WordPress gehackt, was tun? Soforthilfe für deine Firma

Ein Hack fühlt sich persönlich an, ist es aber fast nie. Die meisten Angriffe laufen automatisiert: Programme suchen rund um die Uhr nach WordPress-Seiten mit bekannten Lücken in veralteten Plugins, Themes oder schwachen Passwörtern. Ob dahinter ein grosser Betrieb oder ein kleines Geschäft steht, spielt keine Rolle.

Wenn deine Seite nach einem Update einfach nicht mehr lädt, ist das meist kein Hack. Dafür habe ich die Anleitung WordPress nach Plugin-Update kaputt geschrieben. Hier geht es um echte Angriffe.

WordPress gehackt? Woran du es erkennst

• Besucher werden auf Werbe- oder Casinoseiten oder auf dubiose Shops für Potenzmittel und Abnehmpillen weitergeleitet, oft nur auf dem Handy oder nur über Google.
• Im Dashboard tauchen Benutzer mit Admin-Rechten auf, die du nicht kennst.
• Bei Google erscheinen Seiten mit fremden Titeln in japanischer oder anderer Sprache unter deiner Domain.
• Der Browser oder Google zeigt eine Warnung, die Seite sei unsicher.
• Dein Hoster sperrt die Seite oder schickt eine Mail wegen Malware oder Spamversand.
• Deine Mails landen plötzlich im Spam, weil über deinen Server Spam verschickt wurde.

Ein einzelnes Zeichen ist noch kein Beweis. Mehrere zusammen sind ein deutliches Signal.

Schritt 1: Ruhe bewahren und den Zustand festhalten

Mach Screenshots von allem, was dir auffällt, und notiere Datum und Uhrzeit. Lösch noch nichts. Diese Infos helfen später, die Ursache zu finden und zu entscheiden, welches Backup sauber ist.

Schritt 2: Hoster informieren

Melde dich bei deinem Hosting-Anbieter. Viele Hoster haben Erfahrung mit solchen Fällen, können verdächtige Dateien zeigen und sagen dir, welche Backups auf dem Server vorhanden sind. Frag auch, ob andere Websites im selben Hosting-Konto betroffen sind.

Schritt 3: Seite vom Netz nehmen oder in den Wartungsmodus setzen

Wenn deine Seite Besucher auf schädliche Seiten weiterleitet, schützt du sie und deinen Ruf, indem du die Seite vorübergehend vom Netz nimmst. Das geht über den Hoster oder mit einer einfachen Wartungsseite. Ein paar Stunden offline sind besser als eine Seite, die Kundschaft gefährdet.

Schritt 4: Alle Passwörter ändern

Und zwar alle, nicht nur das WordPress-Passwort:

• alle WordPress-Benutzer mit Admin- oder Redaktionsrechten,
• SFTP- und FTP-Zugänge,
• das Kundenkonto beim Hoster,
• die Datenbank, inklusive Anpassung in der wp-config.php,
• Mailkonten, die mit der Website verbunden sind.

Lösch unbekannte Admin-Konten und schalte, wo möglich, einen Zwei-Faktor-Login ein. Ändere die Passwörter von einem Gerät aus, dem du vertraust.

Schritt 5: Sauber bereinigen

Hier entscheidet sich, ob der Hack wirklich weg ist. Es gibt zwei Wege:

• Backup aus der Zeit vor dem Hack zurückspielen. Das ist oft der schnellste Weg, aber nur, wenn du sicher weisst, dass das Backup sauber ist. Inhalte, Bestellungen oder Anfragen seit diesem Zeitpunkt gehen dabei verloren.
• Gezielt bereinigen. WordPress, Theme und Plugins aus offiziellen Quellen frisch installieren, den Ordner wp-content/uploads auf PHP-Dateien prüfen, die dort nichts zu suchen haben, die Datenbank nach eingeschleustem Code und fremden Benutzern durchsuchen und die Dateien zusätzlich mit einem Sicherheits-Scanner prüfen.

