Ihre WordPress-Website leitet plötzlich auf fremde Seiten weiter? Im Google-Suchergebnis erscheinen merkwürdige Texte? Neue Administratoren tauchen im Backend auf? Ihr Hosting-Anbieter meldet Schadsoftware oder Google warnt Besucher davor, Ihre Website aufzurufen?

Dann besteht die Möglichkeit, dass Ihre WordPress-Website gehackt wurde.

Für Unternehmen kann ein solcher Angriff schnell ernsthafte Folgen haben. Die Website ist möglicherweise nicht mehr erreichbar, Kontaktanfragen gehen verloren, Besucher werden auf betrügerische Seiten weitergeleitet oder Schadsoftware wird über die eigene Domain verbreitet. Bei Onlineshops können zusätzlich Kundendaten, Bestellungen und Zahlungsprozesse betroffen sein.

Wichtig ist jetzt, nicht unüberlegt einzelne Dateien oder Plugins zu löschen. Bei einer kompromittierten WordPress-Installation muss nicht nur sichtbare Malware entfernt werden. Entscheidend ist herauszufinden, wie der Angreifer in die Website gelangt ist und ob versteckte Hintertüren vorhanden sind.

In diesem Ratgeber erklären wir ausführlich:

• woran Sie eine gehackte WordPress-Website erkennen,
• wie Angreifer überhaupt in WordPress-Websites gelangen,
• welche Sofortmaßnahmen sinnvoll sind,
• wie Malware aus WordPress entfernt wird,
• warum ein einfaches Backup nicht immer ausreicht,
• wie Sie Ihre Website nach einem Angriff wieder absichern,
• wann Sie professionelle Unterstützung benötigen.

WordPress gehackt: Was sollte ich jetzt sofort tun?

Wenn Sie den Verdacht haben, dass Ihre Website gehackt wurde, sollten Sie zunächst ruhig und systematisch vorgehen.

Die wichtigsten Schritte sind:

1. Keine verdächtigen Dateien vorschnell löschen.
2. Zeitpunkt und Symptome des Angriffs dokumentieren.
3. Eine vollständige Sicherung des aktuellen Zustands erstellen.
4. Hosting-, FTP-, Datenbank- und WordPress-Zugänge absichern.
5. Unbekannte WordPress-Benutzer kontrollieren.
6. Website auf Malware und manipulierte Dateien untersuchen.
7. Einfallstor und Sicherheitslücke identifizieren.
8. Schadcode und mögliche Backdoors vollständig entfernen.
9. WordPress, Plugins und Themes kontrolliert aktualisieren beziehungsweise ersetzen.
10. Nach der Bereinigung weitere Sicherheitsmaßnahmen einrichten.

Bei einer geschäftlich wichtigen Website oder einem WooCommerce-Onlineshop sollte die Bereinigung möglichst strukturiert erfolgen. Wird lediglich die sichtbar infizierte Datei gelöscht, kann die Website wenige Stunden oder Tage später erneut kompromittiert werden.

Woran erkenne ich, dass meine WordPress-Website gehackt wurde?

Nicht jeder WordPress-Hack sieht gleich aus. Einige Angriffe sind sofort sichtbar, während andere möglichst lange unentdeckt bleiben sollen.

Typische Anzeichen sind beispielsweise:

Ihre Website leitet Besucher auf fremde Seiten weiter

Ein sehr auffälliges Zeichen sind sogenannte Redirect-Hacks. Besucher öffnen Ihre Domain und werden plötzlich zu Glücksspielseiten, dubiosen Onlineshops, gefälschten Gewinnspielen oder anderen fremden Websites weitergeleitet.

Besonders tückisch: Manchmal erfolgt die Weiterleitung nur bei bestimmten Besuchern – beispielsweise nur auf Smartphones oder nur bei Besuchern, die über Google kommen.

Für den Betreiber selbst kann die Website deshalb zunächst völlig normal aussehen.

Google warnt vor Ihrer Website

Google kann kompromittierte Websites als gefährlich einstufen.

Besucher sehen dann möglicherweise Warnungen wie:

• „Diese Website könnte gehackt worden sein“
• „Diese Website kann Ihren Computer beschädigen“
• „Irreführende Website“
• Sicherheitswarnungen im Browser

Eine solche Warnung kann den organischen Traffic nahezu zum Erliegen bringen.

Fremde Inhalte erscheinen in Google

Bei einem sogenannten SEO-Spam-Hack werden teilweise hunderte oder tausende zusätzliche Seiten erzeugt.

