Aller au contenu principal
AIFORYA

Meine WordPress-Website wurde gehackt: was tun, in 10 Schritten

Par AIFORYA — 26. Juli 2026 — 12 min de lecture

Auf dieser Seite (15)

Wenn Sie das im Notfall lesen, fangen Sie hier an: löschen Sie nichts, installieren Sie noch nichts neu. Der teuerste Fehler in der ersten halben Stunde ist nicht schlechtes Aufräumen — es ist, die Spuren zu tilgen, bevor Sie verstanden haben, wie der Angreifer hereinkam. Ohne diese Information bereinigen Sie, und Sie werden binnen Tagen erneut infiziert, meist durch dieselbe Tür.

Diese Anleitung gibt die zehn Schritte in der richtigen Reihenfolge, mit dem, was jeweils zu prüfen ist. Sie ist für jemanden geschrieben, der seine Website betreibt, ohne Systemadministrator zu sein. Rechnen Sie mit zwei bis vier Stunden für einen einfachen Fall; länger, wenn die Website groß ist oder das Hosting geteilt und langsam.

Die Anzeichen, die Sie hierhergeführt haben, sind wahrscheinlich eines davon: Die Website leitet Besucher auf eine unbekannte Seite um, Google zeigt „Diese Website kann Ihren Computer schädigen", fremdsprachige Seiten sind in den Suchergebnissen aufgetaucht, der Zugang zur Verwaltung wird verweigert, oder Ihr Hoster hat das Konto gesperrt. Alle führen zum selben Vorgehen.

Inhalt

Schritt 0: die ersten fünf Minuten

Drei Reflexe, in dieser Reihenfolge.

Fassen Sie nichts von dem Rechner aus an, der kompromittiert sein könnte. Ist Ihr Arbeitsplatz infiziert, bedeutet ein Passwortwechsel von dort, dem Angreifer die neuen Passwörter zu übergeben. Nehmen Sie einen anderen Rechner oder ein Telefon.

Löschen Sie die Protokolle nicht. Die Zugriffsprotokolle Ihres Hosters (oft 7 bis 30 Tage Aufbewahrung) sind das Einzige, was Ihnen sagt, wo es hereinkam. Fordern Sie sie sofort an, wenn Ihr Tarif keinen Zugriff gibt: sie verfallen.

Informieren Sie Ihren Hoster. Viele haben ein eigenes Team, und vor allem: Wenn Ihr Server Spam versendet, sperren sie Sie ohne Vorwarnung. Sie informiert zu haben, verändert dieses Gespräch.

Schritt 1: den infizierten Zustand sichern

Widersinnig und trotzdem unerlässlich. Machen Sie eine vollständige Kopie — Dateien und Datenbank — des jetzigen, infizierten Zustands und legen Sie sie offline ab.

Drei Gründe: Sie ist Ihr Netz, falls die Bereinigung die Website zerlegt; sie ist die einzige brauchbare Spur, um den Angriff zu verstehen; und wenn personenbezogene Daten betroffen sind, ist sie das, womit Sie dokumentieren können, was geschehen ist (siehe Schritt 10).

Benennen Sie sie klar, mit Datum und dem Wort „INFIZIERT", und stellen Sie sie niemals versehentlich wieder her.

Schritt 2: den Zugang kappen, ohne alles zu zerstören

Wenn die Website Weiterleitungen oder schädliche Inhalte ausliefert, verschlimmert jeder weitere Besucher Ihre Lage in den Augen von Google und Ihres Hosters.

Der richtige Griff ist die Wartungsseite auf Serverebene, nicht das Löschen der Website. Sie behalten die Inhalte, Besucher sehen eine ehrliche Nachricht, und Suchmaschinen erhalten einen HTTP-503 (vorübergehend nicht verfügbar), der Ihre Sichtbarkeit nicht zerstört — anders als eine Website, die tagelang mit Fehlern antwortet.

Schritt 3: die Kontrolle über die Konten zurückholen

Ändern Sie alle Passwörter, von einem sauberen Rechner aus, in dieser Reihenfolge: Hosting, FTP/SFTP, Datenbank, WordPress-Administratorkonten, zugehöriges Postfach. Eine einzige Auslassung genügt, um von vorn anzufangen.

