WordPress gehackt? Was Sie jetzt sofort tun sollten

Der Moment ist unangenehm: Sie rufen Ihre eigene Website auf und landen auf einer fremden Seite. Oder ein Kunde ruft an und fragt vorsichtig, warum sein Virenschutz vor Ihrem Auftritt warnt. Vielleicht hat auch Ihr Hoster eine E-Mail geschickt und den Webspace gesperrt. In diesem Moment fühlt sich vieles nach Kontrollverlust an. Genau deshalb bekommen Sie hier einen klaren Plan, was jetzt zu tun ist, in welcher Reihenfolge, und wie Sie dafür sorgen, dass es nicht wieder passiert.

Das Thema ist gerade aktueller denn je. Im Juli 2026 wurde die WordPress-Sicherheitslücke mit dem Namen wp2shell bekannt. Sie betrifft WordPress ab Version 6.8 und erlaubt Angreifern, Schadcode auf den Webspace einzuschleusen. WordPress hat die Lücke in den Versionen 6.8.6, 6.9.5, 7.0.2 und in der Beta 2 der Version 7.1 geschlossen, die großen Hoster haben dazu offizielle Statusmeldungen veröffentlicht. Wer sein System aktuell hält, ist geschützt. Wer die Updates schleifen lässt, steht auf der Liste der leichten Ziele. Kein Grund zur Panik, aber ein guter Grund, das Thema jetzt ernst zu nehmen.

Woran Sie merken, dass Ihre Website gehackt wurde

Ein Hack kündigt sich nicht an, aber er hinterlässt Spuren. Diese Anzeichen sind die häufigsten:

Ihre Website leitet auf fremde Seiten weiter. Besucher tippen Ihre Adresse ein und landen auf dubiosen Shops, Glücksspielseiten oder Werbeseiten. Manchmal passiert das nur bei Besuchern, die über Google kommen, damit der Inhaber es möglichst spät bemerkt.

Google warnt vor Ihrer Seite. In den Suchergebnissen steht der Hinweis "Diese Website wurde möglicherweise gehackt" oder der Browser zeigt eine rote Warnseite. Das kostet sofort Vertrauen und Besucher.

Fremde Inhalte tauchen auf. In den Suchergebnissen erscheinen plötzlich Unterseiten, die Sie nie angelegt haben, oft in fremden Sprachen oder mit Spam-Angeboten. Auch neue Benutzerkonten im WordPress-Bereich, die niemand aus Ihrem Betrieb angelegt hat, sind ein Alarmsignal.

Ihr Hoster sperrt den Webspace. Hoster überwachen ihre Server. Wird von Ihrem Webspace aus Spam versendet oder Schadcode verteilt, sperren sie den Zugang und informieren Sie per E-Mail. Das ist ärgerlich, schützt aber Ihre Besucher und andere Kunden auf dem Server.

Kunden melden Virenwarnungen. Wenn mehrere Besucher berichten, dass ihr Virenschutz beim Aufruf Ihrer Seite anschlägt, nehmen Sie das ernst. Kunden sind oft die ersten, die etwas bemerken.

Auch weichere Signale können dazukommen: Die Seite wird ohne erkennbaren Grund quälend langsam, weil im Hintergrund fremder Code läuft. Nicht jede langsame Website ist gehackt, oft stecken harmlose Ursachen dahinter, die wir im Ratgeber zum Thema Website-Ladezeit verbessern erklären. Aber eine plötzliche, drastische Verlangsamung zusammen mit einem der Anzeichen oben ist verdächtig.

Sofortmaßnahmen: Ihre ersten Schritte in der richtigen Reihenfolge

Jetzt kommt es auf Ruhe und Reihenfolge an. Arbeiten Sie diese Schritte nacheinander ab, am besten mit Stift und Papier daneben, damit Sie notieren, was Sie wann erledigt haben:

