Wichtigste Erkenntnisse
Wenn WordPress gehackt wurde, zählt jede Stunde: Nimm die Website sofort in den Wartungsmodus oder offline, damit Besucher, Rankings und Kunden keinen weiteren Schaden nehmen.
- Ändere sofort alle Passwörter: WordPress, Hosting, FTP-Zugang, Datenbank, E-Mail, Backup-Tools und CDN.
- Erstelle zuerst ein vollständiges WordPress Backup der gehackten Webseite, bevor du Dateien löschst.
- Starte danach Malware-Scans, prüfe Dateien, Datenbank, WordPress Core, Themes und Plugins.
- Entferne unbekannte Admin-Konten, prüfe .htaccess und wp-config.php und reiche eine saubere Sitemap erneut bei Google ein.
- LikeMeASAP unterstützt bei komplexen Hacks mit Bereinigung, Absicherung und SEO-Wiederherstellung. Unsere WordPress Agentur übernimmt nicht nur die WordPress Wartung, sondern auch die komplett Website Erstellung.
Einführung: Deine WordPress-Seite wurde gehackt – und jetzt?
Typische Zeichen sind plötzliche Weiterleitungen, japanische SEO-Seiten, Spam-Links, ein blockierter Login oder die Google-Warnung „Diese Website wurde möglicherweise gehackt“. Ein Anzeichen für einen Hacker-Angriff besteht darin, dass du dich auf deiner Webseite nicht mehr einloggen kannst. Ebenso ist das Erscheinen von Inhalten auf deiner Webseite, die weder von dir noch von anderen Autoren erstellt wurden, ein Signal für einen Hack.
Angriffe laufen meist automatisiert. Kleine Blogs, lokale Dienstleister und WooCommerce-Shops in der D-A-CH-Region sind genauso ein Angriffsziel wie große Portale. Planloses Löschen, ein falsches Backup oder blindes Aktualisieren kann das Problem verschlimmern.
Diese Anleitung zeigt Schritt für Schritt, welche Maßnahmen du umsetzen solltest: Notfall-Sicherung, Scan, Bereinigung, SEO-Reparatur über Sitemap und Google Search Console sowie langfristiger Schutz. Der Text bezieht sich auf typische Hacks 2023–2026 rund um WordPress Core, Plugins und Themes.
Warum werden WordPress-Seiten so häufig gehackt?
WordPress betreibt laut offiziellen Marktanteilsdaten rund 43 % aller Websites weltweit und ist damit für Angreifer besonders attraktiv. Patchstack-Statistiken zeigen außerdem, dass 2025 mehr als 11.300 Schwachstellen im WordPress-Ökosystem gemeldet wurden, ein Großteil davon in Plugins.
Häufige Ursachen sind:
- Veraltete Plugins und Themes, ungepatchter WordPress Core und alte PHP-Versionen beim Hosting-Anbieter.
- Unsichere Passwörter und erfolgreiche Brute-Force-Angriffe; „admin“ als Benutzername und „123456“ als Passwort sind leicht zu knacken.
- Nulled Themes und Plugins aus dubiosen Quellen, die oft versteckte Backdoors enthalten, die Hacker nutzen können.
- Billiges Shared Hosting: Wird eine Site kompromittiert, können Hacker bei schlechter Trennung auf mehrere Websites zugreifen.
- Fehlende Sicherheitsmaßnahmen wie keine Firewall, kein SSL, kein Rate Limiting und kein automatischer Malware-Scan.
- Infizierte Rechner, Smartphones oder eine E-Mail-Adresse mit gespeicherten Zugangsdaten.
Auch saubere Installationen können kompromittiert werden, wenn ein lokaler Rechner Keylogger enthält oder FTP-Passwörter in einem unsicheren FTP-Programm gespeichert wurden. Das hat oft nichts mit persönlichem Zutun zu tun; automatisierte Angriffe sind längst keine Seltenheit.
