WordPress gehackt – was tun? Die Anleitung von der Sicherung bis zur Bereinigung

Das Wichtigste in Kürze

Wenn Ihre WordPress-Seite gehackt wurde, kommt es auf die Reihenfolge an: erst sichern, dann prüfen, dann sauber neu aufbauen, dann Zugänge erneuern und zuletzt die Ursache schließen. Wer nur einzelne Dateien löscht, wird meist erneut infiziert. Diese Anleitung zeigt Ihnen alle Schritte. Wenn Sie die Zeit oder die Sicherheit nicht haben, übernimmt unsere Hack-Notfallhilfe die Bereinigung zum Festpreis.

Ist es wirklich ein Hack?

Typische Hinweise sind Weiterleitungen auf fremde Seiten, eine Google-Warnung, unbekannte Administratoren, ein gesperrter Account beim Hoster oder fremde Seiten unter Ihrer Domain. Eine ausführliche Liste mit Beispielen finden Sie in unserem Beitrag WordPress gehackt: Anzeichen erkennen und die ersten 10 Schritte. Hier geht es um das, was danach kommt. Gilt das auch für Joomla, TYPO3 oder Shopware? Das Vorgehen ist ähnlich, die Befehle unten sind aber auf WordPress zugeschnitten.

Schritt 1: Nichts löschen, zuerst sichern

Machen Sie ein vollständiges Backup von Dateien und Datenbank im jetzigen Zustand. Es ist Ihr Beweismaterial und Ihre Rückfallebene. Bewahren Sie es getrennt von der Seite auf. Ein altes Backup aus der Zeit vor dem Befall hilft später bei der Wiederherstellung, ersetzt aber nicht die Ursachenanalyse.

Schritt 2: Seite aus dem Verkehr nehmen und Zugänge sperren

Schalten Sie eine Wartungsseite oder sperren Sie den Zugriff per IP, damit Besucher nicht angegriffen werden. Ändern Sie dann die Passwörter in dieser Reihenfolge: Hoster-Konto, FTP/SFTP/SSH, Datenbank, WordPress-Administratoren. Nutzen Sie dafür ein Gerät, das nicht infiziert sein kann. Informieren Sie Ihren Hoster, er kann Logs liefern.

Sie wollen in dieser Phase keine Zeit verlieren? Lassen Sie Ihre Seite von der Hack-Notfallhilfe bereinigen. Wir melden uns laut Landingpage innerhalb von 60 Minuten zurück.

Schritt 3: Prüfen, was passiert ist

Die folgenden Befehle laufen per SSH im WordPress-Hauptverzeichnis und ändern nichts. Weitere Prüfbefehle und Fundstellen im Detail finden Sie in unserer Anleitung zur Malware-Entfernung.

PHP-Dateien im Upload-Ordner. Dort gehören in der Regel nur Bilder und Dokumente hin:

find wp-content/uploads -type f -name "*.php"

Typische Verschleierung in PHP-Dateien. Treffer sind verdächtig, aber nicht automatisch bösartig:

grep -rIl --include="*.php" -E "eval\(base64_decode|gzinflate\(base64_decode" .

Kürzlich geänderte PHP-Dateien (hier der letzte Tag, für drei Tage -mtime -3):

find . -type f -name "*.php" -mtime -1

Diese drei Befehle haben wir in einer Testumgebung gegen ein Beispielverzeichnis ausgeführt. Nach einem Update liegen viele Treffer an, dann schränken Sie das Zeitfenster ein.

Core und Plugins gegen die Originale prüfen (WP-CLI):

wp core verify-checksums
wp plugin verify-checksums --all

Administratoren auflisten:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Die WP-CLI-Befehle sind nach der Dokumentation geschrieben, aber nicht in einer Testumgebung ausgeführt. Prüfen Sie im Backend zusätzlich unter Benutzer die Administratoren und unter Plugins unbekannte oder veraltete Erweiterungen. In den Zugriffsprotokollen Ihres Hosters finden Sie auffällige POST-Anfragen an unbekannte PHP-Dateien.

Wenn Sie nach diesem Schritt unsicher sind, was die Treffer bedeuten, lassen Sie es von uns einordnen: Mit dem Sicherheitscheck prüfen wir Ihre Seite, bevor Sie etwas ändern.

Schritt 4: Sauber bereinigen

Die sichere Methode ist nicht Suchen und Löschen, sondern ein Neuaufbau aus sauberen Quellen. Die Bereinigung im Detail: WordPress Malware entfernen.

Die Schritte im Überblick:

• WordPress-Core, Plugins und Themes aus den Originalquellen neu einspielen, nicht aus dem infizierten Bestand.
• Eigene Inhalte (Uploads, Datenbank) einzeln prüfen. In der Datenbank kann Schadcode in Beiträgen, Optionen oder Widgets stecken.
• Unbekannte Administratoren, Cron-Jobs und Dateien in wp-content entfernen.
• Die wp-config.php prüfen und die Schlüssel (Salts) neu erzeugen, damit bestehende Sitzungen ungültig werden.
• Ein sauberes Backup aus der Zeit vor dem Befall ist die schnellste Variante, wenn Sie die Wiederherstellung vorher testen.

