WordPress gehackt: Anzeichen erkennen und die ersten 10 Schritte

Eine gehackte WordPress-Seite ist ärgerlich, aber meistens zu retten. Entscheidend ist, was Sie in den ersten Minuten tun und was Sie lassen. Dieser Beitrag zeigt die typischen Anzeichen und eine Reihenfolge, die sich bewährt hat.

Woran Sie einen Hack erkennen

Ein Hack fällt selten mit einem Knall auf. Meist sind es kleine Dinge, die nicht zusammenpassen. Diese Anzeichen sehen wir am häufigsten:

• Google zeigt eine Warnung, etwa „Diese Website wurde möglicherweise gehackt“.
• Besucher landen auf fremden Seiten. Oft nur auf dem Handy oder nur über Google.
• Sie kommen nicht mehr in den Admin-Bereich, oder es gibt Benutzer, die Sie nie angelegt haben.
• Ihr Hoster meldet Missbrauch oder hat das Konto gesperrt.
• In Google erscheinen fremde Unterseiten mit Werbetexten, die Sie nie veröffentlicht haben.
• Mails von Ihrer Adresse landen im Spam.

Die ersten 10 Schritte

Gehen Sie die Liste von oben nach unten durch. Sie müssen nicht alles allein lösen, aber jeder dieser Schritte erleichtert die Bereinigung.

1. Ruhe bewahren und den Zeitpunkt notieren. Schreiben Sie auf, wann Ihnen etwas aufgefallen ist und was Sie gesehen haben. Das hilft bei der Suche nach der Ursache.
2. Nichts überstürzt löschen. Dateien und Protokolle sind Spuren. Sie zeigen, wie der Angreifer hereinkam.
3. Von einem sauberen Gerät aus arbeiten. Prüfen Sie Ihren Rechner mit einem aktuellen Virenscanner, bevor Sie sich irgendwo neu anmelden.
4. Passwörter ändern. Hosting-Konto, FTP/SFTP, Datenbank, alle WordPress-Administratoren und das E-Mail-Konto, das zur Seite gehört.
5. Den aktuellen Stand sichern. Dateien und Datenbank, als Beweis und nicht zum Wiederherstellen.
6. Besucher schützen. Wenn Schadcode ausgeliefert wird, stellen Sie eine Wartungsseite bereit oder lassen die Seite beim Hoster sperren.
7. Benutzerkonten prüfen. Gibt es Administratoren, die Sie nie angelegt haben? Notieren Sie sie, bevor Sie sie entfernen.
8. Hoster informieren. Abuse-Meldungen sollten Sie nicht ignorieren. Oft hilft der Hoster mit Protokollen.
9. Google Search Console prüfen. Unter „Sicherheit und manuelle Maßnahmen“ sehen Sie, ob Google Probleme gemeldet hat.
10. Hilfe holen, bevor Sie ein Backup einspielen. Sonst bleibt die Lücke offen und der Angreifer kommt wieder.

Warum ein altes Backup nicht reicht

Der naheliegende Gedanke ist, einfach ein altes Backup einzuspielen. Das behebt die sichtbaren Folgen, aber nicht die Ursache. War ein veraltetes Plugin die Einfallstür, ist es das nach der Wiederherstellung wieder.

Erst die Ursache finden, dann wiederherstellen. Ein sauberer Stand von vor dem Befall hilft, wenn Sie ihn vorher auf Schadcode prüfen und die Lücke parallel schließen.

Selbst bereinigen oder Hilfe holen?

Wenn personenbezogene Daten betroffen sind, kann eine Meldepflicht nach DSGVO bestehen. Das entscheiden Sie mit Ihrem Datenschutzbeauftragten. Wir dokumentieren den Vorfall so, dass Sie die Grundlage dafür haben. Rechtsberatung leisten wir nicht.

So gehen wir vor

Wir sichern zuerst den Stand, prüfen dann Dateien, Uploads, Datenbank und Benutzerkonten und entfernen jeden Fund einzeln. Danach schließen wir die Lücke, härten Zugänge und übergeben eine Chronologie: wie der Angriff ablief und wie er möglich war. Details finden Sie unter Notfallhilfe bei Hack.

Stand: Beitrag zuletzt geprüft am 12.10.2026.