Ihre Website leitet plötzlich auf fremde Shops um, Google warnt vor Ihrer Domain oder der Hoster hat den Webspace gesperrt. Das ist ärgerlich, aber lösbar, wenn Sie in der richtigen Reihenfolge vorgehen. Dieser Notfallplan zeigt, woran Sie erkennen, dass WordPress gehackt wurde, was Sie in den ersten Stunden tun und wie Sie die Website danach dauerhaft absichern.
Woran Sie erkennen, dass WordPress gehackt wurde
Die meisten Angreifer wollen unbemerkt bleiben, denn sie nutzen Ihre Website für eigene Zwecke: für versteckte Spam-Links, Weiterleitungen, Phishing-Seiten oder den Versand von Werbemails. Diese Anzeichen sollten Sie ernst nehmen:
| Anzeichen | Was Sie bemerken | Wo Sie nachsehen |
|---|---|---|
| Weiterleitungen | Besucher landen auf Spam-, Glücksspiel- oder Phishing-Seiten, oft nur auf dem Smartphone oder nach einem Klick in den Google-Suchergebnissen | Privates Browserfenster, Smartphone im Mobilfunknetz, Aufruf über ein Suchergebnis |
| Fremde Seiten bei Google | Die Suche nach site:ihre-domain.de zeigt Seiten mit Pharma-, Shop- oder fremdsprachigem Spam | Google-Suche, Google Search Console |
| Warnhinweise | Der Browser zeigt eine rote Warnseite, die Search Console meldet Sicherheitsprobleme | Search Console, Safe-Browsing-Status im Google Transparenzbericht |
| Unbekannte Benutzer | Neue Administratoren oder geänderte E-Mail-Adressen bei bestehenden Konten | Backend unter Benutzer, gefiltert nach der Rolle Administrator |
| Login gesperrt | Ihr Passwort funktioniert nicht mehr, obwohl Sie es nicht geändert haben | Anmeldeseite, Passwort-Zurücksetzen-Mail |
| E-Mail-Probleme | Ihre Mails landen im Spam, der Hoster meldet Massenversand von Ihrem Konto | Nachrichten des Hosters, Sperrlisten für Mailserver |
| Fremde Dateien | PHP-Dateien im Upload-Ordner, kryptische Dateinamen, veränderte .htaccess | SFTP-Programm oder Dateimanager des Hosters |
| Plötzliche Langsamkeit | Die Seite lädt zäh, die Serverlast steigt ohne erkennbaren Grund | Statistiken im Hosting-Kundenmenü |
Viele Schadprogramme verstecken sich gezielt vor Ihnen. Wer im Backend eingeloggt ist oder die Seite schon oft aufgerufen hat, sieht häufig eine völlig normale Website. Prüfen Sie deshalb immer in einem privaten Browserfenster, auf dem Smartphone und über einen Klick aus den Google-Suchergebnissen.
Nicht jede Störung ist ein Angriff. Eine weiße Seite nach einem Update oder ein abgelaufenes SSL-Zertifikat wirken ähnlich beunruhigend. Sind aber fremde Inhalte, unbekannte Benutzer oder Weiterleitungen im Spiel, gehen Sie von einem Hack aus.
Notfallplan nach einem Hack
Auf die Reihenfolge kommt es an. Wer sofort alles löscht und ein altes Backup einspielt, vernichtet die Spuren und lässt die Lücke offen. Tagelanges Analysieren, während die Website Besucher auf Betrugsseiten schickt, vergrößert dagegen den Schaden. Diese neun Schritte haben sich bewährt:
Ruhe bewahren und festhalten, was Sie sehen
Löschen Sie noch nichts und installieren Sie nicht hektisch mehrere Sicherheits-Plugins. Notieren Sie, was Ihnen aufgefallen ist, seit wann und auf welchen Seiten, und machen Sie Screenshots mit Datum und Uhrzeit. Diese Notizen helfen später bei der Ursachensuche und im Gespräch mit Hoster, Dienstleister oder Datenschutzbeauftragtem.
Hoster informieren
Melden Sie den Vorfall Ihrem Hoster. Viele Anbieter scannen ihre Server auf Malware, können die Website vorübergehend sperren und stellen Zugriffsprotokolle bereit. Fragen Sie gezielt nach diesen Access-Logs, denn sie führen oft zur Ursache. Hat der Hoster die Seite bereits gesperrt, klären Sie, was er für die Freigabe braucht.
