Du öffnest deine Website und etwas stimmt nicht. Die Seite leitet auf fremde (dubiose) Adressen weiter, Google zeigt Inhalte in einer anderen Sprache an, oder du kannst dich nicht mehr einloggen, bekommst aber seltsame Benachrichtigungs-Mails.
Vielleicht hat sich auch schon dein Hosting-Anbieter mit einer konkreten Warnung bei dir gemeldet. 
Das fühlt sich erstmal katastrophal an und lässt auch bei mir den Puls erstmal ansteigen.

Es ist aber zum Glück meist lösbar, und kein Grund zur Panik. Was zählt, ist die Reihenfolge und die Zeitspanne in der du vorgehen solltest: Jede Sofortmaßnahme, die du innerhalb weniger Stunden nach Bekanntwerden des Problems richtig auslöst, sorgt dafür, dass kein weiterer Schaden entsteht.

Und falls du dich wunderst, warum ausgerechnet deine Website betroffen ist: Ich habe schon oft Feuerwehr für gehackte Websites gespielt, und fast nie steckte ein gezielter Angriff dahinter. Ein Bot hat automatisiert nach offenen Türen gesucht und eine gefunden. Das heißt für dich: Du bist nicht persönlich gemeint, und das kann passieren. Die Lücke lässt sich in den meisten Fällen finden und schließen.

Dieser Beitrag ist deine Soforthilfe in der Reihenfolge, die ich dir empfehle: Sichern, Säubern, Schließen. Jede Phase hat feste Schritte, du gehst sie nacheinander durch.

Woran erkennst du, dass deine Website gehackt wurde?

Eine WordPress-Website nennt man „gehackt“, wenn jemand ohne dein Wissen Zugriff auf Dateien, Datenbank oder ein Benutzerkonto erlangt und Inhalte oder Code verändert hat.

So ein Angriff fällt nicht immer auf. Im WordPress-Backend sieht oft alles normal aus, während Besucher:innen umgeleitet werden oder Google längst fremde Seiten unter deiner Adresse erkannt und dich „abgestraft“ hat. 

Dies können typische Anzeichen sein:

Gut zu wissen: Ein weißer Bildschirm oder eine Fehlermeldung heißt nicht automatisch, dass jemand eingedrungen ist. Auch ein fehlerhaftes Plugin oder ein Update kann das auslösen, mehr dazu bei den häufigen Fragen unten. Wenn du dir nicht sicher bist, fang mit Schritt 1 und 2 an. 

Warum greifen Hacker WordPress-Seiten an?

Hinter fast jedem Angriff steht eines dieser Ziele, und jedes erklärt ein Anzeichen aus der Tabelle oben.

Spam und Umleitungen: Deine Seite verschickt Massenmails oder schickt Besucher:innen auf Werbe- und Betrugsseiten.
Datendiebstahl: Zugangsdaten, Kundendaten und Formulareinträge werden abgegriffen.
SEO-Spam: Unter deiner Adresse entstehen fremde Seiten, die von deiner Domain profitieren sollen.
Übernahme: Dein Webspace verteilt Schadsoftware an Besucher:innen oder greift andere Websites an.

Dabei spielt es keine Rolle, ob du einen großen Shop oder einen kleinen WordPress-Blog betreibst. Die meisten Hacks laufen über Bots, die automatisch prüfen, welche Installationen veraltet sind. Die Größe deiner Website ist für sie egal. Meist ist es sogar so, dass eher kleine Websites angegriffen werden, da diese häufig (aus Unwissenheit) nicht gut abgesichert und somit ein leichtes Ziel sind.

Wie kommt es zu einem WordPress-Hack?

Die häufigsten Einstiegspunkte sind veraltete Plugins und Themes, schwache oder mehrfach verwendete Passwörter, eine ungeschützte Login-Seite und Plugins oder Themes aus nicht ganz offiziellen Quellen. Wenn eine bekannte Sicherheitslücke nicht per Update geschlossen wird, finden automatisierte Scans sie, weil sie rund um die Uhr nach bekannten Lücken in WordPress-Installationen suchen. Über diese Lücke wird Schadcode eingeschleust, der Dateien oder Inhalte verändert.

