WordPress gehackt? Der Notfall-Guide zur Bereinigung (2026)

Ein Schock am Morgen beim ersten Kaffee: Sie rufen Ihre Webseite auf und statt Ihrem Firmenlogo sehen Sie dubiose Werbung für Potenzmittel, japanische Schriftzeichen oder – noch schlimmer – einen roten Warnbildschirm: “Diese Website ist möglicherweise gehackt”. Ihr Herz rutscht in die Hose. Ihre digitale Identität wurde gekapert.

Jetzt heißt es: Ruhe bewahren. Panik ist ein schlechter Ratgeber. Wer jetzt unüberlegt handelt, löscht vielleicht wichtige Spuren oder macht den Schaden größer. In diesem Notfall-Guide führen wir Sie Schritt für Schritt aus der Krise, retten Ihre Daten und zeigen, wie Sie die Tür für Hacker in Zukunft fest verschließen.

Einleitung

WordPress ist laut W3Techs mit über 40 % Marktanteil das beliebteste Content Management System der Welt. Das macht es leider auch zum beliebtesten Ziel für Cyberkriminelle. Meist sitzt da kein Hacker im Kapuzenpulli, der Sie persönlich angreift. Es sind automatisierte Bots, die das Internet rund um die Uhr nach veralteten Plugins, schwachen Passwörtern und Sicherheitslücken scannen. Hat der Bot eine Lücke gefunden, injiziert er Schadcode.

Die Folgen sind fatal:

• Google sperrt Ihre Seite (Ranking-Verlust).
• Hoster schalten die Seite ab (Quarantäne).
• Kundendaten könnten gestohlen werden (DSGVO-Albtraum).
• Ihr Ruf leidet massiv.

---

WordPress gehackt? Sofortmaßnahmen zur Schadensbegrenzung

1. Ruhe bewahren und Screenshot machen

Dokumentieren Sie den Zustand. Machen Sie Screenshots von der veränderten Seite oder der Fehlermeldung. Das kann später für Versicherungen oder die Polizei wichtig sein.

2. Seite in den Wartungsmodus versetzen / Offline nehmen

Sie müssen verhindern, dass Besucher sich über Ihre Seite infizieren (Drive-by-Downloads).

• Wenn Sie noch ins Dashboard kommen: Installieren Sie ein “Maintenance Mode” Plugin.
• Wenn nicht (wahrscheinlich): Loggen Sie sich bei Ihrem Hoster (Strato, IONOS, All-Inkl) ein und schützen Sie das Verzeichnis per Passwort (.htaccess) oder nehmen Sie die Domain vorübergehend vom Netz.

3. Passwörter ändern – ÜBERALL!

Gehen Sie davon aus, dass alle Zugangsdaten kompromittiert sind. Ändern Sie sofort von einem virenfreien Computer aus:

• WordPress Admin-Zugang
• FTP / SFTP Zugang
• Datenbank-Passwort (MySQL)
• Zugang zum Hosting-Panel
• E-Mail-Passwörter (falls auf dem gleichen Server)

---

Phase 2: Bereinigung & Wiederherstellung

Option A: Das saubere Backup (Der Königsweg)

Haben Sie ein Backup? (Bitte sagen Sie ja).

• Ein Backup von vor dem Hack ist die sicherste und schnellste Lösung.
• Löschen Sie alle Dateien auf dem Server und die Datenbank.
• Spielen Sie das Backup ein.
• WICHTIG: Sofort nach dem Einspielen alle Updates machen und Passwörter ändern! Die Sicherheitslücke, durch die der Hacker kam, ist im Backup ja noch offen.

Option B: Manuelle Bereinigung (Der steinige Weg)

Kein Backup vorhanden? Dann wird es Arbeit.