Alle Zugänge ändern
Ändern Sie die Passwörter von einem Gerät aus, dem Sie vertrauen, sonst liest ein infizierter Rechner die neuen gleich mit. Betroffen sind alle WordPress-Administratoren, das Kundenkonto beim Hoster, SFTP und SSH, das Datenbankpasswort (danach in der wp-config.php eintragen), E-Mail-Postfächer und angebundene Dienste wie Zahlungsanbieter oder Newsletter-Tool. Neue Sicherheitsschlüssel in der wp-config.php beenden zusätzlich alle laufenden Sitzungen, auch die des Angreifers.
Den aktuellen Zustand sichern
Bevor Sie Dateien verändern, sichern Sie den infizierten Zustand: alle Dateien per SFTP und die Datenbank als Export aus phpMyAdmin. Beschriften Sie dieses Backup eindeutig als infiziert, speichern Sie es getrennt von Ihren normalen Sicherungen und spielen Sie es nie wieder ein. Es dient nur der Analyse und als Beleg, falls Sie später Anzeige erstatten oder eine Versicherung einschalten. Wie ein manuelles Backup funktioniert, zeigt der Artikel WordPress Backup.
Die Website sperren
Damit keine weiteren Besucher auf Schadcode oder Betrugsseiten treffen, nehmen Sie die Website vorübergehend vom Netz. Ein Wartungsmodus per Plugin läuft innerhalb der infizierten Installation und hält nicht jeden Schadcode auf. Sicherer ist eine Sperre auf Serverebene: durch den Hoster oder per .htaccess, die nur Ihre eigene IP-Adresse durchlässt und allen anderen eine Hinweisseite mit dem Statuscode 503 zeigt. Die Technik dahinter erklärt der Artikel WordPress Wartungsmodus.
Schadcode finden und entfernen
Durchsuchen Sie Dateien und Datenbank nach allem, was nicht dorthin gehört: fremde PHP-Dateien, verschleierter Code, manipulierte .htaccess, eingeschleuste Skripte in Beiträgen. Ein Malware-Scanner hilft, findet aber nicht alles. Die typischen Verstecke stehen im nächsten Abschnitt.
Core, Plugins und Themes sauber ersetzen
Reparieren Sie infizierte Programmdateien nicht einzeln, sondern ersetzen Sie sie komplett durch Originale aus offizieller Quelle. So entfernen Sie auch Hintertüren, die kein Scanner erkannt hat. Plugins und Themes, die Sie nicht nutzen, löschen Sie ersatzlos.
Die Lücke finden und schließen
Die Bereinigung hält nur, wenn Sie wissen, wie der Angreifer hereingekommen ist. Häufige Wege sind ein veraltetes Plugin mit bekannter Sicherheitslücke, ein schwaches oder mehrfach genutztes Passwort ohne Zwei-Faktor-Anmeldung und ausgespähte Zugangsdaten. Spielen Sie alle Updates ein und prüfen Sie, ob für eines Ihrer Plugins in den letzten Wochen eine Sicherheitslücke gemeldet wurde.
Google-Warnungen aufheben lassen
Erst wenn die Website sauber ist, geben Sie sie wieder frei. Prüfen Sie in der Google Search Console den Bericht zu Sicherheitsproblemen, beantragen Sie dort eine Überprüfung und kontrollieren Sie, ob fremde Seiten in den Index gelangt sind. Ändern Sie danach die WordPress-Passwörter ein zweites Mal, denn Schadcode kann neue Passwörter beim Login mitlesen, solange er auf dem Server liegt.