Plötzlich erscheinen bei Google Suchergebnisse Ihrer Domain zu Themen wie:

• Glücksspiel,
• Kryptowährungen,
• Medikamente,
• Fake-Shops,
• Kredite,
• Erwachsenen-Inhalte,
• Markenfälschungen.

Auf der eigentlichen Website sind diese Seiten möglicherweise gar nicht direkt sichtbar.

Unbekannte Administratoren erscheinen in WordPress

Kontrollieren Sie unter Benutzer → Alle Benutzer, ob sich dort unbekannte Konten befinden.

Angreifer versuchen teilweise, einen zusätzlichen Administrator anzulegen, damit sie später erneut Zugriff erhalten.

Dateien wurden verändert

Verdächtig sind unter anderem:

• unbekannte PHP-Dateien,
• PHP-Dateien im Upload-Verzeichnis,
• manipulierte Theme-Dateien,
• veränderte Plugin-Dateien,
• unbekannter JavaScript-Code,
• merkwürdige Einträge in der .htaccess,
• Veränderungen an der wp-config.php.

Die Website versendet Spam

Eine kompromittierte Website kann zum Versand großer Mengen Spam missbraucht werden.

Mögliche Folgen:

• Ihre Domain landet auf Spam-Listen,
• legitime Kontaktformular-E-Mails kommen nicht mehr an,
• Bestellbestätigungen landen im Spam,
• Ihr Hosting-Anbieter sperrt den E-Mail-Versand.

Ihr Hosting-Anbieter sperrt die Website

Hosting-Unternehmen scannen Server teilweise automatisiert auf Schadsoftware.

Wird Malware erkannt, kann der Anbieter einzelne Dateien oder sogar die komplette Website sperren, um andere Kunden und Besucher zu schützen.

Die Website wird plötzlich extrem langsam

Auch ungewöhnlich hohe Serverlast kann auf einen Angriff hinweisen.

Schadsoftware kann beispielsweise:

• massenhaft Anfragen erzeugen,
• externe Server kontaktieren,
• Spam versenden,
• neue Seiten generieren,
• Dateien verändern oder nachladen.

Eine langsame Website bedeutet zwar nicht automatisch, dass sie gehackt wurde – sie kann jedoch eines von mehreren Warnsignalen sein.

Warum werden WordPress-Websites gehackt?

Viele Website-Betreiber fragen sich nach einem Angriff:

„Warum ausgerechnet meine Website?“

In sehr vielen Fällen lautet die Antwort: Der Angriff hatte mit Ihrem Unternehmen überhaupt nichts persönlich zu tun.

Angreifer und Bot-Netzwerke durchsuchen das Internet automatisiert nach WordPress-Installationen und bekannten Sicherheitslücken.

Findet ein automatisierter Scanner beispielsweise eine bestimmte verwundbare Plugin-Version, kann unmittelbar versucht werden, diese Schwachstelle auszunutzen.

Eine kleine Unternehmenswebsite kann deshalb genauso Ziel eines automatisierten Angriffs werden wie eine große Website.

1. Veraltete WordPress-Plugins

Plugins gehören zu den häufigsten Einfallstoren.

Ein Plugin erweitert WordPress um zusätzliche Funktionen und besteht selbst wiederum aus Programmcode. Wird darin eine Sicherheitslücke entdeckt, muss der Entwickler diese über ein Update schließen.

Problematisch wird es, wenn Website-Betreiber verfügbare Updates über Wochen oder Monate ignorieren.

Besonders kritisch sind Plugins, die:

• seit Jahren nicht mehr gepflegt werden,
• vom Entwickler aufgegeben wurden,
• bekannte Sicherheitslücken besitzen,
• aus unbekannten Quellen heruntergeladen wurden.

2. Veraltete Themes

Auch Themes können Sicherheitslücken enthalten.

Das gilt besonders bei komplexen Premium-Themes mit vielen integrierten Zusatzfunktionen.

Ein deaktiviertes Theme ist übrigens nicht automatisch ungefährlich. Liegt eine verwundbare Version weiterhin auf dem Server, kann sie unter bestimmten Umständen weiterhin ein Risiko darstellen.

Nicht benötigte Themes sollten deshalb entfernt werden.

3. Eine veraltete WordPress-Version

WordPress selbst wird regelmäßig weiterentwickelt und erhält Sicherheitsupdates.

Wer sehr alte WordPress-Versionen verwendet, erhöht sein Risiko unnötig.

