WordPress gehackt 2026: Website retten und bereinigen

Sie befinden sich: Home > News Archiv > Webmaster > WordPress gehackt 20...

Weiterleitungen auf Spam-Seiten, fremde Admin-Konten, Warnungen von Google: Wenn die eigene Seite gehackt wurde, zählt jede Stunde. Dieser Notfallplan zeigt, was Sie in welcher Reihenfolge tun sollten.

Ein Kunde ruft an und sagt, Ihre Website leite ihn auf eine dubiose Werbeseite weiter. Oder Google zeigt plötzlich eine rote Warnung vor Ihrer Domain. Oder der Hoster sperrt einfach das Paket. In diesem Moment ist klar: Hier war jemand, der nicht eingeladen war. Wurde WordPress gehackt, zählt jede Stunde.

Wer eine WordPress-Seite betreibt, sollte für diesen Fall einen Plan haben. Denn im Ernstfall entscheidet die Reihenfolge der Schritte darüber, ob die Seite in wenigen Stunden wieder sauber läuft oder ob der Angreifer nach drei Tagen erneut zuschlägt. Dieser Leitfaden führt Sie durch den Notfall, ohne Panikmache, aber mit dem nötigen Ernst.

Woran Sie erkennen, dass WordPress gehackt wurde

Ein gehacktes WordPress meldet sich selten mit einem eindeutigen Hinweis. Häufiger sind es kleine Auffälligkeiten, die man leicht übersieht. Diese Anzeichen sollten Sie ernst nehmen:

Anzeichen	Was dahintersteckt
Weiterleitung auf fremde Seiten	oft nur mobil oder für Besucher aus Google, deshalb leicht zu übersehen
Fremde Treffer in Google	Spam-Seiten mit fremdsprachigen Begriffen, sichtbar über eine Suche nach der eigenen Domain
Unbekannte Administratoren	ein neues Konto mit vollen Rechten als bequeme Hintertür
Warnung im Browser oder bei Google	die Seite steht auf einer Sperrliste und verliert sofort Besucher
Spam-Mails vom eigenen Server	der Server verschickt fremde Werbung und landet auf Mail-Sperrlisten
Hoster sperrt das Paket	der serverseitige Scan des Anbieters hat Schadcode gefunden

Besonders tückisch sind Weiterleitungen, die nur unter bestimmten Bedingungen auftreten. Prüfen Sie die Seite deshalb im privaten Fenster, über das Mobilfunknetz und über einen Klick aus den Google-Ergebnissen. Bevor Sie loslegen, lohnt allerdings ein zweiter Blick.

Erst prüfen, dann handeln

Nicht jede Störung bedeutet, dass WordPress gehackt wurde. Eine weiße Seite, ein Serverfehler oder eine kaputte Darstellung stammen häufig von einem Plugin-Konflikt, einem fehlgeschlagenen Update oder einem vollen Speicher. Wer sofort Dateien löscht, macht aus einem kleinen Problem schnell ein großes.

Zur Klärung genügen drei Anlaufstellen. In der Google Search Console zeigt der Bericht zu Sicherheitsproblemen, ob Google Schadcode gefunden hat. Ein kostenloser Fernscan wie Sucuri SiteCheck prüft die Seite von außen. Und die Warnmail des Hosters nennt oft sogar die betroffene Datei. Steht fest, dass Ihr WordPress gehackt wurde, kommt es auf die nächsten Minuten an.

