Sie wachen eines Morgens auf und stellen fest, dass Ihre WordPress-Website zu einer Online-Casino-Filiale mutiert oder stillschweigend auf einer Google-Sperrliste gelandet ist. Kommt Ihnen das bekannt vor? Ein Hack zerstört mehr als nur Dateien auf dem Server: Der Traffic bricht auf null ein, die Suchmaschinenplatzierungen stürzen ab und das Geschäft steht für Tage, manchmal Wochen still.

Der schlimmste Moment ist, wenn der Hosting-Support die Hände hebt: „Die Backups sind ebenfalls infiziert, wir können nicht helfen." Eine typische Geschichte für Tausende von Website-Betreibern, besonders bei günstigen Shared-Hosting-Tarifen.

Die gute Nachricht: Selbst eine vollständig kompromittierte Website lässt sich an einem Abend bereinigen und wiederherstellen. Ohne eine Armee von Programmierern oder teure Verträge mit Sicherheitsfirmen. Sie brauchen einen kühlen Kopf, die richtige Reihenfolge der Schritte und ein Verständnis dafür, wo sich Schadcode versteckt.

💡 Kurzüberblick:

• Umfang bewerten: Haben Sie Admin-Zugriff, was sagt der Hoster, welche Dateien sind betroffen
• Kontaktieren Sie Ihren Hosting-Anbieter und lassen Sie sich eine Liste der infizierten Dateien geben
• Entfernen oder ersetzen Sie kompromittierte Dateien per cPanel, FTP oder WP-CLI
• Stellen Sie eine saubere Version der Website aus einem Backup wieder her oder installieren Sie den Core neu
• Ändern Sie ALLE Passwörter, Sicherheitsschlüssel in der wp-config.php und schließen Sie die Eintrittspforte
• Beantragen Sie die Entfernung aus Google- und Hosting-Sperrlisten

Schritt 1: Umfang bewerten und Ruhe bewahren

Prüfen Sie zuerst, ob das Admin-Panel erreichbar ist. Wenn wp-admin Sie einlässt und Sie sich anmelden können, ist die Situation behebbar, oft innerhalb einer Stunde. Ist der Zugriff blockiert, müssen Sie über das Hosting-Panel oder FTP arbeiten, aber auch das ist kein Todesurteil.

Zweitens: Löschen Sie nicht in Panik die gesamte Website. In 90% der Fälle sind bestimmte Dateien infiziert, nicht die gesamte WordPress-Installation. Rufen Sie die Google Search Console auf, den Tab „Sicherheit". Dort finden Sie URLs, die Google als schädlich gekennzeichnet hat. Das gibt Ihnen ein erstes Gefühl für den Umfang.

Drittens: Kontaktieren Sie sofort Ihren Hoster. Nicht „Wir wurden gehackt, Hilfe", sondern konkret: „Senden Sie mir eine Liste der veränderten Dateien mit Zeitstempeln und Protokollen verdächtiger Aktivitäten der letzten 72 Stunden." Der Hoster hat Server-Logs, erkennt Anomalien und kann eine exakte Liste der infizierten Dateien liefern.

Wenn der Support auf Zeit spielt, eskalieren Sie: Rufen Sie an, posten Sie in den sozialen Medien des Unternehmens, eröffnen Sie ein weiteres Ticket. Die meisten Hoster nehmen öffentliche Anfragen ernst, da ein Reputationsschaden mehr kostet als eine Stunde Ingenieurszeit.

Schritt 2: Infizierte Dateien finden und entfernen

Sobald Sie die Liste der infizierten Dateien von Ihrem Hoster erhalten oder durch einen Scanner entdeckt haben, gehen Sie methodisch vor. Die Reihenfolge ist entscheidend: Übersehen Sie eine Hintertür, ist der Hacker innerhalb von 24 Stunden zurück.

Erstellen Sie eine vollständige Kopie der Website. Laden Sie ALLE Dateien per FTP oder SFTP auf Ihren lokalen Rechner herunter. Auch die infizierten, denn sie sind nützlich für die Analyse und als Absicherung, falls etwas schiefgeht.