Updates sollten allerdings nicht völlig unkontrolliert durchgeführt werden. Für geschäftliche Websites empfiehlt sich ein Prozess aus:

Backup → Update → Kontrolle → Funktionstest.

4. Unsichere oder mehrfach verwendete Passwörter

Ein weiteres großes Risiko sind schwache Zugangsdaten.

Beispiele:

• Firma2026
• wordpress123
• admin1234
• der Firmenname
• ein bereits bei anderen Diensten verwendetes Passwort

Besonders problematisch wird es, wenn dasselbe Passwort beispielsweise für WordPress, FTP, Hosting und E-Mail verwendet wird.

Wurde einer dieser Zugänge bei einem anderen Datenleck bekannt, können Angreifer automatisiert ausprobieren, ob die Kombination auch bei Ihrer Website funktioniert.

5. Gestohlene Zugangsdaten

Nicht jeder Angriff erfolgt über eine Sicherheitslücke in WordPress.

Möglicherweise wurden FTP-, Hosting- oder WordPress-Zugangsdaten auf einem anderen Weg gestohlen.

Beispielsweise durch:

• Schadsoftware auf einem Computer,
• Phishing,
• kompromittierte Browser-Erweiterungen,
• unsichere Passwortspeicherung,
• gemeinsam verwendete Zugangsdaten.

Deshalb reicht es nach einem Hack häufig nicht, ausschließlich das WordPress-Passwort zu ändern.

6. „Nulled“ Plugins und Themes

Premium-Plugins oder Themes werden auf dubiosen Websites teilweise kostenlos als sogenannte „nulled“ Version angeboten.

Das vermeintliche Schnäppchen kann bereits manipulierten Programmcode enthalten.

Ein Angreifer muss die Website dann gar nicht mehr hacken – der Website-Betreiber installiert die Hintertür selbst.

Premium-Software sollte deshalb ausschließlich über vertrauenswürdige und autorisierte Quellen bezogen werden.

7. Unsicheres Hosting oder falsche Serverkonfiguration

WordPress ist nur ein Teil der technischen Infrastruktur.

Auch der Webserver, die PHP-Version, Dateiberechtigungen, Hosting-Konfiguration und weitere Anwendungen auf demselben Account spielen eine Rolle.

Befinden sich beispielsweise mehrere veraltete WordPress-Installationen auf demselben Webspace, kann auch eine längst vergessene Testinstallation zum Sicherheitsproblem werden.

Welche Arten von WordPress-Hacks gibt es?

Nicht jeder Angriff verfolgt dasselbe Ziel.

Malware

„Malware“ ist ein Sammelbegriff für schädlichen Programmcode.

Er kann beispielsweise:

• Besucher weiterleiten,
• zusätzliche Schadsoftware laden,
• Spam versenden,
• Inhalte verändern,
• Zugangsdaten auslesen.

Backdoors

Eine Backdoor ist eine versteckte Hintertür.

Sie ermöglicht dem Angreifer, später erneut auf die Website zuzugreifen – selbst wenn das ursprüngliche Problem scheinbar behoben wurde.

Genau deshalb reicht es häufig nicht, nur eine auffällige Malware-Datei zu löschen.

SEO-Spam

Angreifer erzeugen tausende Seiten innerhalb einer fremden Domain, um deren Reputation für eigene Zwecke zu missbrauchen.

Phishing

Eine kompromittierte Unternehmenswebsite kann dafür benutzt werden, gefälschte Login-Seiten einzurichten und Zugangsdaten anderer Menschen zu stehlen.

Schädliche Weiterleitungen

Besucher werden zu externen Websites umgeleitet. Besonders häufig geschieht dies nur unter bestimmten Bedingungen, damit der Betreiber den Angriff nicht sofort bemerkt.

Manipulierte Administratoren

Angreifer legen zusätzliche WordPress-Administratoren an oder verändern vorhandene Benutzerkonten.

WordPress gehackt: Schritt-für-Schritt vorgehen

Schritt 1: Veränderungen zunächst dokumentieren

Notieren Sie möglichst genau:

• Wann wurde das Problem erstmals bemerkt?
• Was hat sich verändert?
• Welche Warnung erscheint?
• Gab es unmittelbar vorher Updates?
• Wurde ein neues Plugin installiert?
• Hat der Hosting-Anbieter eine Meldung geschickt?
• Gibt es ungewöhnliche WordPress-Benutzer?
• Wann wurde das letzte bekannte saubere Backup erstellt?

