Gehacktes WordPress: Was tun, Schritt für Schritt (2026)

Ein gehacktes WordPress erkennen, bevor Google es tut

In den meisten Fällen erfährt der Websitebetreiber erst durch jemand anderen von der Infektion. Diese Anzeichen helfen dabei, sie früher zu erkennen.

Die Symptome, die eindeutig sind

Ein Hackerangriff zeigt sich selten durch eine verunstaltete Startseite. Moderne Angriffe setzen auf Diskretion: Je unauffälliger die Infektion bleibt, desto profitabler ist sie. Die Warnzeichen sind daher meist indirekt. Die Google-Ergebnisse Ihrer Website zeigen Titel auf Japanisch, Russisch oder Wörter wie „Casino“, „Viagra“, „Krypto“, obwohl sich an Ihren Seiten nichts geändert hat. Besucher melden Ihnen eine Weiterleitung zu einer Wett- oder Dating-Website, manchmal nur vom Smartphone aus, nie vom Computer. Die Search Console zeigt die Meldung „Sicherheitsprobleme erkannt“ an. Ihr Hoster blockiert den E-Mail-Versand, weil der Server Spam verschickt. Ein Antivirenprogramm blockiert Ihre Seite. In wp-admin taucht ein Administrator auf, den Sie nie angelegt haben, oder es hat sich von selbst eine unbekannte Erweiterung installiert. Die Website wird ohne erkennbaren Grund langsam, oder das Speicherkontingent explodiert durch Tausende HTML-Dateien, die in einem Unterordner erzeugt wurden. Jedes dieser Anzeichen kann für sich allein eine andere Erklärung haben; zwei davon zusammen reichen jedoch aus, um die Website als gehacktes WordPress einzustufen und sofort mit der Überprüfung zu beginnen. Das schlimmste Szenario ist, wenn niemand hinschaut: Die Infektion besteht monatelang, Google stuft die Website Seite für Seite herunter, und das Problem wird erst entdeckt, wenn der Umsatz bereits gesunken ist.

Gehacktes WordPress oder Fehlalarm: In zehn Minuten überprüfen

Bevor Sie irgendetwas anfassen, bestätigen Sie die Diagnose von außen. Geben Sie bei Google site:votredomaine.fr ein und durchsuchen Sie die Ergebnisse: Seiten, die Sie nie geschrieben haben, deuten auf eine SEO-Injection hin. Öffnen Sie Ihre Website über ein Smartphone im privaten Modus, indem Sie über ein Google-Ergebnis gehen statt die Adresse direkt einzugeben, da sich viele Weiterleitungen nur dann aktivieren. Prüfen Sie in der Search Console den Tab „Sicherheit und manuelle Maßnahmen“. Lassen Sie die Adresse über einen externen Scanner wie Sucuri SiteCheck oder VirusTotal laufen. Schauen Sie serverseitig auf das Änderungsdatum der Dateien: Eine kürzlich ohne Ihr Zutun geänderte wp-config.php, index.php oder .htaccess ist so gut wie sicher betroffen. Listen Sie die Administratorkonten und aktiven Erweiterungen auf und vergleichen Sie sie mit dem, was Sie kennen. Notieren Sie alles in einem Dokument: Daten, Dateien, Symptome, Screenshots. Diese Aufzeichnung dient drei Zwecken: dem Hoster den Vorfall nachzuweisen, nach der Bereinigung bei Google eine Überprüfung zu beantragen und das Einfallstor zu verstehen, um es zu schließen. Löschen Sie in diesem Stadium nichts, führen Sie kein Update durch und wechseln Sie nicht das Theme: Sie könnten sonst nützliche Spuren für die Bereinigung zerstören.

Die sechs Schritte zur Bereinigung eines gehackten WordPress

Die Reihenfolge ist entscheidend. Wer bereinigt, bevor er den Zugang sperrt, bereinigt zweimal.

Schritt 1 und 2: Zugang sperren, dann den infizierten Zustand sichern

Die erste Maßnahme besteht darin, den Angreifern den Zugriff zu sperren, während Sie arbeiten. Aktivieren Sie einen Wartungsmodus auf Serverebene, nicht über eine WordPress-Erweiterung, die selbst kompromittiert sein könnte. Ändern Sie sofort alle Passwörter: WordPress-Administratorkonten, FTP oder SFTP, Datenbank, Hosting-Panel und die mit dem Admin-Konto verknüpfte E-Mail-Adresse. Falls Ihr Hoster eine vorübergehende Kontosperrung anbietet, nutzen Sie diese. Zweite, kontraintuitive Maßnahme: Sichern Sie die Website genau so, wie sie infiziert ist. Dateien und Datenbank, in einem datierten Archiv, außerhalb des Servers aufbewahrt. Diese Kopie ist nicht zum Wiederherstellen gedacht; sie ermöglicht es, zurückzugehen, falls die Bereinigung etwas beschädigt, und Dateien vorher und nachher zu vergleichen. Holen Sie anschließend die älteren Backups: die des Hosters, die Ihrer Backup-Erweiterung, und identifizieren Sie die letzte Version, von der Sie sicher wissen, dass sie sauber war. Achtung: Bei einem gehackten WordPress , das schon seit mehreren Wochen besteht, enthalten die meisten automatischen Backups die Infektion bereits. Ein sauberes Backup von vor drei Monaten ist besser als ein verseuchtes Backup von gestern, vorausgesetzt, Sie können die inzwischen veröffentlichten Inhalte wieder einspielen.

