WordPress gehackt? Soforthilfe, Wiederherstellung & Schutz (Stand 2026)

Wichtigste Erkenntnisse

Wenn deine WordPress-Seite gehackt wurde, zählt jede Minute – aber Panik hilft nicht. In den nächsten 60 Sekunden bekommst du die wichtigsten Maßnahmen, um Schaden zu begrenzen.

• Schalte die Seite sofort in den Wartungsmodus oder sperre sie öffentlich.
• Erstelle ein vollständiges Backup aus Dateien und Datenbank, bevor du etwas löschst.
• Ändere jedes Passwort: WordPress, FTP-Zugang, Hosting-Account, Datenbank und E-Mail.
• Starte einen Scan mit einem Malware-Scanner wie Wordfence Security, Solid Security oder Sucuri.
• Kontaktiere deinen Hosting-Provider oder Hosting-Anbieter, besonders bei Sperrung, Malware oder Spam-Mails.

Falsches Vorgehen – etwa wildes Löschen von PHP-Dateien – kann SEO, Beweise und Daten zusätzlich beschädigen. LikeMeASAP unterstützt Unternehmen mit Soforthilfe, WordPress-Wartung, Schadcode-Bereinigung und SEO-Wiederaufbau.

WordPress-Seite gehackt – was tun in den ersten 15 Minuten?

Du bekommst eine E-Mail vom Hosting-Provider, Google zeigt eine Warnung, oder deine Startseite leitet plötzlich auf fremde Seiten weiter. Sobald du den Verdacht hast, dass deine WordPress-Seite gehackt wurde, solltest du sie umgehend für die Öffentlichkeit sperren, um weiteren Schaden zu verhindern.

Checkliste:

1. Schalte die Seite vorübergehend offline, um weitere Schäden für deine Besucher oder die Verbreitung von Schadsoftware zu verhindern.
2. Zur Wiederherstellung einer gehackten WordPress-Seite ist es wichtig, im ersten Schritt in den Wartungsmodus zu wechseln und anschließend ein sauberes Backup einzuspielen.
3. Melde dich nicht über unsichere Geräte an.
4. Lösche nichts unüberlegt.
5. Es ist wichtig, ein vollständiges Backup der gehackten Website zu erstellen, um Beweise zu sichern und eventuell auf frühere Versionen zurückzugreifen.

Bei Kundendaten, Formularen oder Shop-Logins können DSGVO-Pflichten entstehen. LikeMeASAP kann remote prüfen, ob Schadcode, SEO-Spam oder Datenabfluss vorliegt.

Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?

Nicht jedes Problem ist ein Hack. Mehrere Zeichen zusammen sind aber ein starkes Indiz.

Die häufigsten Anzeichen für einen WordPress-Hack sind unerklärliche Inhalte, SEO-Spam und unerwünschte Weiterleitungen. Gehackte WordPress-Websites zeigen oft subtile Spuren im Hintergrund oder plötzliche Veränderungen an Inhalten. Ein Anzeichen für einen Hacker-Angriff besteht darin, dass du dich auf deiner Webseite nicht mehr einloggen kannst oder dass Inhalte erscheinen, die weder von dir noch von anderen Autoren erstellt wurden.

Weitere Hinweise:

• Wenn deine Website unerklärliche Änderungen an Inhalten oder Design zeigt, wie z. B. das Auftauchen von Links und Buttons, die du nie erstellt hast, ist das ein klassisches Zeichen für einen Hack.
• Ein weiteres Indiz für einen Hack ist, wenn deine Website Besucher auf fremde, oft unseriöse Seiten umleitet, was häufig durch Hacker zur Verbreitung von Schadcode genutzt wird.
• Browser- und Google-Warnmeldungen wie „Diese Website wurde möglicherweise gehackt“ sind ernstzunehmende Indizien dafür, dass deine WordPress-Seite kompromittiert wurde.
• Wenn du von deinem Hosting-Provider eine Nachricht erhältst, dass Schadcode gefunden wurde oder deine Seite gesperrt ist, ist das ein starkes Indiz dafür, dass deine WordPress-Seite gehackt wurde.

Prüfe zusätzlich WP-Admin, Server-Logs, Sicherheits-Plugin-Meldungen und die Google Search Console auf Sicherheitsprobleme, manuelle Maßnahmen und die Überprüfung deiner Site.

Warum werden so viele WordPress-Seiten gehackt?

Rund 43 % aller Internetseiten weltweit laufen mit WordPress, was einem Marktanteil von 61 % unter den Content-Management-Systemen entspricht, und macht WordPress zur größten Angriffsfläche im Netz.