WordPress gehackt: Woran du es sicher erkennst
Viele Hinweise fallen erst über Search Console, Kunden oder den Webhoster auf. Wenn deine Webseite plötzlich auf fremde Seiten umleitet, ist das ein häufiges Anzeichen für einen Hacker-Angriff. Auch neue japanische oder russische Unterseiten, der sogenannte Japanese Keyword Hack, sind ein klarer Hinweis.
Weitere Zeichen:
- Neue .php-Dateien im Ordner /wp-content/uploads/, oft als Bild getarnt.
- Browser- oder Google-Warnung wie „Diese Seite enthält Malware“.
- Ungewöhnlicher E-Mail-Versand über Kontaktformular oder Mailserver.
- Unbekannte Benutzerkonten im Backend.
- Verdächtige Cronjobs, neue Inhalte oder fremde Links.
Wenn du unbekannte Benutzerkonten in deinem WordPress-Backend findest, sollten diese sofort entfernt werden. Erste Hilfe bieten Wordfence Security, NinjaScanner, iThemes Security oder der kostenlose Sucuri SiteCheck, der URLs auf bekannte Malware-Signaturen, verdächtigen JavaScript-Code, SEO-Spam und Redirects prüft. VirusTotal erlaubt zusätzlich, einzelne Dateien oder URLs von mehreren Antivirus-Engines prüfen zu lassen.
Ruhe bewahren und strukturiert vorgehen
Panik führt oft zu Datenverlust. Notiere zuerst alle Symptome: Datum, Uhrzeit, Hoster-Meldungen, Google-Benachrichtigungen, Support-Mails und sichtbare Änderungen.
Lösche nichts überstürzt. Diese Überprüfung hilft später dem Hosting-Anbieter, einer Versicherung oder einem Security-Profi. Niemand kann eine gute Antwort geben, wenn Logs, Dateien und Daten bereits zerstört wurden.
Website offline / in den Wartungsmodus setzen
Du solltest deine WordPress-Seite sofort offline nehmen, um weiteren Schaden zu verhindern und Besucher vor Malware zu schützen. Versetze die Webseite in den Wartungsmodus, damit Besucher nicht mit der infizierten Webseite interagieren.
Wenn der Login noch funktioniert, nutze ein Maintenance-Plugin wie „Maintenance“ oder „Coming Soon & Maintenance Mode“. Wenn kein Zugriff mehr möglich ist, setze per FTP-Zugang eine .htaccess-Sperre oder IP-Limitierung. Manche Webhoster sperren infizierte Seiten automatisch; arbeite mit dem Support zusammen.
Zeige eine neutrale Wartungsseite ohne Details zum Hackerangriff. So schützt du Vertrauen und verhinderst, dass Menschen beim Besuch der WordPress-Seite Malware ausgesetzt werden.
Erste Notfall-Schritte: Backup, Virenscan und Passwörter ändern
Dieser Block kommt vor der eigentlichen Bereinigung. LikeMeASAP unterstützt Kunden hier häufig remote, etwa bei der Einschätzung der Infektionstiefe.
Vollständiges Backup & Beweissicherung erstellen
Ein Backup der gehackten Webseite sollte erstellt werden, um Beweise zu sichern und einen Wiederherstellungspunkt zu haben.
Sichere alle Dateien und die Datenbank, auch wenn sie infiziert sind. Nutze Plesk, cPanel oder lade per SFTP/FTP den gesamten Webspace herunter und exportiere MySQL über phpMyAdmin. Benenne die Sicherung klar: 2026-05-28-INFIZIERT. Ein Backup der gehackten WordPress-Seite ist wichtig für Analyse und Wiederherstellung.
Lokalen Rechner und genutzte Geräte auf Malware prüfen
Scanne alle Geräte, die Zugriff auf WordPress, Hosting oder E-Mail hatten, mit aktueller Antivirus- und Anti-Malware-Software.
Setze neue Passwörter erst nach einem sauberen Scan. In Firmen müssen auch Geräte von Mitarbeitern geprüft werden, wenn gemeinsame Zugänge genutzt wurden.
Alle Passwörter ändern – nicht nur WordPress
Es ist wichtig, alle Passwörter zu ändern, wenn du vermutest, dass deine WordPress-Seite gehackt wurde.
