Die Lücke bleibt offen, und oft steckt der Schadcode schon im Backup.
- Nicht nur einen Plugin-Scan laufen lassen. Sicherheits-Plugins finden viel, übersehen aber häufig gut versteckte Hintertüren in Uploads oder der Datenbank.
- Nicht wahllos Dateien löschen. Dabei gehen Spuren verloren, und die Seite kann zusätzlich kaputtgehen.
- Nicht abwarten. Je länger der Schadcode läuft, desto eher landet deine Domain auf Sperrlisten von Google und E-Mail-Anbietern.
Wann du einen Profi brauchst
Die Sofortmaßnahmen oben kannst du selbst erledigen. Die eigentliche Bereinigung ist schwieriger: Angreifer hinterlassen fast immer mehrere Hintertüren, damit sie zurückkommen können. Hol dir spätestens dann Hilfe, wenn:
- es um einen Shop oder eine Seite mit Kundendaten geht,
- Google oder dein Browser bereits vor der Seite warnt,
- dein Hoster das Paket gesperrt hat,
- die Seite nach einer Bereinigung erneut befallen wurde.
Bei unserer WordPress Malware-Bereinigung ist die Erstanalyse kostenlos. Bestätigt sich der Befall, entfernen wir den Schadcode zum Festpreis von 250 € zzgl. MwSt., schließen die Lücke und härten die Seite, meist innerhalb von 24 Stunden. Du erreichst uns auch telefonisch unter 0911 89622083.
Damit es gar nicht erst so weit kommt, übernimmt unsere WordPress-Wartung Updates, tägliche Backups und Sicherheitsscans. Im Plus-Plan ist eine Malware-Bereinigung sogar inklusive.
Häufige Fragen zum WordPress-Hack
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Typische Anzeichen sind Weiterleitungen auf fremde Seiten, unbekannte Admin-Konten, Spam-Seiten in den Google-Ergebnissen, eine Warnung im Browser oder eine Sperre durch deinen Hoster. Schon eines dieser Zeichen reicht, um sofort zu handeln.
Reicht es, einfach ein altes Backup einzuspielen?
Meist nicht. Die Sicherheitslücke, über die der Angreifer hereinkam, ist danach immer noch offen, und oft steckt der Schadcode schon in älteren Backups. Ohne Ursachensuche ist die Seite häufig nach wenigen Tagen wieder befallen.
Was kostet es, eine gehackte WordPress-Seite bereinigen zu lassen?
Bei WP Service Sofort ist die Erstanalyse kostenlos. Bestätigt sich der Befall, kostet die Bereinigung 250 € zzgl. MwSt. zum Festpreis, meist erledigt innerhalb von 24 Stunden.
Brauchst du Hilfe bei diesem Thema?
Wir prüfen deine Seite und sagen dir ehrlich, was sie wirklich braucht: Erstanalyse kostenlos.
