WordPress gehackt? Was tun in der ersten Stunde

Wurde Ihre WordPress-Seite gehackt, tun Sie in der ersten Stunde vier Dinge: Notieren Sie, was Sie sehen und wann, erstellen Sie ein vollständiges Backup der infizierten Seite, ändern Sie jedes Passwort (WordPress, Hosting-Panel, SFTP, Datenbank) und informieren Sie Ihren Hoster. Löschen Sie keine Dateien auf Verdacht und spielen Sie nicht einfach das Backup von letzter Woche ein: Die Lücke, über die der Angreifer hereinkam, ist dann immer noch offen. Danach bereinigen Sie die Seite gründlich, schließen diese Lücke und beantragen bei Google eine Überprüfung. Diese Anleitung führt Sie durch jeden Schritt, erklärt Ihre Pflichten nach der DSGVO, falls Kundendaten betroffen sein können, und zeigt, was eine Reparatur kostet.

Gehackt oder nur offline?

"Gehackt" kann vieles bedeuten. Die WordPress-Dokumentation spricht von Indicators of Compromise, und je genauer Sie Ihre Symptome benennen, desto schneller geht die Reparatur. Das sind die häufigsten Fälle.

Was Sie sehen	Was es meist bedeutet	Erster Schritt
Besucher landen auf Spam-, Casino- oder Fake-Gewinnspielseiten, oft nur mobil oder nur von Google aus	Code-Injection, meist in .htaccess, einer Theme-Datei oder der Datenbank	.htaccess und kürzlich geänderte Dateien prüfen; nicht am Arbeitsrechner testen
Japanische oder Pharma-Seiten unter Ihrer Domain bei Google	URL-Injection: Der Angreifer hat Spam-Seiten angelegt, die er vor Ihnen oft versteckt (Cloaking)	Nach site:ihredomain.de suchen und die Search Console öffnen
"Diese Website wurde möglicherweise gehackt" unter Ihrem Suchergebnis	Google hat veränderte oder neu angelegte Spam-Seiten gefunden	Search Console, Bericht Sicherheitsprobleme
Roter Warnbildschirm im Browser (Safe Browsing)	Google hat Malware, Phishing oder schädliche Downloads erkannt	Search Console, Bericht Sicherheitsprobleme
Unbekannte Administratoren	Jemand hat (oder hatte) Admin-Zugang	Nach dem Backup entfernen, dann alle Zugänge zurücksetzen
Der Hoster hat das Konto gesperrt	Der Hoster hat Malware oder Spam-Versand von Ihrer Seite festgestellt	Genau nachfragen, was gefunden wurde und in welchen Dateien
"Briefly unavailable for scheduled maintenance", das nicht verschwindet	Meist kein Hack: Ein Update wurde unterbrochen und hat eine .maintenance-Datei hinterlassen	.maintenance per SFTP im Hauptverzeichnis löschen

Lädt Ihre Seite gar nicht, oder zeigt sie einen Datenbankfehler bzw. "kritischen Fehler", ist sie wahrscheinlich eher ausgefallen als gehackt. Dafür gibt es unsere Checkliste Meine WordPress-Website ist offline: was jetzt?

Website gehackt: was tun in der ersten Stunde?

1. Ruhe bewahren und alles aufschreiben. Was sehen Sie, wann ist es Ihnen aufgefallen (mit Zeitzone), und was hat sich zuletzt geändert: ein neues Plugin, eine Theme-Anpassung, ein neuer Benutzer? Das ist der Anfang Ihres Vorfallberichts, den Sie auch für die Datenschutzdokumentation brauchen.
2. Öffnen Sie infizierte Seiten nicht im normalen Browser. Google rät davon ab. Nutzen Sie stattdessen das URL-Prüftool der Search Console.
3. Sichern Sie den infizierten Zustand. Dateien und Datenbank, auch wenn sie verseucht sind. Geht die Bereinigung schief, haben Sie etwas zum Vergleichen.
4. Setzen Sie alle Zugänge zurück. Passwörter aller WordPress-Benutzer, des Hosting-Panels, von SFTP/FTP und der Datenbank (passen Sie dann wp-config.php an). Melden Sie alle ab, indem Sie die Sicherheitsschlüssel in wp-config.php durch einen neuen Satz vom offiziellen Generator unter api.wordpress.org/secret-key/1.1/salt/ ersetzen.
5. Scannen Sie den Rechner, von dem aus Sie sich anmelden. Laut WordPress-Team beginnen viele Infektionen mit Schadsoftware auf dem Laptop des Inhabers, die wp-admin- oder FTP-Zugangsdaten abgreift.
6. Kontaktieren Sie Ihren Hoster. Bei Shared Hosting kann der Angriff über Ihre Seite hinausgehen. Der Hoster kann auch sagen, ob es ein Hack oder eine Störung ist, und hat manchmal ein Backup von vor der Infektion.