Ändere:
- WordPress-Admins und Redakteure
- Hosting-Login
- FTP/SFTP/SSH und FTP-Passwörter
- Datenbank-Benutzer plus Update in wp-config.php
- Verbundenes E-Mail-Postfach
- CDN-, Backup- und Monitoring-Dienste
Nutze mindestens 16 Zeichen, keine Wiederverwendung und einen Passwort-Manager. Danach erneuere in wp-config.php die Authentication Keys und Salts, damit bestehende Sessions der Hacker ungültig werden.
Technische Bereinigung: Malware-Scan, Dateien und Datenbank säubern
Jetzt beginnt der eigentliche Aufräumteil. Bei Shops, Custom Code oder stark veränderten Systemen sollte ein Profi wie LikeMeASAP eingebunden werden.
Malware-Scan durchführen (Plugins und externe Tools)
Wordfence Security ist ein umfassendes Security-Plugin für WordPress, das deine Website mit Firewall- und Malware-Scanning-Funktionen schützt. NinjaScanner ist ein kostenloses Plugin, das WordPress-Dateien mit Originalversionen vergleicht, um injizierte Malware zu finden.
Dokumentiere Ergebnisse per Screenshot oder Export. Sucuri SiteCheck prüft zusätzlich Blacklists, SEO-Spam und Weiterleitungen. Regelmäßige Malware-Scans sind wichtig, um sicherzustellen, dass nach einem Hack keine versteckten Bedrohungen bleiben.
Infizierte Dateien, Plugins und Themes bereinigen
Es ist ratsam, die Dateien auf Veränderungen zu untersuchen, um unerwünschte Dateien zu finden, die von Hackern eingeschleust wurden. Besonders kritisch sind /wp-content/uploads/, Theme-Ordner, Plugin-Ordner und Unterverzeichnisse mit .htaccess.
Prüfe Dateien wie .jpg.php, neue PHP-Dateien, kürzlich geänderte Dateien und Code mit base64_decode, eval, gzinflate, iframe oder unbekannten Redirects. Kompromittierte Plugins und Themes sollten gelöscht und aus offiziellen Quellen neu installiert werden. Das Aktualisieren aller WordPress-Plugins und Themes ist entscheidend, um Sicherheitslücken zu schließen, die ausgenutzt wurden.
Verwende nur vertrauenswürdige Quellen und keine gecrackten Premium-Plugins von Drittanbietern.
WordPress Core manuell neu installieren
Das Neuinstallieren der WordPress-Core-Dateien kann notwendig sein, wenn andere Wiederherstellungsschritte das Problem nicht lösen. Eine komplette Neuinstallation des WordPress-Cores hilft sicherzustellen, dass alle potenziell kompromittierten Dateien durch saubere Versionen ersetzt werden.
Lade die aktuelle Version von wordpress.org, entpacke sie lokal und überschreibe per SFTP /wp-admin/, /wp-includes/ sowie Core-Dateien im Root. wp-config.php und .htaccess vorher sichern und separat prüfen.
Datenbank bereinigen und versteckte Malware entfernen
Viele Hacks betreffen nicht nur Dateien, sondern auch die Datenbank. Häufig betroffen sind:
| Tabelle | Typisches Problem |
|---|---|
| wp_posts | Spam-Seiten, versteckte Links |
| wp_options | Redirects, schädliche Scripts, Cronjobs |
| wp_users | falsche Admin-Konten |
| wp_usermeta | manipulierte Rollen |
Wenn ein sauberes Backup vorliegt, kann das Einspielen sinnvoll sein. Andernfalls suche in phpMyAdmin nach iframe, <script>, base64, fremden Domains und unbekannten Administratoren. Bei großen Shops ist manuelles Säubern komplex.
Benutzerkonten, Zugänge und Servereinstellungen prüfen
Nach dem Erstzugriff legen Angreifer oft Hintertüren an. Deshalb reicht ein einzelner Scan nicht.
