WordPress gehackt: Erste Hilfe in 5 Schritten

Schritt 1: Ruhe bewahren und Beweise sichern

Der erste Impuls ist oft, sofort alles zu löschen oder die Website offline zu nehmen. Warte kurz. Bevor du etwas änderst, sicher den aktuellen Zustand. Er ist wichtig für die Analyse, wie der Hack passiert ist.

• Screenshots machen: Von der Weiterleitung, der Google-Warnung, ungewöhnlichen Dateien im Dashboard
• Zeitpunkt notieren: Wann hast du den Hack bemerkt? Wann war die Website zuletzt definitiv sauber?
• Nicht einloggen über unsichere Netzwerke (z.B. öffentliches WLAN)
• Passwörter noch nicht ändern. Das kommt später, wenn die Malware entfernt ist (sonst fängt der Angreifer das neue Passwort direkt wieder ab)

Wichtig für Unternehmen: Wenn personenbezogene Daten auf deiner Website gespeichert werden (Kontaktformulare, Kunden-Logins, Bestelldaten), besteht möglicherweise eine DSGVO-Meldepflicht innerhalb von 72 Stunden (Art. 33 DSGVO). Notier dir den Zeitpunkt der Entdeckung. Die Frist läuft ab jetzt. Was genau du melden musst und welche Konsequenzen bei Nicht-Meldung drohen, erkläre ich im Detail in meinem Artikel zur DSGVO-Meldepflicht nach einem Hack.

Core-Version prüfen: Lief die Installation auf WordPress 6.9.0 bis 6.9.4 oder 7.0.0 bis 7.0.1, kommt die WP2Shell-Lücke im WordPress-Core als Einfallstor infrage. Diese Lücke wurde ab Juli 2026 massenhaft automatisiert ausgenutzt und erfordert keine Fehlkonfiguration auf deiner Seite.

Schritt 2: Art des Hacks identifizieren

Nicht jeder Hack ist gleich. Die Art des Schadens bestimmt die nächsten Schritte:

Weiterleitung auf fremde Seiten (Redirect Hack)

Eines der verbreitetsten Angriffsmuster. Besucher werden auf Spam-, Casino- oder Phishing-Seiten umgeleitet. Oft nur für mobile Besucher oder nur beim ersten Aufruf, deshalb fällt es Website-Betreibern spät auf. Die Malware sitzt typischerweise in der .htaccess, in der wp-config.php oder in Plugin-Dateien. Eine detaillierte Anleitung zur Bereinigung findest du in meinem Guide zum WordPress Redirect Hack.

Google-Warnung „Diese Website wurde möglicherweise gehackt“

Google hat Malware oder Spam-Inhalte auf deiner Website erkannt. In den Suchergebnissen erscheint eine Warnung, und Chrome blockiert den Zugriff mit einer roten Seite. Das kostet sofort Traffic. Deine Sichtbarkeit in Google bricht ein.

Hosting-Sperre

Dein Hosting-Anbieter hat die Website gesperrt, weil von deinem Server Spam-Mails verschickt werden oder Malware erkannt wurde. Kontaktier den Hoster. Er kann dir oft sagen, welche Dateien betroffen sind.

Unbekannte Benutzer oder Dateien

Du findest Admin-Konten, die du nicht angelegt hast, oder unbekannte PHP-Dateien in wp-content/uploads/. Das deutet auf eine Backdoor hin, eine versteckte Hintertür, über die der Angreifer jederzeit wieder Zugriff bekommt.

Schritt 3: Schaden begrenzen

Jetzt handelst du, aber gezielt:

1. Website in den Wartungsmodus setzen: Wenn du Zugriff auf das Dashboard hast, aktivier ein Wartungs-Plugin. Alternativ: .htaccess mit einer einfachen Weiterleitung auf eine Wartungsseite. Das schützt Besucher vor der Malware.
2. Hosting-Panel prüfen: Viele Hoster (z.B. All-Inkl, IONOS, Raidboxes) bieten einen Malware-Scanner an. Start den Scan. Er zeigt oft die betroffenen Dateien.
3. Backup prüfen: Hast du ein aktuelles, sauberes Backup? Wenn ja: Wann wurde es erstellt? Liegt es vor dem Zeitpunkt des Hacks? Ein Backup von gestern hilft nichts, wenn der Hack seit 2 Wochen aktiv ist.
4. Zugänge dokumentieren: Sammel alle Zugangsdaten, die ein Experte braucht: WordPress-Admin, FTP/SSH, Hosting-Panel, Datenbank (phpMyAdmin).

