WordPress gehackt — was jetzt zu tun ist.

Anzeichen für einen Hack.

• Besucher landen auf fremden Seiten — oft nur mobil oder nur aus der Google-Suche.
• Google zeigt „Diese Website wurde möglicherweise gehackt“ oder eine rote Warnseite.
• Unbekannte Administratoren, geänderte Admin-E-Mail, neue Beiträge in fremder Sprache.
• Spam-Mails, die von deiner Domain verschickt werden, oder Beschwerden des Hosters.
• Fremde Dateien im Hauptordner oder in wp-content/uploads/ mit Endung .php.
• Plötzlich langsame Website oder hohe Serverlast.
• Seltsame Suchergebnisse für deine Domain: Medikamente, Glücksspiel, Fremdsprachen.

Sofortmaßnahmen.

1. Passwörter ändern: WordPress-Admins, Hosting, FTP, Datenbank, E-Mail — alle, und überall neue, lange Passwörter.
2. Zustand sichern: Vollständiges Backup des gehackten Zustands anlegen — für die Analyse. Nichts löschen, bevor gesichert ist.
3. Website sperren: Wartungsseite oder Passwortschutz über das Hosting, damit Besucher nicht weiter auf Schadseiten geleitet werden.
4. Hoster informieren, wenn Spam versendet wird — sonst sperrt er Domain oder Postfach.
5. Nicht „einfach ein Backup einspielen“: Wenn der Einbruch älter ist, steckt der Schadcode auch im Backup — und die Lücke bleibt offen.

Wie Hacker in WordPress kommen.

Wichtig: Die Ursache muss gefunden werden. Eine Bereinigung ohne geschlossene Lücke hält oft nur Tage.

Die Bereinigung Schritt für Schritt.

1. Analyse: Logs des Servers, geänderte Dateien nach Datum, unbekannte Nutzer, Cronjobs, geplante Aufgaben in WordPress, Datenbankinhalte (Schadcode steckt oft in Optionen oder Beiträgen).
2. WordPress-Kern neu aufspielen: Alle Kerndateien durch frische Originale ersetzen — nur wp-config.php und wp-content bleiben.
3. Plugins und Themes neu installieren aus Originalquellen, nicht gepflegte oder unbekannte entfernen.
4. wp-content und Uploads prüfen: Jede PHP-Datei dort ist verdächtig; versteckte Backdoors in scheinbar harmlosen Dateien finden.
5. Datenbank säubern: Fremde Nutzer, Skripte in Beiträgen und Optionen, manipulierte Site-URL.
6. Zugänge erneuern: Sicherheitsschlüssel in wp-config.php neu generieren, alle Sitzungen beenden, Passwörter erneut setzen.
7. Lücke schließen und alles aktualisieren.
8. Prüfen: Scanner, manuelle Kontrolle, Test aller wichtigen Funktionen.

Google-Warnung und Blacklists.

Nach der Bereinigung in der Search Console unter „Sicherheitsprobleme“ eine Überprüfung beantragen — mit kurzer Beschreibung, was behoben wurde. Die Warnung verschwindet meist innerhalb weniger Tage. Bei Spam-Versand zusätzlich prüfen, ob Domain oder Server-IP auf Sperrlisten stehen, und Entfernung beantragen. Spam-Inhalte, die Google indexiert hat, per Entfernungsantrag loswerden.

Datenschutz: Meldepflicht prüfen.

Wurden personenbezogene Daten kompromittiert — etwa Kundendaten aus einem Shop, Formularen oder Mitgliederbereich —, kann eine Meldepflicht bei der Datenschutzbehörde innerhalb von 72 Stunden bestehen, teils auch eine Information der Betroffenen. Das ist keine Rechtsberatung: Kläre das mit deinem Datenschutzbeauftragten oder Anwalt. Ich liefere dafür die technischen Fakten: Was war betroffen, seit wann, welche Daten.

Dauerhaft absichern.

• Regelmäßige, geprüfte Updates — Wartung.
• Automatische Backups außerhalb des Servers, mehrere Generationen.
• Zwei-Faktor-Anmeldung, Login-Begrenzung, keine Benutzer namens „admin“.
• Minimale Rechte: nur so viele Administratoren wie nötig.
• PHP-Ausführung im Upload-Ordner sperren, Dateibearbeitung im Backend deaktivieren.
• Plugins auf das Nötige reduzieren — Plugin-Audit.
• Monitoring auf Dateiänderungen und Erreichbarkeit.
• Formulare mit Spamschutz — Formular-Spam stoppen.

Kosten und Ablauf.

Eine Hack-Bereinigung inklusive Analyse, Neuaufbau von Kern und Plugins, Datenbankprüfung, Absicherung und Bericht liegt meist bei 400 bis 900 Euro, je nach Umfang der Website und Tiefe des Einbruchs. Shops und stark befallene Seiten können darüber liegen. Du bekommst vorab eine Einschätzung. Ablauf: Kontakt mit Domain und Anzeichen, Zugänge über sicheren Weg, Sicherung, Bereinigung meist innerhalb von ein bis zwei Tagen, Bericht mit Ursache und Empfehlungen.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.