Installieren Sie den WordPress-Core neu. Löschen Sie die Ordner wp-admin und wp-includes vollständig, laden Sie dann ein frisches ZIP von wordpress.org herunter und entpacken Sie es über die bestehenden Dateien. Ersetzen Sie alles außer wp-content und wp-config.php. So stellen Sie sicher, dass die Systemdateien sauber sind.

Prüfen Sie wp-content. Plugins und Themes sind die Hauptziele für Angreifer. Ist ein Plugin infiziert, löschen Sie dessen Ordner vollständig und installieren Sie es aus dem offiziellen Repository neu. Ist ein Theme infiziert und Sie nutzen ein Child-Theme, war höchstwahrscheinlich nur das Parent-Theme betroffen, also installieren Sie es neu.

Suchen Sie nach Schadcode-Signaturen. Klassische Marker für PHP-Shells und Backdoors: eval und base64_decode sind die häufigsten. Suchen Sie auch nach gzinflate, str_rot13 und assert. Führen Sie eine Grep-Suche über alle .php-Dateien durch. Prüfen Sie versteckte Dateien: .htaccess, php.ini und .ico-Dateien mit PHP-Code darin. Hacker lieben es, Backdoors als harmlose Icons zu tarnen.

Schritt 3: Website aus einer sauberen Kopie wiederherstellen

Wenn Sie ein Backup haben und es sauber ist, haben Sie Glück: Die Wiederherstellung dauert 15 bis 20 Minuten. Gehen Sie zu Ihrem Backup-Plugin oder Hosting-Panel, wählen Sie einen Wiederherstellungspunkt VOR dem Hack-Datum und starten Sie den Prozess. Führen Sie unmittelbar nach der Wiederherstellung einen Sicherheitsscanner aus: Die Hintertür könnte lange vor dem aktiven Angriff platziert worden sein.

Kein Backup? Installieren Sie WordPress über das Admin-Panel neu: „Updates" → „Neu installieren". Das aktualisiert den Core, lässt aber Plugins und Themes unberührt, und Sie müssen diese manuell prüfen, wie in Schritt 2 beschrieben.

Stellen Sie nach der Wiederherstellung sicher, dass die Website lädt, und fahren Sie sofort mit Schritt 4 fort. Der Angreifer könnte versuchen, innerhalb von Stunden über eine verbliebene Hintertür zurückzukehren.

Schritt 4: Alle Zugangsdaten und Schlüssel ändern

Zuerst und am dringendsten: Generieren Sie neue WordPress Security Keys. Fügen Sie diese in die wp-config.php ein und ersetzen Sie die alten. Dadurch werden ALLE aktiven Sitzungen sofort beendet, einschließlich der Sitzung des Angreifers, falls dieser noch im Admin-Bereich eingeloggt ist.

Ändern Sie anschließend alles auf dieser Liste, ohne etwas auszulassen:

• Das WordPress-Administratorpasswort und das aller Benutzer mit der Rolle „Administrator"
• Das Passwort für den Hosting-Account: cPanel, ISPmanager oder ein kundenspezifisches Panel
• Das MySQL-Datenbankpasswort und aktualisieren Sie es in der wp-config.php
• Das FTP- oder SFTP-Passwort
• Das Passwort für das E-Mail-Konto, das mit der Site-Administration verknüpft ist
• API-Schlüssel: Google Search Console, CDN, E-Mail-Dienste, Zahlungsgateways

Prüfen Sie die Tabelle wp_users in der Datenbank: Gibt es unbekannte Benutzer mit Administratorrechten? Falls Sie welche finden, löschen Sie diese sofort. Dies ist eine klassische Angriffsspur: Der Hacker legt ein verstecktes Konto an und kehrt nach Ihrer „Bereinigung" darüber zurück.

