WordPress · WooCommerce · Notfall-Ratgeber
Webseite gehackt oder nicht erreichbar? Diese ersten Schritte retten Ihre WordPress-Seite und Ihren WooCommerce-Shop
Ein weißer Bildschirm, eine Google-Warnung oder ein Checkout, der keine Bestellungen mehr annimmt: In den ersten Minuten nach einem Ausfall werden die Fehler gemacht, die die Wiederherstellung später teuer machen. Diese Anleitung führt Sie in der richtigen Reihenfolge durch die ersten Schritte – von der Einordnung des Fehlerbilds über die Beweissicherung bis zur sauberen Wiederherstellung.
Die wichtigsten Regeln der ersten 15 Minuten
Das hilft jetzt
- Fehlermeldung im Wortlaut kopieren und als Screenshot sichern
- Uhrzeit notieren, seit der das Problem besteht
- Aufschreiben, was zuletzt geändert oder aktualisiert wurde
- Prüfen, ob eine aktuelle Sicherung außerhalb des Servers existiert
- Hosting- und WordPress-Zugänge bereitlegen
Das macht es schlimmer
- Auf Verdacht Plugins oder Themes löschen
- Mehrere Updates gleichzeitig starten, um „es zu reparieren“
- Verdächtige Dateien sofort löschen – sie sind Ihre Spur zur Ursache
- Eine alte Sicherung ungeprüft über den aktuellen Stand spielen
- Datenbanktabellen ohne vorherige Sicherung bearbeiten
Wenn Ihr Shop ausgefallen ist oder Kundendaten betroffen sein könnten, zählt jede Stunde. Im Zweifel lieber einmal zu früh anrufen als einmal zu spät: 0201 / 95890877
Schritt 1: Fehlerbild einordnen
„Die Website geht nicht“ kann ein Dutzend verschiedene Ursachen haben – von der abgelaufenen Domain bis zur kompromittierten Installation. Bevor Sie irgendetwas ändern, ordnen Sie das Symptom ein. Diese Tabelle deckt die häufigsten Fälle ab:
| Was Sie sehen | Häufige Ursache | Erste Prüfung |
|---|---|---|
| „Es gab einen kritischen Fehler auf deiner Website“ | PHP-Fehler durch Plugin, Theme oder Update | Postfach des Admin-Kontos prüfen: WordPress verschickt eine Wiederherstellungs-E-Mail mit Hinweis auf den Verursacher |
| Komplett weiße Seite | PHP-Fehler ohne Ausgabe, erschöpftes Speicherlimit | Fehlerprotokolle im Hosting-Panel ansehen |
| „Fehler beim Aufbau der Datenbankverbindung“ | Datenbank überlastet, offline oder Zugangsdaten geändert | Status der Datenbank beim Hoster prüfen |
| 500er- oder 503-Fehler | Serverfehler, fehlerhafte .htaccess, Ressourcengrenze erreicht | Hosting-Statusseite und Serverprotokoll prüfen |
| Seite gar nicht erreichbar, kein WordPress sichtbar | Domain abgelaufen, DNS-Problem, Serverausfall | Domain-Laufzeit und DNS-Einträge kontrollieren |
| Browser warnt vor unsicherer Verbindung | SSL-Zertifikat abgelaufen oder nicht erneuert | Zertifikatsstatus im Hosting-Panel prüfen |
| Weiterleitungen, fremde Inhalte, Google-Warnung | Kompromittierte Installation | Nicht löschen – direkt zu Schritt 3 und Schritt 5 |
| Shop lädt, aber Checkout bricht ab | Plugin-Konflikt, Cache im Checkout, Zahlungsschnittstelle | Browser-Konsole auf Skriptfehler prüfen, Zahlungsanbieter-Dashboard ansehen |
Die Wiederherstellungs-E-Mail wird fast immer übersehen
Bei einem kritischen Fehler schickt WordPress automatisch eine E-Mail an die hinterlegte Administrator-Adresse. Darin steht häufig, welches Plugin oder Theme den Fehler ausgelöst hat – und ein Link in einen speziellen Wiederherstellungsmodus, mit dem Sie sich auch dann einloggen können, wenn die Seite sonst nicht lädt. Prüfen Sie auch den Spam-Ordner.
Schritt 2: Liegt es überhaupt an Ihrer Website?