Wichtig ist bei beiden Wegen: Die Lücke muss geschlossen werden. Meist ist das ein veraltetes oder nicht mehr gepflegtes Plugin, ein raubkopiertes Premium-Theme oder ein schwaches Passwort. Bleibt die Lücke offen, ist die Seite oft schnell wieder befallen.

Wer «WordPress gehackt» sucht, findet viele widersprüchliche Tipps. Eine verlässliche Quelle ist die offizielle WordPress-Dokumentation: Die FAQ My site was hacked (englisch) beschreibt die Bereinigung technisch genauer.

Schritt 6: Google und Besucher wieder ins Boot holen

Prüf in der Google Search Console den Bereich zu Sicherheitsproblemen. Wenn Google deine Seite markiert hat, kannst du nach der Bereinigung dort eine Überprüfung beantragen. Entferne fremde Spam-Seiten aus der Sitemap und lass sie mit dem Status «nicht gefunden» oder «entfernt» antworten, damit Google sie aus dem Index nimmt.

Schritt 7: An den Datenschutz denken

Über Kontaktformulare, Newsletter oder einen Shop speichert deine Website oft Personendaten. Wenn diese betroffen sein könnten, prüf, ob du den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden und Betroffene informieren musst. Ich bin Webentwickler, kein Anwalt. Bei Unsicherheit lohnt sich eine kurze rechtliche Abklärung. Mehr zu den Grundlagen steht in meiner DSG-Checkliste für Websites.

Wann du Hilfe holen solltest

Selbst bereinigen kannst du, wenn du dich mit SFTP, Datenbank und WordPress gut auskennst. Hol dir Hilfe, wenn:

• du nicht sicher weisst, welches Backup sauber ist,
• die Seite nach einer Bereinigung wieder befallen wird,
• ein Shop oder Kundendaten betroffen sind,
• dein Hoster die Seite gesperrt hat und eine Bestätigung der Bereinigung verlangt,
• du schlicht keine Zeit hast, weil dein Geschäft weiterlaufen muss.

So schützt du deine Website danach

Die meisten Hacks lassen sich mit Routine verhindern:

• Updates von WordPress, Theme und Plugins regelmässig einspielen, vorher mit Backup.
• Backups ausserhalb des Servers speichern, damit sie bei einem Angriff nicht mitbetroffen sind.
• Plugins und Themes nur aus offiziellen Quellen, ungenutzte ganz löschen.
• Eigene Benutzer für jede Person, mit so wenig Rechten wie nötig und Zwei-Faktor-Login.
• Ein Monitoring, das meldet, wenn die Seite offline ist oder sich etwas verändert.

Fazit

Ist dein WordPress gehackt, ist das ärgerlich, aber lösbar: Zustand festhalten, Hoster informieren, Seite bei Bedarf vom Netz nehmen, alle Passwörter ändern, sauber bereinigen, die Lücke schliessen und den Datenschutz prüfen. Danach sorgt eine regelmässige Wartung dafür, dass es nicht wieder passiert.

Genau das übernehme ich in der WordPress-Wartung ab CHF 149.– pro Monat: Updates jede Woche, tägliche Backups, Uptime- und Sicherheits-Monitoring mit Malware-Scan, Login-Schutz und Prüfung auf bekannte Lücken in Plugins, ein monatlicher Formular- und PageSpeed-Check, SEO & GEO-Kontrolle mit Ranking-Report, ein kurzer Monatsbericht und 1 Stunde für kleine Änderungen. Die Bereinigung nach einem Hack rechne ich nach Aufwand zu CHF 60.– pro Stunde ab. Ist deine Seite gerade betroffen? Schreib mir oder per Mail an hallo@linus-webentwicklung.ch. Ich sage dir kostenlos, wie gross der Aufwand ist.

Häufige Fragen