Woran erkenne ich, dass WordPress gehackt wurde?

Typische Zeichen sind unerwünschte Weiterleitungen auf fremde Seiten (oft nur für Besucher von Google oder nur auf dem Smartphone), eingeschleuster Spam oder fremde Beiträge, eine Warnung in der Google Search Console, unbekannte Administrator-Konten, neue Dateien mit kryptischen Namen und ein plötzlicher Ressourcen- oder Traffic-Anstieg beim Hoster. Oft treten mehrere dieser Symptome zusammen auf.

Was sollte ich als Erstes tun, wenn WordPress gehackt ist?

Ruhe bewahren und nicht panisch Dateien löschen. Erstelle zuerst eine vollständige Sicherung des aktuellen, infizierten Zustands (Dateien und Datenbank) als Referenz und Beweismittel. Nimm die Seite bei aktivem Schaden über den Wartungsmodus oder eine Sperre vom Netz, ändere die Passwörter und grenze dann in Ruhe das Ausmaß ein, bevor du bereinigst.

Kann ich einen Hack einfach mit einem Plugin entfernen?

Ein Security-Scanner hilft, den Befall zu finden und einzugrenzen, aber eine vollständige Bereinigung ist mehr als ein Klick. Core, Themes und Plugins gehören aus sauberen Originalquellen neu aufgespielt, die Datenbank geprüft und vor allem alle Hintertüren gefunden. Bleibt eine versteckte Hintertür übrig, kommt der Hack zurück – deshalb ist ein reiner Plugin-Scan selten die ganze Lösung.

Warum kommt der Hack nach der Bereinigung wieder?

Zwei Gründe: Entweder wurde die ursprüngliche Sicherheitslücke (meist ein veraltetes Plugin) nicht geschlossen, oder es wurde eine von mehreren Hintertüren übersehen. Angreifer legen oft mehrere versteckte Zugänge an. Eine bereinigte Seite, die dieselbe Lücke offen lässt oder eine Hintertür behält, wird zuverlässig erneut infiziert – deshalb gehören Ursache schließen und alle Zugänge finden zwingend dazu.

WordPress gehackt? Malware erkennen und bereinigen

Ein gehacktes WordPress ist unangenehm, aber selten hoffnungslos. Wichtig ist ein ruhiges, strukturiertes Vorgehen – panisches Löschen macht es oft schlimmer. So erkennst, bereinigst und sicherst du die Seite ab.

Woran du einen Hack erkennst

Unerwünschte Weiterleitungen auf fremde Seiten, oft nur für Besucher von Google oder nur auf Mobilgeräten.
Fremde Inhalte oder Spam (z. B. seltsame Beiträge, eingeschleuste Links im Footer).
Warnung in der Google Search Console oder „Diese Seite kann deinem Computer schaden” in den Suchergebnissen.
Unbekannte Admin-Benutzer oder neue Dateien mit kryptischen Namen.
Plötzlicher Ressourcen- oder Trafficanstieg beim Hoster.

Sofortmaßnahmen bei aktivem Schaden

Wenn die Seite Besucher aktiv weiterleitet oder Schadcode ausliefert, zählt zuerst Schadensbegrenzung: Seite über den Wartungsmodus oder eine serverseitige Sperre vorübergehend offline nehmen, alle Passwörter ändern (WordPress-Admins, Hosting, FTP, Datenbank) und die Sicherheitsschlüssel in der wp-config.php neu setzen – das wirft alle aktiven Sitzungen des Angreifers raus. Erst danach beginnt die eigentliche Bereinigung.

1. Erst sichern, dann arbeiten

Erstelle eine vollständige Sicherung des aktuellen (infizierten) Zustands – Dateien und Datenbank. Klingt paradox, ist aber wichtig: Sie dient als Referenz, falls bei der Bereinigung etwas Funktionierendes verloren geht, und als Beweismittel.

2. Ausmaß eingrenzen

Mit einem Security-Scanner (z. B. Patchstack, Wordfence) oder serverseitig nach verdächtigen Dateien suchen.
Kürzlich geänderte Dateien per FTP nach Änderungsdatum sortieren – Schadcode verrät sich oft durch ein abweichendes Datum.
Typische Verstecke prüfen: PHP-Dateien im /wp-content/uploads/-Ordner (dort gehört kein ausführbarer Code hin), manipulierte .htaccess, versteckte Einträge in mu-plugins.
Prüfen, welche bekannte Sicherheitslücke ausgenutzt wurde (oft ein veraltetes Plugin).

3. Bereinigen

Core, Themes und Plugins ersetzen: WordPress-Core neu aufspielen, Themes/Plugins aus sauberen Originalquellen neu installieren statt einzelne Dateien zu „reparieren”.
Unbekannte Admin-Benutzer entfernen und alle Passwörter sowie die Sicherheitsschlüssel in der wp-config.php neu setzen (wp-config.php härten).
Datenbank prüfen auf eingeschleuste Inhalte (verdächtige Optionen, Spam in Beiträgen).
Hintertüren finden: Hacks hinterlassen oft mehrere versteckte Zugänge. Bleibt eine übersehen, kommt der Hack zurück.

4. Absichern, damit es nicht wiederkommt

Eine bereinigte Seite, die dieselbe Lücke offen lässt, wird erneut infiziert. Deshalb gehört dazu:

Alles aktualisieren (Core, Plugins, Themes, PHP).
Den Login absichern und unnötige Plugins entfernen.
Ein sauberes, geprüftes Backup einrichten – aber kein infiziertes zurückspielen.
Über die Search Console eine erneute Überprüfung anfordern, falls Google die Seite markiert hat.

Wer regelmäßige Wartung betreibt, erwischt Sicherheitslücken meist bevor sie ausgenutzt werden → Was eine WordPress-Wartung wirklich leistet.

Wenn Kundendaten betroffen sind

Betreibst du einen Shop oder verarbeitest personenbezogene Daten und es besteht der Verdacht, dass diese abgeflossen sind, kann eine Datenschutzverletzung nach Art. 33 DSGVO meldepflichtig sein – häufig innerhalb von 72 Stunden. Das ist keine Rechtsberatung; die verbindliche Bewertung gehört zu deinem Datenschutzbeauftragten. Wichtig ist, den Verdacht ernst zu nehmen und ihn nicht im Zuge der technischen Bereinigung unter den Tisch fallen zu lassen.

Ehrlich: Wann du Hilfe holen solltest

Findest du die Quelle nicht, kommt der Hack nach der Bereinigung zurück, oder geht es um einen Shop mit Kundendaten – dann ist professionelle Hilfe das schnellere und sicherere Vorgehen. Eine unvollständige Bereinigung ist gefährlicher als gar keine, weil sie Sicherheit vortäuscht.

Deine Seite ist betroffen und du willst sie sicher und vollständig bereinigt wissen: Schreib uns kurz – wir säubern, schließen die Lücke und härten ab.