Ein überraschend großer Teil aller „Ausfälle“ liegt gar nicht an WordPress. Diese fünf Prüfungen dauern zusammen keine zehn Minuten und ersparen im besten Fall die gesamte Fehlersuche:
- Anderer Browser, privates Fenster, anderes Gerät. Ist die Seite dort erreichbar, liegt das Problem im lokalen Cache – nicht auf dem Server.
- Mobilfunknetz statt WLAN. So schließen Sie Probleme mit Ihrem Anschluss, Ihrem Router oder einer Firewall aus, die Ihre eigene IP blockiert hat.
- Statusseite des Hosters. Bei größeren Störungen steht dort meist schon eine Meldung – dann hilft nur warten und informieren.
- Domain-Laufzeit. Eine nicht verlängerte Domain legt jede Website lahm, ohne dass technisch etwas defekt ist. Prüfen Sie auch, ob Rechnungen des Registrars unbemerkt liegen geblieben sind.
- SSL-Zertifikat. Ein abgelaufenes Zertifikat führt zu einer Sicherheitswarnung, die viele Besucher als „gehackt“ interpretieren – obwohl nur eine Erneuerung fehlt.
Erst wenn diese Punkte ausgeschlossen sind, lohnt der Blick in die Installation selbst.
Schritt 3: Beweise sichern, bevor Sie etwas ändern
Dieser Schritt wird in der Panik fast immer übersprungen – und ist der wichtigste überhaupt. Wer sofort anfängt zu reparieren, löscht dabei häufig genau die Informationen, die zur Ursache führen.
- Sichern Sie den aktuellen Zustand – Dateien und Datenbank – auch wenn er defekt oder infiziert ist. Diese Sicherung ist Ihre Rückfahrkarte, falls ein Reparaturversuch die Lage verschlimmert.
- Sichern Sie die Protokolle. PHP-Fehlerlog, Serverlog und Zugriffslog des Hosters werden oft nach wenigen Tagen überschrieben. Laden Sie sie herunter, solange sie existieren.
- Dokumentieren Sie die Zeitleiste. Wann trat der Fehler auf? Was wurde in den 48 Stunden davor aktualisiert, installiert oder geändert? Wer hatte Zugang?
- Bewahren Sie vorhandene Sicherungen auf und überschreiben Sie sie nicht. Automatische Backups laufen manchmal auch bei einem infizierten Stand weiter – und verdrängen den letzten sauberen.
Faustregel: Erst sichern, dann verstehen, dann ändern. Jede Abkürzung an dieser Stelle verlängert die Reparatur.
Schritt 4: Technischer Defekt – der kontrollierte Weg
Wenn nichts auf einen Angriff hindeutet und der Fehler kurz nach einem Update auftrat, ist die Ursache meist ein Konflikt. So grenzen Sie ihn ein, ohne Schaden anzurichten:
Wiederherstellungsmodus nutzen
Der Link aus der automatischen WordPress-E-Mail bringt Sie auch dann in den Adminbereich, wenn die Seite im Frontend nicht lädt. Dort ist der Verursacher meist bereits markiert.
Fehlerprotokollierung einschalten
Über die Konfigurationsdatei lässt sich das Protokollieren aktivieren, sodass Fehler in eine Datei geschrieben statt auf der Seite ausgegeben werden. Die Meldung nennt fast immer die verursachende Datei – und damit das betroffene Plugin oder Theme.
Alle Erweiterungen auf einmal deaktivieren
Kommen Sie nicht in den Adminbereich, lässt sich der Plugin-Ordner über FTP oder den Dateimanager des Hosters umbenennen. WordPress deaktiviert dann alle Erweiterungen. Lädt die Seite anschließend, ist die Richtung klar – danach einzeln zurückbenennen und prüfen. Wichtig: umbenennen, nicht löschen.
Theme testweise wechseln
Bleibt der Fehler bestehen, kann ein Standard-Theme aktiviert werden. Lädt die Seite dann, liegt es am Theme oder an dessen Anpassungen.
PHP-Version und Ressourcen prüfen
Nach einer PHP-Umstellung durch den Hoster funktionieren ältere Erweiterungen häufig nicht mehr. Auch ein zu niedriges Speicherlimit erzeugt genau das Fehlerbild eines kritischen Fehlers.
