WordPress gehackt: Was jetzt zu tun ist
Weiterleitungen auf fremde Seiten, unbekannte Administratoren oder eine Warnung von Google: Ein Angriff ist ein Schreck, aber er lässt sich beheben. Entscheidend ist die richtige Reihenfolge, damit die Seite danach wirklich sauber ist.
Von Burak Karaman · 12. Oktober 2026
Die Antwort vorweg
Halten Sie den Zustand zuerst fest, erneuern Sie dann alle Zugänge, ersetzen Sie WordPress, Themes und Plugins durch saubere Originale, suchen Sie eingeschleuste Dateien und Datenbankeinträge und schließen Sie die Lücke durch Updates. Zum Schluss prüfen Sie die Google Search Console und beantragen, falls nötig, eine Überprüfung.
Woran Sie einen Angriff erkennen
- Besucher werden auf fremde Seiten umgeleitet, oft nur am Handy oder nur über Google.
- Es gibt Administratoren, die Sie nicht angelegt haben.
- Google zeigt eine Warnung oder fremde Seiten in den Suchergebnissen.
- Ihr Hoster sperrt die Seite oder meldet Spam-Versand.
- Unbekannte Dateien tauchen auf, etwa PHP-Dateien im Upload-Ordner.
So gehen Sie vor
1. Zustand sichern
Erstellen Sie eine Kopie von Dateien und Datenbank, so wie sie jetzt sind. Sie hilft später, die Ursache zu finden.
2. Hoster informieren
Viele Hoster helfen mit Protokollen und Hinweisen, welche Dateien verändert wurden.
3. Alle Zugänge erneuern
Ändern Sie die Passwörter aller Administratoren, für Hosting, FTP und Datenbank. Erneuern Sie die Sicherheitsschlüssel in der wp-config.php, damit alle bestehenden Anmeldungen ungültig werden. Entfernen Sie unbekannte Nutzer.
4. Sauber neu aufsetzen
Ersetzen Sie die Dateien von WordPress, Themes und Plugins durch frische Originale aus offiziellen Quellen. Löschen Sie Erweiterungen, die Sie nicht brauchen.
5. Eingeschleustes entfernen
Suchen Sie im Upload-Ordner nach Dateien, die dort nicht hingehören, und prüfen Sie die Datenbank auf fremde Skripte und Links.
6. Lücke schließen
Spielen Sie alle Updates ein und richten Sie die Zwei-Faktor-Anmeldung ein. Ohne diesen Schritt kommt der Angreifer oft auf demselben Weg zurück.
7. Google informieren
Prüfen Sie in der Google Search Console unter „Sicherheitsprobleme“, ob Google etwas gefunden hat, und beantragen Sie nach der Bereinigung eine Überprüfung.
Passt dazu
Kurz beantwortet
Reicht es, eine alte Sicherung einzuspielen?
Nur wenn die Sicherung sicher aus der Zeit vor dem Angriff stammt, und auch dann nur zusammen mit dem Schließen der Lücke. Sonst ist die Seite nach kurzer Zeit wieder befallen. Neue Passwörter und Updates gehören immer dazu.
Muss ich einen Hackerangriff melden?
Wenn personenbezogene Daten betroffen sein könnten, etwa aus Kontaktformularen, Kundenkonten oder einem Newsletter, besteht in der Regel eine Meldepflicht an die Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO). Lassen Sie sich im Zweifel beraten.
Wie verhindere ich einen neuen Angriff?
Regelmäßige Updates, sichere und einzigartige Passwörter, Zwei-Faktor-Anmeldung für alle Administratoren, nur nötige Plugins aus vertrauenswürdigen Quellen und Sicherungen außerhalb des Hostings.
Sie brauchen Hilfe mit Ihrer Website?
Schreiben Sie mir kurz, worum es geht. Sie bekommen innerhalb von 24 Stunden eine ehrliche Einschätzung.
Unverbindlich anfragen