Unbekannte Benutzer und Admin-Konten entfernen
Du solltest unbekannte Benutzer von deiner WordPress-Seite entfernen, um potenzielle Hintertüren auszuschließen. Es ist wichtig, alle unbekannten Admin-Konten, die Hacker erstellt haben könnten, zu löschen, um zukünftigen Zugriff zu verhindern.
Gehe im Backend zu „Benutzer > Alle Benutzer“. Prüfe unbekannte E-Mail-Adressen, seltsame Namen und unnötig hohe Rollen. Kontrolliere zusätzlich wp_users und wp_usermeta. Danach erneuere erneut die Security Keys.
FTP/SFTP/SSH und Hosting-Zugänge härten
Lösche unnötige FTP-Zugänge und stelle auf SFTP/SSH um. Setze Rechte wie 644 für Dateien und 755 für Ordner. Aktiviere 2FA beim Hoster.
Der Hosting-Anbieter kann Access-Logs und Error-Logs prüfen, um den Einstiegspunkt zu finden. Die Wahl eines seriösen Hosting-Anbieters ist entscheidend für die WordPress-Sicherheit.
SEO- und Sichtbarkeits-Schäden beheben: Sitemap, Google Search Console & Rankings
Ein Hack ist immer auch ein SEO-Problem: Blacklisting, Spam-Indexierung und Rankingverluste können Umsatz kosten. LikeMeASAP verbindet Malware-Bereinigung mit SEO-Nacharbeit.
Sitemap bereinigen und neu einreichen
Du solltest deine Sitemap nach einem Hack bereinigen und erneut bei Google einreichen, um sicherzustellen, dass sie keine schädlichen Links enthält. Prüfe sitemap.xml oder dynamische Sitemaps aus Yoast, Rank Math oder All in One SEO auf Spam-URLs.
Leere den Sitemap-Cache, generiere die Sitemap neu und reiche sie in der Google Search Console ein. Die Google Search Console benachrichtigt dich, wenn sie verdächtige Inhalte, Malware oder ungewöhnliches Verhalten auf deiner registrierten Webseite feststellt.
Google Search Console: Sicherheitsprobleme und Entwarnung beantragen
Nach vollständiger Bereinigung, neuen Scans und sauberer Sitemap solltest du eine Überprüfung beantragen. Nach der Bereinigung deiner Seite solltest du bei Google eine erneute Prüfung beantragen, falls deine Seite als gehackt markiert wurde.
Dokumentiere kurz: Datenbank bereinigt, WordPress Core neu installiert, Plugins aktualisiert, unbekannte Nutzer entfernt. Die Prüfung dauert je nach Fall 24–72 Stunden oder länger.
Rankings, Backlinks und Traffic nach dem Hack überwachen
Das Ranking springt selten sofort zurück. Überwache Traffic, Indexierung, Domain Authority, Domain Rating und Sichtbarkeit über mehrere Wochen.
Gezieltes Linkbuilding, hochwertige SEO-Texte und OnPage-Optimierung können helfen, verlorenes Vertrauen zurückzugewinnen. Genau hier liegt ein Vorteil von LikeMeASAP: Wir reparieren nicht nur die Technik, sondern arbeiten auch an organischer Sichtbarkeit.
So schützt du deine WordPress-Seite langfristig vor neuen Hacks
Eine bereinigte Installation ohne Schutz wird schnell erneut kompromittiert. Entscheidend ist ein Bündel aus Technik, Prozessen und Monitoring.
Updates, Themes und Plugins: Hygiene als Sicherheitsfaktor
Regelmäßige Updates von WordPress Core, Plugins und Themes sind essenziell, um Hacks zu verhindern. Entferne ungenutzte Plugins und Themes vollständig. Veraltete Plugins, Themes oder der WordPress Core selbst haben bekannte Sicherheitslücken, die Hacker ausnutzen können. Für Shops empfiehlt sich ein Staging-System.