Öffnen Sie danach die WordPress-Benutzerliste und suchen Sie, was dort nicht hingehört: einen Administrator, den Sie nicht kennen, ein kürzlich angelegtes Konto, oder ein bestehendes Konto, dessen Rolle auf Administrator angehoben wurde. Löschen Sie sie nicht sofort — notieren Sie zuerst E-Mail-Adresse und Registrierungsdatum; das ist nützliche Information über den Einstieg. Danach herabstufen oder löschen.

Prüfen Sie auch Schlüssel und Zugriffstoken: API-Schlüssel, Anwendungspasswörter, Verbindungen zu Drittdiensten. Sie sind die klassischen Überbleibsel einer Bereinigung und bleiben nach einem Passwortwechsel gültig.

Schritt 4: alle offenen Sitzungen beenden

Ein Passwortwechsel meldet niemanden ab, der bereits angemeldet ist: Sein Sitzungs-Cookie bleibt gültig. Ein Angreifer mit offener Sitzung behält sie.

Der Kniff besteht darin, die Sicherheitsschlüssel von WordPress (die „Salts") in wp-config.php neu zu erzeugen. WordPress stellt dafür einen offiziellen Generator bereit. Ersetzen Sie sie, entwerten Sie auf einen Schlag alle bestehenden Sitzungen, auch Ihre eigene: Sie müssen sich neu anmelden — der Angreifer auch, nur hat er das Passwort nicht mehr.

Schritt 5: herausfinden, was geändert wurde

Ziel ist, das Ihre von dem zu trennen, was hinzugefügt wurde.

Der WordPress-Kern ist überprüfbar. Die Kerndateien haben offizielle Prüfsummen, die das Projekt veröffentlicht: Jede Abweichung markiert eine geänderte Datei. Die meisten Analysewerkzeuge führen diesen Abgleich automatisch durch — es ist die zuverlässigste Prüfung, die Sie haben, weil sie nicht auf einer Liste von Virensignaturen beruht, sondern auf einer exakten Referenz.

Zuerst hinschauen sollten Sie: wp-config.php, die .htaccess im Stammverzeichnis (und die in Unterordnern), index.php, der Ordner wp-content/uploads — dort hat keine .php-Datei etwas zu suchen — und der Ordner wp-content/mu-plugins, der Code automatisch lädt, ohne je in der Plugin-Liste zu erscheinen.

Die Sortierung nach Änderungsdatum ist Ihr bester Verbündeter: Listen Sie die Dateien auf, die in den Tagen vor dem Vorfall geändert wurden. Eine Theme-Datei, die genau an dem Tag geändert wurde, an dem alles begann, obwohl Sie nichts angefasst haben, gibt Ihnen den Ausgangspunkt.

Schritt 6: nach Hintertüren suchen

Das ist der Schritt, den man überspringt — und der Grund für Reinfektionen.

Eine Hintertür ist ein Stück Code, mit dem der Angreifer auch nach der Bereinigung zurückkommt. Sie überlebt einen Passwortwechsel und oft ein Update. Die üblichen Orte:

  • Ein Plugin oder Theme, das Sie nie installiert haben — sehen Sie auch die inaktiven Themes an, die selten geprüft werden.
  • Eine geplante Aufgabe, die den Schadcode neu einspielt. Listen Sie die geplanten Aufgaben von WordPress auf und suchen Sie Namen, die zu nichts Bekanntem passen.
  • Ein unauffälliges Administratorkonto, angelegt mehrere Tage vor dem sichtbaren Vorfall.
  • Code, direkt in die Datenbank eingeschleust, oft in die Optionstabelle oder in Beiträge.

Solange die Hintertür existiert, ist jede Bereinigung vorläufig. Wenn Sie unsicher sind, ist jetzt der Moment für eine Fachkraft: Das ist kein Scheitern, sondern eine Kostenabwägung.

Schritt 7: bereinigen oder wiederherstellen

Zwei Wege, und die Wahl hängt an einer einzigen Frage: Haben Sie eine Sicherung von vor der Infektion?

