Deine Startseite leitet plötzlich auf fremde Angebote weiter. Im Browser erscheint eine Sicherheitswarnung. Oder Kunden melden verdächtige E-Mails, die scheinbar von deiner Domain kommen. Wenn dein WordPress gehackt wurde, was tun? Jetzt zählt nicht, möglichst schnell irgendein Plugin zu installieren. Du musst den Schaden begrenzen, den Befall sauber analysieren und deine Webseite wieder verlässlich in Betrieb nehmen. Gerade für Unternehmen können ein paar Stunden Unsicherheit Leads, Shop-Umsätze und Vertrauen kosten.
WordPress gehackt: Was tun in den ersten Minuten?
Atme kurz durch und ändere nicht unüberlegt Dateien auf dem Server. Viele Betreiber löschen auffällige Dateien, setzen ein Backup zurück oder deaktivieren Plugins. Das kann den sichtbaren Fehler verdecken, aber Hintertüren bleiben oft bestehen. Im schlechtesten Fall gehen Beweise verloren, die zeigen, wie der Angriff möglich war.
Sichere zuerst den aktuellen Zustand. Erstelle, sofern möglich, eine vollständige Kopie der Dateien und der Datenbank. Notiere dir auffällige Beobachtungen: Zeitpunkt der ersten Meldung, Weiterleitungen, unbekannte Benutzerkonten, Warnungen von Suchmaschinen oder Nachrichten vom Hoster. Mache Screenshots der betroffenen Seiten. Diese Informationen helfen später, Ursache und Umfang schneller einzugrenzen.
Danach solltest du den Zugriff absichern. Ändere die Passwörter für WordPress-Administratoren, Hosting, SFTP oder FTP, Datenbankverwaltung und die E-Mail-Postfächer, die mit diesen Zugängen verbunden sind. Verwende für jeden Zugang ein eigenes, langes Passwort. Wenn mehrere Personen Zugriff haben, informiere sie direkt. Ein kompromittiertes E-Mail-Postfach kann sonst neue Zugangsdaten gleich wieder abfangen.
Ist Malware sichtbar, eine Phishing-Seite aktiv oder werden Besucher auf fremde Seiten geleitet, nimm die Webseite vorübergehend aus dem öffentlichen Betrieb. Eine einfache Wartungsseite ist besser als eine aktive Schadseite. Bei einem Shop ist das besonders sensibel: Bestellungen, Zahlungen und Kundendaten dürfen nicht gefährdet werden. Stoppe im Zweifel zunächst die Bestellung und kläre, ob Zahlungs- oder Kundendaten betroffen sein könnten.
Nicht nur die Symptome entfernen
Ein erfolgreicher Angriff ist selten auf eine einzelne verdächtige Datei beschränkt. Angreifer hinterlegen häufig Schadcode in Themes, Plugins, Upload-Ordnern, Datenbankeinträgen oder geplanten Aufgaben. Sie legen manchmal zusätzliche Administratoren an oder missbrauchen echte Benutzerkonten. Auch eine manipulierte Datei mit einem harmlosen Namen kann später wieder Schadcode nachladen.
Darum reicht es nicht, die auffällige Weiterleitung zu beseitigen. Eine belastbare Bereinigung prüft unter anderem WordPress-Kerndateien, installierte Erweiterungen, aktive und ungenutzte Themes, Benutzerrechte, die Datenbank sowie Server- und Fehlerprotokolle. Ebenso wichtig ist die Frage, ob der Angriff über eine veraltete Erweiterung, ein schwaches Passwort, ein unsicheres Hosting-Konto oder über einen anderen Webauftritt im selben Paket kam.
Ein altes Backup kann ein guter Ausgangspunkt sein, ist aber keine automatische Lösung. War die Sicherheitslücke damals bereits vorhanden, kommt der Befall zurück. Außerdem können seit der Sicherung neue Inhalte, Anfragen oder Shop-Bestellungen entstanden sein. Je nach Schadensbild ist eine gezielte Bereinigung sinnvoller als ein vollständiges Zurückspielen. Manchmal ist ein sauberer Neuaufbau einzelner Komponenten die sicherere Entscheidung.
Diese Fehler machen den Schaden oft größer
Schalte die Seite nicht einfach wieder live, nur weil sie oberflächlich normal aussieht. Schadcode kann unsichtbar im Hintergrund arbeiten. Verlasse dich auch nicht allein auf einen Malware-Scan: Solche Werkzeuge finden viel, aber nicht jede Manipulation und bewerten Funde nicht immer korrekt.
Vermeide es außerdem, Passwörter nur für WordPress zu ändern. Hosting-Zugang, E-Mail-Postfach und Datenbankzugang gehören dazu. Und informiere keine Kunden mit Vermutungen, solange unklar ist, was tatsächlich passiert ist. Transparenz ist richtig, sie sollte aber auf einer belastbaren Prüfung beruhen.
So läuft eine professionelle WordPress-Bereinigung ab
Bei einem geschäftskritischen Auftritt geht es um mehr als Fehlerbehebung. Ziel ist, deine Webseite sauber wiederherzustellen und die Eintrittstür des Angreifers zu schließen. Dafür braucht es eine nachvollziehbare Reihenfolge.
Zuerst wird der Befall eingegrenzt: Welche Seiten, Dateien, Benutzer und Systeme sind betroffen? Danach werden manipulierte Bestandteile entfernt oder aus vertrauenswürdigen Quellen neu aufgebaut. WordPress, Theme und Erweiterungen werden auf einen sicheren Stand gebracht. Nicht benötigte Plugins und Themes sollten verschwinden, denn jedes zusätzliche Modul kann später wieder zum Risiko werden.