Die ersten Schritte im Notfall

Wurde WordPress gehackt, gilt vor allem eines: Ruhe bewahren und nichts überstürzt löschen. Jede voreilig gelöschte Datei vernichtet Spuren, die Sie später brauchen, um alle Hintertüren zu finden. Halten Sie sich an diese Reihenfolge:

Schritt	Maßnahme	Warum
1	Seite in den Wartungsmodus schalten	schützt Besucher und stoppt weiteren Schaden
2	Hoster informieren	liefert Protokolle und Sicherungen, klärt eine Sperre
3	Alle Passwörter ändern	Admin, Hosting, FTP, Datenbank und E-Mail zusammen
4	Sicherung des befallenen Stands anlegen	dient später als Beweis und zur Analyse
5	Eigenen Rechner prüfen	Zugangsdaten werden oft am heimischen PC abgegriffen

Ein Detail wird dabei oft vergessen: Das Passwort für den FTP-Zugang ist genauso wichtig wie das des Administrators. Bleibt es unverändert, lädt der Angreifer den Schadcode einfach wieder hoch. Mit diesen Sofortmaßnahmen ist die Lage stabilisiert, jetzt beginnt die Spurensuche.

Den Schaden finden

Für die Analyse gibt es zwei Wege, die sich ergänzen. Ein Sicherheits-Plugin wie Wordfence oder MalCare vergleicht Ihre Dateien mit den Originalversionen und schlägt bei Abweichungen an. Ergänzend lohnt der prüfende Blick von Hand, denn Scanner übersehen gut versteckte Hintertüren. Achten Sie besonders auf diese Stellen:

• PHP-Dateien im Uploads-Ordner, wo eigentlich nur Bilder liegen sollten.
• Kürzlich geänderte Dateien, die Sie selbst nicht angefasst haben.
• Auffällige Befehle in zentralen Dateien, etwa lange verschlüsselte Zeichenketten.
• Eine ungewöhnlich lange Steuerdatei htaccess mit fremden Weiterleitungsregeln.
• Unbekannte Benutzer mit Administratorrechten in der Datenbank.

Wer Zugang zur Kommandozeile hat, prüft die Programmdateien von WordPress mit dem Werkzeug WP-CLI gegen die offiziellen Prüfsummen. Das deckt jede veränderte Systemdatei zuverlässig auf. Steht der Befund fest, geht es an die Bereinigung.

Die Seite bereinigen

Wurde WordPress gehackt, gibt es für die Säuberung drei Wege, die sich in Aufwand und Sicherheit deutlich unterscheiden:

Weg	Vorgehen	Geeignet für
Sicherung einspielen	sauberen Stand von vor dem Angriff zurückholen	schnellster Weg, wenn eine saubere Sicherung existiert
Von Hand säubern	System, Themes und Plugins durch frische Originale ersetzen	kleinere Seiten mit technischem Verständnis
Fachdienst beauftragen	Bereinigung als Dienstleistung, oft zum Festpreis	Shops mit Kundendaten und wiederkehrende Fälle

Ein verbreiteter Irrtum ist, dass eine zurückgespielte Sicherung das Problem löst. Sie entfernt zwar den Schadcode, aber nicht die Lücke, durch die er kam. Wer die Ursache nicht schließt, ist oft binnen Tagen erneut betroffen. Im deutschsprachigen Raum bieten Fachdienste die Bereinigung meist zum Festpreis zwischen etwa 145 und 450 Euro an, umfangreiche Fälle kosten mehr. Das lohnt sich vor allem dann, wenn Kundendaten im Spiel sind. Womit wir beim entscheidenden Punkt wären.

Hintertüren schließen und die Ursache finden

Der häufigste Fehler im Ernstfall ist, nur das sichtbare Symptom zu beseitigen. Angreifer legen fast immer mehrere Hintertüren an, oft in Form versteckter Benutzerkonten oder harmlos wirkender Dateien. Sucuri fand in seinem Bericht für 2023 bei mehr als der Hälfte der Seiten mit befallener Datenbank mindestens ein bösartiges Administratorkonto. Ebenso wichtig ist die Frage, wie der Angreifer überhaupt hereinkam:

Einfallstor	Einordnung
Veraltete Plugins und Themes	mit Abstand die häufigste Ursache
Schwache Passwörter ohne zweiten Faktor	klassisches Ziel automatisierter Angriffe
Raubkopierte Plugins und Themes	enthalten oft schon ab Werk Schadcode
Vernachlässigte Erweiterungen	nicht mehr gepflegte Plugins bleiben dauerhaft offen

