WordPress gehackt: Was in der ersten Stunde zu tun ist und wie Sie sich schützen

Ein Anruf aus Ihrer Kundschaft: Beim Aufruf Ihrer Website sei man plötzlich in einem Kasino gelandet. Sie öffnen sie am Computer, und alles sieht normal aus. Oder in Google erscheinen unter Ihrem Firmennamen plötzlich japanische Schriftzeichen und Angebote für billige Medikamente. Das sind typische Anzeichen eines gehackten WordPress, und davon, was Sie in der ersten Stunde tun, hängt ab, ob sich der Angriff wiederholt und wie lange Google vor Ihrer Website warnt.

Unten finden Sie die Anzeichen eines Einbruchs, einen Plan für die erste Stunde, einen Weg, die Warnung in der Google Search Console zu entfernen, und 10 Schutzmaßnahmen für etwa 30 Minuten. Ich stütze mich auf die Empfehlungen von WordPress.org und die Dokumentation von Google.

Anzeichen: Woran Sie erkennen, dass WordPress gehackt wurde

Einen Einbruch sieht man selten auf der Startseite. Schädlicher Code läuft oft nur für einen Teil der Besuchenden, damit er möglichst lange unbemerkt bleibt. Die häufigsten Signale:

• Weiterleitungen nur für manche. Google beschreibt in der Hilfe zur Search Console von Hackern eingefügte Skripte, die Nutzende von Smartphones auf schädliche Seiten umleiten. Sie geben die Adresse am Computer ein und sehen die normale Seite, während jemand aus Ihrer Kundschaft, der über die Google-Ergebnisse mit dem Smartphone kommt, bei einem Betrug landet.
• Fremde Unterseiten in Google. Geben Sie in die Suche site:ihredomain.pl ein und gehen Sie die Ergebnisse durch. Japanische Titel, Medikamente, Kasinos oder gefälschte Markenkleidung sind meist von Hackern eingeschleuster Spam. Die Variante mit japanischen Zeichen nennt Google „Japanese keyword hack“: automatisch erzeugte Unterseiten mit Links zu Shops für Fälschungen.
• Neue Administratorkonten. Im WordPress-Backend gibt es ein Konto, das niemand in der Firma angelegt hat, oder die Search Console meldet, dass jemand Neues die Inhaberschaft Ihrer Website bestätigt hat. Laut Google ist das ein starker Hinweis auf einen Einbruch.
• Warnungen von Google. Bei Ihrer Website erscheint in den Suchergebnissen der Hinweis „Diese Website wurde möglicherweise gehackt“, und Chrome zeigt eine Vollbildwarnung, zum Beispiel vor Malware.
• Sperre durch das Hosting. Der Anbieter schaltet die Website ab oder schickt eine E-Mail über schädliche Dateien. WordPress.org nennt das unter den eindeutigen Anzeichen eines Einbruchs.
• Firmen-E-Mails im Spam. Eine gehackte Website wird mitunter zum Versand von Spam benutzt, dann landet die IP-Adresse des Servers auf Sperrlisten. Läuft die E-Mail auf demselben Server, leiden auch Ihre Angebote.

Vorsicht, Falle: Gehackte Unterseiten können normalen Besuchern einen 404-Fehler zeigen und dem Google-Roboter Spam. Um zu sehen, was Google sieht, nutzen Sie in der Search Console das Tool zur URL-Prüfung und die Schaltfläche „Live-URL testen“.

Was Sie in den ersten Minuten nicht tun sollten

Der erste Reflex ist, alles zu löschen oder im Hosting-Panel auf „Backup wiederherstellen“ zu klicken. Beide Schritte sind oft ein Fehler:

• Löschen Sie Dateien nicht blind. Sie verlieren Spuren, anhand derer sich feststellen lässt, wo die Hacker hereingekommen sind. Sie beseitigen das Symptom, die Lücke bleibt.
• Spielen Sie kein Backup ein, ohne die Lücke zu schließen. Ein Backup aus der Zeit vor dem Angriff hat meist dasselbe Loch, etwa ein veraltetes Plugin, daher kann sich der Angriff wiederholen.
• Ändern Sie keine Passwörter an einem Computer, der infiziert sein könnte. WordPress.org erinnert daran, dass ein Angriff oft mit einem Trojaner auf dem Computer beginnt, mit dem die Website verwaltet wird, und dieser Passwörter für FTP und das Backend ausspäht.
• Bitten Sie Google nicht sofort um eine Überprüfung. Google schreibt ausdrücklich, dass ein verfrühter Antrag nur die Zeit verlängert, in der die Website als gefährlich markiert bleibt.

