WordPress-Website gehackt: Was jetzt zählt und wann Sie Hilfe brauchen
Marina Graf · Oktober 2026 · Wartung
Kurz beantwortet: Ruhe bewahren, Zugänge sichern, Ausmaß klären. Ein Hack lässt sich fast immer beheben, aber nicht durch das Löschen einer einzelnen Datei. Wichtig ist, die Ursache zu finden und zu schließen, sonst ist die Website nach wenigen Tagen wieder betroffen.
Woran Sie einen Hack erkennen
- Google zeigt fremde Seiten, japanische oder englische Spam-Texte unter Ihrer Adresse
- Besucher werden auf andere Websites umgeleitet, oft nur auf dem Smartphone
- Browser oder Google warnen vor Ihrer Website
- Unbekannte Benutzerkonten im WordPress-Backend
- Ihr Hoster meldet Schadcode oder sperrt die Website
Viele Hacks bleiben wochenlang unbemerkt, weil die Startseite normal aussieht.
Die ersten Schritte
Was Sie selbst sofort tun können, ohne Spuren zu verwischen:
- Passwörter für WordPress, Hosting, FTP und E-Mail ändern, von einem sauberen Gerät aus
- Hoster informieren und fragen, ob es saubere Sicherungen gibt
- Nichts überstürzt löschen, bevor klar ist, wie der Angriff passiert ist
- Prüfen, ob über die Website Kundendaten verarbeitet werden
Die offizielle Hilfeseite von WordPress beschreibt die Grundlagen. In der Praxis scheitert die Bereinigung aber oft an der Frage, wo der Angreifer hineingekommen ist.
Warum Selbstreparaturen oft nicht halten
Angreifer hinterlassen meist mehrere Hintertüren: versteckte Dateien, manipulierte Plugins, zusätzliche Administratoren oder Einträge in der Datenbank. Wer nur das Sichtbare entfernt, ist nach kurzer Zeit wieder betroffen. Häufige Ursache sind veraltete Plugins oder eine alte PHP-Version, aktuell etwa die Lücke PHP2Shell.
Wenn personenbezogene Daten betroffen sein können
Werden über die Website Kontaktanfragen, Bewerbungen oder Bestellungen verarbeitet, kann ein Hack eine Datenschutzverletzung sein, die innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden ist (Art. 33 DSGVO). Binden Sie Ihren Datenschutzbeauftragten früh ein. Dieser Beitrag ersetzt keine Rechtsberatung.
Bereinigen oder neu aufbauen?
| Lage | Sinnvoller Weg |
|---|---|
| Aktuelle Website, saubere Sicherung vorhanden | Wiederherstellen, Lücke schließen, Zugänge erneuern |
| Keine saubere Sicherung, Website sonst gut | Gründliche Bereinigung und Härtung |
| Alte Website, veraltete Technik, wiederholte Hacks | Neuaufbau auf sauberer Basis meist günstiger als ständige Reparatur |
Danach gehört die Website zu Google zurück: Warnhinweise entfernen lassen, Spam-Seiten aus dem Index nehmen, Sichtbarkeit beobachten.
Wie Sie das nächste Mal vorbeugen
Die meisten Angriffe nutzen bekannte Lücken, für die es längst Updates gibt. Wer regelmäßig aktualisiert, schließt die häufigsten Einfallstore. Dazu gehören WordPress selbst, Themes, Plugins und die PHP-Version auf dem Server.
- Updates regelmäßig und kontrolliert einspielen, mit Test danach
- Nicht genutzte Plugins und Themes vollständig entfernen
- Starke Passwörter und eine Zwei-Faktor-Anmeldung für Administratoren
- Tägliche Sicherungen, die außerhalb des Servers gespeichert werden
- Nur so viele Administratoren wie nötig
Das klingt nach wenig, wird im Alltag aber oft vergessen. Genau dafür gibt es Wartung: damit jemand regelmäßig hinschaut, bevor etwas passiert.
Und wenn es doch passiert, ist eine saubere, aktuelle Sicherung der schnellste Weg zurück. Sie entscheidet oft darüber, ob eine Website nach Stunden oder erst nach Tagen wieder sicher online ist.
Wie wir helfen
Wir verschaffen uns einen Überblick, sagen Ihnen ehrlich, ob Bereinigung oder Neuaufbau der bessere Weg ist, und sorgen dafür, dass die Ursache geschlossen wird. Anschließend übernehmen wir auf Wunsch die Wartung, damit es nicht wieder passiert.
Worauf es ankommt
- Zugänge sofort ändern, von einem sauberen Gerät
- Ursache finden, nicht nur Symptome entfernen
- Datenschutz prüfen, wenn Kundendaten betroffen sein können
- Google-Warnungen und Spam-Seiten nach der Bereinigung entfernen
- Danach regelmäßige Wartung sicherstellen
Häufige Fragen
Das hängt vom Einzelfall und von den Verträgen mit Hoster oder Dienstleister ab. Als Betreiber sind Sie für die Sicherheit Ihrer Website mitverantwortlich. Für eine verbindliche Einschätzung braucht es rechtliche Beratung.
Ja, wenn die Sicherung sauber ist und die Lücke danach geschlossen wird. Sonst ist die Website schnell wieder betroffen.
Je nach Umfang wenige Stunden bis mehrere Tage. Danach kann es dauern, bis Google Warnhinweise entfernt und Spam-Seiten aus dem Index verschwinden.
Wenn personenbezogene Daten betroffen sein können, in der Regel innerhalb von 72 Stunden an die Datenschutzaufsicht. Klären Sie das mit Ihrem Datenschutzbeauftragten.
Lesetipp: Wie Sie Ihre Website vor dem nächsten Angriff schützen, lesen Sie in Warum Website-Wartung kein Luxus ist. Was die aktuelle PHP-Lücke bedeutet, zeigt PHP2Shell.
Über Count Media: Wir sind die inhabergeführte Marketing- und Werbeagentur mit Sitz in Osnabrück, deutschlandweit tätig. Strategie, Umsetzung und Technik aus einer Hand, von Website und Social Media über Performance Marketing bis Recruiting und KI-Marketing.
Website gehackt oder unsicher?
Wir verschaffen uns einen Überblick und sagen Ihnen, ob Bereinigung oder Neuaufbau der bessere Weg ist.