Typische Verstecke für Schadcode
Meist verteilen Angreifer mehrere Hintertüren, damit sie auch nach einer oberflächlichen Bereinigung wiederkommen. Diese Stellen sollten Sie gründlich prüfen:
| Ort | Worauf Sie achten |
|---|---|
| Hauptverzeichnis | Dateien mit zufälligen Namen, veränderte index.php, zusätzlicher Code am Anfang oder Ende der wp-config.php |
| .htaccess | Weiterleitungen auf fremde Domains, oft nur für Besucher von Suchmaschinen oder Mobilgeräten. Prüfen Sie auch .htaccess-Dateien in Unterordnern. |
| wp-content/uploads | PHP-Dateien jeder Art. In diesen Ordner gehören nur Bilder, PDFs und andere Medien. |
| wp-content/mu-plugins | Must-use-Plugins laufen immer und erscheinen nicht in der normalen Plugin-Liste. Ein beliebtes Versteck. |
| Plugins und Themes | Zusätzliche Dateien, veränderte functions.php oder header.php, Plugin-Ordner, die im Backend nicht auftauchen |
| Datenbank: Optionen | Geänderte Adresse der Website, fremde Skripte in Widgets, unbekannte geplante Aufgaben |
| Datenbank: Beiträge | Eingeschleuste Skripte oder versteckte Links in Seiten und Beiträgen |
| Datenbank: Benutzer | Administratoren, die niemand aus Ihrem Team angelegt hat |
Verdächtig ist Code, der sich selbst verschleiert: lange Zeichenketten ohne erkennbaren Sinn, kombiniert mit Funktionen wie base64_decode, eval, gzinflate oder str_rot13. Diese Funktionen kommen auch in seriösem Code vor, zusammen mit unlesbaren Zeichenketten sind sie aber ein deutliches Warnsignal. Das Änderungsdatum einer Datei ist nur ein Hinweis, denn Angreifer setzen es gern auf ein altes Datum zurück.
Zuverlässiger ist der Abgleich mit den Originaldateien. Mit dem Kommandozeilenwerkzeug WP-CLI prüft der Befehl wp core verify-checksums, ob die WordPress-Dateien unverändert sind, wp plugin verify-checksums --all macht dasselbe für Plugins aus dem offiziellen Verzeichnis. Security-Plugins wie Wordfence vergleichen Dateien ebenfalls mit den Originalen, externe Scanner wie Sucuri SiteCheck sehen nur, was öffentlich ausgeliefert wird. Kein Werkzeug findet alles, deshalb ist der komplette Austausch der Programmdateien so wichtig.
So ersetzen Sie WordPress sauber
Der Austausch ist meist schneller als die Suche nach jeder veränderten Datei. Ihre Inhalte bleiben erhalten, denn sie liegen in der Datenbank und im Upload-Ordner.
- Notieren Sie die installierten Versionen von WordPress, Plugins und Themes. Laden Sie die Originale herunter: WordPress von wordpress.org, Premium-Plugins aus Ihrem Kundenkonto beim Hersteller.
- Löschen Sie auf dem Server die Ordner wp-admin und wp-includes sowie alle Dateien im Hauptverzeichnis außer der wp-config.php. Anschließend laden Sie die frischen Dateien hoch.
- Prüfen Sie die wp-config.php Zeile für Zeile. Sie enthält nur Konfiguration, alles darüber hinaus entfernen Sie. Die .htaccess lassen Sie neu erzeugen, indem Sie unter Einstellungen, Permalinks einmal speichern. Eigene Regeln wie Weiterleitungen übernehmen Sie nur, wenn Sie jede Zeile verstehen.
- Löschen Sie alle Plugin- und Theme-Ordner und installieren Sie die benötigten neu. Anpassungen in einem Child-Theme prüfen Sie von Hand, bevor Sie sie wieder hochladen.
- Durchsuchen Sie wp-content/uploads nach PHP-Dateien und allem, was kein Medium ist, und entfernen Sie es.
- Bereinigen Sie die Datenbank: unbekannte Benutzer löschen, eingeschleuste Skripte aus Beiträgen und Widgets entfernen, geänderte Einstellungen zurücksetzen.
Ein Wort zu raubkopierten Premium-Themes und Premium-Plugins, sogenannten Nulled-Versionen: Sie enthalten oft bereits ab Werk Schadcode. Solche Dateien ersetzen Sie durch lizenzierte Versionen oder durch eine kostenlose Alternative aus dem offiziellen Verzeichnis.
Backup einspielen statt bereinigen?
Gibt es ein sauberes Backup von vor dem Angriff, ist die Wiederherstellung oft schneller als eine vollständige Bereinigung. Zwei Bedingungen müssen erfüllt sein. Erstens müssen Sie wissen, wann der Angriff begann, denn Schadcode liegt häufig Tage oder Wochen unbemerkt auf dem Server. Zweitens müssen Sie die Lücke direkt nach dem Einspielen schließen, sonst ist die Seite bald wieder gehackt.
