🚫 WordPress-site gehackt und deaktiviert: schritt-für-schritt-wiederherstellungsplan

Ihr Hoster hat Ihre Website wegen Spam-Versands gesperrt, und das Admin-Panel lässt sich nicht öffnen. Eine Panik, die jeder kennt, der WordPress länger als ein Jahr betreut. Hier ein Schritt-für-Schritt-Plan: von der Verhandlung mit dem technischen Support bis zur manuellen Bereinigung auf einem lokalen Server.

Die Situation wird dadurch erschwert, dass die Website physisch vom Netz getrennt ist. Sie können sich nicht im WordPress-Dashboard anmelden, einen bewährten Scanner wie Wordfence aufrufen und auf „Bereinigen" klicken. Daher ist die Reihenfolge hier umgekehrt: Zuerst verschaffen wir uns wieder Zugang, dann kümmern wir uns um die Infektion.

💡 Kurzüberblick:

• Kontaktieren Sie Ihren Hoster: Bitten Sie ihn, die Website mit einem HTTP-Passwortschutz zu öffnen und den E-Mail-Versand zu deaktivieren. So erhalten Sie Zugang für die Diagnose, ohne das Risiko erneuter Spam-Wellen.
• Weigert sich der Hoster, die Website wieder freizuschalten, erstellen Sie eine lokale Kopie mit XAMPP oder einem ähnlichen Stack, scannen Sie diese mit Sicherheits-Plugins und ersetzen Sie infizierte Dateien durch saubere Versionen.
• Ändern Sie nach der Bereinigung ALLE Passwörter: FTP, Datenbank, Hosting-Panel, WordPress-Administratorkonten. Aktualisieren Sie Core, Themes und Plugins auf die neuesten Versionen.
• Richten Sie einen Basisschutz ein: eine Firewall, Begrenzung der Anmeldeversuche, Zwei-Faktor-Authentifizierung. Überprüfen Sie Ihren eigenen Rechner auf Viren, eine häufige Quelle für Passwortlecks.

Warum Hoster gehackte Websites abschalten

Das klingt hart: Sie sind Kunde, Sie bezahlen für das Hosting, und die schalten einfach Ihre Website ab. Aber die Logik des Hosters ist einfach und, wenn man darüber nachdenkt, nachvollziehbar.

Eine gehackte WordPress-Website tut zwei gefährliche Dinge. Erstens versendet sie Spam über den Mailserver des Hosting-Anbieters. Tausende E-Mails gehen an willkürliche Adressen, und die Mail-IP landet auf einer Blacklist. Danach stellen alle Kunden auf diesem Server keine E-Mails mehr zu, und der Hoster wird mit Tickets von unschuldigen Nutzern überflutet.

Zweitens wird die Website zum Verteiler von Schadcode. Besuchern werden Trojaner, Phishing-Formulare oder versteckte Mining-Skripte untergeschoben. Google bemerkt das innerhalb weniger Stunden und versieht die Seite mit der Warnung „Diese Website kann Ihren Computer schädigen". Danach bricht der Traffic auf null ein, und die Website aus den Suchmaschinen-Blacklists zu befreien, ist eine ganz eigene Geschichte.

Der Hoster schaltet eine infizierte Website nicht ab, um Sie zu bestrafen. Er schützt seine Infrastruktur und den Rest seiner Kunden. Sie können mit ihm verhandeln, und das ist der erste Schritt.

Schritt 1: Verhandlung mit dem Hoster

Schreiben Sie dem technischen Support direkt nach Erhalt der Sperrbenachrichtigung und schlagen Sie einen Kompromiss vor. Fordern Sie nicht: „Schalten Sie die Seite wieder frei, und fertig." Bieten Sie einen konkreten Plan an:

• Website mit einem HTTP-Passwortschutz öffnen. Das ist eine Standardfunktion von Apache/Nginx; beim Besuch der Website fragt der Browser nach einem Benutzernamen und Passwort. Besucher und Suchmaschinen sehen die Website nicht, Sie hingegen schon und können mit dem Admin-Panel arbeiten.
• Die Mail-Funktion des Hostings deaktivieren. Wenn der Spam über PHP mail() lief, kann der Hoster den Versand für Ihren Account vorübergehend sperren. Das Risiko erneuter Mailings entfällt, und der Hoster ist beruhigter.

In den meisten Fällen kooperiert der technische Support. Für den Hoster ist es rentabler, wenn Sie die Website bereinigen und Kunde bleiben, als einen Kunden zu verlieren und einen toten Account auf dem Server zu haben.