Schritt 5: Entfernung aus Blacklists beantragen

Nach der Bereinigung kann die Seite noch mehrere Tage auf den Blacklists von Google Safe Browsing erscheinen. Browser zeigen einen roten Warnbildschirm an, selbst wenn der schädliche Code bereits entfernt wurde. Gehen Sie zum Search Console-Sicherheitsbereich, zum Tab „Sicherheitsprobleme" und klicken Sie auf „Überprüfung beantragen". Google entfernt die Markierung in der Regel innerhalb von 24 bis 72 Stunden.

Kontaktieren Sie gleichzeitig Ihren Hoster: Möglicherweise hat dieser Ihre IP oder Domain auf eine interne Blacklist gesetzt, wodurch die Seite trotz Bereinigung nicht geladen werden kann. Erläutern Sie, dass die Bereinigung abgeschlossen ist, und bitten Sie um Aufhebung der Sperre.

Nachdem alle Markierungen entfernt wurden, prüfen Sie die Seite im Inkognito-Modus. Sie sollte ohne Sicherheitswarnungen laden. Erstellen Sie einen Screenshot, dieser kann nützlich sein, falls die Sperre zurückkehrt.

Schritt 6: Einfallstor schließen und Schutz verstärken

Die Bereinigung ist nur die halbe Miete. Wenn Sie das Einfallstor nicht schließen, erfolgt der zweite Hack um ein Vielfaches schneller als der erste. Sie kennen nun den genauen Angriffsvektor, nutzen Sie also dieses Wissen.

Installieren Sie eine Firewall. Wordfence bietet eine Endpoint-Firewall und einen Signatur-Scanner, die kostenlose Version ist für die meisten Seiten ausreichend. Solid Security (ehemals iThemes Security) ergänzt eine Reihe von Härtungsregeln: Änderung des Datenbank-Präfixes, Deaktivierung des Datei-Editors im Admin-Bereich und Zwei-Faktor-Authentifizierung. Mindestausstattung: eine Firewall plus einen Scanner.

Binden Sie eine Cloud-WAF ein. Cloudflare mit WordPress-Regeln oder Sucuri filtern den Datenverkehr, bevor er den Server erreicht. Nach einem Hack ist dies kein Luxus, sondern eine Notwendigkeit: Eine Cloud-WAF blockiert bösartige Anfragen auf DNS-Ebene und reduziert die Last auf Ihrer Seite.

Richten Sie eine Dateiintegritätsüberwachung ein. Wordfence und Solid Security können Sie bei jeglichen Änderungen an PHP-Dateien alarmieren. Sie erfahren von einem erneuten Angriff noch in derselben Minute und nicht erst eine Woche später, wenn Google die Seite als schädlich einstuft.

Überprüfen Sie Ihre Plugin-Liste. Jedes nicht benötigte Plugin ist ein potenzielles Einfallstor. Entfernen Sie alles, was Sie nicht verwenden. Aktualisieren Sie die verbleibenden auf die neuesten Versionen und aktivieren Sie, wo möglich, automatische Updates.

Wie Sie WordPress künftig vor Hacks schützen

Prävention kostet ein Vielfaches weniger als die Wiederherstellung. Hier ist, was Sie jetzt tun müssen, selbst wenn Ihre Website noch nicht gehackt wurde.

Umzug auf Managed Hosting

Vier Dollar im Monat für einen Shared-Hosting-Tarif sind ein verlockender Preis. Wenn Ihre Website jedoch mit Hunderten anderen auf demselben Server liegt, erreicht ein Hack bei einem Ihrer Nachbarn mit an Sicherheit grenzender Wahrscheinlichkeit auch Sie. Cross-Site-Kontamination auf Shared Hosting ist keine Theorie: Laut Sucuri ist etwa ein Drittel der infizierten WordPress-Seiten auf Shared-Plattformen gehostet.

Managed WordPress Hosting (WP Engine, Kinsta, Cloudways) bietet eine isolierte Umgebung, automatische tägliche Backups und ein rund um die Uhr verfügbares Sicherheitsteam. Ja, es ist um ein Vielfaches teurer als ein Shared-Tarif. Aber eine Woche Ausfallzeit nach einem Hack kostet mehr als ein Jahresabo für gutes Hosting.