Alles, was seit dem Backup hinzugekommen ist, also neue Beiträge, Formulareinträge oder Bestellungen, fehlt nach der Wiederherstellung. Bei Shops müssen Sie diese Daten gezielt übernehmen. Warum mehrere Backup-Generationen und ein Speicherort außerhalb des Servers genau in dieser Situation den Unterschied machen, erklärt der Artikel WordPress Backup.
Die Lücke finden: wie Angreifer hereinkommen
Fast immer greifen Hacker WordPress automatisiert an. Programme durchsuchen das Netz nach Installationen mit bekannten Schwachstellen und probieren Passwörter aus. Diese Einfallstore sind am häufigsten:
- Veraltete Plugins und Themes: Für viele ausgenutzte Lücken gibt es längst ein Update. Datenbanken wie WPScan, Patchstack oder Wordfence Intelligence listen betroffene Versionen. Gleichen Sie Ihre installierten Versionen damit ab.
- Schwache Zugangsdaten: einfache oder mehrfach genutzte Passwörter, fehlende Zwei-Faktor-Anmeldung, Konten ehemaliger Mitarbeiter oder Dienstleister.
- Infizierte Rechner: Schadsoftware auf einem Gerät, von dem aus sich jemand anmeldet, kann Zugangsdaten mitlesen.
- Raubkopierte Software: Nulled-Themes und Nulled-Plugins bringen die Hintertür gleich mit.
- Alte Installationen im selben Hosting-Paket: Von dort kann Schadcode auf Ihre Website übergreifen.
Den wichtigsten Hinweis liefern oft die Zugriffsprotokolle, etwa auffällige Anfragen an eine Plugin-Datei kurz vor dem ersten Auftreten des Schadcodes. Finden Sie die Ursache nicht, bleibt ein Restrisiko, und Sie sollten die Website in den folgenden Wochen besonders genau beobachten.
Google-Warnungen aufheben und Suchergebnisse bereinigen
Hat Google Schadcode oder gehackte Inhalte gefunden, zeigen Browser eine Warnseite, und in den Suchergebnissen kann ein Hinweis auf einen möglichen Hack erscheinen. So werden Sie die Warnungen wieder los:
- Berichte prüfen: In der Search Console zeigen die Berichte Sicherheitsprobleme und Manuelle Maßnahmen, was Google gefunden hat, oft mit Beispiel-URLs.
- Inhaber kontrollieren: Unter Einstellungen, Nutzer und Berechtigungen sehen Sie, wer Zugriff auf die Property hat. Angreifer tragen sich gern selbst als Inhaber ein, um eigene Sitemaps mit Spam-Seiten einzureichen. Entfernen Sie Unbekannte und löschen Sie deren Bestätigungsdatei vom Server.
- Sitemaps aufräumen: Unter Sitemaps sollte nur Ihre eigene Sitemap stehen.
- Spam-URLs auslaufen lassen: Seiten, die der Angreifer angelegt hat, müssen nach der Bereinigung den Statuscode 404 oder 410 liefern. Leiten Sie sie nicht auf die Startseite weiter. Bei sehr vielen Einträgen blendet das Entfernen-Tool der Search Console sie vorübergehend aus den Suchergebnissen aus.
- Überprüfung beantragen: Beschreiben Sie kurz, was Sie bereinigt und welche Lücke Sie geschlossen haben. Die Prüfung kann einige Tage dauern, bei Spam-Hacks auch länger.
- Weitere Stellen prüfen: Safe-Browsing-Status im Google Transparenzbericht ansehen. Wurden Spam-Mails verschickt, Sperrlisten für den Mailserver prüfen.
Die Website nach dem Hack dauerhaft absichern
Eine bereinigte Website ist nicht automatisch sicher. Mit den folgenden Punkten wird ein zweiter Angriff deutlich unwahrscheinlicher, ausführlich erklärt auf unserer Seite zur WordPress-Sicherheit.
- Updates für WordPress, Plugins und Themes regelmäßig und zeitnah einspielen, mit Backup und kurzem Test. Wie das sicher klappt, steht im Artikel WordPress Updates.
- Nur Plugins behalten, die Sie wirklich brauchen und die aktiv gepflegt werden. Woran Sie gute Plugins erkennen, lesen Sie unter WordPress Plugins.
