WordPress gehackt – was tun?

Sie öffnen Ihre Website und sehen fremde Inhalte. Oder Google zeigt eine Warnung “Diese Website wurde möglicherweise gehackt”. Oder Ihr Hosting-Anbieter hat die Seite gesperrt.

Kein Panik – aber handeln Sie schnell. Hier sind die wichtigsten Schritte.

Schritt 1: Sofort offline nehmen

Falls möglich: Nehmen Sie die Website sofort offline oder lassen Sie den Hosting-Anbieter die Seite sperren, bevor Ihre Besucher Malware herunterladen oder Sie rechtlich haftbar werden.

Die meisten Hosting-Anbieter haben eine 1-Klick-Lösung dafür im Kundenbereich.

Schritt 2: Passwörter ändern

Ändern Sie sofort:

• WordPress Admin-Passwort
• FTP-Zugangsdaten
• Datenbank-Passwort
• E-Mail-Passwort des Admin-Accounts
• Hosting-Zugangsdaten

Am besten lange, zufällige Passwörter – ein Passwortmanager hilft.

Schritt 3: Backup evaluieren

Haben Sie ein Backup? Wenn Ihr Hosting-Anbieter tägliche Backups macht (was bei guten Anbietern Standard ist), können Sie die Seite auf den letzten sauberen Stand zurücksetzen.

Wichtig: Stellen Sie sicher, dass das Backup vor dem Hack ist. Ein infiziertes Backup bringt nichts.

Schritt 4: Malware-Scan durchführen

Tools wie Wordfence oder Sucuri können WordPress auf Schadcode scannen – kostenfrei in der Basisversion.

Aber ehrlich gesagt: Wenn die Seite ernsthaft kompromittiert wurde, ist ein Scan allein oft nicht genug. Die Malware kann sich tief im Code verstecken.

Schritt 5: Ursache finden

Wie kam der Angreifer rein?

• Veraltetes Plugin: Das ist Ursache Nummer 1. Nicht aktualisierte Plugins sind das Eingangstor für Hacker.
• Schwaches Passwort: Brute-Force-Angriffe auf “admin”/“123456” sind automatisiert.
• Veraltetes WordPress-Core oder Theme: Seltenerer, aber möglicher Weg.

Ohne die Ursache zu beheben, wird die Seite erneut gehackt.

Schritt 6: Melden bei Google Search Console

Falls Google die Seite als gefährlich markiert hat, müssen Sie nach der Bereinigung eine Überprüfung beantragen. Das kann 1–3 Tage dauern.

---

Die langfristige Lösung

Das klingt ernüchternd, aber es ist die Wahrheit: WordPress ist und bleibt das meistgehackte CMS der Welt.

Das bedeutet nicht, dass WordPress immer eine schlechte Wahl ist. Aber es bedeutet, dass Sie aktiv Sicherheitsmaßnahmen ergreifen müssen – immer.

Alternativ: Websites ohne WordPress haben deutlich weniger Angriffsfläche. Kein Plugin-System, kein standardisierter Anmeldebereich, kein bekanntes Dateitstruktur.

Mehr dazu: WordPress vs. individuelle Website – der Vergleich

---

Ihre WordPress-Site wurde gehackt und Sie brauchen Hilfe? Schreiben Sie mir – ich schaue mir die Situation an und helfe, die wichtigsten Schritte zu klären.