Phase 1: Sichern. Was du sofort tun solltest

Ziel dieser Phase: Der Schaden wächst nicht weiter, und du behältst den Überblick. Die Schritte 1 bis 6 schaffst du auch ohne Technikwissen.

Schritt 1: Ruhe bewahren und dokumentieren, was du siehst

Mach Screenshots von dem, was auffällt. Notiere Datum und Uhrzeit und was du zuletzt an der Website geändert hast, zum Beispiel ein neues Plugin oder ein Update. Diese Notizen helfen dir später, die Lücke zu finden.

Schritt 2: Deinen Hoster kontaktieren

Schreib dem Support deines Hosting-Anbieters. Er kann bestätigen, ob es ein Hack oder z. B. ein Server-Ausfall ist, und hat oft Backups, die du nicht selbst siehst. Außerdem können auch andere Websites auf demselben Server betroffen sein, das weiß dann auch der Hoster. Hast du keinen Zugriff mehr auf dein WordPress-Backend, frag ihn auch, ob er dir den Zugang zurücksetzt.

Schritt 3: Die Website offline nehmen

Setz die Seite in den Wartungsmodus oder bitte den Support, sie vorübergehend zu sperren. So erreicht Schadcode niemanden mehr, der auf deine Website zugreifen will, und Google ruft nichts Neues / Falsches ab, während du aufräumst und reparierst.

Schritt 4: Deinen eigenen Rechner prüfen

Nicht direkt ein WordPress-Problem, aber kommt manchmal auch vor:
Bevor du ein Passwort änderst, prüf das Gerät, mit dem du arbeitest. Ist dein Rechner mit Schadsoftware infiziert, die Eingaben mitliest, kennt der Hacker auch die neuen Zugangsdaten. Dann liegt die Ursache hier und nicht in WordPress. Lass einen Virenscanner alle Geräte prüfen, mit denen du dich bei WordPress oder beim Hosting angemeldet hast.
Bis dahin änderst du Zugänge nur von einem Gerät, das definitiv sauber ist.

Schritt 5: Alle Passwörter ändern

Ändere das WordPress-Passwort aller Administrator:innen und die Passwörter für das Hosting-Konto, FTP / SFTP, die Datenbank und das E-Mail-Postfach, das mit WordPress verbunden ist. Nimm dafür lange, einzigartige Passwörter, am besten aus einem Passwortmanager. Ersetze außerdem die Sicherheitsschlüssel (Secret Keys) in der Datei wp-config.php. Das meldet alle aktuell angemeldeten Personen ab, auch den Angreifer. Heißt ein Administrator-Konto “admin” oder trägt einen anderen leicht erratbaren Benutzernamen, leg einen neuen Administrator mit eigenem Benutzernamen an und lösch das alte Konto. Wenn das zu kompliziert klingt: Oft hilft der Hosting-Support dir hierbei weiter.

Schritt 6: Den aktuellen Stand sichern

Leg ein Backup der aktuellen, infizierten Website an, bevor du etwas veränderst, und downloade es. Es kommt nicht live, sondern dient als Referenz: Du kannst später nachsehen, welche Dateien sich verändert haben. Lade dir außerdem die Zugriffs- und Fehlerprotokolle (Logs) aus dem Kundenmenü deines Hosting-Anbieters herunter, sofern er sie anbietet. Sie zeigen, wann und von wo jemand auf deine Seite zugegriffen hat.

Phase 2: Säubern und die gehackte Website aufräumen

Ziel dieser Phase: Schadcode entfernen und das Einfallstor schließen. Für die Bereinigung gibt es zwei Wege: Du spielst eine saubere Sicherung ein, oder du setzt die Seite manuell neu auf.