Wie groß dieser Hebel ist, zeigen die Zahlen des Sicherheitsanbieters Patchstack für das Jahr 2025: Von den über elftausend neu gemeldeten Schwachstellen im WordPress-Umfeld entfielen rund neun von zehn auf Plugins, während das System selbst kaum betroffen war. Zugleich vergeht zwischen Bekanntwerden und erstem Ausnutzen oft nur ein halber Tag. Ist die Lücke geschlossen, geht es darum, den Ruf der Seite wiederherzustellen.

Zurück ins Netz

Nach der Bereinigung ist die Arbeit noch nicht ganz getan, denn Google und die Browser vertrauen Ihrer Seite erst wieder, wenn Sie das anstoßen. Beantragen Sie dafür in der Google Search Console über den Bericht zu Sicherheitsproblemen eine erneute Überprüfung und beschreiben Sie kurz, was Sie bereinigt haben.

Wichtig ist der richtige Zeitpunkt. Stellen Sie den Antrag erst, wenn die Seite wirklich sauber ist, denn ein zu früher Antrag verlängert die Sperre nur. Prüfen Sie danach die Seite im privaten Fenster und mobil, damit versteckte Weiterleitungen nicht doch noch überlebt haben. Bei manchen Angriffen bleibt allerdings eine unangenehme Frage offen.

Wenn persönliche Daten betroffen sind

Konnten Angreifer auf personenbezogene Daten zugreifen, etwa Kundendaten aus einem Shop oder Nachrichten aus dem Kontaktformular, greift möglicherweise eine Meldepflicht. Die Datenschutzgrundverordnung sieht vor, dass eine solche Datenpanne in der Regel binnen 72 Stunden nach Kenntnis der zuständigen Aufsichtsbehörde gemeldet wird. Bei hohem Risiko müssen zusätzlich die Betroffenen informiert werden.

Zwei Punkte helfen in dieser Lage. Erstens läuft die Frist ab dem Moment, in dem Sie vom Vorfall wissen, nicht erst nach der vollständigen Analyse; eine vorläufige Meldung ist ausdrücklich möglich. Zweitens sollten Sie jeden Vorfall intern dokumentieren, auch wenn Sie am Ende nicht melden. Dieser Abschnitt ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung, im Zweifel hilft die zuständige Aufsichtsbehörde oder eine Fachkanzlei weiter. Zum Abschluss das Wichtigste kompakt.

Der Notfallplan auf einen Blick

Wenn es ernst wird, arbeiten Sie diese Reihenfolge ab:

1. Verdacht prüfen über Search Console, Fernscan und Hoster-Meldung.
2. Seite in den Wartungsmodus schalten und den Hoster informieren.
3. Alle Passwörter ändern, auch für FTP und Datenbank.
4. Eine Sicherung des befallenen Stands als Beweis anlegen.
5. Mit Scanner und von Hand nach Schadcode und Hintertüren suchen.
6. Bereinigen, entweder über eine saubere Sicherung oder mit frischen Originaldateien.
7. Die Ursache schließen und alle Erweiterungen aktualisieren.
8. Passwörter erneut ändern und die Seite wieder freigeben.
9. Bei Google die Überprüfung beantragen und die Meldepflicht prüfen.

Diese Fehler kosten im Ernstfall am meisten Zeit und Nerven:

• Im ersten Schreck Dateien löschen, ohne vorher zu sichern.
• Nur die sichtbare Weiterleitung entfernen und die Hintertür übersehen.
• Die Sicherheitslücke offen lassen, wodurch der Angriff zurückkehrt.
• Das FTP-Passwort unverändert lassen.
• Die Prüfung bei Google beantragen, bevor die Seite sauber ist.