Schritt 4: Bereinigung, selbst oder mit Hilfe?

Hier musst du eine ehrliche Entscheidung treffen:

Wann du es selbst versuchen kannst

• Du hast ein sauberes Backup, das definitiv vor dem Hack liegt
• Du weißt, wie du ein Backup einspielst (UpdraftPlus, Duplicator, manuell via phpMyAdmin + FTP)
• Der Hack ist frisch (< 24 Stunden) und das Backup aktuell

In diesem Fall: Backup einspielen, sofort alle Passwörter ändern (WordPress, FTP, Datenbank, E-Mail), und alle Plugins und Themes aktualisieren.

Wann du professionelle Hilfe brauchst

• Kein sauberes Backup vorhanden
• Du weißt nicht, wann der Hack begonnen hat
• Die Malware kommt nach dem Backup-Restore wieder (Backdoor)
• Google zeigt eine Sicherheitswarnung (Blacklist-Entfernung nötig)
• Personenbezogene Daten könnten betroffen sein (DSGVO)
• Du betreibst einen Online-Shop oder verarbeitest sensible Daten

In diesen Fällen ist eine professionelle Malware-Bereinigung die sicherere Wahl. Dabei wird nicht nur die Malware entfernt, sondern auch die Ursache gefunden und die Website gegen erneute Angriffe abgesichert.

Schritt 5: Nach der Bereinigung absichern

Die Bereinigung allein reicht nicht. Ohne Absicherung findet der nächste Scan dieselbe Lücke wieder, und alles beginnt von vorn. Diese neun Maßnahmen gelten nach jeder Infektion, unabhängig davon, welcher Hack es war:

1. Alle Passwörter ändern: WordPress-Benutzer, FTP, Datenbank, Hosting-Panel, E-Mail
2. 2-Faktor-Authentifizierung einrichten: Für alle Admin-Konten (z.B. mit Google Authenticator)
3. Login-Versuche begrenzen: IP-Sperre nach fünf Fehlversuchen
4. WordPress, Plugins und Themes aktualisieren: Plugins tragen 91 % der gemeldeten Schwachstellen
5. Unnötige Plugins und Themes löschen: Nicht deaktivieren, komplett entfernen
6. PHP-Ausführung in Uploads blockieren: In wp-content/uploads/.htaccess die Zeile <Files *.php> deny from all </Files> eintragen
7. Dateibearbeitung im Backend deaktivieren: define('DISALLOW_FILE_EDIT', true); in der wp-config.php
8. Sicherheits-Plugin installieren: Wordfence oder Sucuri für Firewall und Malware-Scanning
9. Automatische Backups einrichten: Täglich, auf externen Speicher, Wiederherstellung testen

Für langfristigen Schutz empfehle ich ein laufendes Wartungspaket mit wöchentlichen Updates und Sicherheits-Monitoring. Zusätzlich deckt ein professioneller Sicherheitscheck versteckte Schwachstellen auf, bevor sie ausgenutzt werden können.

Häufiger Fehler: Nur die Symptome behandeln

Viele Website-Betreiber entfernen die sichtbare Malware, etwa den Redirect-Code in der .htaccess, ohne die eigentliche Ursache zu finden. Bei einer noch aktiven Backdoor ist der Hack oft schon nach Stunden zurück, weil der Angreifer sie direkt wieder nutzt.

Eine professionelle Bereinigung umfasst deshalb immer eine Ursachenanalyse: Welches Plugin hatte die Lücke? Wie ist der Angreifer reingekommen? Gibt es versteckte Backdoors? Erst wenn diese Fragen beantwortet sind, ist die Website wirklich sicher.

Checkliste: Was du jetzt tun solltest

1. Screenshots und Zeitpunkt dokumentieren
2. Art des Hacks identifizieren (Redirect, Warnung, Sperre, Backdoor)
3. Website in Wartungsmodus setzen
4. Backup-Status prüfen
5. Entscheiden: Selbst bereinigen oder Hilfe holen
6. DSGVO-Meldepflicht prüfen (72-Stunden-Frist!)
7. Nach Bereinigung: Passwörter, 2FA, Updates, Backups

Quellen

• Patchstack: State of WordPress Security in 2026 (Daten für 2025: 91% der neu gemeldeten Schwachstellen in Plugins)
• Art. 33 DSGVO (Meldung an die Aufsichtsbehörde binnen 72 Stunden)
• Sucuri: 2023 Hacked Website & Malware Threat Report (Verteilung der bereinigten Infektionen nach CMS)

---