Erstellen Sie Screenshots von Fehlermeldungen und Warnungen.

Diese Informationen können später helfen, den Angriffszeitraum einzugrenzen.

Schritt 2: Den aktuellen Stand sichern

Das klingt zunächst widersprüchlich:

Warum sollte man eine gehackte Website sichern?

Weil der kompromittierte Stand wichtige Informationen enthalten kann.

Bei einer vorschnellen Wiederherstellung oder dem Löschen von Dateien gehen möglicherweise Hinweise verloren, die bei der Suche nach der Sicherheitslücke helfen.

Eine aktuelle Sicherung ersetzt natürlich nicht ein sauberes Backup von vor dem Angriff.

Idealerweise existieren deshalb beide Versionen.

Schritt 3: Schaden begrenzen

Verteilt die Website aktiv Malware, betreibt Phishing oder leitet Besucher auf gefährliche Seiten weiter, sollte geprüft werden, ob sie vorübergehend aus dem öffentlichen Zugriff genommen werden muss.

Bei einer normalen Firmenwebsite ist eine kurzfristige Wartungsseite oftmals besser als eine kompromittierte Website.

Bei einem Onlineshop ist besondere Vorsicht erforderlich, da möglicherweise Kundendaten und Bestellungen betroffen sind.

Schritt 4: Zugangsdaten absichern

Nach einem bestätigten Angriff sollten relevante Zugangsdaten geändert werden.

Dazu können gehören:

• WordPress-Administratoren,
• Hosting-Account,
• FTP/SFTP,
• SSH,
• Datenbankzugänge,
• E-Mail-Konten,
• CDN- beziehungsweise Cloud-Zugänge.

Wichtig:

Ändern Sie Passwörter möglichst von einem vertrauenswürdigen Gerät aus.

Wenn Schadsoftware auf dem eigenen Computer Passwörter ausliest, kann ein neu vergebenes Passwort sonst unmittelbar wieder kompromittiert werden.

Schritt 5: WordPress-Benutzer überprüfen

Kontrollieren Sie alle Benutzerkonten.

Besonders wichtig sind Benutzer mit Administratorrechten.

Unbekannte Administratoren können ein klares Warnsignal sein.

Prüfen Sie außerdem, ob bekannte Benutzer plötzlich zusätzliche Berechtigungen besitzen.

WordPress-Malware richtig entfernen

An diesem Punkt beginnt die eigentliche technische Bereinigung.

Eine vollständige Bereinigung kann deutlich komplexer sein als das Löschen einer einzelnen Datei.

WordPress-Core überprüfen

Die eigentlichen WordPress-Systemdateien können mit einer sauberen offiziellen Version verglichen beziehungsweise kontrolliert ersetzt werden.

Dadurch lässt sich ausschließen, dass manipulierte Core-Dateien erhalten bleiben.

Plugins kontrollieren

Jedes Plugin sollte geprüft werden:

• Ist es noch notwendig?
• Ist es aktuell?
• Wird es noch vom Entwickler gepflegt?
• Gibt es bekannte Probleme?
• Wurden Dateien verändert?
• Stammt das Plugin aus einer vertrauenswürdigen Quelle?

Verdächtige oder veraltete Plugins sollten nicht einfach blind aktualisiert werden.

Ist ein Plugin kompromittiert, kann es sinnvoll sein, die vorhandenen Dateien vollständig durch eine saubere Originalversion zu ersetzen.

Themes kontrollieren

Dasselbe gilt für Themes.

Bei individuell angepassten Themes muss allerdings berücksichtigt werden, dass eigene Änderungen vorhanden sein können. Deshalb sollte nicht ohne Backup einfach das komplette Theme überschrieben werden.

Upload-Verzeichnis untersuchen

Das WordPress-Verzeichnis wp-content/uploads enthält normalerweise Bilder, PDFs und andere Mediendateien.

Ungewöhnliche PHP-Dateien in solchen Verzeichnissen sollten genauer untersucht werden.

wp-config.php kontrollieren

Die Datei wp-config.php enthält wichtige WordPress-Konfigurationsdaten.

Unbekannte Code-Zeilen oder Veränderungen können auf Manipulationen hindeuten.

.htaccess überprüfen

Manipulierte .htaccess-Dateien werden häufig für Weiterleitungen oder andere Serverregeln verwendet.

Bei einem Redirect-Hack gehört diese Datei deshalb zu den wichtigen Prüfstellen.

Datenbank kontrollieren

Schadcode muss nicht zwangsläufig als Datei auf dem Server liegen.

