WordPress Redirect Hack bereinigen: Schritt-für-Schritt Anleitung

Was ist ein WordPress Redirect Hack?

Bei einem Redirect Hack schleusen Angreifer Schadcode in deine WordPress-Installation ein, der Besucher auf fremde Websites umleitet. Die Zielseiten sind typischerweise Casino-Portale, Fake-Shops, Pharma-Seiten oder Phishing-Websites. Der Angreifer verdient an jedem umgeleiteten Besucher.

Das Tückische: Der Redirect tritt oft nur unter bestimmten Bedingungen auf. Nur mobile Besucher werden umgeleitet, oder nur der erste Seitenaufruf, oder nur Besucher die über Google kommen. Als Website-Betreiber, der die Seite direkt aufruft, bemerkst du den Hack deshalb oft erst spät.

Symptome: So erkennst du einen Redirect Hack

Ein WordPress Redirect Hack zeigt sich durch verschiedene Symptome, die einzeln oder in Kombination auftreten können. Je früher du diese erkennst, desto geringer ist der Schaden für deine SEO-Rankings und dein Vertrauensverhältnis zu Besuchern.

• Weiterleitung auf fremde Seiten: Besucher landen auf Casino-, Pharma- oder Spam-Seiten statt auf deinem Content
• Nur mobile Geräte betroffen: Der Redirect tritt nur auf Smartphones auf, am Desktop sieht alles normal aus
• Intermittierende Weiterleitungen: Nur beim ersten Besuch oder nur für Besucher von Google
• Google Search Console Warnung: Unter „Sicherheitsprobleme“ erscheint eine Meldung
• Browser-Warnung: Chrome zeigt „Diese Website wurde möglicherweise gehackt“
• Hoster-Sperrung: Dein Hosting-Anbieter hat die Website wegen Malware gesperrt

Tipp: Teste deine Website mit dem Smartphone über eine Google-Suche (nicht über direkten URL-Aufruf). Viele Redirect Hacks triggern nur bei Besuchern mit einem Google-Referrer.

Wo versteckt sich die Malware?

Redirect-Malware kann an verschiedenen Stellen in deiner WordPress-Installation sitzen. Bei einer Bereinigung musst du alle diese Stellen prüfen. Wird auch nur eine Backdoor übersehen, kommt der Hack innerhalb von Stunden zurück.

.htaccess-Datei

Die häufigste Stelle. Öffne die .htaccess im WordPress-Stammverzeichnis und such nach verdächtigem Code. Typische Muster:

• RewriteRule-Einträge die auf fremde Domains verweisen
• Base64-codierte Zeichenketten (base64_decode)
• Bedingungen die nur mobile User-Agents matchen (Android|iPhone|iPad)
• Weiterleitungen auf Domains mit zufälligen Buchstabenkombinationen

Eine Standard-WordPress .htaccess enthält den Block zwischen # BEGIN WordPress und # END WordPress. Zusätzlich schreiben Plugins wie WP Rocket, Wordfence oder Yoast eigene Blöcke hinein, jeweils markiert mit # BEGIN PluginName und # END PluginName. Diese Einträge sind normal. Verdächtig ist Code ohne solche Kommentar-Markierungen, besonders obfuskierte Zeichenketten oder Weiterleitungen auf unbekannte Domains.

wp-config.php

Die wp-config.php ist das zweithäufigste Ziel. Such nach:

• eval( oder base64_decode( Aufrufe
• @include Anweisungen die auf unbekannte Dateien verweisen
• Lange, unlesbare Zeichenketten am Anfang oder Ende der Datei
• $_GET, $_POST oder $_REQUEST Variablen die nicht zum WordPress-Standard gehören

Datenbank (wp_options)

Angreifer ändern manchmal die Werte siteurl und home in der wp_options-Tabelle. Prüf diese Einträge über phpMyAdmin. Auch die Option active_plugins kann manipuliert sein, um ein Malware-Plugin zu aktivieren das du im Dashboard nicht siehst.

Plugin- und Theme-Dateien

Malware versteckt sich oft in Dateien, die auf den ersten Blick wie normale Plugin-Dateien aussehen. Typische Verstecke:

• PHP-Dateien in wp-content/uploads/ (dort gehören keine PHP-Dateien hin)
• Dateien mit zufälligen Namen wie wp-tmp.php oder class-wp-cache.php
• Manipulierte functions.php in deinem Theme
• Unbekannte mu-plugins (Must-Use Plugins werden immer geladen und erscheinen nicht in der Plugin-Liste)

JavaScript-Injection

Neben PHP-basierter Malware gibt es auch JavaScript-Weiterleitungen. Diese werden in die Datenbank injiziert (oft in Post-Content oder Widget-Bereiche) und führen ein window.location oder document.write mit einem externen Script aus.

Bereinigung: Schritt für Schritt

Bevor du mit der Bereinigung beginnst: Lies zuerst meinen Erste-Hilfe-Guide für gehackte WordPress-Websites, um Beweise zu sichern und den Schaden zu begrenzen.

Schritt 1: Backup erstellen

Erstell ein vollständiges Backup des aktuellen Zustands (Dateien + Datenbank), bevor du etwas änderst. Dieses Backup ist deine Rückversicherung falls bei der Bereinigung etwas schiefgeht, und es dient als Beweismaterial.

