WordPress gehackt –
Soforthilfe
Schreib mir, was passiert ist. Die Adresse der Seite reicht für den Anfang.
Jetzt Soforthilfe anfragen
Rückmeldung innerhalb von 24 Stunden.
Erreichbar Montag bis Freitag, 8:00 bis 19:00 Uhr.
Diese fünf Dinge
jetzt sofort selbst tun
In dieser Reihenfolge. Punkt 2 ist der wichtigste – wer ihn überspringt, macht die Ursachensuche später unmöglich.
Die Seite offline nehmen
Nimm die Seite vom öffentlichen Netz, statt sie weiterlaufen zu lassen – über einen Wartungsmodus oder eine Zugriffsbeschränkung per .htaccess auf die eigene IP-Adresse. Damit stoppen Weiterleitungen und die Auslieferung von Schadcode an deine Besucher.
Den kompromittierten Stand sichern
Zieh ein Backup des aktuellen, kompromittierten Zustands, bevor irgendetwas gelöscht wird. Ohne diesen Stand ist keine Ursachenanalyse mehr möglich – und ohne Ursache bleibt die Lücke offen.
Benutzerkonten prüfen
Geh die Benutzerliste in WordPress durch und notiere unbekannte Administratoren. Nicht voreilig löschen: Diese Konten sind eine Spur, erst dokumentieren.
Passwörter und Keys erneuern
Ändere die Passwörter für WordPress, Hosting, FTP und Datenbank. Setz zusätzlich die Security-Keys in der wp-config.php neu – dadurch werden bestehende Sitzungen ungültig, auch fremde.
Den Hoster informieren
Melde den Vorfall beim Hoster und frag nach den Server-Logs sowie nach den verfügbaren Backup-Ständen. Beides brauchst du für die Ursachensuche und die Wiederherstellung.
Woran du einen Hack erkennst
Die wenigsten Kompromittierungen kündigen sich an. Sie fallen auf, weil ein Kunde anmerkt, dass etwas seltsam ist, oder weil Google die Seite bereits markiert hat.
Viele Manipulationen sind bewusst so gebaut, dass sie beim direkten Aufruf unsichtbar bleiben und nur bestimmte Besucher treffen. Wenn eines der Zeichen rechts zutrifft, lohnt sich der genaue Blick – und die fünf Sofortmaßnahmen oben.
- Google zeigt in den Suchergebnissen den Hinweis „Diese Website wurde möglicherweise gehackt“
- Der Browser warnt beim Aufruf vor Schadsoftware
- Weiterleitungen auf fremde Seiten – oft nur beim Aufruf über Google oder nur auf Mobilgeräten
- Unbekannte Administratoren in der Benutzerliste
- Fremde Seiten tauchen in der Google-Suche auf, sichtbar über eine
site:-Abfrage - Spam-Mails, die über den eigenen Server verschickt werden
- Plötzlicher Traffic-Einbruch in der Search Console
Wie ich vorgehe
Sechs Schritte, von der Isolierung bis zum Monitoring danach. Während der Erreichbarkeit melde ich mich in der Regel innerhalb weniger Stunden.
Isolierung
Die Seite wird vom öffentlichen Zugriff getrennt. Damit hört der Schaden auf, sich zu vergrößern, und der Zustand verändert sich nicht mehr während der Analyse.
Sicherung und Ursachensuche
Der kompromittierte Stand wird vollständig gesichert, bevor irgendetwas gelöscht wird. Erst danach lässt sich beantworten, wo der Einstieg war.
Bereinigung
Manipulierte Dateien, eingeschleuste Plugins und Einträge in der Datenbank werden entfernt – Dateisystem und Datenbank gehören beide dazu.
Wiederherstellung und Prüfung
Die Seite geht auf einen sauberen Stand zurück. Anschließend wird durchgeprüft, ob Formulare, Login, Bestellprozesse und Inhalte wieder tun, was sie sollen.
Härtung
Die gefundene Lücke wird geschlossen und die Installation abgesichert, damit derselbe Weg nicht ein zweites Mal funktioniert.
Google-Überprüfung und Monitoring
Bei Google wird eine Überprüfung beantragt, damit die Warnung wieder verschwindet. In den vier Wochen danach läuft ein Monitoring mit.
Was die Bereinigung kostet
Zwei Festpreise, offen ausgewiesen – und eine klare Grenze, ab der anders abgerechnet wird.
Preis zzgl. USt. Wird bei Beauftragung der Bereinigung vollständig angerechnet.
-
Isolierung der Seite Der Schaden hört auf, sich zu vergrößern
-
Sicherung und Ursachenanalyse Der kompromittierte Stand wird gesichert, bevor etwas gelöscht wird
-
Schriftlicher Befund Mit Empfehlung, wie es weitergeht – auch wenn du es selbst übernimmst
Preis zzgl. USt. Pauschale für den Standardfall.
-
Dateien und Datenbank Bereinigung und anschließende Wiederherstellung
-
Härtung Damit dieselbe Lücke nicht erneut greift
-
Google-Überprüfung Antrag auf erneute Prüfung, damit die Warnung verschwindet
-
Vier Wochen Monitoring Im Anschluss an die Bereinigung
Die Pauschale von 890 € gilt für den Standardfall: eine WordPress-Installation, kein Multisite-Setup, kein Shop mit individuellen Entwicklungen und ein verwertbarer Backup-Stand oder ein bereinigbarer Bestand. Fälle außerhalb dieses Rahmens rechne ich mit 120 € pro Stunde zzgl. USt. ab – nach vorheriger Schätzung, nie ohne dein Okay. Alle Preise und Pakete stehen auf der Seite Was kostet WordPress-Wartung?