Manipulationen können auch innerhalb der WordPress-Datenbank gespeichert sein.

Betroffen sein können beispielsweise:

• Beiträge,
• Seiten,
• Widgets,
• Optionen,
• Benutzer,
• URLs,
• JavaScript-Code.

Eine reine Prüfung der Dateien reicht deshalb nicht in jedem Fall aus.

Backdoors suchen

Das ist einer der wichtigsten Schritte.

Der sichtbare Schadcode kann nur ein Teil des Angriffs sein.

Angreifer versuchen häufig, weitere Zugriffsmöglichkeiten zu hinterlassen.

Wird die eigentliche Hintertür nicht entfernt, kann Folgendes passieren:

1. Website wird bereinigt.
2. Betreiber glaubt, das Problem sei gelöst.
3. Angreifer nutzt die Backdoor.
4. Website wird erneut infiziert.

Bei einer professionellen Hack-Bereinigung muss deshalb nicht nur Malware entfernt, sondern möglichst auch der ursprüngliche Angriffsweg geschlossen werden.

Kann ich einfach ein Backup einspielen?

Manchmal ja.

Aber nicht immer.

Ein Backup ist besonders hilfreich, wenn Sie mit hoher Sicherheit wissen:

Dieses Backup stammt aus einer Zeit vor der Kompromittierung.

Genau das ist häufig schwierig.

Vielleicht wurde die Website am 20. Mai sichtbar gehackt – die erste Backdoor wurde aber bereits am 2. Mai eingeschleust.

Ein Backup vom 10. Mai würde dann zwar sauber aussehen, könnte aber trotzdem bereits kompromittiert sein.

Außerdem löst eine Wiederherstellung allein nicht zwangsläufig die Ursache.

Wenn anschließend dasselbe veraltete und verwundbare Plugin wieder installiert ist, kann die Website erneut angegriffen werden.

Deshalb gehören zu einer sauberen Wiederherstellung normalerweise:

Backup + Prüfung + Aktualisierung + Schließen der Sicherheitslücke + Absicherung.

Was ist bei einer gehackten WooCommerce-Website besonders wichtig?

Bei einem normalen Firmenauftritt ist ein Hack bereits ernst.

Bei WooCommerce kommt ein weiterer Faktor hinzu:

Der Shop verarbeitet Kundendaten und geschäftliche Transaktionen.

Betroffen sein können beispielsweise:

• Namen,
• Rechnungsadressen,
• Lieferadressen,
• E-Mail-Adressen,
• Telefonnummern,
• Bestelldaten,
• Kundenkonten.

Deshalb sollte bei einem kompromittierten WooCommerce-Shop zusätzlich untersucht werden:

• Welche Daten waren potenziell zugänglich?
• Seit wann bestand die Sicherheitslücke?
• Wurden Administratoren verändert?
• Wurde der Checkout manipuliert?
• Wurde JavaScript eingeschleust?
• Wurden externe Zahlungsseiten eingebunden?
• Gibt es verdächtige Änderungen an Bestellungen?

Muss ich einen WordPress-Hack wegen der DSGVO melden?

Nicht jeder WordPress-Hack ist automatisch eine meldepflichtige Datenschutzverletzung.

Es muss geprüft werden, ob personenbezogene Daten betroffen waren und welches Risiko für die betroffenen Personen besteht.

Bei einem möglichen Datenschutzvorfall sollten deshalb unter anderem folgende Fragen geklärt werden:

• Welche personenbezogenen Daten befinden sich auf der Website?
• Konnten Angreifer darauf zugreifen?
• Wurden Daten möglicherweise kopiert?
• Wurden Daten verändert?
• Welche Personen sind betroffen?
• Welche Risiken können daraus entstehen?

Besteht eine meldepflichtige Verletzung des Schutzes personenbezogener Daten, gelten entsprechende Vorgaben der DSGVO.

Unternehmen sollten einen solchen Fall nicht nur technisch, sondern gegebenenfalls auch datenschutzrechtlich bewerten lassen.

Kann Google eine gehackte WordPress-Seite abstrafen?

Ein Hack kann erhebliche Auswirkungen auf die Sichtbarkeit haben.

Mögliche Probleme sind:

• Spam-Seiten werden indexiert,
• bestehende URLs werden verändert,
• Besucher werden umgeleitet,
• Google erkennt Malware,
• Sicherheitswarnungen erscheinen,
• organische Besucher brechen weg,
• Suchergebnisse enthalten fremde Inhalte.