Plan für die erste Stunde

Diese Liste lohnt sich auszudrucken und zusammen mit den Hosting-Zugangsdaten aufzubewahren. Die Zeiten sind Richtwerte.

1. Symptome festhalten (5 Minuten). Was Sie sehen, seit wann und auf welchem Gerät. Machen Sie Screenshots und notieren Sie die letzten Änderungen an der Website, etwa ein neues Plugin. Hiermit beginnt auch der Leitfaden von WordPress.org für gehackte Websites.
2. Hosting anrufen (10 Minuten). Fragen Sie, was entdeckt wurde und in welchen Dateien. Bitten Sie um die Server-Logs, bevor sie gelöscht werden, und um die Liste der Backups mit Datum.
3. Kopie der infizierten Website anlegen (10 Minuten). Laden Sie Dateien und Datenbank auf einen Datenträger außerhalb des Servers herunter, in einen klar benannten Ordner, zum Beispiel INFIZIERT-2026-10-25. Google und WordPress.org empfehlen das vor jedem Löschen. Diese Kopie dient der Analyse, niemals der Wiederherstellung.
4. Schaden begrenzen (5 Minuten). Leitet die Website Besuchende auf Betrug um oder verbreitet sie schädliche Dateien, bitten Sie das Hosting, die Website vorübergehend abzuschalten.
5. Computer scannen (2 Minuten zum Start). Starten Sie einen vollständigen Virenscan auf dem Computer, von dem aus Sie sich bei WordPress anmelden. Die weiteren Schritte führen Sie an einem anderen, sauberen Gerät aus.
6. Passwörter ändern (10 Minuten). Hosting-Panel, FTP/SFTP, Datenbankbenutzer (das neue Passwort tragen Sie auch in wp-config.php ein), alle WordPress-Administratorkonten und das E-Mail-Postfach, an das die Links zum Zurücksetzen der Passwörter gehen. Ersetzen Sie danach die Sicherheitsschlüssel in wp-config.php durch neue aus dem offiziellen Generator von WordPress.org. Das meldet alle ab, auch den Eindringling.
7. Fremde Konten entfernen (5 Minuten). Gehen Sie in WordPress die Benutzer mit der Rolle Administrator durch und in der Search Console Einstellungen → Nutzer und Berechtigungen. Notieren Sie vor dem Entfernen Login, E-Mail und Anlagedatum des Kontos. Entfernen Sie von der Website auch das Verifizierungs-Token des Eindringlings (HTML-Datei oder Meta-Tag), denn sonst kann, wie Google schreibt, die entfernte Person die Inhaberschaft erneut bestätigen.
8. Aktualisieren und scannen (10 Minuten). Aktualisieren Sie WordPress, Plugins und Themes. Starten Sie den Scanner im Backend (WordPress.org nennt u. a. Wordfence und Sucuri) und einen externen Scanner, zum Beispiel Sitecheck. Das Update schließt die Lücke, entfernt aber keine von Hackern hinzugefügten Dateien.

Gibt es auf der Website Bestellungen, Kundenkonten oder gespeicherte Nachrichten aus Formularen, prüfen Sie, ob Daten abgeflossen sein können. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung unverzüglich und möglichst nicht später als 72 Stunden nach ihrer Feststellung an die UODO (die polnische Datenschutzbehörde), es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Kundschaft. Eine Meldung nach Ablauf von 72 Stunden muss die Gründe der Verzögerung erläutern, und bei hohem Risiko verlangt Art. 34 DSGVO auch die Benachrichtigung der Betroffenen selbst. Das Formular finden Sie auf der Website der UODO. Dies ist eine allgemeine Information und keine Rechtsberatung (Rechtsstand: 25. Oktober 2026), die Beurteilung eines konkreten Datenabflusses besprechen Sie daher mit einer Rechtsberatung oder einer Datenschutzberatung.