1. Scanner nutzen: Fragen Sie Ihren Hoster nach einem Virenscan-Protokoll. Nutzen Sie Plugins wie “Wordfence” oder “Sucuri” (falls Dashboard zugänglich), um infizierte Dateien zu finden.
2. Core-Dateien ersetzen: Laden Sie eine frische Version von WordPress bei wordpress.org herunter. Überschreiben Sie per FTP die Ordner wp-admin und wp-includes. Nicht den Ordner wp-content überschreiben (dort liegen Ihre Bilder/Themes)!
3. Themes & Plugins prüfen: Laden Sie alle Plugins frisch herunter und ersetzen Sie die Ordner auf dem Server. Hacker verstecken Backdoors oft in scheinbar harmlosen Plugin-Dateien.
4. Datenbank prüfen: Suchen Sie in der Datenbank (phpMyAdmin) nach neuen Admin-Usern, die Sie nicht angelegt haben. Löschen Sie diese. Suchen Sie nach Spam-Links in den Posts.

---

Phase 3: Nachsorge & Reputation

1. Google “Bescheid sagen”

Wenn Google Ihre Seite gesperrt hat (“Rote Warnseite”), müssen Sie in der Google Search Console einen Antrag auf Überprüfung stellen. Bestätigen Sie, dass der Schadcode entfernt wurde. Das dauert meist 24-48 Stunden.

2. Browser-Cache und Cookies leeren

Stellen Sie sicher, dass Sie selbst die bereinigte Version sehen.

3. Nutzer informieren?

Wenn Kundendaten (E-Mails, Passwörter) betroffen sein könnten (z.B. im Shop), müssen Sie nach DSGVO binnen 72 Stunden die Behörden und die Nutzer informieren. Fragen Sie hierzu einen Anwalt.

---

Wie Sie einen erneuten Hack verhindern (Prävention)

Sicherheit ist kein Zustand, sondern ein Prozess.

1. Updates sind Pflicht!

90 % aller Hacks passieren über veraltete Plugins oder Themes. Aktualisieren Sie immer sofort. Löschen Sie inaktive Plugins und Themes (Leichen im Keller sind ein Risiko).

2. Starke Passwörter & Benutzernamen

• “Admin” als Benutzername ist verboten! Nennen Sie sich anders.
• Nutzen Sie Passwort-Manager. Ein Passwort wie H&s82!kL9§m knackt kein Bot.

3. Zwei-Faktor-Authentifizierung (2FA)

Installieren Sie ein 2FA-Plugin (z.B. Wordfence Login Security). Dann braucht man zum Einloggen neben dem Passwort noch einen Code vom Handy. Das sperrt 99,9 % aller Angreifer aus.

4. Limit Login Attempts

Begrenzen Sie die Anzahl der falschen Login-Versuche. Nach 3 Fehlversuchen wird die IP gesperrt.

5. Firewall (WAF)

Ein Sicherheitsplugin wie Wordfence oder NinjaFirewall fungiert als Türsteher und blockiert bekannte Angriffs-Muster, bevor sie WordPress erreichen.

6. Backups, Backups, Backups

Richten Sie ein automatisches Backup ein, das die Daten an einen externen Ort speichert (z.B. Dropbox, Google Drive oder Cloud). Ein Backup auf dem gleichen Server nützt nichts, wenn der Server gelöscht wird.

---

Fazit: Vorsorge ist günstiger als Rettung

Eine gehackte Webseite kostet Zeit, Nerven und oft hunderte Euro für die professionelle Bereinigung durch Experten. Dazu kommt der Umsatzverlust durch die Ausfallzeit. Ein professioneller Wartungsservice kostet einen Bruchteil davon und lässt Sie ruhig schlafen.

Keine Lust auf Hacker-Stress und Update-Chaos?

Überlassen Sie uns die Sicherheit Ihrer Webseite. Unser “Rundum-Sorglos”-Wartungspaket beinhaltet tägliche Updates, Echtzeit-Firewall, externe Backups und eine Hack-Reparatur-Garantie. Wir sind Ihre digitale Versicherung.

Jetzt Wartung & Pflege Paket anfragen

Lesen Sie auch: Impressum richtig erstellen um rechtlich abgesichert zu sein.