Nach einer erfolgreichen Bereinigung sollten deshalb nicht nur WordPress und der Server kontrolliert werden.

Auch die Google Search Console sollte überprüft werden.

Interessant sind insbesondere:

• Sicherheitsprobleme,
• manuelle Maßnahmen,
• indexierte Spam-URLs,
• ungewöhnliche neue Seiten,
• Veränderungen der Sitemap.

Wurde von Google eine Sicherheitswarnung ausgesprochen, kann nach vollständiger Bereinigung eine erneute Überprüfung beantragt werden.

Professionelle Hilfe: Wir können Ihre gehackte WordPress-Website bereinigen

Eine kompromittierte Website ist kein Fall, bei dem Sie wahllos verschiedene Plugins installieren oder Dateien löschen sollten.

Insbesondere wenn Ihre Unternehmenswebsite nicht erreichbar ist, Besucher weitergeleitet werden oder ein WooCommerce-Shop betroffen ist, kann eine systematische Analyse viel Zeit und weitere Schäden sparen.

Wir unterstützen Sie bei Mediencenter Essen bei Problemen rund um WordPress und WooCommerce.

Bei einer gehackten Website können wir unter anderem prüfen:

• welche Bereiche der Website betroffen sind,
• ob Malware vorhanden ist,
• welche Dateien manipuliert wurden,
• ob unbekannte Administratoren angelegt wurden,
• ob verdächtiger Code vorhanden ist,
• ob ein sauberes Backup genutzt werden kann,
• wie die Website wiederhergestellt werden kann,
• welche Sicherheitslücke als Ursache infrage kommt,
• welche Maßnahmen zukünftige Angriffe erschweren können.

Ziel ist nicht nur, die sichtbaren Symptome zu beseitigen.

Wir möchten Ihre WordPress-Website wieder in einen sauberen, funktionsfähigen und besser abgesicherten Zustand bringen.

Weitere Informationen finden Sie auf unserer Seite zur WordPress- & WooCommerce-Hilfe.

WordPress nach einem Hack richtig absichern

Nach erfolgreicher Bereinigung beginnt der zweite wichtige Teil:

Wie verhindern Sie, dass dasselbe Problem erneut auftritt?

Eine hundertprozentige Sicherheit gibt es bei keinem öffentlich erreichbaren System.

Das Ziel ist deshalb, möglichst viele unnötige Risiken zu beseitigen.

1. WordPress regelmäßig aktualisieren

Halten Sie den WordPress-Core aktuell.

Sicherheitsupdates sollten nicht über Monate ignoriert werden.

2. Plugins konsequent aktualisieren

Kontrollieren Sie regelmäßig, ob Plugin-Updates verfügbar sind.

Bei geschäftskritischen Websites empfiehlt sich ein kontrollierter Update-Prozess mit Backup und anschließendem Funktionstest.

3. Nicht benötigte Plugins löschen

Weniger Plugins bedeuten grundsätzlich auch weniger zusätzlichen Programmcode, der gepflegt und überwacht werden muss.

Plugins, die Sie nicht mehr benötigen, sollten Sie nicht nur deaktivieren, sondern entfernen.

4. Alte Themes entfernen

Auch nicht benötigte Themes sollten gelöscht werden.

Behalten Sie lediglich das aktive Theme und gegebenenfalls ein benötigtes Standard- beziehungsweise Backup-Theme.

5. Nur vertrauenswürdige Erweiterungen installieren

Verwenden Sie Plugins und Themes aus seriösen Quellen.

Verzichten Sie auf:

• gecrackte Premium-Plugins,
• nulled Themes,
• Downloads von dubiosen Websites.

6. Starke und einzigartige Passwörter verwenden

Jeder wichtige Zugang sollte ein eigenes Passwort erhalten.

Nutzen Sie idealerweise einen Passwortmanager.

Ein gutes Passwort sollte lang, einzigartig und nicht erratbar sein.

7. Zwei-Faktor-Authentifizierung aktivieren

Bei der Zwei-Faktor-Authentifizierung reicht ein gestohlenes Passwort alleine nicht mehr aus.

Für Administratoren ist dies eine der sinnvollsten zusätzlichen Schutzmaßnahmen.

8. Anzahl der Administratoren begrenzen

Nicht jeder Mitarbeiter benötigt Administratorrechte.

Vergeben Sie immer nur die Berechtigungen, die tatsächlich erforderlich sind.