Gehackte WordPress-Seite reparieren: Schritt für Schritt

1. Herausfinden, was verändert wurde

Lassen Sie einen Scanner in WordPress laufen (Wordfence oder Sucuri Security, beide in der WordPress-Dokumentation genannt) und einen externen wie Sucuri SiteCheck oder VirusTotal. Sie finden unterschiedliche Dinge, also nutzen Sie beide. Prüfen Sie dann die Dateien, die Angreifer am häufigsten verändern: jede .htaccess-Datei (es kann mehrere geben, und sie sind versteckt), index.php sowie header.php, footer.php und functions.php Ihres Themes. Googles Anleitung ergänzt: Achten Sie auf kürzlich geänderte oder ungewöhnlich große PHP-Dateien und verschleierten Code mit Funktionen wie base64_decode, eval oder gzinflate.

2. Core-Dateien ersetzen statt bearbeiten

Laden Sie genau die WordPress-Version, die Sie gerade nutzen, von wordpress.org herunter und ersetzen Sie /wp-admin und /wp-includes komplett per SFTP. Nutzen Sie nicht die Schaltfläche "Neu installieren" im Dashboard: Sie überschreibt vorhandene Dateien, lässt aber zusätzliche Dateien des Angreifers stehen. Installieren Sie auch Plugins und Themes aus der Originalquelle neu und löschen Sie alles, was Sie nicht nutzen.

3. Datenbank und Benutzer bereinigen

Entfernen Sie unbekannte Administratoren und suchen Sie nach eingeschleusten Skripten in Beiträgen, Widgets und Optionen. Kommen Sie nicht mehr ins wp-admin, können Sie Ihren Benutzer über phpMyAdmin im Hosting-Panel zurücksetzen oder dort Ihre E-Mail-Adresse ändern und "Passwort vergessen" nutzen.

4. Backup einspielen, wenn Sie ein sauberes haben

Ein Backup von vor der Infektion ist oft der schnellste Weg. Aber: Sie müssen wissen, wann die Infektion begann, und die wiederhergestellte Seite hat dasselbe verwundbare Plugin oder dasselbe gestohlene Passwort. Also einspielen, danach sofort aktualisieren und Zugänge zurücksetzen.

5. Alles aktualisieren und Passwörter erneut ändern

Ist die Seite sauber, aktualisieren Sie WordPress, Plugins und Themes und ändern Sie alle Passwörter ein zweites Mal. Das erste Zurücksetzen fand statt, als die Seite noch infiziert war.

Weiterleitung auf Spam und japanische Seiten bei Google

Weiterleitungs-Hacks und japanischer Keyword-Spam fallen meist zuerst auf, oft weil ein Kunde sich meldet. Sie sind tückisch, weil der Angreifer sie vor angemeldeten Admins versteckt und eine falsche 404-Seite zeigt, während Google den Spam sieht. Google empfiehlt für diese Art von Hack:

• Mit site:ihredomain.de bei Google prüfen, welche Spam-Seiten indexiert sind.
• In der Search Console unter Einstellungen > Nutzer und Berechtigungen unbekannte Inhaber entfernen. Angreifer verifizieren sich dort, um ihre Spam-Sitemaps einzureichen. Löschen Sie deren Bestätigungsdatei (eine google…html-Datei) oder die .htaccess-Regel, die sie erzeugt.
• Jede .htaccess-Datei durch eine saubere Standardversion ersetzen.
• Spam-Links aus Ihren Sitemaps entfernen und Sitemaps löschen, die Sie nicht selbst angelegt haben.

So wird die Google-Warnung entfernt

Der Hinweis "Diese Website wurde möglicherweise gehackt" und der rote Safe-Browsing-Bildschirm stammen beide aus dem Google-Bericht Sicherheitsprobleme. Google entfernt sie nach einer Überprüfung:

1. Bestätigen Sie Ihre Website in der Google Search Console, falls noch nicht geschehen.
2. Öffnen Sie Sicherheit und manuelle Maßnahmen > Sicherheitsprobleme und sehen Sie sich die Beispiel-URLs an.
3. Beheben Sie das Problem auf der ganzen Seite, nicht nur auf den Beispielseiten, und beheben Sie alle aufgeführten Probleme.
4. Klicken Sie auf Überprüfung anfordern und beschreiben Sie das Problem, Ihre Maßnahmen und das Ergebnis.
5. Warten Sie. Laut Google dauert die Überprüfung bei gehackten Inhalten und Malware einige Tage bis einige Wochen. Reichen Sie nicht erneut ein, bevor Sie eine Antwort haben: Das kann es verzögern.

Kundendaten: Ihre 72-Stunden-Meldepflicht nach DSGVO

Speichert Ihre Seite personenbezogene Daten, etwa WooCommerce-Bestellungen, Kontaktformular-Einträge oder Kundenkonten, kann ein Hack eine Datenpanne sein. Nach Art. 33 DSGVO melden Sie diese unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben, an die zuständige Aufsichtsbehörde, in der Regel die Datenschutzbehörde Ihres Bundeslandes. Ausgenommen sind Fälle, die voraussichtlich kein Risiko für die Betroffenen bedeuten. Dokumentieren müssen Sie jede Datenpanne, auch ohne Meldung. Kennen Sie noch nicht alle Fakten, melden Sie trotzdem fristgerecht und ergänzen später; eine verspätete Meldung braucht eine Begründung. Bei hohem Risiko informieren Sie auch die betroffenen Personen. Das ist keine Rechtsberatung: Sprechen Sie im Zweifel noch am selben Tag mit Ihrem Datenschutzbeauftragten.

