Ihre WordPress-Website wurde gehackt? Ein roter Warnbildschirm von Google blockiert Ihre Besucher, fremde Spam-Links tauchen auf oder Sie können sich nicht mehr im Admin-Bereich einloggen?
Atmen Sie tief durch. Eine gehackte Website ist ein massives Sicherheitsproblem, das sich mit jeder Stunde verschlimmert – aber es lässt sich methodisch beheben. In diesem Artikel zeigen wir Ihnen die exakten, praxiserprobten Schritte zur Schadensbegrenzung und wie Sie Ihre Website wieder sauber, sicher und online bekommen.
Woran Sie erkennen, dass Ihre Website infiziert ist
Oft geschieht ein Hack im Hintergrund. Angreifer wollen Ihre Server-Ressourcen für Spam nutzen oder Kundendaten abgreifen, ohne dass Sie es sofort bemerken. Achten Sie auf diese klassischen Symptome:
- Google Blacklist Warnung: Besucher sehen eine rote Seite mit der Meldung „Die Website enthält Malware“ oder „Deceptive site ahead“. (Mehr dazu in der offiziellen Google Hilfe für gehackte Websites).
- Verdächtige Weiterleitungen: Wenn Nutzer auf Ihre Seite klicken, werden sie auf unseriöse Seiten (z. B. für Spam oder Krypto-Scams) weitergeleitet.
- Fremde Admin-Konten: In Ihrer WordPress-Benutzerverwaltung tauchen plötzlich unbekannte Profile mit Administrator-Rechten auf.
- Drastischer Traffic-Einbruch: Ihre SEO-Rankings brechen über Nacht ein, weil Suchmaschinen infizierte Seiten zum Schutz der Nutzer abstrafen.
- Sperrung durch den Hoster: Ihr Webhosting-Provider nimmt Ihre Seite präventiv offline, weil von ihr schädliche Aktivitäten (wie der Versand von Spam-Mails) ausgehen.
Erste Hilfe: Was Sie JETZT sofort tun müssen
Bevor Sie mit der eigentlichen Bereinigung beginnen, müssen Sie den aktuellen Schaden eindämmen und die Kontrolle über Ihr System zurückerlangen.
1. Website isolieren (Wartungsmodus)
Nehmen Sie die Seite im Zweifel vorübergehend offline. Wenn Sie noch Zugriff auf das Backend haben, aktivieren Sie ein Wartungsmodus-Plugin. Wenn Ihr Hoster die Seite bereits gesperrt hat, bitten Sie den Support um vorübergehenden FTP-Zugang zur reinen Fehlerbehebung.
2. Alle Passwörter kompromisslos ändern
Dies ist der wichtigste Sofort-Schritt, um die Angreifer auszusperren. Ändern Sie umgehend alle Zugangsdaten, die mit Ihrer Website in Verbindung stehen. Nutzen Sie dafür starke, generierte Passwörter:
- Ihr WordPress-Admin-Passwort (siehe WordPress.org: Passwort zurücksetzen)
- Das Passwort für die Hosting-Verwaltungsebene (Plesk, cPanel, etc.)
- FTP- und SSH-Zugänge
- Das Passwort für Ihre MySQL-Datenbank
3. Ein forensisches Backup erstellen
Machen Sie ein Backup der infizierten Seite. Das klingt paradox, aber falls bei der Bereinigung etwas schiefgeht, haben Sie so zumindest den aktuellen Zustand gesichert und können von vorne beginnen. Zudem kann dieses Backup später helfen, die Sicherheitslücke zu analysieren.
Schritt-für-Schritt: Schadcode und Malware entfernen
Hinweis: Wenn Sie diese Schritte ausführen, orientieren Sie sich stets auch an den offiziellen Richtlinien von WordPress zur Bereinigung gehackter Seiten.
Schritt 1: WordPress-Core-Dateien ersetzen
Oft nisten sich Hacker in den Kern-Dateien von WordPress ein. Die sauberste Lösung ist, diese komplett zu überschreiben.
- Laden Sie sich die aktuelle WordPress-Version direkt aus dem offiziellen WordPress-Archiv herunter und entpacken Sie die ZIP-Datei lokal auf Ihrem Rechner.
- Löschen Sie auf Ihrem Server via FTP die Ordner
wp-adminundwp-includes. - Laden Sie die frischen, sauberen Ordner
wp-adminundwp-includesaus Ihrem Download hoch. - Wichtig: Überschreiben Sie auch alle Dateien im Hauptverzeichnis (wie
wp-login.php), aber lassen Sie die Dateiwp-config.phpund den Ordnerwp-contentzwingend unangetastet!
Schritt 2: Themes und Plugins bereinigen
Ein Großteil aller Angriffe erfolgt über veraltete Plugins oder Themes. Ein oberflächlicher Scan reicht hier oft nicht aus, da sich Backdoors (Hintertüren) tief im Code verstecken.
- Veraltetes entfernen: Löschen Sie restlos alle Plugins und Themes, die inaktiv sind oder nicht mehr genutzt werden. Jedes ungenutzte Plugin ist ein potenzielles Sicherheitsrisiko.
- Im Idealfall löschen Sie die Ordner der aktiven Plugins via FTP und laden sie frisch aus dem WordPress Plugin-Verzeichnis neu herunter, um sicherzugehen, dass der Code sauber ist.
Schritt 3: Versteckte Dateien und Backdoors finden
Hacker manipulieren oft Konfigurationsdateien, um auch nach einem Passwortwechsel den Zugriff zu behalten.