1. Ruhe bewahren und nichts löschen. Ein Hack ist ein technisches Problem mit einer technischen Lösung. Löschen Sie jetzt nichts auf Verdacht, denn die befallenen Dateien sind auch Beweismaterial. Ohne sie lässt sich später schwer nachvollziehen, wie der Angreifer hineingekommen ist.
2. Alle Passwörter ändern. Und zwar wirklich alle: das WordPress-Passwort für jeden Benutzer, das Passwort für den Hosting-Zugang, den FTP-Zugang und die Datenbank. Nutzen Sie dafür einen Computer, von dem Sie sicher wissen, dass er sauber ist. Wählen Sie lange, einzigartige Passwörter, keine Variationen des alten.
3. Ihren Hoster kontaktieren. Der Support Ihres Hosters hat solche Fälle täglich auf dem Tisch. Er kann Ihnen sagen, ob der Angriff vom Server aus sichtbar ist, wann er vermutlich passiert ist und welche Protokolle es gibt. Viele Hoster helfen auch dabei, den Schaden einzugrenzen.
4. Die Website vorübergehend offline nehmen. Wenn Besucher aktiv gefährdet werden, etwa durch Weiterleitungen oder Schadcode, nehmen Sie die Seite in den Wartungsmodus oder lassen Sie sie vom Hoster sperren. Ein paar Tage Wartungsseite schaden Ihrem Ruf weniger als eine Woche Virenwarnungen.
5. Den Backup-Stand prüfen. Klären Sie, welche Sicherungen existieren und von wann sie stammen. Wichtig ist ein Stand, der sicher vor dem Angriff liegt. Rühren Sie die Backups erst an, wenn klar ist, welcher Stand sauber ist, sonst überschreiben Sie womöglich Ihre letzte gute Kopie.
6. Einen Fachmann einschalten. Spätestens jetzt lohnt professionelle Hilfe. Die eigentliche Bereinigung braucht Erfahrung, denn Angreifer verstecken ihre Zugänge gut. Wer hier gründlich arbeitet, spart sich den zweiten Hack drei Wochen später.

Ein Wort noch zur Kommunikation: Wenn Kunden den Hack bereits bemerkt haben, gehen Sie offen damit um. Ein kurzer Hinweis, dass Sie das Problem kennen und bereits daran arbeiten, wirkt souveräner als Schweigen. Betriebe, die ehrlich informieren, verlieren erfahrungsgemäß weniger Vertrauen als Betriebe, bei denen Kunden wochenlang auf eine Virenwarnung starren und sich ihren Teil denken.

Diese sechs Schritte stoppen die Blutung. Die eigentliche Heilung kommt danach, und hier machen viele Betriebe den entscheidenden Fehler.

Warum das Backup allein fast nie reicht

Der naheliegende Gedanke ist verständlich: Wir spielen einfach die Sicherung von letzter Woche zurück, dann ist alles wieder wie vorher. Genau das ist der häufigste Irrtum nach einem Hack, und er hat zwei Gründe.

Erstens: Die Lücke bleibt offen. Das Backup stellt den Zustand vor dem Angriff wieder her, also auch die veraltete Version mit genau der Sicherheitslücke, durch die der Angreifer hineingekommen ist. Die automatisierten Angriffsprogramme klopfen weiter an, oft mehrmals täglich. Ohne Update ist die wiederhergestellte Seite in kurzer Zeit wieder befallen.

Zweitens: Hintertüren überleben. Professionelle Angreifer legen nach dem Einbruch mehrere versteckte Zugänge an, kleine Dateien mit unauffälligen Namen, manipulierte Plugin-Dateien oder heimlich angelegte Administratorkonten. Liegt der Angriff schon länger zurück als gedacht, stecken diese Hintertüren bereits im Backup. Sie spielen den Schädling dann höchstpersönlich wieder ein.

Dazu kommt eine Frage, die viele Inhaber überrascht: Warum trifft es überhaupt meinen kleinen Betrieb? Es gibt doch nichts zu holen. Doch, gibt es. Angreifer wollen selten Ihre Daten, sie wollen Ihren Webspace. Eine gekaperte Website verschickt Spam unter Ihrem guten Namen, verteilt Schadsoftware an Besucher oder leitet Suchmaschinenbesucher auf zwielichtige Angebote um. Ihr Betrieb ist nicht das Ziel, er ist das Werkzeug. Genau deshalb lohnt sich jede Website als Beute, egal wie klein sie ist.

Ein Backup ist ein wertvoller Baustein der Wiederherstellung, aber kein Ersatz für die Bereinigung. Erst wird geprüft und gesäubert, dann wird wiederhergestellt, und zwar auf eine aktualisierte, abgesicherte Installation.

So läuft eine gründliche Bereinigung ab

Eine saubere Bereinigung folgt einem festen Ablauf. Sie müssen ihn nicht selbst ausführen, aber Sie sollten ihn kennen, damit Sie beurteilen können, ob Ihr Dienstleister gründlich arbeitet:

Befallene Dateien finden. Zuerst wird die komplette Installation untersucht: Welche Dateien wurden wann verändert? Wo steckt Code, der dort nicht hingehört? Die Server-Protokolle verraten oft, wann der Einbruch passiert ist und über welche Lücke. Dieses Wissen entscheidet darüber, welcher Backup-Stand noch vertrauenswürdig ist.