Bereinigung: Backup aus der Zeit vor dem Angriff oder manuelle Säuberung

Ein Backup aus der Zeit vor dem Angriff ist der schnellste Weg, wenn Sie ein Backup mit einem Datum vor den ersten Symptomen haben, am besten einige Tage älter, denn der Code kann schon früher auf den Server gelangt sein. Nach dem Einspielen sofort: Updates, neue Passwörter und ein Scan. In einem Shop notieren Sie vorher aus der infizierten Kopie die Bestellungen, die nach dem Datum des Backups eingegangen sind, denn das Einspielen löscht sie.

Manuelle Säuberung bleibt, wenn es kein Backup gibt oder es zu alt ist. WordPress.org empfiehlt, per SFTP die Verzeichnisse wp-admin und wp-includes durch frische in derselben Version zu ersetzen, die Sie haben. Eine Neuinstallation aus dem Backend genügt nicht, denn sie überschreibt Dateien, entfernt aber die von Hackern hinzugefügten nicht. Laden Sie Plugins und Themes aus den offiziellen Quellen neu herunter und sehen Sie sich besonders .htaccess, index.php sowie header.php, footer.php und functions.php im Theme an.

Eine technisch versierte Person mit SSH-Zugang prüft das Wichtigste per WP-CLI schneller:

# WordPress-Dateien im Vergleich mit den Prüfsummen von WordPress.org
wp core verify-checksums
# dasselbe für Plugins aus dem offiziellen Verzeichnis
wp plugin verify-checksums --all
# Administratoren mit Anlagedatum des Kontos
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# PHP-Dateien im Bilderverzeichnis, wo keine sein sollten
find wp-content/uploads -name "*.php"

Ist die Website sauber, ändern Sie die Passwörter noch einmal: WordPress.org empfiehlt das auch dann, wenn sie schon beim Erkennen des Angriffs geändert wurden. Prüfen Sie die Website zum Schluss in meinem Tool Website prüfen. Es sucht keine Viren, zeigt aber in etwa 30 Sekunden, ob HTTPS funktioniert, ob Sicherheits-Header vorhanden sind und ob der Server die Version der Software verrät.

Google Search Console: So entfernen Sie die Warnung

Ohne Search Console können Sie Google nicht um eine erneute Prüfung bitten. Wie Sie Ihre Website dort hinzufügen, beschreibe ich im Ratgeber Firmenwebsite wird bei Google nicht angezeigt.

1. Öffnen Sie den Bericht „Sicherheitsprobleme“. Sie sehen die Art des Problems, zum Beispiel „Gehackt: eingeschleuste Inhalte“ oder „Gehackt: Malware“, und Beispieladressen.
2. Sehen Sie auch in den Bericht „Manuelle Maßnahmen“. Steht dort ein Eintrag, bitten Sie nach der Bereinigung auch dort um Überprüfung.
3. Prüfen Sie die Beispieladressen mit dem Tool zur URL-Prüfung. Sie müssen sauberen Inhalt oder einen 404-Fehler zeigen.
4. Klicken Sie auf „Überprüfung beantragen“ und beschreiben Sie kurz, was Sie bei jeder Art von Problem getan haben: Unterseiten entfernt, Plugin aktualisiert, Passwörter geändert.

Wie lange dauert das? Laut Google dauert die Überprüfung einer Phishing-Seite etwa einen Tag, bei Malware einige Tage und bei von Hackern eingeschleustem Spam sogar mehrere Wochen.

10 Schutzmaßnahmen in 30 Minuten

Die Liste stützt sich auf die Empfehlungen von WordPress.org zur Absicherung einer Website.