Haben Sie Zugang mit Passwortschutz erhalten? Fahren Sie mit der Bereinigung fort (Schritt 3). Konnten Sie keine Einigung erzielen? Siehe Schritt 2.

Schritt 2: Wiederherstellung ohne Website-Zugang

Der Hoster weigert sich, die Website freizuschalten, selbst mit Passwortschutz. Das kommt bei günstigen Shared-Tarifen vor oder wenn der Spam-Schaden bereits zu groß ist. Sie haben drei Wege.

2.1. Lokale Kopie mit XAMPP

Laden Sie das Website-Archiv über den Dateimanager des Hostings herunter (oder fordern Sie ein Backup beim technischen Support an) und exportieren Sie die Datenbank über phpMyAdmin. Spielen Sie die Kopie auf Ihrem lokalen Rechner mit XAMPP, LocalWP oder Laragon ein.

Dann das Standardverfahren: Installieren Sie Wordfence, den beliebtesten kostenlosen Scanner mit Malware-Signaturen und einer Firewall. Führen Sie einen vollständigen Scan durch, löschen Sie alle gefundenen infizierten Dateien oder ersetzen Sie sie durch Originale aus einer frischen WordPress-Distribution. Führen Sie Sucuri Scanner aus, um die Core-Integrität zu prüfen. Laden Sie die bereinigte Website wieder auf das Hosting hoch.

Die Methode funktioniert, erfordert aber ein grundlegendes Verständnis dafür, wie WordPress unter der Haube arbeitet.

2.2. Liste infizierter Dateien vom Hoster

Bitten Sie den technischen Support, Ihnen eine Liste der als bösartig erkannten Dateien zu senden. Hoster nutzen oft ClamAV oder ein ähnliches serverseitiges Tool und können die konkreten Dateien sehen. Sobald Sie die Liste haben, laden Sie diese Dateien per FTP herunter, öffnen Sie sie in einem Editor und entfernen Sie die verdächtigen Einschübe, meist verschleierter PHP-Code am Anfang oder Ende der Datei.

Bei WordPress-Core-Dateien und gängigen Plugins ist es einfacher, sie nicht manuell zu bereinigen, sondern mit Originalversionen aus dem offiziellen Repository zu überschreiben. Bitten Sie den Hoster nach dem Austausch um einen erneuten Scan der Website und, falls keine Bedrohungen mehr vorliegen, um die Freischaltung des Zugangs.

2.3. Sicherheitsspezialist

Wenn die Infektion umfangreich ist und Sie keine Zeit haben, sich darum zu kümmern, beauftragen Sie einen professionellen Spezialisten. Die Kosten für eine einmalige Bereinigung hängen von der Komplexität ab: Basis-Scanning und Malware-Entfernung liegen zwischen eineinhalb- und fünfhundert Dollar. Dienste wie Sucuri bieten ein „Cleanup & Protect"-Paket mit Garantie und jährlichem Monitoring an.

Tipp: Bevor Sie einen Spezialisten kontaktieren, fordern Sie dennoch ein Backup der Dateien und der Datenbank beim Hoster an. Das sind Ihre Daten, und der Hoster ist verpflichtet, sie bereitzustellen.

Schritt 3: Bereinigung der Website nach Wiedererlangung des Zugangs

Sie haben Zugang zum Admin-Panel. Gehen Sie nun methodisch die Checkliste durch.

Vollständiges Backup. Selbst ein infiziertes. Kopieren Sie alle Dateien per FTP und erstellen Sie einen Datenbank-Dump. Während der Bereinigung können Sie versehentlich etwas zerstören, das noch funktionierte; ein Backup schützt vor fatalen Fehlern.

Scanning. Installieren Sie Wordfence; die kostenlose Version findet Malware anhand von Signaturen und gleicht Theme- und Plugin-Dateien mit den Originalen aus dem Repository ab. Führen Sie parallel Sucuri Scanner aus, der auf Core-Integritätsprüfungen spezialisiert ist. Zwei Scanner finden mehr als einer.

Passwörter ändern. Alle, und zwar sofort: WordPress-Administratorkonten, FTP-Zugang, MySQL-Datenbankbenutzer, Hosting-Panel-Passwort. Generieren Sie lange Zufallspasswörter. Aktivieren Sie die Zwei-Faktor-Authentifizierung für das Admin-Panel; Wordfence kann das standardmäßig.

Aktualisierung. Installieren Sie die neueste WordPress-Version, aktualisieren Sie alle Plugins und Themes. Löschen Sie ungenutzte Plugins; jedes einzelne ist ein potenzieller Eintrittspunkt.

Schritt 4: Schutz vor erneutem Hack

Bereinigt, jetzt absichern, damit es nicht in einer Woche wieder passiert.

