WordPress gehackt: Was jetzt zu tun ist

Woran Sie erkennen, dass WordPress gehackt wurde

Nicht jeder Angriff fällt sofort auf. Viele Hacks sind darauf ausgelegt, unbemerkt zu bleiben, damit die Website möglichst lange Spam verteilt oder Besucher umleitet. Typische Anzeichen sind:

• Weiterleitungen auf fremde Seiten, oft nur für Besucher, die über Google oder vom Smartphone kommen. Eingeloggte Administratoren sehen die Website dann ganz normal.
• Eine Warnung in Google wie „Diese Website wurde möglicherweise gehackt“ oder ein roter Warnbildschirm im Browser.
• Fremde Seiten im Suchindex, häufig mit Spam zu Medikamenten, Glücksspiel oder in japanischer Schrift. Prüfen können Sie das mit der Google-Suche nach site:ihre-domain.de.
• Unbekannte Benutzerkonten mit Administratorrechten.
• Eine Meldung im Bericht „Sicherheitsprobleme“ der Google Search Console.
• Ihr Hoster sperrt die Website oder meldet Spam-Mails, die vom Server verschickt werden.
• Eine weiße Seite oder Fehlermeldungen, nachdem niemand etwas geändert hat.

Trifft einer dieser Punkte zu, gehen Sie die folgenden Schritte der Reihe nach durch. Hektisches Löschen von Dateien vernichtet Spuren, die Sie später brauchen, um die Lücke zu finden.

Stand: November 2026

Gehackte WordPress-Seite bereinigen: acht Schritte

1. Den befallenen Zustand sichern

Kopieren Sie Dateien und Datenbank, bevor Sie etwas ändern. Diese Sicherung spielen Sie nie wieder ein. Sie dient dazu, später nachzuvollziehen, wann und wie der Angreifer hereingekommen ist.

2. Alle Zugangsdaten ändern

Ändern Sie die Passwörter für das Hosting-Konto, für SFTP oder FTP, für die Datenbank und für alle Administratorkonten in WordPress. Tragen Sie das neue Datenbank-Passwort danach in die wp-config.php ein. Wie das auch ohne Zugang zum Backend geht, zeigt die Anleitung WordPress Passwort ändern.

Erzeugen Sie außerdem neue Sicherheitsschlüssel. Das sind die acht Zeilen mit AUTH_KEY, SECURE_AUTH_KEY und so weiter in der wp-config.php. Neue Werte liefert der Schlüssel-Generator von WordPress. Damit werden alle bestehenden Anmeldungen ungültig, auch die des Angreifers.

3. Benutzerkonten prüfen

Öffnen Sie unter „Benutzer“ die Liste der Administratoren und entfernen Sie jedes Konto, das Sie nicht zuordnen können. Manche Angriffe verstecken ihre Konten in der Benutzerliste. Ein Blick in die Tabelle wp_users über phpMyAdmin zeigt alle Konten, auch die versteckten. Wie Sie Konten sauber entfernen und dabei Beiträge behalten, steht unter WordPress Benutzer sperren und löschen.

4. Sauberes Backup einspielen, falls vorhanden

Haben Sie eine Sicherung aus der Zeit vor dem Angriff, ist das der schnellste Weg. Wählen Sie eine Version, die sicher älter ist als die ersten Anzeichen, denn viele Hacks liegen Tage oder Wochen unbemerkt auf dem Server. Spielen Sie Dateien und Datenbank zurück, ändern Sie danach die Passwörter erneut und machen Sie mit Schritt 7 weiter.

5. Ohne Backup: Dateien ersetzen

Fehlt eine saubere Sicherung, ersetzen Sie alles, was sich ersetzen lässt:

• WordPress-Kern: Unter „Dashboard > Aktualisierungen“ die aktuelle Version erneut installieren, oder die Ordner wp-admin und wp-includes per SFTP durch frische Dateien von wordpress.org ersetzen. Mit WP-CLI prüft wp core verify-checksums, welche Kerndateien verändert wurden.
• Plugins und Themes: löschen und aus der offiziellen Quelle neu installieren. Für Plugins aus dem WordPress-Verzeichnis meldet wp plugin verify-checksums --all veränderte Dateien.
• Uploads: Im Ordner wp-content/uploads haben PHP-Dateien nichts verloren. Jede Datei mit der Endung .php dort ist verdächtig.
• wp-config.php und .htaccess: auf fremden Code prüfen, vor allem auf lange, unlesbare Zeichenketten und Umleitungsregeln. Wie eine saubere Datei aussieht, zeigt die Seite WordPress .htaccess.