Caches leeren
Server-Cache, Plugin-Cache und ein vorgeschalteter Dienst wie ein CDN können einen bereits behobenen Fehler noch minutenlang anzeigen. Vor jeder weiteren Maßnahme also erst leeren und erneut prüfen.
Wenn Sie an einem dieser Punkte unsicher werden oder der Fehler nach zwei bis drei Versuchen nicht eingegrenzt ist: aufhören. Ab hier wird es schneller, jemanden hinzuzuziehen, der die Protokolle liest – genau dafür gibt es unsere WordPress- & WooCommerce-Hilfe.
Schritt 5: Gehackt – was jetzt in welcher Reihenfolge zählt
Typische Anzeichen: Besucher werden auf fremde Seiten umgeleitet, in der Suche erscheinen Seiten, die Sie nie angelegt haben, Google zeigt eine Warnung, es existieren unbekannte Administratorkonten oder Dateien wurden zu ungewöhnlichen Zeiten geändert.
Der häufigste und teuerste Fehler
Ein Backup einspielen, ohne die Sicherheitslücke zu schließen. Die Seite läuft dann kurz wieder – und ist Tage später erneut infiziert, weil dieselbe Lücke noch offen ist oder eine Hintertür im Backup steckt. Wiederherstellung ist der letzte Schritt, nicht der erste.
Die Reihenfolge, die sich bewährt hat
Zugänge erneuern
Passwörter für alle WordPress-Administratoren, Hosting-Konto, FTP/SFTP, Datenbank und die zugehörigen E-Mail-Postfächer ändern. Wo möglich Zwei-Faktor-Authentifizierung aktivieren.
Aktive Sitzungen beenden
Werden die Sicherheitsschlüssel in der Konfigurationsdatei erneuert, werden alle angemeldeten Benutzer ausgeloggt – auch ein Angreifer mit gestohlener Sitzung.
Benutzerkonten prüfen
Unbekannte Administratoren, veränderte E-Mail-Adressen bei bestehenden Konten und neu vergebene Rollen sind klassische Spuren. Ebenso: eine geänderte Administrator-Adresse in den Einstellungen.
Umfang feststellen
Betrifft es nur die Dateien, auch die Datenbank, weitere Websites auf demselben Hosting-Paket oder sogar E-Mail-Postfächer? Auf Shared Hosting springt eine Infektion häufig zwischen Installationen.
Schadcode und Hintertüren entfernen
Sichtbaren Schadcode zu löschen reicht nicht. Entscheidend sind die Hintertüren, über die sich ein Angreifer erneut Zugang verschafft – und die Schwachstelle, über die er hereinkam. Genau hier endet in der Regel das, was sich sinnvoll selbst erledigen lässt.
Sauber wiederherstellen und aktualisieren
Erst wenn Ursache und Hintertüren beseitigt sind: WordPress-Kern, Theme und alle Erweiterungen auf den aktuellen Stand bringen, nicht mehr genutzte Erweiterungen entfernen.
Google-Warnung aufheben lassen
In der Search Console finden Sie den Bereich „Sicherheitsprobleme“. Nach der Bereinigung beantragen Sie dort eine Überprüfung. Ohne diesen Schritt bleibt die Warnung bestehen, obwohl die Seite längst sauber ist.
Nachbeobachten
In den folgenden Wochen Dateiveränderungen, neue Benutzer und Suchergebnisse im Blick behalten. Viele Reinfektionen zeigen sich erst nach ein bis zwei Wochen.
Schritt 6: Der Sonderfall WooCommerce
Bei einem Shop kommt zum technischen Problem eine zweite Ebene hinzu: laufende Bestellungen, Geld und Kundendaten. Diese Punkte gehören deshalb zusätzlich auf die Liste:
- Bestellungen und Zahlungen abgleichen. Prüfen Sie im Dashboard Ihres Zahlungsanbieters, welche Zahlungen während der Störung eingegangen sind, und vergleichen Sie sie mit den Bestellungen im Shop. Bei einem defekten Checkout entstehen häufig bezahlte, aber nicht angelegte Bestellungen – und umgekehrt.
- Keine Testbestellungen auf einem verdächtigen Shop. Solange ein Angriff nicht ausgeschlossen ist, gehören keine echten Zahlungsdaten durch den Checkout.