• Firewall auf Website-Ebene. Wordfence enthält eine Web Application Firewall, die bekannte Angriffsvektoren blockiert, bevor sie WordPress überhaupt erreichen. Die kostenlose Version ist für nicht-typische Projekte ausreichend.
• Begrenzung der Anmeldeversuche. Brute Force ist die häufigste Hack-Methode. Ein Plugin wie Limit Login Attempts Reloaded sperrt eine IP nach 3-5 Fehlversuchen.
• Regelmäßige Updates. Automatische Updates für kleinere WordPress-Versionen sind standardmäßig aktiviert; richten Sie für Plugins und Themes Benachrichtigungen ein oder nutzen Sie Managed Hosting mit automatischen Updates.
• PC-Prüfung. Wenn das Admin-Passwort durch einen Trojaner auf Ihrem Rechner abgeflossen ist, hilft ein Passwortwechsel auf dem Server nichts. Führen Sie einen Virenscanner aus (Malwarebytes, die kostenlose Version bewältigt die meisten Bedrohungen) und überprüfen Sie die Browser-Erweiterungen.

Ein separater Punkt: Backups. Richten Sie automatische Backups ein, mindestens einmal täglich. Das Plugin UpdraftPlus sichert kostenlos auf Google Drive, Dropbox oder einen separaten FTP-Server. Beim nächsten Vorfall stellen Sie die Website in 10 Minuten wieder her, nicht einen ganzen Abend lang.

⁉️🤔 Häufige Fragen

Ist der Hoster verpflichtet, ein Backup einer gehackten Website bereitzustellen?

Dateien und Datenbank sind Ihre Inhalte; der Hoster hat kein Recht, sie zurückzuhalten. Der technische Support ist verpflichtet, ein Archiv auch von einem gesperrten Account bereitzustellen. In der Praxis löst eine Anfrage über das Ticketsystem das Problem innerhalb eines Tages.

Kann ich nicht einfach WordPress neu installieren und ein Backup einspielen?

Nein, denn die Infektion steckt oft in der Datenbank oder im Uploads-Ordner, nicht nur in den Core-Dateien. Eine einfache Neuinstallation und das Einspielen der alten Datenbank bringt die Infektion mit hoher Wahrscheinlichkeit zurück. Sie benötigen gezielt ein Scanning und eine Bereinigung der laufenden Website.

Was, wenn Google die Website als gefährlich eingestuft hat?

Gehen Sie nach einer vollständigen Bereinigung in die Google Search Console, suchen Sie den Bereich „Sicherheit & manuelle Maßnahmen" und beantragen Sie eine Überprüfung. Google scannt die Website innerhalb von 24-72 Stunden erneut und entfernt die Warnung. Ein ähnliches Verfahren gibt es in den Bing Webmaster Tools.

Welche Sicherheits-Plugins sind ein Muss?

Das Minimum für jede Website: Wordfence (Firewall + Scanner) und Limit Login Attempts Reloaded (Brute-Force-Schutz). Das reicht aus, um vor massenhaften automatisierten Angriffen zu schützen. Wenn die Website kommerziell ist, ergänzen Sie Zwei-Faktor-Authentifizierung und Dateiintegritätsüberwachung.

Hilft ein Wechsel zu Managed Hosting?

Ja, Managed WordPress Hosting (Kinsta, WP Engine, SiteGround) übernimmt einen erheblichen Teil der Sicherheit: Firewall auf Server-Ebene, automatische Updates, isolierte Container. Das macht grundlegende Maßnahmen auf Website-Ebene nicht überflüssig, reduziert aber die Wahrscheinlichkeit eines Hacks und vereinfacht die Wiederherstellung.

Website gehackt und gesperrt: Abschließende Checkliste

Die Handlungsabfolge passt in vier Punkte. Verhandeln Sie mit dem Hoster über einen passwortgeschützten Zugang. Falls nicht, erstellen Sie eine lokale Kopie und scannen Sie dort. Ändern Sie nach der Bereinigung Passwörter und aktualisieren Sie alles auf die neuesten Versionen. Richten Sie eine Firewall, Brute-Force-Schutz und tägliche Backups ein.

Wenn die Website kommerziell ist und Ausfallzeiten teuer sind, ziehen Sie einen Wechsel zu Managed WordPress Hosting in Betracht oder beauftragen Sie einen Spezialisten mit der Einrichtung einer mehrschichtigen Verteidigung.

Wie haben Sie Ihre Website nach einer Hoster-Sperre wiederhergestellt? Teilen Sie Ihre Erfahrung in den Kommentaren.