Prüfen Sie bei der Auswahl eines Hosters drei Dinge: Ist Ihre Umgebung von Nachbarn isoliert, gibt es automatische tägliche Backups und wie schnell reagiert der Support auf Sicherheitsvorfälle. Die Antworten auf diese Fragen sind der beste Indikator dafür, ob Sie den nächsten Hack ohne Verluste überstehen.

Core, Themes und Plugins aktuell halten

Die überwiegende Mehrheit erfolgreicher WordPress-Hacks erfolgt über bekannte Schwachstellen in Plugins und Themes, genau jene, die die Entwickler bereits mit Patches geschlossen haben. Angreifer scannen das Internet automatisch nach Websites mit ungepatchten Versionen, oft innerhalb von 48 Stunden nach Veröffentlichung einer CVE.

Automatische Updates für den WordPress-Core sind seit Version 5.5 standardmäßig aktiviert. Für Plugins und Themes aus dem offiziellen WordPress.org-Repository aktivieren Sie Auto-Updates selektiv, da dies sicher ist. Premium-Plugins von eigenen Websites sollten manuell aktualisiert werden, jedoch mindestens einmal pro Woche.

Und ja, erstellen Sie vor jedem größeren Update ein Backup. Immer.

Backup einrichten

Ohne ein aktuelles Backup wird die Wiederherstellung nach einem Hack zur manuellen Durchsicht Zehntausender Dateien. Mit einem Backup sind es fünf Klicks und eine halbe Stunde Wartezeit.

Jetpack VaultPress Backup erstellt inkrementelle Backups in Echtzeit mit Speicherung in der Automattic-Cloud. BlogVault ist auf WordPress spezialisiert und kann eine Website selbst dann wiederherstellen, wenn das Admin-Panel nicht erreichbar ist. BackWPup ist eine kostenlose Option mit Zeitplanung und Upload zu Dropbox, S3 oder Google Drive.

Der Goldstandard: ein Cloud-Backup plus ein lokales Backup, das Sie einmal pro Woche auf Ihren Computer herunterladen. Das Cloud-Backup rettet Sie, wenn der Hoster ausfällt, und das lokale, wenn auch das Cloud-Konto kompromittiert wird.

Zwei-Faktor-Authentifizierung aktivieren

Ein Passwort wie admin123 oder qwerty ist eine offene Einladung. Brute-Force-Angriffe auf wp-login.php laufen rund um die Uhr, und einfache Passwörter sind in Sekunden geknackt. Generieren Sie mindestens 20 Zeichen lange Passwörter über einen Passwort-Manager (Bitwarden oder 1Password) und verwenden Sie niemals dasselbe Passwort auf mehreren Websites.

Die Zwei-Faktor-Authentifizierung über Wordfence Login Security oder Two Factor schließt den Brute-Force-Vektor nahezu vollständig: Selbst wenn ein Angreifer das Passwort kennt, kommt er ohne den TOTP-Code von Ihrem Telefon nicht hinein.

Und ändern Sie die Standard-Login-URL von /wp-admin und /wp-login.php auf eine individuelle Adresse. Das ist kein Allheilmittel, schneidet aber die überwiegende Mehrheit automatisierter Bots ab, die blind auf Standard-Endpunkte einhämmern.

⁉️🤔 Häufig gestellte Fragen

Kann ich eine Website ohne Backup wiederherstellen?

Ja, aber der Prozess ist länger und komplexer. Installieren Sie den WordPress-Kern über das Administrationspanel neu, prüfen Sie jedes Plugin und Theme manuell auf schädlichen Code anhand von Signaturen wie eval, base64_decode und gzinflate in .php-Dateien. Ändern Sie alle Passwörter und Sicherheitsschlüssel. Inhalte sind in der Regel nicht betroffen: Sie befinden sich in der Datenbank, die Hacker selten anfassen. Eine vollständige Bereinigung ohne Backup dauert je nach Website-Größe 2 bis 4 Stunden.

Wie erkenne ich, ob meine Website gehackt wurde?

