Wenn du das hier liest, stimmt etwas nicht: vielleicht warnt Google davor, dass deine Website gefährlich ist, deine Besucher berichten von seltsamen Weiterleitungen, oder du hast einfach einen Administrator-Benutzer entdeckt, den du nicht kennst. Atme durch. Das lässt sich beheben. Aber die ersten Minuten zählen genauso wie die eigentliche Bereinigung — ein falscher erster Schritt kann aus einer einfachen Infektion ein viel größeres Problem machen.
Zuerst: die 3 Fehler, die einen Hack schlimmer machen
Dateien löschen, ohne vorher eine forensische Kopie zu erstellen
Der erste Impuls ist, alles zu löschen, was verdächtig aussieht. Tu das noch nicht. Ohne zu wissen, welche Datei infiziert war und wie, verlierst du die einzige echte Spur, wie die Angreifer hereingekommen sind — und ohne diese Spur kommen sie nächste Woche leicht auf demselben Weg wieder herein.
Nur das Passwort ändern und das Problem für erledigt halten
Wenn der Angreifer bereits eine schädliche Datei auf deinen Server hochgeladen hat (eine Backdoor), bringt das Ändern des Passworts nichts: Er muss nicht mehr “durch die Tür” hereinkommen, er hat bereits ein dauerhaft offenes Fenster.
Ein Backup wiederherstellen, ohne zu wissen, ob es ebenfalls infiziert ist
Wenn dein Backup aus der Zeit nach der Infektion stammt, ist die Wiederherstellung so, als würdest du das Haus putzen und den Schmutz durch die Hintertür wieder hereinlassen. Bevor du irgendein Backup wiederherstellst, muss bestätigt sein, dass genau diese Kopie sauber ist.
Die ersten 15 Minuten: den Schaden eindämmen
Wartungsmodus aktivieren, ohne die Website abzuschalten
Du musst dein WordPress nicht komplett vom Netz nehmen. Ein Wartungsmodus verbirgt die Website vor normalen Besuchern, während du arbeitest, ohne dass du selbst per FTP oder Hosting-Panel den Zugriff verlierst.
Alle Passwörter ändern (WordPress, Hosting, FTP, Datenbank)
Alle, nicht nur das des WordPress-Administrator-Benutzers. Wenn der Angreifer deine wp-config.php einsehen konnte, kennt er bereits die Zugangsdaten der Datenbank. Ändere auch das Passwort deines Hosting-Kontos und von FTP/SFTP.
Aktive Sitzungen und App-Tokens widerrufen
Das Ändern des Passworts beendet nicht automatisch bereits geöffnete Sitzungen. Suche in deinem WordPress-Benutzerprofil nach der Option “alle anderen Sitzungen beenden” und prüfe, ob verbundene Anwendungen (mobile Apps, Integrationen) ebenfalls widerrufen werden müssen.
Wie du genau herausfindest, was passiert ist
Nach unbekannten Administrator-Benutzern suchen
Geh zu Benutzer in deinem WordPress und prüfe die vollständige Liste, nicht nur die erste Seite. Ein Administrator-Benutzer, der zu einem Datum erstellt wurde, das du nicht wiedererkennst, ist das klarste Zeichen dafür, dass bereits die volle Kontrolle über die Website bestand.
Kürzlich geänderte Dateien prüfen
Mit SSH-Zugriff zeigt dir eine einfache, nach Änderungsdatum sortierte Dateiliste meist genau die Datei, die manipuliert wurde. Achte besonders auf .php-Dateien in Ordnern, die normalerweise nur Bilder enthalten sollten, wie wp-content/uploads.
Nach bekanntem Schadcode scannen
Ein Malware-Scanner vergleicht deine Dateien mit bekannten Mustern und Signaturen (verschleierter Code, typische Backdoor-Funktionen wie eval() oder base64_decode() in verdächtiger Verwendung) und markiert, welche Dateien überprüft werden sollten.
Bereinigen, ohne Hintertüren zu hinterlassen
Der Unterschied zwischen Symptom löschen und Ursache beseitigen
Die Datei zu löschen, die die sichtbare Weiterleitung verursacht, ist nicht dasselbe wie die Backdoor zu entfernen, über die sie hochgeladen wurde. Wenn du nur das Symptom bekämpfst, ist es nur eine Frage der Zeit, bis es wieder auftaucht — oft unter einem anderen Dateinamen, um beim zweiten Mal nicht entdeckt zu werden.
Wann man ein Backup wiederherstellt und wann man von Hand bereinigt
Wenn du ein bestätigt sauberes Backup von vor der Infektion hast, ist die Wiederherstellung meist schneller und zuverlässiger als eine Bereinigung Datei für Datei. Wenn du keines hast oder dir beim genauen Datum unsicher bist, ist die manuelle (oder scannergestützte) Bereinigung die einzig sichere Option.
Prüfen, dass keine Backdoor übrig bleibt
Scanne nach der Bereinigung die gesamte Website erneut. Angreifer hinterlassen oft mehr als eine Hintertür für alle Fälle — eine einzige zu finden und zu entfernen garantiert nicht, dass die Website vollständig sauber ist.
Nach der Bereinigung: wie du verhinderst, dass es wieder passiert
Alles aktualisieren (Core, Plugins, Themes)
Die meisten Infektionen kommen über eine bekannte Schwachstelle in einem veralteten Plugin herein, nicht über einen raffinierten, gezielten Angriff. Alles zu aktualisieren — WordPress, Plugins und Theme — schließt die häufigste Tür.
Kontinuierlichen Schutz aktivieren, nicht nur einen einmaligen Scan
Ein einmaliger Scan sagt dir, dass die Website jetzt gerade sauber ist, warnt dich aber nicht, wenn sich morgen etwas ändert. Echter Schutz kombiniert einen Scanner, der die Website regelmäßig prüft, mit einer Firewall, die genau die Art von Anfragen blockiert, die typischerweise zum erneuten Hochladen schädlicher Dateien genutzt werden.
Bei Google eine Überprüfung beantragen, wenn deine Website als gefährlich markiert wurde
Wenn die Google Search Console deine Website als gefährlich markiert hat, reicht das Entfernen der Malware allein nicht aus — du musst in den Bereich “Sicherheitsprobleme” gehen und ausdrücklich eine Überprüfung beantragen, sobald bestätigt ist, dass die Website sauber ist.
Häufige Fragen
Kann ich ein gehacktes WordPress selbst bereinigen, ohne technisches Wissen?
Bei einer einfachen Infektion ja, wenn du die richtige Reihenfolge einhältst (eindämmen → diagnostizieren → bereinigen → überprüfen). Bei Backdoors oder wiederkehrenden Infektionen reduziert ein automatischer Scanner die Fehlerquote beim manuellen Vorgehen erheblich.
Wie lange dauert es, bis Google die Warnung für meine Website wieder entfernt?
Nach der Bereinigung und der Überprüfungsanfrage in der Search Console braucht Google in der Regel zwischen einigen Stunden und mehreren Tagen, um die Website erneut zu bewerten.
Muss ich meine Nutzer oder Kunden informieren, wenn mein WordPress gehackt wurde?
Wenn personenbezogene Daten kompromittiert worden sein könnten, ja — und je nach EU-Land kann nach der DSGVO eine gesetzliche Pflicht bestehen, dies innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden.