Wenn eine WordPress-Seite gehackt wurde, ist der Impuls verständlich: schnell irgendetwas löschen, ein Backup einspielen oder möglichst viele Security-Plugins installieren. Genau diese Hektik kann jedoch Spuren vernichten, den Schaden vergrößern oder die eigentliche Schwachstelle überdecken.
Bleiben Sie ruhig, verändern Sie so wenig wie möglich und arbeiten Sie in einer festen Reihenfolge. Ein sichtbares Problem ist außerdem nicht automatisch der ganze Vorfall. Schadcode kann in Dateien, Datenbank, Benutzerkonten, Cronjobs oder anderen Installationen desselben Hosting-Pakets liegen.
Besucher schützen, den aktuellen Stand sichern, alle Zugänge kontrollieren, den Hoster einbeziehen und erst dann systematisch bereinigen. Ein Backup allein löst das Problem nicht, solange die ursprüngliche Eintrittsstelle offen bleibt.
Sie kommen gerade nicht weiter?
Dann stoppen Sie lieber, bevor wichtige Spuren oder ein brauchbares Backup verloren gehen. Rheingeist hilft direkt bei der ersten Einschätzung, koordiniert die nächsten Schritte mit Ihrem Hoster und übernimmt auf Wunsch Bereinigung und Absicherung.
Soforthilfe anfragen Direkt E-Mail sendenDie ersten fünf Schritte nach einem WordPress-Hack
- 01Website isolieren und Besucher schützen.
Schränken Sie den öffentlichen Zugriff möglichst über den Hoster oder eine kontrollierte Wartungsseite ein. Eine saubere 503-Wartungsantwort ist besser als das unüberlegte Löschen von Dateien. Wenn Browser oder Google bereits vor Malware warnen, öffnen Sie verdächtige URLs nicht immer wieder im normalen Browser. - 02Vorfall dokumentieren und Zugänge absichern.
Notieren Sie Zeitpunkt, sichtbare Symptome, letzte Änderungen und erhaltene Warnmeldungen. Sichern Sie Screenshots. Ändern Sie anschließend die Passwörter für WordPress, Hosting, SFTP/FTP, Datenbank und verbundene Administrationskonten. Prüfen Sie alle Benutzer und beenden Sie aktive Sitzungen, etwa durch neue WordPress-Sicherheitsschlüssel. Nutzen Sie dafür ein sauberes, geprüftes Gerät. - 03Hoster kontaktieren.
Der Hoster kann Zugriffe sperren, Server-Logs erhalten und prüfen, ob weitere Websites oder Konten im Paket betroffen sind. Fragen Sie ausdrücklich nach verfügbaren Backups, auffälligen Zugriffen und einem Scan des Hosting-Accounts. Bei Shared Hosting kann die Ursache außerhalb der sichtbaren WordPress-Installation liegen. - 04Backup prüfen – aber nicht blind zurückspielen.
Erstellen Sie zuerst eine Kopie des aktuellen Zustands, auch wenn sie infiziert ist. Danach wird ermittelt, welches Backup nachweislich vor dem Angriff entstanden ist und vollständig Dateien sowie Datenbank enthält. Ein altes Backup ohne geschlossene Sicherheitslücke kann innerhalb kurzer Zeit erneut kompromittiert werden. - 05Vollständig bereinigen, aktualisieren und kontrollieren.
WordPress-Core, Plugins und Themes sollten aus vertrauenswürdigen Quellen ersetzt oder geprüft werden. Unbenutzte Erweiterungen und unbekannte Benutzer werden entfernt, Systeme und PHP-Version aktualisiert, Passwörter nach der Bereinigung erneut geändert. Anschließend müssen Logs, Formulare, E-Mail-Versand und die Sicherheitswarnungen in der Google Search Console kontrolliert werden.
Was Sie jetzt besser nicht tun sollten
Einige schnelle Lösungen wirken beruhigend, erschweren aber die echte Bereinigung:
- 01Löschen Sie nicht wahllos verdächtige Dateien. Sie könnten legitime Funktionen oder wichtige Spuren entfernen.
- 02Installieren Sie nicht mehrere Sicherheits-Plugins in eine bereits kompromittierte Installation und verlassen Sie sich nicht auf einen einzelnen Scan.
- 03Spielen Sie nicht einfach das erstbeste Backup ein, ohne dessen Datum und die ursprüngliche Schwachstelle zu prüfen.
- 04Gehen Sie nicht davon aus, dass eine normal aussehende Startseite Entwarnung bedeutet. Viele Angriffe werden nur für Suchmaschinen, mobile Geräte oder einzelne Besucher sichtbar.
- 05Verwenden Sie kompromittierte oder mehrfach genutzte Passwörter nicht erneut.
Woran erkennt man, dass die Website wirklich sauber ist?
Eine erfolgreiche Bereinigung endet nicht damit, dass die Startseite wieder lädt. Alle Dateien und Datenbanktabellen müssen geprüft, unbekannte Administrationskonten entfernt und veränderte Systemdateien ersetzt sein. Auch andere WordPress-Installationen, Subdomains und E-Mail-Konten im selben Hosting-Paket gehören in die Untersuchung.
Danach folgen Funktionstests: Formulare, Bestellprozesse, Benutzeranmeldungen, E-Mail-Versand, Weiterleitungen und mobile Ansichten. In der Google Search Console sollten sämtliche gemeldeten Sicherheitsprobleme behoben und erst danach eine erneute Überprüfung beantragt werden. Da dort oft nur Beispiele angezeigt werden, genügt es nicht, ausschließlich die genannten URLs zu reparieren.
Damit das nicht wieder passiert
Kein System ist unangreifbar. Das Risiko lässt sich aber deutlich reduzieren: durch zeitnahe Updates, starke individuelle Passwörter, Zwei-Faktor-Anmeldung, minimale Benutzerrechte, verschlüsselte SFTP-Zugänge und ausschließlich vertrauenswürdige Plugins und Themes.
Ebenso wichtig sind externe Backups, regelmäßige Wiederherstellungstests, Uptime- und Sicherheitsmonitoring sowie eine Person, die Warnungen tatsächlich bearbeitet. Ein Backup, das nie getestet wurde, ist im Ernstfall nur eine Hoffnung.
Ihre WordPress-Seite ist gerade gehackt?
Sie müssen den Vorfall nicht allein lösen. Wir helfen bei Sofortmaßnahmen, sichern den aktuellen Stand, stimmen uns mit Ihrem Hoster ab und übernehmen Bereinigung, Wiederherstellung und anschließende Absicherung. Auch wenn Sie an einem der fünf Schritte festhängen, können Sie sich direkt bei uns melden.
Jetzt direkte Hilfe anfragen WordPress-Wartung ansehenFür die technische Einordnung orientieren wir uns an der offiziellen WordPress-Dokumentation für gehackte Websites, den WordPress-Empfehlungen zur Absicherung und den Hinweisen zu Sicherheitsproblemen in der Google Search Console.