Wenn ja, spielen Sie sie ein — aber wissen Sie: Wiederherstellen allein genügt nie. Es versetzt die Website in den Zustand mitsamt der Lücke, die den Einstieg ermöglicht hat. Sie müssen wiederherstellen und danach sofort Schritt 8 ausführen, bevor die Website wieder online geht. Eine Wiederherstellung ohne Korrektur ist ein Countdown.

Wenn nein, bereinigen Sie Schicht für Schicht: Ersetzen Sie den WordPress-Kern durch ein frisches offizielles Archiv, installieren Sie jedes Plugin und jedes Theme aus der offiziellen Quelle neu, statt Dateien einzeln zu flicken, und behalten Sie von Hand nur wp-content/uploads — nachdem Sie es von jeder ausführbaren Datei befreit haben.

Ein Wort zur Sicherung, denn sie ist der Angelpunkt dieses Schritts: Eine Sicherung, die Sie nie getestet haben, ist keine Sicherung, sondern eine Absicht. Der Tag des Vorfalls ist der schlechteste Moment, um zu entdecken, dass sie unvollständig war.

AIFORYA Sauvegarde Intelligente entdecken

Schritt 8: den Weg hinein schließen

Bereinigen behandelt Folgen. Dieser Schritt behandelt die Ursache, und nur er verhindert die Wiederholung.

  • Aktualisieren Sie alles: Kern, Plugins, Themes und die PHP-Version. Eine PHP-Version, die keine Sicherheitskorrekturen mehr erhält, ist eine Entscheidung, kein Schicksal — Ihr Hoster lässt Sie fast immer wechseln.
  • Löschen Sie, was Sie nicht nutzen. Jedes inaktive Plugin und jedes ungenutzte Theme bleibt Code auf der Platte, also angreifbar. Ein deaktiviertes Plugin ist kein abwesendes Plugin.
  • Prüfen Sie die Benutzerrechte. Eine Autorin muss keine Administratorin sein. Die meisten Kompromittierungen laufen über ein Konto, das mehr Rechte hatte als nötig.

Schritt 9: die Google-Warnung aufheben lassen

Wurde Ihre Website markiert, genügt Bereinigen nicht: Die Warnung bleibt, bis Sie eine Überprüfung beantragen.

Öffnen Sie in der Search Console den Bereich für Sicherheitsprobleme. Er nennt die Art der erkannten Kompromittierung und oft Beispiel-URLs — nutzen Sie diese, um zu prüfen, ob Sie nichts übersehen haben. Beantragen Sie dann eine Überprüfung und beschreiben Sie, was Sie behoben haben: Ein präziser Antrag geht schneller durch als ein vager.

Rechnen Sie mit einigen Tagen. Beantragen Sie die Überprüfung erst, wenn Sie wirklich sauber sind: Eine Ablehnung verlängert die Wartezeit.

Prüfen Sie bei der Gelegenheit die Inhaber Ihrer Search-Console-Property: Ein Angreifer, der sich als Inhaber einträgt, behält lange nach der Bereinigung Einblick in Ihre Website.

Schritt 10: die vergessene Pflicht — personenbezogene Daten

Wenn auf Ihrer Website Kundenkonten, Bestellungen, Formulareingaben oder ein Verteiler lagen, ist ein Hack nicht nur ein technischer Vorfall: Es ist möglicherweise eine Verletzung des Schutzes personenbezogener Daten.

In Europa verlangt die DSGVO vom Verantwortlichen, die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden zu benachrichtigen, sofern die Verletzung nicht voraussichtlich zu keinem Risiko für die betroffenen Personen führt — und die Betroffenen selbst zu informieren, wenn das Risiko hoch ist. Die Frist läuft ab Kenntnisnahme, nicht ab dem Zeitpunkt, an dem alles repariert ist.

Dieser Absatz ist keine Rechtsberatung und ersetzt weder Ihre Datenschutzbeauftragte noch Ihren Rechtsbeistand. Entscheidend: legen Sie den Fall nicht als rein technisch zu den Akten, ohne die Frage zu stellen, und dokumentieren Sie, was Sie festgestellt und getan haben — genau dafür ist die Kopie des infizierten Zustands aus Schritt 1 da.

Rückfall verhindern

Eine Website, die bereinigt wird, ohne dass sich die Praxis ändert, wird erneut übernommen. Drei Maßnahmen decken die überwältigende Mehrheit der realen Fälle ab, und sie kosten fast nichts.