Schritt 2: .htaccess prüfen und bereinigen

Lade die .htaccess per FTP/SFTP herunter und öffne sie in einem Texteditor. Vergleich den Inhalt mit der Standard-WordPress-.htaccess. Lösch alles, was nicht zum WordPress-Standard gehört. Prüf auch .htaccess-Dateien in Unterverzeichnissen (wp-content/, wp-includes/).

Schritt 3: wp-config.php prüfen

Vergleich deine wp-config.php mit der Originaldatei wp-config-sample.php. Entfern jeden Code, den du nicht zuordnen kannst. Achte besonders auf den Bereich vor dem <?php-Tag und nach der letzten Zeile.

Schritt 4: Datenbank prüfen

Öffne phpMyAdmin und prüf in der Tabelle wp_options:

1. siteurl und home enthalten deine korrekte Domain
2. active_plugins enthält nur Plugins, die du kennst
3. Durchsuch wp_posts nach <script oder eval(

Schritt 5: Dateien scannen

Such per SSH oder FTP nach verdächtigen Dateien:

• PHP-Dateien in wp-content/uploads/
• Kürzlich geänderte Core-Dateien (Vergleich mit dem offiziellen WordPress-Paket)
• Dateien mit eval(, base64_decode(, gzinflate(, gzuncompress( oder str_rot13(
• Unbekannte Dateien in wp-content/mu-plugins/

Schritt 6: WordPress-Core ersetzen

Lade eine frische Kopie von WordPress herunter und ersetz die Verzeichnisse wp-admin/ und wp-includes/ komplett. Das stellt sicher, dass keine manipulierten Core-Dateien zurückbleiben. wp-content/ und wp-config.php bleiben erhalten (die hast du bereits manuell geprüft).

Schritt 7: Passwörter und Zugangsdaten ändern

Nach der Bereinigung änderst du sofort:

• Alle WordPress-Benutzerpasswörter (besonders Admins)
• FTP/SFTP-Zugangsdaten
• Datenbank-Passwort (und in der wp-config.php aktualisieren)
• Hosting-Panel-Passwort
• WordPress Security Salts (im Salt-Generator neue erstellen)

Nach der Bereinigung: Website absichern

Die Bereinigung allein schützt dich nicht vor dem nächsten Angriff. Die neun Maßnahmen, die nach jeder Infektion gelten, stehen gesammelt unter Nach der Bereinigung absichern, von den Passwörtern bis zur gesperrten PHP-Ausführung im Upload-Verzeichnis. Welche Einfallstore dahinterstehen, steht bei den häufigsten WordPress-Angriffsvektoren.

Zwei Punkte kommen beim Redirect Hack dazu, weil er genau dort wieder auftaucht:

• Weiterleitungsregeln beobachten: .htaccess und wp_options nach der Bereinigung ein paar Tage lang auf neue Einträge prüfen, am einfachsten über eine Datei-Integritätsprüfung
• Mobil und aus der Suche testen: Viele Varianten leiten nur auf Mobilgeräten oder nur bei Besuchern mit Google-Referrer um, im Direktaufruf am Desktop bleibt die Seite unauffällig

Wann du professionelle Hilfe brauchst

Eine Bereinigung in Eigenregie ist machbar, wenn du Erfahrung mit FTP, phpMyAdmin und WordPress-Dateien hast. Hol dir professionelle Hilfe, wenn:

• Der Redirect nach der Bereinigung wiederkommt (Backdoor nicht gefunden)
• Du die Malware-Quelle nicht identifizieren kannst
• Google eine Sicherheitswarnung anzeigt (Blacklist-Entfernung nötig)
• Personenbezogene Daten betroffen sein könnten (DSGVO-Meldepflicht)
• Es sich um einen geschäftskritischen Online-Shop handelt

Prävention: So verhinderst du Redirect Hacks

Die beste Bereinigung ist die, die nie nötig wird. 91% der 2025 neu gemeldeten Schwachstellen im WordPress-Ökosystem steckten in Plugins (Patchstack, State of WordPress Security in 2026), also genau dort, wo regelmäßige Wartung greift. Der Unterschied zwischen Absicherung und Prävention ist dabei nur die Reihenfolge: Dieselben Maßnahmen, die nach einer Infektion Pflicht sind, verhindern sie vorher.

Mit einem professionellen Wartungspaket sind all diese Maßnahmen abgedeckt. Updates, Sicherheits-Monitoring, Backups und ein fester Ansprechpartner mit einer Reaktionszeit, die je nach Paket zwischen 4 und 24 Stunden an Werktagen liegt.

Ob die Bereinigung wirklich vollständig war, klärt ein WordPress-Sicherheitscheck. Redirect-Hacks hinterlassen typischerweise mehrere Persistenzmechanismen, und ein Checksummenvergleich gegen das offizielle Release zeigt zuverlässiger als jeder Scanner, welche Dateien noch verändert sind.

Quellen

• Patchstack: State of WordPress Security in 2026 (Daten für 2025: 91% der neu gemeldeten Schwachstellen in Plugins)
• Sucuri: 2023 Hacked Website & Malware Threat Report (Verbreitung von SEO-Spam und Redirect-Infektionen)

---