Login absichern: Passwörter, 2FA und Schutz vor Brute-Force-Angriffen
Die Verwendung starker, einzigartiger Passwörter für alle Konten reduziert das Risiko eines Hacks erheblich. Die Implementierung der Zwei-Faktor-Authentifizierung (2FA) fügt eine zusätzliche Sicherheitsebene für WordPress-Logins hinzu. Begrenze Login-Versuche, um Brute-Force-Angriffe zu verhindern. Vermeide Standardnamen wie „admin“, nutze Captchas und sperre IPs nach Fehlversuchen.
Firewall, regelmäßige Malware-Scans und Backups einrichten
Die Installation einer Web Application Firewall (WAF) kann verdächtige Anfragen blockieren, bevor sie WordPress erreichen. Regelmäßige Backups sind Pflicht. Speichere Backups extern, bewahre ältere Stände auf und teste die Wiederherstellung.
LikeMeASAP-Unterstützung: Wenn du professionelle Hilfe bei „WordPress gehackt“ brauchst
Wenn WordPress gehackt wurde und der Hack wiederkommt, der Shop Umsatz verliert oder Google Warnungen zeigt, ist professionelle Hilfe sinnvoll. Besonders kritisch ist es, wenn eine WordPress-Seite gehackt wurde und Kundendaten, Zahlungsprozesse oder lokale Rankings betroffen sind.
LikeMeASAP bietet:
- Schnelle Erstdiagnose
- Vollständige Malware-Bereinigung
- Absicherung von WordPress Core, Themes und Plugins
- Analyse der Sicherheitslücke
- Firewall, Backup und Monitoring
- SEO-Wiederherstellung nach Rankingverlusten
- Linkbuilding, SEO-Texte und OnPage-Optimierung
Wenn du vermutest, dass WordPress gehackt wurde, buche eine kostenlose Erstberatung oder frage direkt ein „Notfall WordPress gehackt“-Paket über LikeMeASAP an.
FAQ: Häufige Fragen zu „WordPress gehackt“
Hier beantworten wir typische Zusatzfragen für Unternehmen, Agenturen und Website-Betreiber im D-A-CH-Raum. Die Antworten sind bewusst kurz und praxisnah.
Wie lange dauert es, eine gehackte WordPress-Seite zu bereinigen?
Einfache Infektionen lassen sich oft in wenigen Stunden bereinigen. Komplexe Fälle mit Custom Code, mehreren Sprachen, großen Datenbanken oder Shop-Funktionen dauern meist 1–2 Tage oder länger.
Saubere Backups, klare Hosting-Zugänge und eine gute Vorgeschichte beschleunigen den Prozess. LikeMeASAP bietet je nach Projekt Express-Cleanups an.
Verliere ich mein Google-Ranking dauerhaft durch einen Hack?
Nicht zwingend. Kurzfristige Verluste sind häufig, vor allem bei Warnungen, Weiterleitungen oder Spam-Indexierung.
Bei schneller Bereinigung, sauberer Google-Kommunikation, neuer Sitemap, hochwertigen Inhalten und gezieltem Linkbuilding können Rankings wiederhergestellt oder verbessert werden. Länger unbereinigte Hacks beschädigen Vertrauen deutlich stärker.
Muss ich den Hack irgendwo melden oder rechtlich aktiv werden?
Wenn personenbezogene Daten betroffen sind, etwa bei WooCommerce-Shops oder Mitgliederbereichen, kann eine DSGVO-Meldung nötig sein. Hole im Zweifel rechtliche Beratung ein.
Dokumentiere alle Maßnahmen: Backups, Logs, Hoster-Kommunikation, Google-Anträge und Bereinigungsschritte.
Warum kommt der Hack immer wieder, obwohl ich schon bereinigt habe?
Typische Gründe sind Backdoors, infizierte Unterordner, alte Plugins, kompromittierte Passwörter oder ein infizierter lokaler Rechner. Auch versteckte Admin-Konten oder manipulierte Cronjobs sind häufig.
In diesem Fall braucht es forensische Analyse, Log-Auswertung und systematischen Code-Review. LikeMeASAP hilft genau bei solchen Re-Infektionen.
Kann ich einfach ein altes Backup einspielen und bin fertig?
Ja, aber nur mit Glück und nur, wenn das Backup wirklich vor dem Hack erstellt wurde.