- Wartungsseite statt Fehlermeldung. Ist der Shop länger gestört, ist eine kurze, ehrliche Hinweisseite mit Kontaktmöglichkeit besser als ein kryptischer Fehler – das rettet Anfragen, die sonst verloren gehen.
- Bestellbestätigungen prüfen. Nach der Wiederherstellung testen, ob Bestell-, Versand- und Rechnungsmails wieder zugestellt werden. Sie fällt sonst erst auf, wenn sich Kunden beschweren.
- Kunden informieren, wenn Bestellungen betroffen sind. Eine sachliche Nachricht mit klarer Aussage, was passiert und was der Kunde tun muss, verhindert Stornierungen und Rückbuchungen.
- Vollständigen Bestellprozess testen. Nach der Reparatur nicht nur die Startseite prüfen, sondern Produktseite, Warenkorb, Checkout, Zahlung, Bestellstatus und E-Mails – auf Desktop und Smartphone.
Schritt 7: Meldepflichten nicht vergessen
Dieser Punkt wird bei gehackten Shops regelmäßig übersehen – und ist der, der im Nachhinein den größten Ärger machen kann. Wenn bei einem Angriff personenbezogene Daten betroffen sein könnten, greift die DSGVO:
- Meldung an die Aufsichtsbehörde. Nach Artikel 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, sofern ein Risiko für die betroffenen Personen besteht. Für Unternehmen in Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW zuständig.
- Information der Betroffenen. Bei einem voraussichtlich hohen Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Artikel 34 DSGVO).
- Dokumentationspflicht. Vorfälle sind zu dokumentieren – auch dann, wenn keine Meldung erforderlich ist. Genau deshalb ist die Zeitleiste aus Schritt 3 mehr als eine technische Hilfe.
- Dienstleister einbeziehen. Hoster und beteiligte Auftragsverarbeiter sollten informiert werden – sie haben oft zusätzliche Protokolle, die zur Aufklärung beitragen.
Hinweis: Dieser Beitrag gibt allgemeine Hinweise aus der Projektpraxis und stellt keine Rechtsberatung dar. Ob und in welchem Umfang im Einzelfall eine Meldepflicht besteht, klären Sie bitte mit Ihrem Datenschutzbeauftragten oder einem Rechtsanwalt.
Danach: Wiederholung verhindern
Fast alle Notfälle, die auf unserem Tisch landen, haben dieselben zwei Ursachen: veraltete Komponenten und fehlende Sicherungen. Beides lässt sich mit überschaubarem Aufwand abstellen.
- Sicherungen außerhalb des Servers. Ein Backup, das nur auf demselben Server liegt, ist im Ernstfall genauso betroffen wie die Website. Und: Eine Sicherung, deren Wiederherstellung nie getestet wurde, ist keine Sicherung.
- Updates kontrolliert einspielen – größere Aktualisierungen zuerst auf einer Testumgebung, danach die Kernfunktionen prüfen.
- Weniger Erweiterungen. Jedes nicht genutzte Plugin ist eine offene Tür ohne Nutzen. Deaktiviert reicht nicht – deinstallieren.
- Starke, einmalige Passwörter und Zwei-Faktor-Authentifizierung für alle Administratorkonten. Redakteure brauchen keine Administratorrechte.
- Aktuelle PHP-Version und ausreichende Ressourcen beim Hosting – besonders bei Shops mit großen Sortimenten.
- Monitoring. Eine Benachrichtigung bei Ausfall oder verdächtigen Änderungen verschafft Ihnen Stunden Vorsprung – im Shop sind das bares Geld.
Wenn Sie das nicht selbst im Blick behalten wollen: Genau dafür gibt es Wartungspakete – mit Updates, Sicherungen, Sicherheitsprüfungen und Überwachung.
Wann Sie aufhören und Hilfe holen sollten
Es gibt einen Punkt, an dem weitere Eigenversuche mehr kosten als sie sparen. Spätestens hier lohnt sich professionelle Unterstützung:
- Es gibt Hinweise auf einen Angriff – Weiterleitungen, fremde Inhalte, unbekannte Benutzer, Google-Warnung.
- Ihr Shop nimmt keine Bestellungen an oder Zahlungen kommen nicht korrekt an.
- Es existiert kein aktuelles, geprüftes Backup.