Wer verhindern will, dass WordPress gehackt wird, braucht nur wenige Gewohnheiten: zeitnahe Updates, starke Passwörter mit zweitem Faktor, regelmäßige Sicherungen außerhalb des Servers, ein Verzicht auf raubkopierte Erweiterungen und so wenige Administratorkonten wie möglich. Wer das beherzigt, muss diesen Notfallplan im besten Fall nie anwenden.

Wurde Ihr WordPress gehackt?

Haben Sie so einen Vorfall schon erlebt, und welcher Schritt hat Ihnen am meisten geholfen? Schreiben Sie in die Kommentare, woran Sie den Angriff bemerkt haben und ob Sie selbst bereinigt oder einen Fachdienst beauftragt haben. Wenn Sie gerade mitten im Ernstfall stecken und bei einem Schritt unsicher sind, fragen Sie ruhig konkret nach, oft hilft die Antwort gleich mehreren Lesern weiter.

Häufige Fragen

Woran erkenne ich, dass WordPress gehackt wurde?

Typisch sind Weiterleitungen auf fremde Seiten, unbekannte Administratorkonten, Spam-Treffer in Google, Warnungen im Browser oder eine Sperre durch den Hoster. Prüfen Sie die Seite zusätzlich im privaten Fenster und mobil, weil viele Weiterleitungen nur unter bestimmten Bedingungen auftreten.

Was ist der erste Schritt im Notfall?

Ruhe bewahren und nichts überstürzt löschen. Schalten Sie die Seite in den Wartungsmodus, informieren Sie den Hoster, ändern Sie alle Passwörter und sichern Sie den befallenen Stand als Beweiskopie, bevor Sie mit der Bereinigung beginnen.

Reicht es, ein Backup einzuspielen?

Nein. Ein sauberes Backup entfernt zwar den Schadcode, aber nicht die Sicherheitslücke, durch die der Angreifer kam. Ohne das Schließen der Ursache ist die Seite oft binnen Tagen erneut betroffen.

Was kostet eine professionelle Bereinigung?

Im deutschsprachigen Raum bieten Fachdienste die Bereinigung meist zum Festpreis zwischen etwa 145 und 450 Euro an, umfangreiche Fälle kosten mehr. Sinnvoll ist das vor allem bei Shops mit Kundendaten oder wiederkehrenden Infektionen.

reihenfolge weiterleitungen notfallplan wordpress bereinigen fremde

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Strukturierte Daten 2026: mit Schema zu Rich Snippets Sterne, Preise und Bilder direkt im Google-Ergebnis bringen mehr Klick...

• Impressum und Datenschutz 2026: rechtssichere Website Ein fehlerhaftes Impressum oder eine lückenhafte Datenschutzerklärung ...

• WordPress schneller machen 2026: Caching und Tuning WordPress erzeugt jede Seite bei jedem Aufruf neu, das kostet Tempo un...

• Bilder fürs Web optimieren 2026: schneller mit AVIF Bilder sind auf den meisten Seiten der größte Bremsklotz für die Ladez...

• WordPress absichern 2026: Schutz vor Hackerangriffen WordPress ist das beliebteste Ziel automatisierter Angriffe, neue Lück...

• Website umziehen 2026: ohne Ausfall und Ranking-Verlust Ein Hosting-Wechsel kann die Seite tagelang lahmlegen oder das Google-...

• E-Mail-Zustellbarkeit 2026: Raus aus dem Spam-Ordner Bestellbestätigungen, Newsletter und Kontaktmails landen plötzlich im ...

• Website-Backups 2026: Die Strategie gegen Datenverlust Ein Hack, ein fehlgeschlagenes Update, ein Serverausfall, und die Seit...

• Cookie-Banner 2026: Was jetzt wirklich Pflicht ist Cookie-Banner verschwinden 2026 doch nicht. Welche Regeln gelten, welc...

• Core Web Vitals 2026: Was beim Ranking wirklich zählt Mehr als vier von zehn Websites fallen bei Googles Core Web Vitals dur...