WordPress gehackt – was tun? Soforthilfe in 7 Schritten

Plötzlich leitet Ihre Website auf fremde Seiten weiter, Google warnt vor Ihrer Domain oder der Hoster meldet Spam-Versand. Ein gehacktes WordPress ist stressig – aber in den meisten Fällen gut zu bereinigen. Wichtig ist, in der richtigen Reihenfolge vorzugehen und nicht nur die Symptome zu entfernen.

Kurz gesagt: Website vom Netz nehmen, alle Zugangsdaten ändern, Schadcode finden und entfernen oder ein sauberes Backup einspielen, alles aktualisieren und die Lücke schließen. Wurden personenbezogene Daten kompromittiert, kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig sein.

Woran erkennen Sie, dass WordPress gehackt wurde?

• Weiterleitungen auf Spam-, Glücksspiel- oder Pharmaseiten – oft nur für Besucher von Google oder vom Smartphone
• Warnhinweise in Chrome oder Meldungen unter „Sicherheitsprobleme“ in der Google Search Console
• unbekannte Administratoren, neue Plugins oder Dateien mit seltsamen Namen
• fremde Seiten in den Suchergebnissen Ihrer Domain (Abfrage site:ihre-domain.de)
• Hoster sperrt die Website wegen Malware oder E-Mail-Spam

Was tun? Schritt für Schritt

1. Website vorübergehend sperren

Aktivieren Sie einen Wartungsmodus oder lassen Sie den Zugriff vom Hoster sperren, damit Besucher nicht weiter auf schädliche Seiten geleitet werden.

2. Aktuellen Zustand sichern

Erstellen Sie vor jeder Änderung eine Kopie von Dateien und Datenbank. Sie brauchen sie zur Analyse, wie der Angreifer hereingekommen ist.

3. Alle Zugangsdaten ändern

Passwörter für alle WordPress-Administratoren, Hosting-Konto, FTP/SFTP, Datenbank und E-Mail. Erneuern Sie außerdem die Sicherheitsschlüssel (Salts) in der wp-config.php, damit alle bestehenden Sitzungen ungültig werden.

4. Schadcode finden

Prüfen Sie die WordPress-Kerndateien gegen die Originale (z. B. mit wp core verify-checksums per WP-CLI), scannen Sie mit einem Sicherheitsplugin oder dem Malware-Scanner des Hosters und kontrollieren Sie wp-content/uploads auf PHP-Dateien – dort haben sie nichts verloren. Prüfen Sie auch die Benutzerliste und die Datenbank auf eingeschleuste Inhalte.

5. Bereinigen oder sauberes Backup einspielen

Gibt es ein Backup aus der Zeit vor dem Angriff, ist das Zurückspielen oft der schnellste Weg. Kerndateien, Themes und Plugins sollten Sie ohnehin frisch aus offiziellen Quellen installieren, statt infizierte Dateien zu „reparieren“.

6. Alles aktualisieren und die Lücke schließen

Die häufigsten Einfallstore sind veraltete Plugins, „genullte“ Premium-Plugins aus inoffiziellen Quellen und schwache Passwörter. Aktualisieren Sie WordPress, Theme und alle Plugins und entfernen Sie, was nicht gebraucht wird.

7. Google informieren

Wenn Google eine Warnung anzeigt, beantragen Sie nach der Bereinigung in der Search Console eine Überprüfung. Die Warnung verschwindet meist innerhalb weniger Tage.

Datenschutz: Muss ich den Hack melden?

Wenn personenbezogene Daten betroffen sein könnten – etwa Formulareingaben, Kundenkonten oder Bestellungen –, liegt eine Datenpanne im Sinne der DSGVO vor. Sie muss in der Regel innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO), bei hohem Risiko auch den Betroffenen. Dokumentieren Sie den Vorfall in jedem Fall.

So schützen Sie sich künftig

• Updates regelmäßig einspielen – oder per Wartungsvertrag einspielen lassen
• starke, einzigartige Passwörter und Zwei-Faktor-Anmeldung für Administratoren
• nur Plugins aus offiziellen Quellen, ungenutzte entfernen
• tägliche Backups außerhalb des Servers, Wiederherstellung regelmäßig testen
• Benutzernamen nicht öffentlich preisgeben und Login-Versuche begrenzen

Häufige Fragen

Wie lange dauert die Bereinigung einer gehackten WordPress-Website?

Bei einer typischen Unternehmenswebsite meist einige Stunden bis einen Tag. Länger dauert es, wenn kein sauberes Backup existiert oder der Schadcode tief in der Datenbank steckt.

Reicht es, das Sicherheitsplugin aufräumen zu lassen?

Oft nicht. Scanner finden bekannte Muster, übersehen aber Hintertüren. Entscheidend ist, die Einfallslücke zu schließen und Kerndateien, Themes und Plugins aus sauberen Quellen neu zu installieren.

Muss ich einen Hack der Datenschutzbehörde melden?

Wenn personenbezogene Daten betroffen sein könnten, in der Regel ja – innerhalb von 72 Stunden. Ist ein Risiko für die Betroffenen ausgeschlossen, genügt die interne Dokumentation.

Auch interessant: WordPress-Backup: Warum tägliche Sicherungen Pflicht sind – und wie sie richtig gehen · WordPress-Update fehlgeschlagen? Ursachen und Lösungen in 6 Schritten