Hier passieren die meisten Fehler: Übersehene Hintertüren führen nach Tagen zur erneuten Infektion. Unsere Festpreis-Bereinigung bei einer gehackten WordPress-Seite beginnt ab 249 € einmalig zuzüglich MwSt. Den verbindlichen Festpreis nennen wir nach der Diagnose, bevor wir anfangen.

Schritt 5: Die Ursache finden und schließen

Ohne diesen Schritt kommt der Angreifer wieder. Häufige Ursachen sind veraltete oder aufgegebene Plugins und Themes mit bekannten Lücken, gestohlene oder schwache Passwörter ohne Zwei-Faktor-Schutz, nicht mehr genutzte Administratorkonten, unsichere Dateirechte und ein anderes befallenes Projekt auf demselben Hosting-Account. Die Logs und der Zeitpunkt der ersten geänderten Datei zeigen oft den Einstiegspunkt. Die Ursachenanalyse ist Teil unserer Bereinigung mit Härtung ab 549 € einmalig zuzüglich MwSt.

Schritt 6: Google, Daten und Pflichten klären

Prüfen Sie in der Search Console, ob Google Ihre Seite als gefährlich markiert hat, und beantragen Sie bei Bedarf eine Überprüfung. Wenn personenbezogene Daten betroffen sein könnten (Kontaktformulare, Shop), kann eine Meldepflicht nach DSGVO bestehen, in der Regel innerhalb von 72 Stunden nach Bekanntwerden. Lassen Sie das im Einzelfall rechtlich prüfen.

Schritt 7: Danach dauerhaft absichern

Halten Sie Core, Plugins und Themes aktuell und entfernen Sie alles, was Sie nicht nutzen. Aktivieren Sie die Zwei-Faktor-Anmeldung für alle Administratoren. Vergeben Sie nur die nötigen Rechte. Richten Sie automatische Backups mit getrenntem Speicherort ein und testen Sie die Wiederherstellung. Eine Überwachung meldet Änderungen früh. Das übernimmt unsere WordPress-Wartung mit Überwachung ab 129 € pro Monat zuzüglich MwSt., mit geprüften Updates, Backups mit Restore-Test und Monitoring.

Selbst machen oder Hilfe holen?

Sie können es selbst versuchen, wenn Sie Zugriff auf Dateien und Datenbank haben, ein sauberes Backup besitzen und die Ursache finden. Holen Sie Hilfe, wenn die Ursache unklar bleibt, wenn ein Shop oder personenbezogene Daten betroffen sind, wenn der Hoster die Seite gesperrt hat oder wenn die Seite nach der Bereinigung erneut befallen wird. Dann zählt jede Stunde auch für Ihr Geschäft. Schildern Sie uns in zwei Minuten, was Sie sehen: Hack-Notfallhilfe anfragen.

Häufige Fragen

WordPress gehackt, was tun als Erstes?

Sichern Sie den jetzigen Zustand, nehmen Sie die Seite vom Netz und ändern Sie die Passwörter von Hoster, FTP, Datenbank und WordPress. Löschen Sie noch nichts.

Kann ich eine gehackte Website selbst bereinigen?

Oft ja, wenn Sie sauber vorgehen. Das Risiko liegt in übersehenen Hintertüren. Bei Unsicherheit lohnt sich ein Blick von außen.

Hilft ein Sicherheits-Plugin gegen einen laufenden Hack?

Ein Scanner findet bekannte Muster, bietet aber keine Garantie. Er ersetzt weder den Neuaufbau noch die Ursachenanalyse.

Was kostet die Bereinigung einer gehackten Website?

Bei uns beginnt die Hack-Bereinigung ab 249 € einmalig zuzüglich MwSt., der verbindliche Festpreis folgt nach der Diagnose.

Muss ich den Hack melden?

Wenn personenbezogene Daten betroffen sein können, kommt eine Meldepflicht nach DSGVO in Betracht. Lassen Sie das im Einzelfall rechtlich prüfen.

Gilt das auch für andere Systeme als WordPress?

Das Vorgehen ist bei Joomla, TYPO3 oder Shopware ähnlich. Die Befehle und Prüfsummen sind WordPress-spezifisch.

Ihre Seite ist gehackt? Wir kümmern uns.

Sie müssen das nicht allein klären. Mit der Hack-Notfallhilfe bereinigen wir Ihre Seite, bringen sie wieder ins Netz und schließen die Lücke. Ein Entwickler meldet sich laut Landingpage innerhalb von 60 Minuten. Wenn Sie erst prüfen lassen möchten, starten Sie mit dem Sicherheitscheck.