Zwei-Faktor-Authentifizierung für privilegierte Konten. Das ist die Maßnahme, die Passwortdiebstahl — nach wie vor der banalste Einstieg — wirkungslos macht.

AIFORYA Zwei-Faktor-Authentifizierung entdecken (kostenlos)

Schutz der Anmeldeseite. Versuchsbegrenzung, Sperren nach wiederholten Fehlversuchen, Beobachtung hartnäckiger Adressen: Automatisierte Angriffe sind dumm und massenhaft, und sie halten vor einer Tür an, die mitzählt.

AIFORYA Anmeldesicherheit entdecken (kostenlos)

Überwachung der Dateiintegrität. Das ist der Unterschied zwischen „ich merke es selbst innerhalb von Stunden" und „ich erfahre es drei Wochen später von einer Kundin oder von einer Google-Warnung". Die Kosten eines Hacks sind nicht proportional zu seiner technischen Schwere: Sie sind proportional zu der Zeit, in der er unbemerkt blieb.

AIFORYA Sécurité IA entdecken

Die vier teuersten Fehler

  1. Alles löschen und bei null anfangen, ohne den Einstieg verstanden zu haben. Sie verlieren die Information, und die Lücke bleibt.
  2. Eine Sicherung einspielen und sofort wieder online gehen. Die Lücke wird mit wiederhergestellt.
  3. Passwörter ändern, ohne Sitzungen zu entwerten. Der Angreifer bleibt angemeldet.
  4. Nur das Sichtbare bereinigen. Die sichtbaren Weiterleitungen sind das Symptom; die Hintertür ist die Krankheit.

FAQ

1. Wie lange dauert es, eine gehackte WordPress-Website zu bereinigen? Zwei bis vier Stunden bei einem einfachen Fall mit sauberer Sicherung. Ein Tag oder mehr ohne Sicherung, oder wenn die Infektion alt ist und sich in die Datenbank ausgebreitet hat. Das Längste ist fast nie das Bereinigen: Es ist die Suche nach dem Einstieg.

2. Kann ich WordPress nicht einfach darüber neu installieren? Das ersetzt die Kerndateien, was hilft, rührt aber weder an Plugins noch Themes, weder an der Datenbank noch an Dateien in uploads — wo sich die meisten Hintertüren verstecken. Es ist ein Schritt, keine Lösung.

3. Mein Hoster sagt, ich sei selbst schuld. Stimmt das? Bei geteiltem Hosting kann der Ursprung auch eine Nachbarwebsite oder eine serverseitige Lücke sein. Allerdings ist der Einstieg in der großen Mehrheit der beobachteten Fälle eine veraltete Komponente oder ein schwaches Passwort — also etwas, worauf Sie Einfluss haben. Fordern Sie die Zugriffsprotokolle an: Sie klären das besser als die Diskussion.

4. Muss ich meine Besucher informieren? Wenn personenbezogene Daten offengelegen haben könnten, ist die Frage nicht nur kaufmännisch, sondern regulatorisch: siehe Schritt 10. Ansonsten ist Transparenz fast immer billiger als später entdecktes Schweigen.

5. Woran erkenne ich, dass es wirklich vorbei ist? Drei Signale: Die Kerndateien stimmen wieder mit den offiziellen Prüfsummen überein, keine unbekannte geplante Aufgabe bleibt übrig, und nach mehreren Tagen taucht nichts wieder auf. Das dritte zählt am meisten — eine Reinfektion tritt meist innerhalb der Woche ein.

6. Kann es wieder passieren? Ja, wenn die Ursache nicht behandelt wurde. Nein, praktisch gesehen, wenn Sie Schritt 8 erledigt und Zwei-Faktor-Authentifizierung, Anmeldeschutz und Integritätsüberwachung eingerichtet haben. Automatisierte Angriffe suchen leichte Ziele; sie ziehen weiter.

Mehr zur Vorbeugung statt zur Reparatur finden Sie in unserem Leitfaden, WordPress gegen automatisierte Angriffe abzusichern.

Meine WordPress-Website wurde gehackt: was tun, in 10 Schritten | AIFORYA