Nach der Bereinigung bleibt die Frage, wer künftig hinsieht. Genau dafür gibt es die laufende WordPress-Betreuung mit geprüften Updates, externen Backups und Monitoring.
Zwei Fälle
aus der Praxis
Anonymisiert, so wie sie abgelaufen sind.
Betreute WordPress-Seite
Warnmeldung und fremder Administrator
Bei einer betreuten WordPress-Seite meldete der Browser beim Aufruf eine Bedrohung,
zusätzlich war ein unbekannter Administrator angelegt worden. Die Seite wurde per
.htaccess sofort vom öffentlichen Zugriff getrennt, der fremde Benutzer entfernt
und die Site mit einem Malware-Scanner untersucht – gefunden wurden manipulierte Dateien in
drei Plugins. Da die automatische Reparatur die Originaldateien nicht wiederherstellen
konnte, wurde ein sauberer Backup-Stand des Hosters eingespielt, anschließend gehärtet und
Zwei-Faktor-Authentifizierung für alle Benutzer eingerichtet.
Anonymisierter Fallbericht aus der Praxis
Fremde WordPress-Installation
Eingeschleustes Plugin mit unauffälligem Namen
Auf einer anderen Installation tauchte ein Plugin auf, dessen Name nach einem Sicherheitswerkzeug klang, das aber niemand installiert hatte. Solche Plugins tarnen sich bewusst, damit sie bei einem flüchtigen Blick in die Plugin-Liste nicht auffallen. Die Bereinigung erfolgte über direkten Serverzugriff, weil das Plugin sich aus dem Backend heraus nicht zuverlässig entfernen ließ.
Anonymisierter Fallbericht aus der Praxis
Häufige Angriffsmuster
Vier Varianten, die in der Praxis immer wieder auftauchen.
Veraltete Plugins mit bekannter Lücke
Sobald eine Schwachstelle veröffentlicht ist, laufen automatisierte Scanner los. Sie fragen nicht, wem die Seite gehört, sondern nur, ob das Update fehlt.
Eingeschleuste Plugins mit harmlosem Namen
Ein Plugin, das nach einem Sicherheits- oder Cache-Werkzeug klingt, fällt beim Überfliegen der Liste nicht auf. Genau darauf ist der Name ausgelegt.
Spam-Weiterleitungen
Besucher landen auf fremden Seiten, häufig nur beim Aufruf über Google oder nur auf Mobilgeräten. Wer die Adresse direkt eintippt, merkt oft wochenlang nichts.
Versteckte Admin-Benutzer
Ein zusätzliches Administratorkonto hält den Zugang offen, auch wenn die eingeschleusten Dateien längst entfernt sind. Deshalb gehört die Benutzerliste zum Ersten, was geprüft wird.
Häufige Fragen, wenn WordPress gehackt wurde
Die Fragen, die im Ernstfall zuerst kommen.
Wie lange dauert eine Bereinigung?
Das hängt davon ab, wie weit der Befall reicht und ob ein verwertbarer Backup-Stand existiert. Nach dem Soforteinsatz bekommst du einen schriftlichen Befund – darin steht auch, womit im konkreten Fall zu rechnen ist.
Muss die Seite währenddessen offline sein?
Zu Beginn ja. Die Isolierung ist der erste Schritt, damit kein weiterer Schaden entsteht und der Zustand sich nicht laufend verändert. Sobald der Stand gesichert, bereinigt und geprüft ist, geht die Seite wieder online.
Gehen meine Inhalte verloren?
Das Ziel ist, sie zu behalten – deshalb wird der kompromittierte Stand vollständig gesichert, bevor irgendetwas gelöscht wird. Wenn sich der Bestand nicht bereinigen lässt und ein älterer Backup-Stand eingespielt werden muss, fehlen die Inhalte, die nach diesem Stand entstanden sind.
Reicht es, das Backup einzuspielen?
Nur dann, wenn der Backup-Stand älter ist als der Einbruch und die Lücke anschließend geschlossen wird. Sonst holt man sich mit dem Backup entweder die Manipulation zurück oder lässt genau die Tür offen, durch die jemand hereingekommen ist.
Wie bekomme ich die Google-Warnung wieder weg?
Nach der Bereinigung wird bei Google eine Überprüfung beantragt. Die Warnung verschwindet, wenn Google die Seite erneut geprüft hat. Der Antrag ist Teil der Komplettbereinigung.
Wie verhindere ich, dass es wieder passiert?
Die Härtung direkt nach der Bereinigung ist der erste Teil der Antwort. Was darüber hinaus wirkt – von Zwei-Faktor-Authentifizierung über getestete Backups bis zur Update-Disziplin – steht auf der Seite WordPress absichern. Wenn dauerhaft jemand hinsehen soll, ist die laufende WordPress-Betreuung der passende Weg.
Je früher,
desto weniger Aufwand.
Schreib mir, was passiert ist – die Adresse der Seite reicht für den Anfang.
Jetzt Soforthilfe anfragenRückmeldung innerhalb von 24 Stunden · Erreichbar Montag bis Freitag, 8:00 bis 19:00 Uhr
Kein Notfall? Dann geht es auch über das Kontaktformular.