Der Grund liegt selten im Core. 93 % aller gemeldeten Sicherheitslücken in WordPress stammen aus Plugins und Themes, was sie zu den häufigsten Einfallstoren für Hacker macht. Laut aktuellen Sicherheitsauswertungen werden neue Lücken teils innerhalb weniger Stunden automatisiert ausgenutzt.

Angreifer, Bots und Angreiferinnen suchen nach:

• offenen Sicherheitslücken,
• Standard-Login-URLs,
• Admin-Konten mit schwachen Passwörtern,
• veralteten Themes und Plugins,
• schlecht abgesicherten Servern.

Die Ziele sind unterschiedlich: Spam-Inhalte, versteckte Backlinks, Malware-Verteilung, Datendiebstahl oder Spam-Mails. Auch kleine Blogs und lokale Unternehmen sind betroffen, weil Hacker-Angriffe meist automatisiert laufen.#

Typische Einfallstore: Themes, Plugins, Hosting & lokale Geräte

Angriffe entstehen selten durch „die eine“ Lücke. Meist kommt vieles zusammen.

Veraltete Software ist das Haupteinfallstor für Hacker. Veraltete Plugins und Themes stellen ein großes Sicherheitsrisiko dar, da viele Betreiber Updates vergessen oder unsichere Erweiterungen nutzen, die von Angreifern ausgenutzt werden können.

Typische Ursachen:

• illegale „Nulled“-Themes mit versteckter Malware,
• schlechte Hosting-Konfiguration,
• alte PHP-Versionen,
• infizierte lokale Geräte mit Keyloggern,
• unsichere Passwörter und Standard-Benutzernamen.

Unsichere Passwörter und Standard-Benutzernamen sind häufige Einfallstore für Hacker, da sie leicht zu knacken sind und Brute-Force-Angriffe ermöglichen. Gute Hosts bieten Firewall, DDoS-Schutz, Backups, SSL und Malware-Checks. Ein SSL-Zertifikat verbessert nicht nur die Sicherheit, sondern auch das SEO-Ranking, da Google HTTPS-gesicherte Websites positiver bewertet.

Schritt-für-Schritt: So bereinigst du eine gehackte WordPress-Seite

Die Reihenfolge ist entscheidend: Erst schützen, dann sichern, dann bereinigen. Du brauchst Zugriff auf Hosting-Dateimanager oder SFTP, Datenbank-Zugang und idealerweise WP-Config.

Bei Shops, kritischen Projekten oder fehlenden Backups ist professionelle Hilfe oft schneller und sicherer.

Schritt 1: WordPress-Seite offline nehmen und Besucher schützen

Nimm die WordPress-Seite per Wartungsmodus, .htaccess-Schutz oder Hosting-Panel offline. So schützt du Besucher vor Malware, Phishing und Weiterleitungen.

Manche Provider deaktivieren die Webseite automatisch. Das erkennst du im Hosting-Account meist an Hinweisen wie „Suspended“, „Malware detected“ oder „Abuse“.

Schritt 2: Vollständiges Backup und Beweise sichern

Sichere alle Dateien und die Datenbank, auch wenn die Website infiziert ist. Dieses Backup dient als Beweis, für Forensik oder zur Rückkehr auf ältere Versionen.

Regelmäßige Backups sollten extern gespeichert werden, um die Website im Ernstfall schnell und vollständig wiederherstellen zu können. Speichere sie lokal oder in einer sicheren Cloud, nicht nur im gleichen Webspace.

Schritt 3: Lokalen Rechner und Server auf Trojaner prüfen

Scanne PC und Laptop, bevor du neue Passwörter vergibst. Sonst liest ein Trojaner die neuen Daten direkt wieder mit.

Starte zusätzlich einen Server-Scan, falls dein Hosting einen Malware-Scanner anbietet. Sichere Scan-Protokolle. Die Kombination aus kompromittiertem Gerät und schwachem Passwort ist ein häufiger Grund für wiederholte Hacks.

Schritt 4: Alle Passwörter konsequent ändern

Alle Passwörter sollten zurückgesetzt werden, um sicherzustellen, dass unbefugte Zugriffe verhindert werden, insbesondere wenn der Angreifer möglicherweise Zugang zu einem oder mehreren Konten hatte.

Ändere:

• WordPress-Admin,
• alle Benutzer,
• FTP/SFTP,
• Datenbank,
• Hosting-Control-Panel,
• E-Mail-Konten,
• Backup- und API-Dienste.