9. Login-Versuche schützen

Automatisierte Login-Angriffe können durch zusätzliche Schutzmaßnahmen eingeschränkt werden.

Dazu gehören beispielsweise:

• Rate-Limiting,
• Web Application Firewalls,
• Login-Schutz,
• Zwei-Faktor-Authentifizierung.

10. Regelmäßige externe Backups erstellen

Backups sollten nicht ausschließlich auf demselben Server liegen wie die Website.

Wird der gesamte Hosting-Account kompromittiert, könnten ansonsten auch die Sicherungen manipuliert oder gelöscht werden.

Eine gute Backup-Strategie umfasst mehrere Wiederherstellungspunkte.

11. Backups regelmäßig testen

Ein vorhandenes Backup ist nur dann wirklich wertvoll, wenn es sich im Ernstfall auch wiederherstellen lässt.

Deshalb sollte zumindest gelegentlich getestet werden, ob die Sicherungen vollständig und verwendbar sind.

12. Sicherheitsüberwachung einrichten

Je früher ungewöhnliche Veränderungen erkannt werden, desto kleiner kann der Schaden sein.

Sinnvoll sind beispielsweise:

• Malware-Scans,
• Dateiüberwachung,
• Login-Protokolle,
• Sicherheitsmeldungen,
• Monitoring der Website-Erreichbarkeit.

13. Einen zuverlässigen Hosting-Anbieter verwenden

Gutes WordPress-Hosting sollte unter anderem aktuelle Server-Software, sinnvolle Sicherheitsmaßnahmen, Backup-Möglichkeiten und zuverlässigen Support bieten.

14. Alte Testinstallationen entfernen

Eine häufig vergessene Gefahr sind alte WordPress-Kopien.

Beispiele:

test.ihredomain.de

/alte-seite/

/wordpress-backup/

/entwicklung/

Auch wenn diese Installationen nicht mehr verlinkt sind, können automatisierte Scanner sie finden.

Werden sie nicht mehr benötigt, sollten sie vollständig entfernt werden.

Warum WordPress-Wartung gleichzeitig Sicherheitsvorsorge ist

Viele erfolgreiche Angriffe entstehen nicht durch einen einzelnen spektakulären Fehler.

Das Risiko wächst vielmehr schrittweise:

Ein Plugin wird nicht aktualisiert.

Dann kommt ein zweites hinzu.

Ein altes Theme bleibt auf dem Server.

Backups werden nicht kontrolliert.

Ein Administrator verwendet seit Jahren dasselbe Passwort.

Irgendwann entsteht daraus eine vermeidbare Angriffsfläche.

Deshalb ist regelmäßige technische Wartung ein wesentlicher Bestandteil einer professionell betriebenen WordPress-Website.

Dazu gehören unter anderem:

• Updates,
• Backups,
• Sicherheitskontrollen,
• Funktionsprüfungen,
• Überwachung,
• Entfernen veralteter Software.

Häufig gestellte Fragen zu gehackten WordPress-Websites

Ist WordPress unsicher?

WordPress ist nicht grundsätzlich unsicher.

Das System wird kontinuierlich weiterentwickelt und erhält Sicherheitsupdates. Probleme entstehen häufig durch die gesamte Umgebung einer Installation – beispielsweise veraltete Plugins, unsichere Passwörter, verlassene Themes oder fehlende Wartung.

Aufgrund der enormen Verbreitung von WordPress ist das System allerdings ein attraktives Ziel für automatisierte Angriffe.

Wie finde ich heraus, wie meine WordPress-Seite gehackt wurde?

Dazu müssen unter anderem Dateien, Plugins, Themes, Benutzerkonten, Logs, Datenbankeinträge und der zeitliche Ablauf untersucht werden.

Nicht in jedem Fall lässt sich der ursprüngliche Angriffsweg zweifelsfrei rekonstruieren.

Trotzdem sollte versucht werden, die wahrscheinlichste Sicherheitslücke zu identifizieren, damit die Website nicht erneut kompromittiert wird.

Kann man eine gehackte WordPress-Seite retten?

In vielen Fällen ja.

Ob die bestehende Installation bereinigt, ein sauberes Backup wiederhergestellt oder die Website teilweise neu aufgebaut werden sollte, hängt vom Umfang des Angriffs und vom vorhandenen Datenbestand ab.

Reicht ein Security-Plugin zum Entfernen von Malware?

Security-Plugins können bei Erkennung und Schutz sehr hilfreich sein.

Eine automatische Bereinigung sollte jedoch nicht mit einer vollständigen technischen Analyse verwechselt werden.

