WordPress gehackt - was tun? Der Soforthilfe-Leitfaden

Fremde Links auf der Startseite. Eine Weiterleitung auf eine dubiose Seite. Eine Warnung von Google Search Console oder eine E-Mail vom Hoster. Wenn deine WordPress-Website gehackt wurde, ist der erste Impuls meist Panik. Und genau die führt zu den falschen ersten Schritten.

Ich begleite solche Fälle regelmäßig. Es gibt eine sinnvolle Reihenfolge, mit der du den Schaden begrenzt und die Website wieder sauber bekommst. Ohne dass du dabei alles noch schlimmer machst.

Woran du einen Hack erkennst

Nicht jeder Hack ist offensichtlich. Typische Anzeichen:

• Unbekannte Seiten oder Beiträge, oft mit Spam-Inhalten oder fremdsprachigen Texten
• Weiterleitung auf fremde Seiten, teils nur bei bestimmten Besuchern oder Suchmaschinen sichtbar
• Warnmeldung "Diese Website wurde eventuell gehackt" in der Google Search Console
• Unbekannte Administrator-Benutzer in WordPress
• Auffällig hohe Serverlast oder eine E-Mail des Hosters wegen verdächtiger Aktivität

👉 Wie ein aktueller, konkreter Angriffsweg auf WordPress-Websites aussieht: WordPress-Sicherheitslücken 2026: Was hinter wp2shell wirklich steckt

Die ersten Schritte - in dieser Reihenfolge

• Website in den Wartungsmodus setzen oder offline nehmen. Das begrenzt den Schaden für Besucher, für deine Google-Rankings und dafür, dass sich der Angriff nicht weiter ausbreitet
• Alle Zugangsdaten wechseln: WordPress-Login, Hosting-Zugang, Datenbank-Passwort, SALT, FTP/SFTP. Alte Zugänge können dem Angreifer weiterhin offenstehen
• Nichts vorschnell löschen. Wer wild in Dateien herumlöscht, ohne die Ursache zu kennen, erschwert oft die spätere Bereinigung oder verliert wichtige Inhalte unnötig
• Hoster informieren. Viele Hoster haben Erfahrung mit solchen Fällen und können helfen, den Umfang einzugrenzen

Bereinigung: Der schnellste Weg zurück

Hier zeigt sich, wie viel ein sauberes Backup wert ist: Existiert ein Backup von vor dem Angriff, ist die Wiederherstellung meist der schnellste und sicherste Weg. Und deutlich schneller, als jede betroffene Datei einzeln zu suchen.

Ohne sauberes Backup bleibt nur die manuelle Bereinigung: WordPress-Kern, alle Plugins und das Theme komplett neu installieren statt nur zu "reparieren". Bei Schadcode weißt du nie sicher, wo er sich überall versteckt hat. Nur die Inhalte aus der Datenbank werden übernommen, alles andere kommt frisch.

👉 Wie du für den nächsten Fall ein Backup einrichtest, das dir genau diese Arbeit erspart: WordPress Backup erstellen: So sicherst du deine Website richtig

Danach: Die Ursache verstehen, nicht nur das Symptom beheben

Eine bereinigte Website ohne geklärte Ursache ist keine gelöste Situation, sondern eine Verschnaufpause. Meist steckt eine veraltete Plugin- oder Theme-Version, ein schwaches Passwort oder eine unsichere Datei-Berechtigung dahinter.

Deshalb gehört zur Nachsorge: alle Plugins und Themes aktualisieren oder ungenutzte entfernen, Zwei-Faktor-Authentifizierung für den Login einrichten, und - siehe oben - ein automatisiertes, extern gespeichertes Backup, damit ein erneuter Vorfall nicht wieder bei null anfängt.

Wann du dir professionelle Hilfe holen solltest

Bei einer reinen Informationsseite ohne sensible Daten lässt sich ein Hack mit Ruhe und der Reihenfolge oben oft selbst lösen. Bei einem Online-Shop, gespeicherten Kundendaten, Zahlungsdaten oder wenn du dir bei der Bereinigung unsicher bist, würde ich immer zu professioneller Unterstützung raten. Allein schon wegen der Meldepflichten, die bei einem Datenleck greifen können.

👉 Wie eine laufende technische Betreuung aussieht, die genau solche Vorfälle von vornherein seltener macht: WordPress-Wartung

Häufig gestellte Fragen

Fazit: Ruhe bewahren, in der richtigen Reihenfolge handeln

Ein Hack ist unangenehm, aber selten das Ende deiner Website. Wer offline nimmt, Zugänge wechselt, sauber wiederherstellt und die Ursache klärt, ist meist innerhalb weniger Stunden bis Tage wieder handlungsfähig. Und auch deutlich besser abgesichert als vorher.