Der Anruf oder die E-Mail kommt meistens im ungünstigsten Moment: “Irgendwas stimmt mit unserer Website nicht.” Weiterleitungen auf komische Seiten, eine Warnung im Browser, oder Google zeigt plötzlich “Diese Website könnte gehackt sein” an. Bevor Panik aufkommt: Die meisten gehackten WordPress-Seiten lassen sich innerhalb weniger Stunden wieder sauber bekommen – wenn man strukturiert vorgeht. Genau das zeige ich dir hier.
1. Ruhe bewahren und die Seite offline nehmen (nicht löschen)
Der erste Impuls ist oft, sofort irgendetwas zu ändern. Besser: Setze die Seite kurzzeitig in den Wartungsmodus oder sperre den Zugriff über die Hosting-Verwaltung, statt wild Dateien zu löschen. Damit verhinderst du, dass Besucher weiter auf schädliche Inhalte treffen, ohne Beweise für die spätere Fehlersuche zu zerstören.
2. Schaden grob einschätzen
Bevor du irgendetwas reparierst, verschaffe dir einen Überblick: Gibt es unbekannte Admin-Accounts? Wurden Dateien verändert, die eigentlich seit Monaten unverändert waren? Leitet die Seite auf fremde Domains um? Zeigt die Google Search Console eine Sicherheitswarnung? Diese erste Einschätzung entscheidet, ob ein einfaches Zurückspielen des letzten Backups reicht oder ob tiefer aufgeräumt werden muss.
3. Sauberes Backup einspielen – wenn vorhanden
Der schnellste Weg zurück zur Normalität ist fast immer ein Backup von vor dem Angriff. Wichtig: Prüfe das Erstellungsdatum genau, damit du nicht versehentlich eine bereits infizierte Version zurückspielst. Danach unbedingt alle folgenden Schritte trotzdem durchgehen – ein Backup beseitigt nur das Symptom, nicht zwingend die Ursache.
4. Alle Zugangsdaten zurücksetzen
WordPress-Login, FTP/SFTP, Datenbank, Hosting-Panel und alle verbundenen Dienste (z. B. E-Mail-Marketing-Tools) sollten neue, starke Passwörter bekommen. Bei einem Hack ist unklar, welche Zugänge mitbetroffen sind – deshalb lieber konsequent alles zurücksetzen als nur den offensichtlichsten Zugang.
5. Kein Backup vorhanden? Bereinigen statt neu aufsetzen
Ohne sauberes Backup bleibt nur die manuelle Bereinigung: WordPress-Core, Theme und Plugins mit den Originaldateien vergleichen, unbekannte Dateien und Admin-Accounts entfernen, die Datenbank auf eingeschleuste Skripte prüfen. Das ist der aufwendigste, aber machbare Weg – im Zweifel lohnt sich hier professionelle Unterstützung, um nichts zu übersehen.
6. Ursache finden, nicht nur Symptome beseitigen
Ein häufiger Fehler: Die Seite wird bereinigt, aber die Einfallstür bleibt offen – und der Hack wiederholt sich wenige Tage später. Prüfe deshalb gezielt: War ein Plugin oder Theme veraltet? Gab es ein schwaches Passwort? Lief eine bekannte Sicherheitslücke unbemerkt mit? Erst wenn die Ursache bekannt ist, ist die Bereinigung wirklich abgeschlossen.
7. Google Search Console prüfen und Überprüfung anfordern
Falls Google eine Sicherheitswarnung angezeigt hat, verschwindet diese nicht automatisch nach der Bereinigung. In der Search Console lässt sich unter “Sicherheitsprobleme” eine Überprüfung anfordern, sobald die Seite nachweislich sauber ist. Das kann je nach Fall einige Tage dauern.
8. Absicherung für die Zukunft einrichten
Nach der akuten Bereinigung folgt der wichtigste Teil: dafür sorgen, dass es nicht wieder passiert. Aktuelle Updates, ein Malware-Scanner, Zwei-Faktor-Authentifizierung und regelmäßige, getestete Backups gehören jetzt auf die Liste – die konkreten Schritte dazu habe ich in 10 Schritten zu mehr WordPress Sicherheit zusammengefasst.
Fazit
Ein Hack ist unangenehm, aber selten das Ende der Welt – solange strukturiert vorgegangen wird: absichern, Schaden einschätzen, bereinigen, Ursache finden, absichern für die Zukunft. Wenn dir das gerade zu viel auf einmal ist: Ich übernehme die Bereinigung und richte im Anschluss eine laufende Wartung ein, damit es nicht wieder passiert. Meld dich einfach über das Kontaktformular.
