WordPress gehackt – was nun?

Deine Website leitet plötzlich auf fremde Seiten weiter, Google zeigt eine Sicherheitswarnung oder im WordPress-Backend taucht ein unbekannter Administrator auf? Das können Hinweise auf einen Angriff sein. Wenn WordPress gehackt wurde, brauchst du einen klaren Ablauf: den Schaden begrenzen, den Vorfall untersuchen und die Website erst nach einer überprüften Bereinigung wieder freigeben.

Nur das Passwort zu ändern oder ein Sicherheitsplugin zu installieren reicht nicht aus. Entscheidend ist, auch den ursprünglichen Zugang und mögliche versteckte Hintertüren zu schließen.

Woran erkennst du eine gehackte WordPress-Website?

Typische Warnzeichen sind unerwünschte Weiterleitungen, fremde Inhalte, Spam-Seiten oder unbekannte Benutzerkonten. Auch eine Sperrung durch den Hoster kann auf Schadsoftware hindeuten. Eine langsame Website oder ein Loginproblem allein beweist dagegen noch keinen Hack.

Notiere die betroffenen Adressen, Meldungen und den Zeitpunkt der Beobachtung. Halte fest, welche Änderungen zuletzt vorgenommen wurden. Die WordPress-Hilfe für gehackte Websites empfiehlt eine solche Dokumentation als Grundlage für die Untersuchung.

1. Schaden begrenzen und den Hoster einschalten

Wenn Besucher gefährdet werden oder die Website schädliche Inhalte ausliefert, beschränke den öffentlichen Zugriff in Abstimmung mit deinem Hoster. Eine einfache Wartungsseite innerhalb der kompromittierten WordPress-Installation stoppt nicht automatisch den Schadcode. Eine Sperre auf Hosting- oder Serverebene kann dafür geeigneter sein.

Bei einem Shop sollten betroffene Bestell- und Zahlungsabläufe bis zur Klärung pausieren. Informiere den Hoster über die Beobachtungen und bitte um Unterstützung bei der Eingrenzung sowie der Sicherung vorhandener Zugriffs- und Fehlerprotokolle.

2. Den aktuellen Zustand sichern

Sichere vor der Bereinigung Dateien, Datenbank und relevante Protokolle. Kennzeichne diese Kopie ausdrücklich als möglicherweise infiziert und bewahre sie getrennt von regulären Backups auf. Sie dient der Untersuchung und ist kein geprüfter Wiederherstellungspunkt.

Bewahre ältere Sicherungen auf, statt sie durch den aktuellen Stand zu überschreiben. Der Angriff kann bereits vor der ersten sichtbaren Auffälligkeit stattgefunden haben. Ein Backup von gestern ist deshalb nicht automatisch sauber.

3. Zugänge absichern und Sitzungen beenden

Sichere die Zugänge von einem überprüften, vertrauenswürdigen Gerät aus. Dazu gehören insbesondere Hostingkonto, WordPress-Administratoren, SFTP und die E-Mail-Konten für Passwortzurücksetzungen. Prüfe außerdem Benutzerrechte, Anwendungspasswörter und angebundene Dienste.

Beende bestehende Sitzungen und widerrufe unbekannte Zugänge. Bei möglicherweise offengelegten Datenbank- oder API-Zugangsdaten muss ein abgestimmter Austausch erfolgen, damit die zugehörigen Anwendungen weiter funktionieren. Erneuere betroffene Zugangsdaten nach der Bereinigung nochmals, wenn sie während der Untersuchung weiterhin kompromittiert gewesen sein könnten.

4. WordPress gründlich bereinigen lassen

Ein Scanner kann verdächtige Dateien und Änderungen aufzeigen. Er liefert aber keinen vollständigen Beweis dafür, dass eine Installation sauber ist. Externe Scanner sehen außerdem nicht alle Dateien und Datenbankinhalte. Ein einzelner grüner Scan sollte deshalb nicht über die Wiederfreigabe entscheiden.

Bei der Bereinigung werden WordPress, Plugins und Themes mit vertrauenswürdigen Originaldateien abgeglichen oder sauber neu aufgesetzt. Eigene Anpassungen müssen dabei gesondert erhalten und geprüft werden. Unbekannte Dateien dürfen nicht allein deshalb bestehen bleiben, weil ein Update erfolgreich durchgelaufen ist.