- Sie kommen weder in den Adminbereich noch in den Wiederherstellungsmodus.
- Die Ursache ist nach zwei bis drei kontrollierten Versuchen unklar.
- Kundendaten könnten betroffen sein – dann läuft parallel die 72-Stunden-Frist.
Wir bringen Ihre Website oder Ihren Shop zurück
Von der Fehleranalyse über die Hack-Bereinigung bis zur Absicherung: Wir sichern vor jedem Eingriff, beheben die Ursache statt des Symptoms und erklären verständlich, was passiert ist. Die Ersteinschätzung ist kostenlos – auch für Websites, die eine andere Agentur gebaut hat.
Häufige Fragen bei Ausfall und Hack
Meine WordPress-Seite zeigt einen kritischen Fehler – was mache ich zuerst?
Prüfen Sie zuerst das Postfach der Administrator-Adresse: WordPress verschickt bei einem kritischen Fehler automatisch eine E-Mail, die häufig den Verursacher nennt und einen Link in den Wiederherstellungsmodus enthält. Sichern Sie danach den aktuellen Stand und die Fehlerprotokolle, bevor Sie etwas ändern.
Woran erkenne ich, ob meine Website gehackt wurde?
Typische Anzeichen sind Weiterleitungen auf fremde Seiten, unbekannte Administratorkonten, Seiten in der Google-Suche, die Sie nie erstellt haben, eine Sicherheitswarnung in der Search Console, plötzlich geänderte Dateien oder ein ungewöhnlicher Anstieg im Serverprotokoll. Auch Beschwerden von Kunden über seltsame Inhalte sind ein ernst zu nehmender Hinweis.
Kann ich einfach ein Backup einspielen und alles ist wieder gut?
Nur, wenn die Ursache bekannt und beseitigt ist. Wird die Sicherheitslücke nicht geschlossen oder enthält das Backup bereits eine Hintertür, ist die Seite kurz darauf erneut betroffen. Außerdem gehen bei einem Shop alle Bestellungen verloren, die nach dem Backup-Zeitpunkt eingegangen sind – das muss vorher geklärt werden.
Muss ich einen Hackerangriff melden?
Wenn personenbezogene Daten betroffen sein könnten, sieht die DSGVO eine Meldung an die zuständige Aufsichtsbehörde vor – unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu informieren. Die konkrete Bewertung gehört in die Hände Ihres Datenschutzbeauftragten oder eines Rechtsanwalts.
Mein WooCommerce-Checkout funktioniert nicht mehr – woran liegt das meistens?
Häufige Ursachen sind Plugin- oder Theme-Konflikte nach einem Update, ein Caching-Problem im Checkout, JavaScript-Fehler, abgelaufene Zugänge beim Zahlungsanbieter oder geänderte Versand- und Steuerregeln. Prüfen Sie zuerst, ob im Dashboard des Zahlungsanbieters Zahlungen ankommen – das grenzt die Ursache deutlich ein.
Wie lange dauert es, bis meine Seite wieder läuft?
Bei einem klar eingrenzbaren Einzelfehler oft wenige Stunden. Bei einer kompromittierten Installation dauert es länger, weil Schadcode, Hintertüren, Zugänge und die ursprüngliche Schwachstelle geprüft werden müssen – und weil die Aufhebung einer Google-Warnung zusätzlich Zeit benötigt. Verlässlich lässt sich das erst nach einer ersten Analyse sagen.
Verliere ich meine Google-Rankings, wenn die Seite länger offline ist?
Ein kurzer Ausfall von wenigen Stunden ist in der Regel unkritisch. Problematisch wird es bei tagelanger Nichterreichbarkeit oder bei einer Sicherheitswarnung im Suchergebnis, weil dann sowohl Sichtbarkeit als auch Klickrate leiden. Wichtig ist deshalb, nach der Bereinigung zügig eine Überprüfung in der Search Console zu beantragen.
Helfen Sie auch, wenn eine andere Agentur meine Website erstellt hat?
Ja. Ein großer Teil der Supportfälle betrifft Websites, deren ursprünglicher Entwickler nicht mehr erreichbar ist. Wir arbeiten uns in fremde WordPress- und WooCommerce-Projekte ein und übernehmen auf Wunsch auch die weitere Betreuung.