1. Automatische Updates (5 Minuten). Ab WordPress 5.5 aktivieren Sie sie für jedes Plugin und jedes Theme, in der Plugin-Liste auch gesammelt.
2. Nicht genutzte Plugins und Themes entfernen (4 Minuten). Löschen, nicht nur deaktivieren: Ein deaktiviertes Plugin liegt weiterhin auf dem Server.
3. Plugins nur aus sicherer Quelle (2 Minuten). WordPress.org schreibt klar: Installieren Sie keine Plugins oder Themes aus nicht vertrauenswürdigen Quellen, nur aus dem offiziellen Verzeichnis oder von bekannten Firmen. „Nulled“-Versionen, also Raubkopien kostenpflichtiger Plugins, enthalten laut der Firma Wordfence oft versteckte Hintertüren für Hacker.
4. Zwei-Faktor-Authentifizierung (5 Minuten). Für jede Person mit Administratorrechten, zum Beispiel mit dem Plugin Two Factor der WordPress.org-Community: Code aus der App auf dem Telefon und Backup-Codes. Aktivieren Sie sie auch im Hosting-Panel.
5. Weniger Administratorkonten (2 Minuten). Wer Beiträge anlegt, braucht die Rolle Redakteur oder Autor. Verwenden Sie nicht den Login „admin“.
6. Passwörter aus dem Passwortmanager und SFTP (3 Minuten). Ein langes, einzigartiges Passwort für jeden Zugang. Statt des normalen FTP, das das Passwort im Klartext überträgt, verwenden Sie SFTP.
7. Backups außerhalb des Servers (5 Minuten). Ein Backup auf demselben Server kann verloren gehen oder zusammen mit der Website infiziert werden. Richten Sie automatische Backups von Dateien und Datenbank in der Cloud oder auf einem anderen Server ein, bewahren Sie mehrere Versionen auf und prüfen Sie einmal im Quartal, ob sich das Backup wiederherstellen lässt.
8. Aktuelles PHP (1 Minute). WordPress.org empfiehlt PHP 8.3 oder neuer, und PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen. Die Version ändern Sie im Hosting-Panel, nachdem Sie ein Backup gemacht haben.
9. Benachrichtigungen der Search Console (2 Minuten). Google schickt eine E-Mail an die verifizierten Inhaberkonten, wenn es einen Einbruch vermutet. Prüfen Sie, ob die Benachrichtigungen aktiviert sind und ob sie kein E-Mail-Filter abfängt.
10. Dateieditor abschalten (1 Minute). Die Zeile unten, in wp-config.php ergänzt, sperrt die Bearbeitung von PHP-Dateien im Backend. Sie hält nicht jeden Angriff auf, schließt aber den einfachsten Weg.

define( 'DISALLOW_FILE_EDIT', true );

Es gibt auch einen Weg, bei dem der größte Teil dieser Liste entfällt. Eine einfache Firmenwebsite ohne Shop und Kundenkonten kann als gewöhnliche Dateien laufen, ohne Plugins, die gepatcht werden müssen. So habe ich über 200 Unterseiten der Website der Firma Żukowscy von WordPress und Elementor auf Next.js umgestellt, im Rahmen einer Website-Modernisierung. Der Nachteil: Änderungen an den Inhalten erfordern dann ein anderes Backend oder meine Hilfe.

Zusammenfassung

Bei einem Einbruch kommt es auf die Reihenfolge an: zuerst Notizen und Kopie, dann Passwörter, Konten und Updates, am Ende Bereinigung und Antrag an Google. Hektik beim Löschen von Dateien oder beim Einspielen eines alten Backups endet oft mit einer Wiederholung des Angriffs.

Wenn Sie Updates und Backups lieber nicht selbst im Blick behalten, übernehme ich das im Rahmen der technischen Betreuung ab 149 PLN netto pro Monat. Ein Sicherheitsaudit mit Bericht und Korrekturen kostet ab 990 PLN netto. Ist die Website bereits gehackt, schreiben Sie mir: Ich antworte innerhalb von 24 Stunden mit einem Aktionsplan und einem Angebot.