Zur Prüfung gehören auch Datenbankinhalte, Uploads, Konfiguration und mögliche Mechanismen, die Schadcode erneut starten. Ein bloßes Löschen der sichtbaren Spam-Seite beseitigt solche Hintertüren nicht. Hinweise zum Vorgehen und zu den Grenzen automatischer Bereinigung findest du in der Wordfence-Anleitung zur Bereinigung.

5. Backup zurückspielen oder sauber neu aufbauen?

Eine Wiederherstellung kann sinnvoll sein, wenn ein ausreichend alter, überprüfter und vollständiger Sicherungsstand vorliegt. Die ausgenutzte Schwachstelle und kompromittierte Zugänge müssen trotzdem behoben werden. Andernfalls kann die wiederhergestellte Website sofort erneut betroffen sein.

Bei WooCommerce besonders aufpassen: Ein älteres Datenbank-Backup kann neue Bestellungen, Kundenkonten und andere Änderungen überschreiben. Lege vor dem Zurückspielen fest, welche aktuellen Geschäftsdaten erhalten bleiben müssen und wie sie sicher übernommen werden. Mehr zur Vorbereitung findest du im Ratgeber WordPress-Backups: Plugins und sinnvoller Sicherungsablauf.

6. Website und Suchergebnisse kontrollieren

Prüfe die bereinigte Website auf Desktop und Smartphone sowie mit und ohne Anmeldung. Funktionieren Formulare, Benutzeranmeldung und wichtige Shopabläufe? Sind die unerwünschten Weiterleitungen und fremden Inhalte entfernt? Kontrolliere außerdem, ob weitere Websites im selben Hostingkonto betroffen sind.

Schau in der Google Search Console unter „Sicherheitsprobleme“ nach gemeldeten Auffälligkeiten. Nach vollständiger Behebung kannst du dort eine Überprüfung anfordern, sofern Google diese anbietet. Ein leerer Bericht allein bestätigt jedoch keine saubere Website. Details erklärt die Google-Hilfe zum Bericht Sicherheitsprobleme.

Wie verhinderst du einen erneuten Angriff?

Zur Nachsorge gehören zeitnahe Sicherheitsupdates, das Entfernen unnötiger Erweiterungen, möglichst geringe Benutzerrechte und Zwei-Faktor-Anmeldung für wichtige Konten. Ergänze unabhängige Backups und eine regelmäßige Kontrolle auffälliger Änderungen. Diese Maßnahmen senken Risiken, bieten aber keine Garantie gegen jeden Angriff. Die WordPress-Dokumentation zur Absicherung erläutert die Grundlagen.

Häufige Fragen: WordPress gehackt

Reicht es, ein Sicherheitsplugin zu installieren?

Nein. Ein Sicherheitsplugin kann bei Erkennung, Prüfung und Überwachung helfen. Es ersetzt nicht die Untersuchung des Einfallswegs, die Bereinigung und den Austausch betroffener Zugänge.

Sind meine Kundendaten automatisch gestohlen worden?

Das lässt sich allein anhand sichtbarer Veränderungen nicht beurteilen. Wenn personenbezogene Daten betroffen sein könnten, muss der Vorfall fachlich untersucht und mit der zuständigen Datenschutzverantwortung bewertet werden. Dokumentiere Beobachtungen und Maßnahmen nachvollziehbar.

Wie lange dauert die Bereinigung?

Das hängt vom Umfang des Angriffs, verfügbaren Protokollen, vorhandenen Sicherungen und der Website ab. Ohne Bestandsaufnahme wäre eine feste Zeitangabe unseriös. Eine einfache Website und ein laufender Onlineshop stellen sehr unterschiedliche Anforderungen.

Unterstützung bei einer gehackten WordPress-Website

Du hast verdächtige Änderungen entdeckt oder dein Hoster meldet Schadsoftware? Nimm Kontakt mit uns auf. Beschreibe die Symptome, den Zeitpunkt und bereits durchgeführte Schritte. Passwörter und vollständige Zugangsdaten gehören nicht in ein gewöhnliches Kontaktformular.

Nach der Bereinigung helfen feste Zuständigkeiten für Updates, Backups und Kontrollen. Auf unserer Seite zur WordPress-Wartung erfährst du mehr über die laufende Betreuung.