Anzeichen: Die Google Search Console zeigt eine Sicherheitswarnung, der Browser blockiert die Website mit einem roten Bildschirm, der Traffic ist stark eingebrochen, in den Suchergebnissen erscheinen fremde Seiten, das Administrationspanel akzeptiert das korrekte Passwort nicht oder der Hoster hat eine Benachrichtigung über verdächtige Aktivitäten gesendet. Schnellcheck: Führen Sie den kostenlosen Scanner Sucuri SiteCheck aus, der bekannte Infektionen in einer Minute anzeigt.

Was tun, wenn der Hoster nicht hilft?

Wechseln Sie den Hoster. Wenn der Anbieter innerhalb von 24 Stunden nach dem Vorfall keine Liste infizierter Dateien und Server-Logs bereitstellt, existiert sein Sicherheitsteam entweder nicht oder ist überlastet. Für eine geschäftliche Website ist das kein Partner. Besorgen Sie sich während der Wiederherstellung einen minimalen Managed-Hosting-Tarif, verschieben Sie eine saubere Kopie der Website dorthin und kündigen Sie das alte Konto.

Reicht die Schaltfläche „Neu installieren" im Administrationspanel?

Nein. Die Schaltfläche „Neu installieren" im Bereich „Updates" ersetzt nur die WordPress-Kerndateien. Sie berührt keine infizierten Plugins, Themes, versteckten Backdoors in wp-content oder schädlichen Einträge in .htaccess. Sie benötigen den vollständigen Zyklus: Scannen, Ersetzen infizierter Dateien, Zurücksetzen von Passwörtern und Schlüsseln sowie Überprüfen der Datenbank auf versteckte Administratoren.

Lohnt es sich, für eine professionelle Bereinigung zu bezahlen?

Wenn die Website Umsatz generiert und Ausfallzeiten mehr als ein paar hundert Euro pro Tag kosten, ja, beauftragen Sie einen Spezialisten. Sucuri bietet eine einmalige Website-Bereinigung an, es gibt Freelancer auf Codeable und spezialisierte WordPress-Agenturen. Für einen kleinen Blog oder eine Landingpage reicht die obige Anleitung aus: Die Bereinigung dauert einen Abend, und das gesparte Geld können Sie in ordentliches Hosting investieren.

Wie lange dauert es, bis die Website ihre Suchrankings wiedererlangt?

Nachdem die Google Search Console die Sperre aufgehoben hat, wird die Website innerhalb weniger Tage neu indexiert. Die Rankings kehren nicht sofort zurück: Algorithmen benötigen Zeit, um zu verifizieren, dass die Seiten sauber sind. Typischerweise dauert die vollständige Erholung 2 bis 4 Wochen. Entscheidend ist, das Einfallstor zu schließen, sonst macht der zweite Hack alle Fortschritte zunichte.

Website wiederhergestellt: Was tun, damit sich der Hack nicht wiederholt

Ein Hack ist ein Weckruf, der zeigt, wo Ihr Schutz versagt hat. Betrachten Sie ihn als kostenloses Sicherheitsaudit: Sie kennen jetzt den genauen Angriffsvektor und können ihn dauerhaft schließen.

Eine kurze Checkliste für die Zukunft:

• Verlagern Sie die Website zu Managed Hosting mit isolierter Umgebung
• Richten Sie tägliche Backups ein: eines in der Cloud, eines lokal
• Installieren Sie eine Firewall und einen Scanner, aktivieren Sie automatische Updates für Repository-Plugins
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für alle Administratoren
• Entfernen Sie ungenutzte Plugins und Themes

Das Gefährlichste nach einem Hack ist die Hoffnung, „es wird nicht wieder passieren". Ein zweiter Hack durch dasselbe Einfallstor kommt weitaus häufiger vor als der erste: Die Backdoor ist bereits vorhanden, und der Angreifer kennt die Adresse der Website. Gehen Sie die gesamte Checkliste bis zum Ende durch, schließen Sie den Zugangspunkt und schlafen Sie ruhig.