- Die .htaccess-Datei: Prüfen Sie diese Datei im Hauptverzeichnis. Oft leiten Hacker hier Traffic um. Wenn Sie sich unsicher sind, benennen Sie sie in
.htaccess_oldum und speichern Sie in WordPress unter Einstellungen > Permalinks die Struktur neu ab – WordPress generiert dann eine saubere, neue.htaccess-Datei. - Die wp-config.php: Suchen Sie in dieser Datei nach kryptischen Zeichenfolgen oder seltsamen Code-Blöcken (z. B. Code, der mit
eval()oderbase64_decodebeginnt). Nutzen Sie zur Härtung dieser Datei die Hardening-Tipps von WordPress.org.
Schritt 4: Die Datenbank säubern
Hacker legen oft versteckte Admin-Nutzer an oder injizieren Spam-Links direkt in Ihre Datenbank-Tabellen.
- Loggen Sie sich in Ihre Datenbank ein (meist via phpMyAdmin bei Ihrem Hoster).
- Prüfen Sie die Tabelle
wp_usersauf unbekannte Benutzer, insbesondere solche mit Admin-Rechten, und löschen Sie diese sofort. - Suchen Sie in der Tabelle
wp_optionsnach der Optionsiteurlundhome, um sicherzustellen, dass diese nicht auf eine fremde Domain umgeleitet wurden.
Nach der Bereinigung: Wiederherstellung und Absicherung
Sobald Sie sicher sind, dass alle schädlichen Dateien und Skripte entfernt wurden, müssen Sie verhindern, dass der Angriff erneut passiert.
- Sicherheits-Plugin installieren: Richten Sie eine Web Application Firewall (WAF) ein. Renommierte und im offiziellen Repository geprüfte Lösungen wie Wordfence oder Sucuri scannen Ihre Seite künftig automatisch und blockieren verdächtige Zugriffsversuche.
- Google Blacklist Warnung aufheben: Wenn Ihre Seite bei Google als gefährlich markiert wurde, müssen Sie in der Google Search Console einen Antrag auf Überprüfung (Review Request) stellen. Erklären Sie dort kurz und präzise, dass Sie die Seite restlos bereinigt haben. (Details dazu im Google). Meist dauert die Freischaltung 24 bis 72 Stunden.
- Updates automatisieren: Stellen Sie sicher, dass der WordPress-Core, alle Plugins und Ihr Theme immer auf dem neuesten Stand sind. Veraltete Software ist das mit Abstand größte Sicherheitsrisiko im WordPress-Ökosystem.
Eine Website-Bereinigung erfordert Geduld, Sorgfalt und technisches Grundverständnis. Arbeiten Sie sich systematisch von den Kern-Dateien über die Plugins bis zur Datenbank vor, um auch versteckte Hintertüren restlos zu schließen.
Häufig gestellte Fragen (FAQ) zu gehackten WordPress-Websites
In den meisten Fällen handelt es sich nicht um einen gezielten Angriff auf Ihr Unternehmen oder Ihre Person. Hacker nutzen automatisierte Bot-Netzwerke, die das gesamte Internet systematisch nach WordPress-Installationen scannen. Diese Bots suchen nach bekannten Schwachstellen (Vulnerabilities) in veralteten Plugins, Themes oder nach schwachen Passwörtern. Jeder, der seine Software nicht aktuell hält, kann ein leichtes Ziel für diese automatisierten Skripte werden.
Das ist ein weit verbreiteter Irrtum. Oft dringen Hacker bereits Wochen oder Monate in das System ein, bevor der eigentliche Schaden (wie Spam-Links oder Weiterleitungen) sichtbar wird. In dieser Zeit verstecken sie sogenannte „Backdoors“ (Hintertüren) im Code. Wenn Sie ein unbemerkt infiziertes Backup einspielen, sieht die Seite zwar kurzfristig repariert aus, wird aber meist innerhalb weniger Tage oder Stunden erneut gehackt.
Sobald Sie Ihre Website restlos bereinigt und den Überprüfungsantrag (Review Request) in der Google Search Console gestellt haben, dauert es in der Regel zwischen 24 und 72 Stunden, bis Google Ihre Seite neu crawlt. Erst wenn der Googlebot keine Malware mehr findet, wird der rote Warnbildschirm für Ihre Besucher entfernt.
Ja, in den meisten Fällen erholen sich die Rankings. Voraussetzung ist jedoch, dass Sie schnell handeln. Wenn die Seite nur wenige Tage offline oder infiziert war, kehrt der Traffic nach der Freischaltung durch Google oft schnell auf das alte Niveau zurück. Je länger die schädlichen Inhalte jedoch im Google-Index verbleiben, desto länger dauert auch die SEO-Erholung.
Kostenlose Versionen von Plugins wie Wordfence oder Sucuri bieten einen soliden Basis-Schutz, da sie verdächtige Login-Versuche blockieren und Malware-Scans durchführen. Für kleine Blogs ist das oft ausreichend. Für geschäftskritische Websites, Online-Shops (WooCommerce) oder Unternehmensseiten empfehlen Sicherheitsexperten jedoch eine professionelle Web Application Firewall (WAF) sowie strikte Wartungsroutinen, die garantieren, dass Updates zeitnah eingespielt werden. Das beste Plugin nützt nichts, wenn der WordPress-Core oder andere Plugins monatelang veraltet sind.