- Zwei-Faktor-Anmeldung für Administratoren, begrenzte Login-Versuche, sparsam vergebene Rollen
- Datei-Editor im Backend abschalten und die Ausführung von PHP im Upload-Ordner verbieten
- Automatische Backups mit mehreren Generationen an einem Ort außerhalb des Servers
- Monitoring für Dateiänderungen, verdächtige Logins und die Erreichbarkeit der Website
- Aktuelle PHP-Version beim Hosting
- Search Console eingerichtet, Benachrichtigungen gehen an eine Adresse, die jemand liest
Wann Sie professionelle Hilfe holen sollten
Mit technischem Grundwissen, SFTP-Zugang und Zeit lässt sich ein einfacher Hack selbst bereinigen. In diesen Fällen sollten Sie Unterstützung holen:
- Die Website ist ein Shop oder hat Kundenkonten, Formulare mit sensiblen Angaben oder Schnittstellen zu anderen Systemen.
- Nach einer Bereinigung wurde die Website erneut gehackt.
- Sie finden die Ursache nicht oder kommen nicht mehr ins Backend.
- Google warnt bereits vor der Seite, und jeder Tag kostet Anfragen oder Umsatz.
Personenbezogene Daten betroffen? Technische Fakten sammeln
Hatten Angreifer möglicherweise Zugriff auf Formulareinträge, Kundenkonten, Bestellungen oder Newsletter-Adressen, informieren Sie sofort Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung. Die rechtliche Bewertung gehört dorthin. Sie selbst liefern die technischen Fakten: wann der Angriff vermutlich begann, welche Daten erreichbar waren, wie der Angreifer hereingekommen ist und was Sie wann unternommen haben. Grundlage sind Ihre Notizen aus dem ersten Schritt und die Sicherung des infizierten Zustands.
Soforthilfe bei gehackten WordPress-Seiten
Ihre WordPress-Seite wurde gehackt?
Bei uns kümmert sich Ertan Attay um WordPress-Sicherheit. Wir analysieren den Angriff, entfernen den Schadcode, schließen die Lücke und lassen die Google-Warnungen aufheben. Alle Details und die direkte Telefonnummer finden Sie auf unserer Seite zur WordPress-Sicherheit. Damit es gar nicht erst so weit kommt, übernimmt unsere WordPress-Wartung Updates mit Backup und Test sowie das Monitoring. Was ein guter Vertrag dafür enthalten sollte, zeigt der Artikel WordPress-Wartungsvertrag.
Häufige Fragen
Wie erkenne ich, ob meine WordPress-Seite gehackt wurde?
Typische Anzeichen sind Weiterleitungen auf fremde Seiten, unbekannte Administratoren, Spam-Seiten in den Google-Suchergebnissen, Warnungen im Browser oder in der Search Console und E-Mails Ihres Hosters. Prüfen Sie nicht eingeloggt, in einem privaten Fenster und auf dem Smartphone, denn viele Schadprogramme verstecken sich vor angemeldeten Benutzern.
Muss ich WordPress nach einem Hack komplett neu installieren?
Nicht die ganze Website, aber die Programmdateien. Ersetzen Sie WordPress, Plugins und Themes durch frische Originale und bereinigen Sie Datenbank und Upload-Ordner gezielt. Ihre Inhalte bleiben dabei erhalten. Vor allem müssen Sie die ursprüngliche Lücke finden und schließen.
Reicht ein Security-Plugin, um den Hack zu entfernen?
Nein. Ein Scanner findet viele bekannte Muster und veränderte Dateien, aber nicht jede Hintertür. Er ersetzt weder den Austausch der Programmdateien noch die Suche nach der Ursache.
Wie lange dauert es, bis die Google-Warnung verschwindet?
Nach dem Antrag in der Search Console prüft Google die Website erneut. Das kann einige Tage dauern, bei Spam-Inhalten auch länger. Beantragen Sie die Überprüfung erst, wenn die Website wirklich sauber ist.
Warum wurde gerade meine kleine Website gehackt?
Weil Angriffe automatisiert ablaufen. Programme prüfen jede erreichbare Webseite auf bekannte Schwachstellen, unabhängig von Größe oder Branche. Wer regelmäßig Updates einspielt und starke Passwörter mit Zwei-Faktor-Anmeldung nutzt, schließt die meisten dieser Wege.