Ein Scanner kann möglicherweise Schadcode erkennen, beantwortet aber nicht automatisch die Frage, wie der Angreifer hineingelangt ist oder ob weitere Backdoors vorhanden sind.

Sollte ich alle Plugins löschen?

Nein.

Wahlloses Löschen kann die Website zusätzlich beschädigen und die spätere Analyse erschweren.

Plugins sollten gezielt geprüft und bei Bedarf durch saubere Originalversionen ersetzt oder vollständig entfernt werden.

Kann meine Website nach der Bereinigung erneut gehackt werden?

Ja.

Wird lediglich die sichtbare Malware entfernt, während die eigentliche Sicherheitslücke bestehen bleibt, ist eine erneute Infektion möglich.

Deshalb gehört die Absicherung nach der Bereinigung zwingend zum Prozess.

Wie wichtig sind Backups?

Sehr wichtig.

Ein sauberes Backup kann die Wiederherstellung erheblich vereinfachen.

Idealerweise besitzen Sie mehrere zeitlich getrennte Sicherungen, die extern gespeichert werden.

Kann ein WordPress-Hack meine Google-Rankings beschädigen?

Ja.

SEO-Spam, Weiterleitungen, Malware-Warnungen und tausende unerwünschte URLs können sich negativ auf Sichtbarkeit und Besucherzahlen auswirken.

Nach der Bereinigung sollte deshalb auch kontrolliert werden, was Google von der Website indexiert hat.

Muss ich nach einem Hack meine Kunden informieren?

Das hängt davon ab, ob personenbezogene Daten betroffen sind und welches Risiko durch den Vorfall entstanden ist.

Insbesondere bei WooCommerce-Shops, Mitgliederbereichen oder Websites mit umfangreichen Kundendaten sollte ein möglicher Datenschutzvorfall sorgfältig geprüft werden.

Fazit: Bei einem WordPress-Hack zählt nicht nur die Bereinigung

Wenn Ihre WordPress-Website gehackt wurde, lautet die wichtigste Regel:

Nicht nur die sichtbare Malware entfernen.

Eine nachhaltige Lösung besteht aus mehreren Schritten:

Angriff untersuchen → Website bereinigen → Zugangsdaten absichern → Sicherheitslücke schließen → WordPress härten → Website überwachen.

Wer lediglich eine verdächtige Datei löscht oder ein beliebiges Backup zurückspielt, hat möglicherweise nur das Symptom beseitigt.

Besonders bei Unternehmenswebsites und WooCommerce-Shops sollte die Wiederherstellung deshalb strukturiert erfolgen.

Ihre WordPress-Website wurde gehackt?

Wenn Ihre Website Malware enthält, Besucher auf fremde Seiten weiterleitet, von Google als gefährlich markiert wurde oder Sie nicht wissen, wie Sie die Installation sicher bereinigen können, unterstützen wir Sie gerne.

Wir analysieren das Problem, prüfen die WordPress-Installation und helfen Ihnen dabei, Ihre Website wiederherzustellen und anschließend besser abzusichern.

Weitere Informationen und Hilfe erhalten Sie über unsere WordPress- & WooCommerce-Hilfe.

Weitere interessante Artikel

Onlineshop-SEO: Warum Kategorieseiten wichtiger sind als Produktseiten

E-Commerce · WooCommerce · SEO · Kategorieseiten Onlineshop-SEO: Warum Kategorieseiten wichtiger sind als Produktseiten Viele Shopbetreiber investieren den größten Teil ihrer SEO-Arbeit in einzelne …

Jetzt lesen

Local SEO im Ruhrgebiet: So werden Sie in Essen, Bochum und Duisburg gefunden

Local SEO · Ruhrgebiet · Google Maps · 2026 Local SEO im Ruhrgebiet: So werden Sie in Essen, Bochum und Duisburg gefunden Ein Unternehmen …

Jetzt lesen

Positionen 4 bis 15 anheben: Die schnellsten SEO-Gewinne in der Search Console

SEO · Google Search Console · Quick Wins Positionen 4 bis 15 anheben: Die schnellsten SEO-Gewinne in der Search Console Sie müssen für bessere …

Jetzt lesen

SEO 2026: Was sich durch KI-Übersichten in der Google-Suche wirklich geändert hat

```html SEO · Google Search · AI Overviews · 2026 SEO 2026: Was sich durch KI-Übersichten in der Google-Suche wirklich geändert hat Google beantwortet …

Jetzt lesen