Schritt 7: Ein sauberes Backup einspielen

Der optimale Weg: Hast du eine Sicherung von vor dem Hack, spiel sie ein. So kannst du die Seite am schnellsten wiederherstellen. Nutzt du ein Backup-Plugin wie UpdraftPlus, findest du dort deine Backups mit Datum. Das Datum muss vor dem ersten Anzeichen aus Schritt 1 liegen. Direkt danach installierst du jedes Update und änderst die Passwörter erneut. Sonst bleibt die Lücke offen, und derselbe Bot kommt beim nächsten Scan wieder ins System. Erst danach nimmst du die Seite wieder online.

Schritt 8: Ohne Backup neu aufsetzen

Hast du keine saubere Sicherung, richtest du die Installation Stück für Stück neu ein. Eine komplette Neuinstallation von WordPress mit leerer Seite ist dafür nicht nötig: Deine Inhalte bleiben, du ersetzt die Programmdateien und prüfst den Rest.

1. Ersetze den WordPress-Kern: Lade WordPress in genau der Version, die deine Seite nutzt, per Download von wordpress.org herunter und überschreibe die Ordner wp-admin und wp-includes per SFTP mit den Originalen. Nicht über die Funktion “WordPress neu installieren” im Backend, dort bleibt Schadcode liegen.
2. Lösch alle Themes und Plugins und installiere sie frisch aus den offiziellen Quellen, also aus dem WordPress-Verzeichnis oder vom Hersteller.
3. Prüf die Benutzerliste und lösch jeden Benutzer, den du nicht kennst.
4. Sieh im Ordner wp-content/uploads nach PHP-Dateien. In diesem Ordner liegen normalerweise nur Bilder und Dokumente.
5. Prüf die Datei .htaccess, die Datei wp-config.php und die Datei functions.php im Theme auf Zeilen, die du nicht kennst.

Je nach Art und „Tiefe“ des Hacks, kommst du hier schon recht weit. Besser ist natürlich immer ein wiederhergestelltes Backup.

Schritt 9: Mit einem Scanner nach Schadcode suchen

Lass die gesäuberte Installation mit einem Sicherheits-Scanner prüfen. Das geht mit Tools wie Wordfence oder Sucuri SiteCheck. Manche Hostinganbieter haben sogar eigene Scan-Tools. Ein Scan allein bereinigt allerdings nichts. Er zeigt dir aber an, ob nach der Reparatur noch etwas auffällt. Erst wenn er nichts mehr findet, schließt du die Bereinigung ab.

Wiederhol den Scan in den Wochen nach der Reparatur und hab dabei auch ein Auge auf die WordPress-Benutzerliste.

Phase 3: Schließen, damit der Angreifer nicht zurückkommen kann

Ziel dieser Phase: Über dieselbe Lücke kommt der Angreifer nicht wieder rein, und Google und Datenschutzkonflikte sind überprüft.

Schritt 10: Die Lücke finden und schließen

Geh deine Notizen aus Schritt 1 und die Logs aus Schritt 6 durch. Welches Plugin war veraltet? Gab es eine Anmeldung ohne Schutz? Spiel alle Updates ein, lösch Erweiterungen, die du nicht nutzt, und sichere deine Logins ab: lange Passwörter, Zwei-Faktor-Authentifizierung, Sperre nach mehreren Fehlversuchen, Einrichtung einer Firewall. Das ist leider der Teil, auf den bei der Erstellung der meisten Websites nie ein Augenmerk gelegt wurde.

Schritt 11: Google informieren

Sieh in der Google Search Console im Bericht “Sicherheitsprobleme” nach, ob Google Probleme gemeldet hat. Wenn die Website wieder sauber ist, wählst du dort “Überprüfung anfordern”. Laut Google dauert die Prüfung Tage bis Wochen. Aber solange Google davon ausgeht, dass deine Website ein Sicherheitsproblem hat, wird es diese „abstrafen“, was sich auf deine Sichtbarkeit im Netz auswirkt (SEO).
Prüf außerdem deine Sitemap: Stehen dort Adressen, die du nicht angelegt hast, entfernst du diese Seiten oder den Code dahinter und reichst sie neu ein.