6. Datenbank durchsuchen

Schadcode steckt oft auch in der Datenbank. Suchen Sie in den Tabellen wp_posts und wp_options nach eingeschleusten <script>-Tags, nach eval( und base64_decode sowie nach fremden Domains. Prüfen Sie in wp_options außerdem, ob siteurl und home noch auf Ihre eigene Adresse zeigen.

7. Die Lücke finden und schließen

Ohne diesen Schritt ist die Website in wenigen Tagen wieder befallen. Die häufigsten Einfallstore sind veraltete Plugins und Themes, schwache Passwörter und Erweiterungen aus unseriösen Quellen. Aktualisieren Sie alles, entfernen Sie ungenutzte Plugins und werfen Sie einen Blick in die Zugriffsprotokolle des Servers rund um den Zeitpunkt des Angriffs. Ein Scanner wie Wordfence oder Sucuri hilft, verbliebene Schadsoftware zu finden. Welche Lösung wofür taugt, zeigt der Vergleich der WordPress Sicherheits-Plugins.

Manchmal liegt die Ursache außerhalb von WordPress, etwa in einer veralteten PHP-Version auf dem Server. Ein aktuelles Beispiel dafür ist die Lücke PHP2Shell.

8. Google informieren

Hat Google die Website als gehackt markiert, verschwindet die Warnung nicht von selbst. Öffnen Sie in der Google Search Console den Bericht „Sicherheitsprobleme“, beheben Sie alle aufgeführten Punkte und beantragen Sie dort eine Überprüfung. Wurden Spam-Seiten in den Index geschleust, liefern diese Adressen nach der Bereinigung den Status 404 oder 410 und fallen nach und nach aus dem Index.

Damit es nicht wieder passiert

Nach der Bereinigung ist der richtige Moment, die Website dauerhaft abzusichern. Die wichtigsten Punkte:

• Updates zeitnah einspielen, für WordPress, Plugins und Themes.
• Wenige, gepflegte Plugins und keine Erweiterungen aus unseriösen Quellen.
• Starke Passwörter und eine zweite Anmeldestufe für alle Administratoren.
• Kein Benutzer namens admin, wie unter Admin-ID und Benutzername ändern beschrieben.
• Regelmäßige Sicherungen außerhalb des Servers, damit beim nächsten Mal Schritt 4 reicht. Eine Anleitung finden Sie unter WordPress Backup erstellen.

Warum gerade diese Punkte entscheiden, erklärt die Seite Wie sicher ist WordPress?. Alle Maßnahmen im Überblick bietet WordPress absichern.

Häufige Fragen, wenn WordPress gehackt wurde

Wie erkenne ich, ob meine WordPress-Seite gehackt wurde?

Typische Anzeichen sind Weiterleitungen auf fremde Seiten, eine Warnung von Google, unbekannte Administratorkonten, Spam-Seiten im Suchindex und eine Meldung im Bericht „Sicherheitsprobleme“ der Search Console. Manche Weiterleitungen sehen nur Besucher, die nicht eingeloggt sind.

Kann ich eine gehackte Seite ohne Backup retten?

Ja, meist schon. Sie ersetzen WordPress-Kern, Plugins und Themes durch frische Dateien, prüfen Uploads, Konfigurationsdateien und Datenbank auf fremden Code und schließen anschließend die Lücke. Das dauert länger als das Einspielen einer Sicherung, ist aber in den meisten Fällen möglich.

Reicht ein Sicherheits-Plugin, um den Hack zu entfernen?

Selten. Ein Scanner findet viele bekannte Schadprogramme, aber nicht jede Hintertür. Außerdem kann ein Angreifer installierte Plugins verändert haben. Verlassen Sie sich deshalb nicht allein auf den Scan, sondern ersetzen Sie die Dateien wie oben beschrieben.

Wie lange dauert es, bis Google die Warnung entfernt?

Nach einem Antrag auf Überprüfung in der Search Console meist einige Tage. Bei eingeschleusten Spam-Seiten kann es mehrere Wochen dauern, bis Google die Website erneut bewertet und die Spam-Adressen aus dem Index verschwinden.

Muss ich einen Hack melden?

Wenn personenbezogene Daten betroffen sein können, in der Regel ja: innerhalb von 72 Stunden an die zuständige Datenschutz-Aufsichtsbehörde, außer ein Risiko für die Betroffenen ist unwahrscheinlich. Klären Sie das früh, parallel zur Bereinigung.

Warum wurde gerade meine Website gehackt?

Fast immer, weil sie eine bekannte Lücke hatte, nicht weil jemand es auf Sie abgesehen hat. Angriffe auf WordPress laufen automatisiert: Programme suchen das Netz nach veralteten Plugins und schwachen Zugangsdaten ab und nutzen jede Website, die sie finden.

Weiterlesen