Schritt 3: Dateien und Datenbank bereinigen

Die zuverlässigste Bereinigung ist nicht die Jagd nach verdächtigen Dateien, sondern der komplette Austausch. Laden Sie eine neue Version von WordPress von wordpress.org herunter und ersetzen Sie die Ordner wp-admin und wp-includes vollständig sowie alle Dateien im Root-Verzeichnis außer wp-config.php und .htaccess, die Sie Zeile für Zeile durchlesen. Verfahren Sie ebenso mit jeder Erweiterung und jedem Theme: Löschen Sie den Ordner, installieren Sie von der offiziellen Quelle neu. Was keine offizielle Quelle hat oder nicht mehr genutzt wird, verschwindet. Übrig bleibt dann wp-content/uploads, das keine PHP-Dateien enthalten sollte: Suchen Sie danach und löschen Sie sie, nachdem Sie zunächst geprüft haben, dass es sich nicht um eine legitime Cache-Datei einer Erweiterung handelt. Die folgende Tabelle fasst die Orte zusammen, an denen sich Infektionen am häufigsten verstecken.

Schritt 4 bis 6: Einfallstor schließen, überprüfen, Überprüfung beantragen

Ein gehacktes WordPress, das ohne Behebung der Ursache bereinigt wird, ist innerhalb von 48 Stunden erneut infiziert, weil der Bot, der es gefunden hat, wiederkommt. Identifizieren Sie das Einfallstor anhand der Server-Zugriffsprotokolle rund um das Datum der ersten verdächtigen Datei: Eine POST-Anfrage an eine Erweiterungsdatei kurz vor dem Auftauchen der Hintertür zeigt den Übeltäter an. Aktualisieren Sie WordPress, alle Erweiterungen und das Theme. Löschen Sie unbekannte Konten. Erzeugen Sie die Sicherheitsschlüssel in wp-config.php neu, um alle offenen Sitzungen ungültig zu machen. Überprüfen Sie anschließend: Lassen Sie den externen Scanner erneut laufen, kontrollieren Sie die Ergebnisse site:, testen Sie die Weiterleitung von einem Smartphone aus, überwachen Sie eine Woche lang die geänderten Dateien. Falls Google die Website markiert hatte, beantragen Sie über die Search Console eine Überprüfung und beschreiben Sie, was unternommen wurde; die Aufhebung dauert wenige Stunden bis wenige Tage. Falls der Hoster das Konto gesperrt hatte, schicken Sie ihm die Dokumentation der Bereinigung. Informieren Sie schließlich Ihre Besucher, falls personenbezogene Daten durchgesickert sein könnten: In Europa kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden verpflichtend sein. Diese abschließende Checkliste verhindert das häufigste Versäumnis: anderswo wiederverwendete Passwörter.

• Alle Passwörter geändert, einschließlich der Datenbank
• Sicherheitsschlüssel neu erzeugt, Sitzungen ungültig gemacht
• Externer Scanner sauber, Google-Ergebnisse ohne unbekannte Seiten
• Überprüfung beantragt, Hoster informiert
• Dateiüberwachung für die nächsten 30 Tage aktiv

Was dazu führt, dass eine Website gehackt wird, und wie man es vermeidet

Die Ursache zu verstehen ist der einzige Weg, um nicht in sechs Monaten dieselbe Woche noch einmal durchzumachen.

Gehacktes WordPress: die tatsächlichen Ursachen, mit Zahlen belegt

Niemand zielt gezielt auf Ihre Website ab. Die Angriffe werden von Programmen durchgeführt, die Millionen von Adressen scannen, eine verwundbare Erweiterungsversion aufspüren, die Sicherheitslücke innerhalb von Sekunden ausnutzen und den Zugang anschließend verkaufen. Die Jahresberichte der Bereinigungsunternehmen stimmen überein: Mehr als die Hälfte der Infektionen gehen auf eine nicht aktualisierte Erweiterung oder ein nicht aktualisiertes Theme zurück, etwa ein Fünftel auf ein schwaches oder bei einem Datenleck gestohlenes Passwort, ein Zehntel auf ein Shared Hosting, bei dem eine verlassene Website ihre Nachbarn infiziert, und der Rest auf kostenpflichtige Themes, die von Raubkopie-Websites heruntergeladen wurden und mit einer eingebauten Hintertür ausgeliefert werden. Sicherheitslücken im WordPress-Kern selbst sind selten und werden innerhalb weniger Stunden behoben. Mit anderen Worten: Ein gehacktes WordPress ist fast immer eine Website, die seit Monaten nicht aktualisiert wurde, oder bei der ein Konto dasselbe Passwort wie ein anderswo gehackter Dienst verwendete. Die gute Nachricht: Diese beiden Ursachen lassen sich ohne technisches Fachwissen beheben: Ein wöchentliches Update und ein Passwort-Manager bringen die Website von der Liste der leichten Ziele herunter. Die Bots geben sich nicht übermäßig Mühe; sie gehen einfach zum nächsten über.