Kern, Themes und Plugins frisch installieren. Statt einzelne infizierte Dateien zu flicken, werden der WordPress-Kern, alle Themes und alle Plugins durch frische Originalversionen ersetzt, selbstverständlich in der jeweils aktuellen, abgesicherten Version. Plugins und Themes, die nicht mehr gepflegt werden oder nie gebraucht wurden, fliegen ganz raus. Jede installierte Erweiterung ist eine mögliche Tür.

Die Datenbank prüfen. Auch in der Datenbank verstecken sich Angreifer gern: fremde Administratorkonten, eingeschleuste Weiterleitungen, Spam-Inhalte in Beiträgen. All das wird geprüft und entfernt. Danach werden sämtliche Zugänge noch einmal erneuert, inklusive der geheimen Sicherheitsschlüssel von WordPress.

Google Bescheid geben. Wenn Google Ihre Seite als gehackt markiert hat, verschwindet die Warnung nicht von allein. In der Google Search Console beantragen Sie nach der Bereinigung eine Überprüfung. Google prüft die Seite dann erneut und entfernt die Warnung, sobald sie sauber ist. Auch die von Angreifern angelegten Spam-Seiten sollten Sie dort aus dem Index entfernen lassen.

Für diesen Teil holen sich die meisten Betriebe zu Recht Unterstützung. Eine WordPress-Agentur aus Bremen, die täglich mit dem System arbeitet, erledigt die Bereinigung strukturiert, dokumentiert jeden Schritt und sichert die Seite danach so ab, dass der Angreifer vor verschlossener Tür steht.

Vorbeugung: So wird Ihre Website kein leichtes Ziel mehr

Zum Schluss die wichtigste Botschaft dieses Ratgebers, und sie ist eine gute Nachricht: Die meisten Hacks sind vermeidbar. Kaum ein Angreifer sitzt nachts vor dem Bildschirm und nimmt gezielt Ihren Betrieb ins Visier. Die Angriffe laufen automatisiert. Programme durchsuchen das Netz rund um die Uhr nach Websites mit bekannten Lücken, so wie ein Autoknacker über den Parkplatz geht und Türgriffe testet. Getroffen wird, wer offen steht. Der Fall wp2shell zeigt das Muster deutlich: Die Lücke wurde bekannt, die Reparatur-Versionen standen bereit, und gefährdet blieb nur, wer das Update nicht einspielte.

Daraus ergibt sich Ihr Schutzprogramm, und es ist überschaubar:

Regelmäßige Updates. WordPress-Kern, Themes und Plugins zeitnah aktualisieren, am besten kontrolliert und mit Blick darauf, ob danach noch alles funktioniert. Das ist der mit Abstand wirksamste einzelne Schutz.

Tägliche Backups. Automatisch, jeden Tag, und an einem Ort außerhalb des eigenen Webspace. Ein Backup, das beim Hack mit verloren geht oder mit infiziert wird, ist keines.

Firewall und Sicherheits-Plugin. Eine Web-Firewall blockt bekannte Angriffsmuster ab, bevor sie WordPress überhaupt erreichen. Ein Sicherheits-Plugin überwacht Dateiänderungen und Anmeldeversuche und schlägt Alarm, wenn etwas nicht stimmt.

Starke Passwörter und aufgeräumte Zugänge. Lange, einzigartige Passwörter für jeden Zugang, keine geteilten Konten, und Benutzer, die den Betrieb verlassen haben, werden gelöscht. Wo möglich, schalten Sie die Anmeldung in zwei Schritten ein.

Laufende Wartung durch den Profi. All das ist keine einmalige Aufgabe, sondern ein Dauerlauf. Genau dafür gibt es die laufende Website-Pflege: Ein Fachmann hält Ihr System aktuell, überwacht es, testet die Backups und reagiert, bevor aus einer Meldung ein Schaden wird. Warum sich das rechnet, lesen Sie im Beitrag Ist WordPress-Wartung sinnvoll?, und was für laufende Betreuung üblich ist, zeigt der Ratgeber zu den Kosten der Website-Wartung.

Ganz ehrlich muss man dazusagen: Hundertprozentige Sicherheit gibt es nicht, bei keinem System und keinem Anbieter. Aber der Unterschied zwischen einer gepflegten und einer vernachlässigten Website ist gewaltig. Der automatisierte Angreifer sucht das offene Fenster. Wer seine Fenster schließt, wird in aller Regel einfach übergangen, weil nebenan genug offen stehen.