Starke Passwörter und Zwei-Faktor-Authentifizierung (2FA) sind entscheidend für die Sicherheit von WordPress-Seiten; Passwörter sollten mindestens 12 Zeichen lang sein und eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Nutze einen Passwort-Manager und verschicke Passwörter nie im Klartext.

Schritt 5: Schadcode identifizieren und entfernen

Schadcode steckt oft in index.php, wp-config.php, functions.php, header.php, footer.php, .htaccess oder Upload-Ordnern. Achte besonders auf neue PHP-Dateien in /uploads/.

Nutze etablierte Plugins wie Wordfence Security oder Solid Security, um verbleibende Schaddateien aufzuspüren und die Firewall zu aktivieren. Die Nutzung von Sicherheitsplugins wie Wordfence kann helfen, die Installation regelmäßig zu prüfen und bei verdächtigem Verhalten sofort zu warnen.

Bei Unsicherheit sollte ein Profi Originaldateien mit infizierten Dateien vergleichen.

Schritt 6: WordPress-Core, Themes und Plugins sauber neu aufsetzen

Nach einem Hack sollte der WordPress-Kern neu installiert werden, um sicherzustellen, dass alle potenziellen Hintertüren entfernt werden und die Website wieder sicher ist.

Lade WordPress von wordpress.org neu herunter und ersetze wp-admin sowie wp-includes. Überschreibe wp-config.php und Uploads nicht ohne Backup. Lösche kompromittierte Plugins und Themes und installiere sie frisch aus offiziellen Quellen.

Es ist ratsam, alle unbekannten Benutzerkonten zu entfernen, die möglicherweise von Angreifern erstellt wurden, um zukünftige Zugriffe zu verhindern.

Schritt 7: Datenbank, Sitemap und SEO-Spuren bereinigen

Hacker verstecken oft Spam-Inhalte in der Datenbank: Pharma-, Casino- oder Adult-Seiten ohne sichtbare Menüpunkte. Prüfe Beiträge, Seiten, Benutzer, Optionen und Weiterleitungen.

Erstelle danach eine neue XML-Sitemap und sende sie in der Google Search Console ein. LikeMeASAP unterstützt besonders bei SEO-Spam, Disavow toxischer Links, toxischen Backlinks, Content-Reparatur und Sichtbarkeitsaufbau.

Schritt 8: Website testen, online stellen und von Google freigeben lassen

Teste vor dem Livegang:

• Formulare,
• Login,
• Weiterleitungen,
• Browser-Warnungen,
• Geschwindigkeit,
• mobile Darstellung,
• E-Mail-Versand.

Fordere in der Search Console eine erneute Überprüfung an. Je nach Sperrung kann es Tage dauern, bis Warnungen verschwinden und Rankings zurückkommen.

Langfristiger Schutz: So verhindern Sie, dass Ihre WordPress-Seite wieder gehackt wird

Nach der Bereinigung beginnt die eigentliche Sicherheit. Schutz entsteht durch Technik, Prozesse, Monitoring und Wartung.

Regelmäßige Updates & professionelle Wartung

Die regelmäßige Aktualisierung von WordPress, Plugins und Themes ist unerlässlich, da Sicherheitslücken in Plugins die Hauptursache für gehackte WordPress-Seiten sind.

Plane Updates wöchentlich, sicherheitskritische Updates sofort. Entferne alte Erweiterungen komplett. LikeMeASAP übernimmt Wartung, Tests, Backups und Notfall-Wiederherstellung für WordPress-Projekte.

Starke Passwörter, Benutzerrollen & Zwei-Faktor-Authentifizierung

Nutze individuelle Konten, minimale Rechte und Zwei-Faktor-Authentifizierung. Entferne alte Zugänge von Ex-Mitarbeitern oder Agenturen. Für Unternehmen mit mehreren Redakteuren ist Rollenmanagement kein Extra, sondern Pflicht.

Sicheres Hosting, FTP-Zugänge und Serverkonfiguration

Ein guter Server bietet aktuelle PHP-Versionen, Firewall, DDoS-Schutz, tägliche Backups, SSL, Monitoring und schnelle Antwort vom Support.

Stelle FTP auf SFTP/FTPS um und lösche ungenutzte Zugänge. Oft reicht der Hosting-Dateimanager, ohne zusätzliche Konten zu öffnen.

Sicherheits-Plugins, Firewalls & Monitoring

Setze ein etabliertes Sicherheits-Plugin mit Firewall, Login-Limits, Dateiwächter und Malware-Scan ein. Aktiviere E-Mail-Benachrichtigungen für neue Administratoren, Dateiänderungen und verdächtige Logins.