Schritt 12: Datenschutz prüfen

Hat die Website personenbezogene Daten gespeichert, zum Beispiel über Kontaktformulare, Buchungen oder WooCommerce-Kundenkonten? Dann ist der Angriff evtl. eine Datenschutzverletzung nach DSGVO, die du möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden solltest.
Die Meldung entfällt, wenn die Verletzung voraussichtlich kein Risiko für die betroffenen Personen bedeutet. Die Einschätzung gehört aber dokumentiert. Bist du unsicher, frag deine:n Datenschutzbeauftragte:n oder Anwält:in.

Was solltest du nach einem Hack nicht tun, auch wenn’s erstmal ausreichend erscheint?

Diese vier Dinge reichen nicht, auch wenn sie sich richtig anfühlen:

1. Nur das „Symptom“ löschen. Wenn du z. B. die angelegte Spam-Seite löschst, aber die Bot-Hintertür offen bleibt, ist sie oft am nächsten Tag wieder da. Eine Hintertür (Backdoor) ist eine versteckte Datei, über die ein Hacker wieder Zugriff bekommt.
2. Nur das Passwort ändern. Kam der Zugang über ein veraltetes Plugin, hilft ein neues Passwort nicht, weil oft gar kein Login notwendig ist, um sich Zugriff auf’s System zu verschaffen. Es verhindert dann nicht, dass der Hacker dieselbe Lücke erneut nutzt.
3. Ein Backup einspielen und nichts weiter tun. Die Sicherung enthält häufig dieselbe Schwachstelle wie die Website vor dem Angriff. Ohne Aktualisierung und neue Zugänge wiederholt sich der Angriff. Updates nach der Wiederherstellung sind deshalb Pflicht!
4. Ein Sicherheits-Plugin installieren und fertig. Es schützt deine Website in Zukunft an vielen Stellen. Eine bestehende Hintertür findet und entfernt es aber nicht zuverlässig. 

Den Unterschied macht die Kombination aus sauberer Installation, Updates und geschlossenen Sicherheitslücken.

Selbst bereinigen oder Profi-Soforthilfe holen?

Wenn du die Schritte kennst und Zugriff auf Hosting und Dateien hast, kannst du die Seite selbst säubern. Wenn dir FTP und Dateien fremd sind, hol dir lieber Hilfe: zuerst beim Support deines Hosters. Wenn dieser nicht weiterhelfen kann, wende dich an WordPress-Profis. Die Schritte 1 bis 6 schaffst du normalerweise selbst, und sie sparen jeder Helfer:in Zeit, weil du ihr den Stand der Dinge zeigen kannst.

Und falls du gerade vor dem Bildschirm sitzt und nicht weiterweißt: Du musst da nicht alleine durch und darfst deine Nerven schonen.

Schreib mir über das Kontaktformular oder buch dir ein kostenloses Website-Klarheitsgespräch. In 20 Minuten schauen wir gemeinsam drauf, und du weißt danach, wie es weitergeht.

Wie verhinderst du, dass es wieder passiert?

Die Schritte 1 bis 12 sind die Notfall-Reihenfolge. Danach brauchst du ein festes Setup, das die typischen Einstiegspunkte schließt, dazu regelmäßige Updates, Backups außerhalb des Webspace und Malware-Scans in einem festen Rhythmus. Das ist der Grund, warum ich die S.A.F.E.-Methode entwickelt habe:

1. S wie Setup: Plugin installieren, Grundkonfiguration importieren, System prüfen.
2. A wie Absicherung: Login, Benutzer, Firewall und typische Schwachstellen.
3. F wie Formalitäten: datenschutzrelevante Einstellungen bewusst entscheiden.
4. E wie Erhaltung: eine 10-Minuten-Monatsroutine für Updates und Protokolle.

Im S.A.F.E. WordPress Kurs richtest du das Schritt für Schritt ein, mit dem Sicherheits-Plugin AIOS. Keine Website ist danach unhackbar, aber deine WordPress-Website ist dann gegen die Einstiegspunkte abgesichert, über die die meisten automatisierten Angriffe laufen. Wenn du erst wissen willst, wo deine Website heute steht, mach den Quick-Check zur Website-Sicherheit.

Häufige Fragen