So verhindern Sie den nächsten Hack

• Updates: Halten Sie WordPress, Plugins und Themes aktuell und aktivieren Sie automatische Updates, wo es sinnvoll ist. Entfernen Sie Ungenutztes.
• Zwei-Faktor-Authentifizierung für jedes Admin-Konto und lange, einzigartige Passwörter aus einem Passwortmanager.
• Weniger Admins: Geben Sie jedem nur die Rolle, die er braucht.
• Datei-Editor abschalten mit define( 'DISALLOW_FILE_EDIT', true ); in der wp-config.php.
• Dateirechte: 755 für Ordner, 644 für Dateien, 400 oder 440 für die wp-config.php.
• Backups von Dateien und Datenbank, außerhalb des Servers gespeichert und tatsächlich einmal testweise wiederhergestellt.
• Monitoring, damit Sie Probleme vor Ihren Kunden bemerken. Ein kostenloser Check mit EngineeringScore zeigt in wenigen Minuten Schwachstellen bei Sicherheit, Performance und Zuverlässigkeit.

Was kostet es, eine gehackte WordPress-Seite zu reparieren?

Option	Preis (wie veröffentlicht)	Gut zu wissen
Selbst machen	Kostenlose Tools, Ihre Zeit	Machbar bei einfachen Fällen, wenn Sie mit SFTP und phpMyAdmin vertraut sind. Riskant, wenn Sie eine Hintertür übersehen.
Ihr Hoster	Je nach Hoster und Tarif	Manche bereinigen oder stellen wieder her, andere sperren nur. Fragen Sie, was enthalten ist.
Sucuri Website Security Platform	Von 229 $ pro Jahr (Basic) bis 549 $ pro Jahr (Business)	Unbegrenzte manuelle Bereinigungen; geschätzte Reaktionszeit 30 Stunden (Basic) bis 6 Stunden (Business). Englischsprachig.
Seahawk Hacked Site Repair	299 $ einmalig (2 bis 4 Werktage), 399 $ mit Priorität (1 Werktag)	Festpreis für die Malware-Entfernung bei WordPress, 30 Tage Garantie.
We Do Dev Work Notfallhilfe	75 € pro Stunde zzgl. MwSt., kein Minimum	Ein Senior-Entwickler beginnt noch am selben Tag, bereinigt, findet das Einfallstor und hilft bei der Google-Überprüfung. Deutschsprachiger Kontakt.

Ein Security-Abo ist vor allem zur Vorbeugung sinnvoll. Einen Spezialisten brauchen Sie, wenn auch die Ursache gefunden, verwundbarer Individualcode repariert oder ein Onlineshop am Laufen gehalten werden muss. Zeigt der Hack, dass Ihre Seite laufende Betreuung braucht? Unsere Abonnements beginnen bei 480 € pro Monat für 8 Stunden Updates und Monitoring, und ein Stundenkontingent gibt Ihnen 14 vorausbezahlte Stunden für 910 €. Alle Preise finden Sie auf unserer Preisseite.

Wann Sie einen Profi holen sollten

• Ihre Seite wickelt Zahlungen ab oder speichert Kundendaten, und die 72-Stunden-Frist läuft vielleicht schon.
• Die Infektion kommt nach der Bereinigung zurück: Es gibt eine Hintertür, die Sie nicht gefunden haben.
• Ihr Hoster hat das Konto gesperrt, oder Ihre E-Mails landen im Spam, weil der Server Spam verschickt hat.
• Google zeigt eine rote Warnung, und jeder Tag kostet Umsatz.
• Ihre Seite hat Individualcode oder Plugins, die ein Scanner nicht beurteilen kann.
• Sie haben keine Zeit, unter Druck SFTP, .htaccess und phpMyAdmin zu lernen.

Die Agentur oder der Freelancer, der die Seite gebaut hat, ist nicht mehr erreichbar? Auch dann übernehmen wir. Lesen Sie, wie wir festgefahrene Softwareprojekte retten.

WordPress-Notfallhilfe: Wir starten noch heute

Buchen Sie unsere Notfallhilfe, und ein Senior-Entwickler arbeitet noch am selben Tag an Ihrer Seite, für 75 € pro Stunde zzgl. MwSt., ohne Mindestabnahme und ohne Vorgespräch. Wir bereinigen die Seite, schließen die Lücke, dokumentieren den Vorfall für Ihre Unterlagen und die Aufsichtsbehörde und reichen die Überprüfung bei Google ein. Wie lange Google braucht, können wir nicht versprechen, aber wir sagen Ihnen offen, was wir finden. Lieber erst sprechen? Kontaktieren Sie uns, gern auf Deutsch.