Die Routine, die wirklich schützt

Guter Schutz besteht aus wenigen regelmäßigen Gewohnheiten statt aus einer schwergewichtigen Sicherheitserweiterung. Hier ist die Mindestroutine für eine Unternehmenswebsite.

1. Wöchentliche Updates: Kern, Erweiterungen, Theme. Aktivieren Sie automatische Updates für alles, was nicht kritisch ist, und testen Sie die übrigen auf einer Kopie.
2. Entfernen von Unnötigem: Jede deaktivierte, aber noch vorhandene Erweiterung ist ein potenzielles Einfallstor.
3. Saubere Konten: ein Administrator pro Person, einzigartige Passwörter, Zwei-Faktor-Authentifizierung, kein Konto namens „admin“.
4. Grundlegende Härtung: Dateibearbeitung in wp-admin deaktiviert, PHP in uploads gesperrt, XML-RPC abgeschaltet, falls nicht benötigt.
5. Getestete Backups: täglich, außerhalb des Servers aufbewahrt und einmal pro Quartal wiederhergestellt, um zu prüfen, dass sie funktionieren.
6. Überwachung: Alarm bei jeder neuen oder geänderten PHP-Datei, bei jedem neuen Administrator, bei jeder Änderung von wp-config.php.

Der letzte Punkt macht den ganzen Unterschied zwischen einem gehackten WordPress, das innerhalb einer Stunde entdeckt wird, und einer Infektion, die erst drei Monate später von Google entdeckt wird. Es ist auch der Punkt, den fast niemand umsetzt, weil er ein Tool erfordert, das die Website täglich im Blick behält.

Gehacktes WordPress: Wann man jemanden hinzuziehen sollte

Die oben beschriebene Bereinigung ist für eine Person, die mit einem FTP-Client und phpMyAdmin vertraut ist, bei einer einfachen Website gut machbar. Das ändert sich in mehreren Situationen: ein WooCommerce-Shop mit zu erhaltenden Bestellungen, eine mehrsprachige Website mit mehreren hundert Seiten, eine Infektion, die nach jeder Bereinigung wiederkehrt, oder ein Hosting, bei dem Sie keinen Zugriff auf die Protokolle haben. In diesen Fällen liegen die Kosten für eine professionelle Intervention, je nach Größe der Website meist zwischen 150 und 600 Euro, unter den Kosten einer Woche voller Experimente und einer offline stehenden Website. Fragen Sie vor der Beauftragung, was alles enthalten ist: Ursachenidentifikation, Bereinigung von Dateien und Datenbank, Behebung der Sicherheitslücke, Beantragung der Google-Überprüfung und Garantie bei erneuter Infektion innerhalb eines Monats. Seien Sie vorsichtig bei Angeboten, die sich darauf beschränken, einen Scanner laufen zu lassen und zu löschen, was er meldet; ein Scanner erkennt weder hinzugefügte Administratorkonten noch geänderte Optionen. Wenn Sie mehrere Websites verwalten, liegt der eigentliche Nutzen nicht in der punktuellen Intervention, sondern in der kontinuierlichen Überwachung: Ein Tool, das täglich die Dateien mit einem bekannten Fingerabdruck vergleicht, unerwartete Administratoren auflistet und Updates auf den gesamten Bestand ausrollt, verwandelt einen Notfall in eine Routinebenachrichtigung.

Häufige Fragen

Sollte man ein Backup wiederherstellen oder bereinigen? Wiederherstellen ist schneller, wenn Sie ein sicher sauberes Backup haben und seitdem nur wenig Inhalt veröffentlicht wurde. Andernfalls bleibt die Bereinigung durch Austausch der Dateien die zuverlässigste Methode, und in beiden Fällen muss die Ursache behoben werden.

Hätte eine Sicherheitserweiterung den Hackerangriff verhindert? Sie hätte wahrscheinlich Anmeldeversuche blockiert, nicht aber die Ausnutzung einer veralteten Erweiterung. Updates schützen mehr als eine Firewall.

Wie lange dauert eine vollständige Bereinigung? Von zwei Stunden für eine einfache Website bis zu zwei Tagen für einen Shop mit kontaminierter Datenbank, ohne die Wartezeit für die Google-Überprüfung.

Wird Google die Website dauerhaft abstrafen? Nein, wenn die Bereinigung vollständig ist und die Überprüfung beantragt wurde. Das Ranking kehrt in der Regel innerhalb weniger Wochen zurück.