IP-Sperren, Rate-Limiting und Geo-Blocking reduzieren Brute-Force-Angriffe deutlich. Sicherheitsplugins müssen aber richtig konfiguriert werden.

Backups & Notfallplan

Definiere, wie oft Backups laufen: täglich bei Shops, wöchentlich bei statischen Seiten. Datei-Backups und Datenbank-Backups sind beide nötig.

Teste Wiederherstellungen regelmäßig. Ein Notfallplan legt fest: Wer reagiert, welcher Schritt kommt zuerst, wer informiert Kunden, und was ist sofort zu tun.

Warum Sicherheitsprobleme auch ein SEO-Problem sind

Ein Hack ist ein Marketing- und Umsatzproblem. Google-Warnungen, Browser-Blockaden und SEO-Spam können organischen Traffic massiv senken.

SEO-Spam zieht deine Domain auf zweifelhafte Keywords, schädigt Vertrauen und kann Backlinkprofile vergiften. Auch Blacklisting kann folgen: blockierter E-Mail-Versand, Spamlisten und Probleme mit Newslettern.

LikeMeASAP analysiert nach einem Hack Sichtbarkeitsverlauf, toxische Links, manuelle Maßnahmen, DA/DR-Entwicklung, interne Verlinkung und Content-Qualität. Danach stärken wir OnPage-SEO, Linkbuilding, Local SEO und hochwertigen Beitrag für neuen Trust.

Wie LikeMeASAP Ihnen bei gehackten WordPress-Seiten hilft

LikeMeASAP ist eine SEO- und WordPress-Agentur mit über 15 Jahren Erfahrung. Wenn deine WordPress-Seite gehackt ist, helfen wir bei:

• Schneller Erst-Analyse,
• Sicherung von Backups,
• Schadcode-Bereinigung,
• Kommunikation mit Hosting-Provider,
• Google-Freigabe,
• WordPress-Wartung,
• Monitoring,
• Performance-Optimierung,
• SEO Audit
• Disavow toxischer Links,
• SEO-Texte und Wiederaufbau der Sichtbarkeit.

Für viele Betreiber ist „WordPress Seite gehackt“ ein Albtraum. Mit Struktur, Erfahrung und Glück lässt sich jedoch vieles vollständig retten.

Fazit: Ruhe bewahren, strukturiert handeln, professionell absichern

Wenn WordPress gehackt wurde, gilt: offline nehmen, Beweise sichern, Backup erstellen, Passwörter ändern, Schadcode entfernen und danach sauber testen.

Langfristige Sicherheit durch Updates, 2FA, Backups, gutes Hosting und Monitoring ist günstiger als wiederholte Notfälle. Nutze die Bereinigung, um deine WordPress-Installation technisch, inhaltlich und SEO-seitig zu modernisieren.

Wenn du akute Hilfe brauchst oder deine WordPress-Seite gehackt wurde, kontaktiere LikeMeASAP für eine kostenlose Erstberatung.

FAQ: WordPress gehackt – häufige Fragen

Wie lange dauert es, eine gehackte WordPress-Seite wiederherzustellen?

Kurze Antwort: wenige Stunden bei kleinem Befall und gutem Backup, mehrere Tage bei Shop, fehlenden Backups oder viel SEO-Spam. Entscheidend sind Infektion, Website-Größe, Zugriff auf Dateien und Reaktionszeit des Providers.

Sollte ich bei einem Hack sofort die Polizei einschalten?

Bei Datendiebstahl, Erpressung oder Ransomware ist eine Anzeige sinnvoll. Bei technischen Hacks steht zuerst Sicherung, Analyse und Wiederherstellung im Fokus. Bewahre Logs, E-Mails und Backups auf.

Muss ich meine Kunden informieren, wenn meine WordPress-Seite gehackt wurde?

Wenn personenbezogene Daten betroffen sein können, kann nach DSGVO eine Melde- oder Informationspflicht bestehen. Kläre das mit Datenschutzbeauftragten oder Anwalt. Transparente Kommunikation schützt Vertrauen oft besser als Schweigen.

Lohnt sich ein Wechsel des Hosters nach einem Hack?

Nicht immer ist der Hoster schuld. Prüfe aber Security-Features, Support, Backups, PHP-Versionen, Firewall und Malware-Scans. LikeMeASAP kann passende Hosting-Lösungen im DACH-Raum empfehlen.

Wie oft sollte ich Backups meiner WordPress-Seite machen?

Shops und aktive Blogs sollten täglich sichern, kleinere Seiten mindestens wöchentlich. Zusätzlich sollte monatlich ein komplettes externes Backup vorliegen. Automatische Backups mit Versionierung sind die sicherste Lösung.