Anschließend folgt die Absicherung. Dazu gehören neue Zugangsdaten, geprüfte Benutzerrollen, Zwei-Faktor-Anmeldung für Administratoren, Schutz vor automatisierten Login-Versuchen und verlässliche Backups auf getrenntem Speicher. Auch Updates brauchen einen festen Prozess. Ein Sicherheitsplugin kann dabei helfen, ersetzt aber weder saubere Rechte noch regelmäßige Pflege.
Bei WordPress Soforthilfe Deutschland ist die Hacker-Abwehr zum Festpreis von 760 Euro netto erhältlich. Enthalten sind Analyse des Befalls, Wiederherstellung oder Neuaufbau und die anschließende Absicherung - bis zu acht Stunden. Du weißt vorab, womit du rechnen kannst, statt nach dem Vorfall auf einen offenen Stundenzettel zu warten.
Für einen Onlineshop gilt ein anderer Maßstab. Dort können Bestellabläufe, Zahlungsanbieter, personenbezogene Daten und individuelle Erweiterungen betroffen sein. Deshalb beginnt die Shop-Rettung mit einer Analyse für 190 Euro netto. Du erhältst eine schriftliche Einschätzung und ein verbindliches Angebot für die Umsetzung. Bei Beauftragung wird die Analyse angerechnet.
Was du bei möglichen Datenverlusten beachten musst
Nicht jeder WordPress-Hack ist automatisch eine Datenschutzverletzung. Wurden jedoch personenbezogene Daten unbefugt eingesehen, verändert oder abgegriffen, kann eine Meldung an die zuständige Datenschutzaufsicht erforderlich sein. Die Frist von 72 Stunden kann relevant werden. Kläre deshalb früh, welche Daten in WordPress, Formularen, Shop-Systemen, E-Mail-Postfächern oder angebundenen Diensten gespeichert werden und ob es Anzeichen für einen Zugriff gibt.
Die technische Analyse liefert dafür wichtige Fakten, ersetzt aber keine rechtliche Beratung. Dokumentiere Entscheidungen, Maßnahmen und Zeitpunkte sorgfältig. Wenn du einen Datenschutzbeauftragten, eine Rechtsberatung oder eine Cyber-Versicherung hast, binde diese Stellen je nach Befund ein. Bei Zahlungskarten- oder Zahlungsdienstleisterdaten gelten zusätzlich die Vorgaben des jeweiligen Anbieters.
Nach der Rettung: Sicherheit wird zur Routine
Die Bereinigung ist der akute Einsatz. Die eigentliche Arbeit beginnt danach: Deine Webseite muss wartbar bleiben. Viele Angriffe gelingen nicht durch spektakuläre Sicherheitslücken, sondern weil ein Plugin seit Monaten kein Update bekommen hat, ehemalige Mitarbeiter noch Administratoren sind oder Backups nur auf demselben Server liegen.
Lege klare Zuständigkeiten fest. Wer entscheidet über Updates? Wer prüft, ob Sicherungen wirklich wiederherstellbar sind? Welche Plugins werden noch benötigt? Bei kleineren Unternehmensseiten kann eine monatliche Betreuung sinnvoller sein als hektische Einzelmaßnahmen. Sie hält WordPress, Design und Module aktuell, überwacht bekannte Sicherheitslücken und sichert die Daten täglich auf getrennten Speicher.
Ein günstiges Hosting-Angebot ohne Pflege kann passen, wenn intern Zeit und technisches Wissen vorhanden sind. Fehlen diese Ressourcen, wird es im Ernstfall teuer. Die laufende Betreuung mit Hosting und Sicherheitspaket startet bei 34,80 Euro netto monatlich und richtet sich nach dem Umfang deiner Seite. Entscheidend ist nicht das schönste Sicherheitsversprechen, sondern dass Updates, Backups und Ansprechpartner im Problemfall tatsächlich organisiert sind.
Wann du sofort Hilfe anfordern solltest
Warte nicht ab, wenn Besucher auf fremde Seiten umgeleitet werden, Google oder der Browser warnt, unbekannte Administratoren auftauchen oder dein Hoster Schadcode meldet. Dasselbe gilt bei auffälligen Massenmails, veränderten Shop-Bestellungen, einer plötzlich langsamen Seite ohne erkennbare Ursache oder wenn du nicht mehr in das Backend kommst. Auch ein weißer Bildschirm kann zwar ein normales Update-Problem sein, sollte bei weiteren Warnzeichen aber als Sicherheitsfall behandelt werden.
Fälle können rund um die Uhr eingereicht werden. Die Bearbeitung erfolgt werktags von 9 bis 17 Uhr, eine Rufbereitschaft außerhalb dieser Zeiten gibt es nicht. Beschreibe beim Einreichen kurz, was du beobachtet hast, seit wann es auftritt und ob du noch Zugang zu Hosting und WordPress hast. Das spart im Notfall wertvolle Zeit.
Deine Webseite muss nach einem Angriff nicht dauerhaft ein Unsicherheitsfaktor bleiben. Sichere den aktuellen Stand, verhindere weiteren Schaden und lass die Ursache gründlich prüfen. Je früher die Bereinigung beginnt, desto besser sind die Chancen, Betrieb, Sichtbarkeit und Vertrauen zügig wieder auf eine saubere Grundlage zu stellen.
