WordPress gehackt? Diese 5 Schritte rettest du deine Site (Notfall-Anleitung)

Du öffnest deine Website und siehst plötzlich Werbung für Casinos, Viagra oder Krypto-Scams. Oder Google warnt deine Besucher mit „Diese Seite kann Ihrem Computer schaden". Oder das WordPress-Backend lässt dich nicht mehr rein.

Atme tief durch. Eine gehackte Site ist nicht das Ende. Aber jede Minute zählt. Hier ist die richtige Reihenfolge, die ich nach 8 Jahren Notfall-Reparaturen entwickelt habe.

Schritt 1: Hosting-Account sofort schützen (5 Min)

Bevor du irgendetwas anderes machst:

1. Logge dich bei deinem Hosting-Provider ein (Strato, All-Inkl, Hetzner, etc.)
2. Ändere das Passwort des Hosting-Accounts
3. Aktiviere 2-Faktor-Authentifizierung (2FA)
4. Schau in den Login-Logs, ob fremde IPs Zugriff hatten
5. Wenn FTP-Zugang existiert: alle FTP-Passwörter ändern

Warum zuerst? Wenn der Angreifer noch Hosting-Zugang hat, kann er alles, was du fixt, sofort wieder kaputt machen.

Schritt 2: Site offline nehmen (3 Min)

Niemand soll die kompromittierte Site sehen oder anklicken. Mehrere Optionen:

• Im Hosting-Panel: Domain auf „Wartung" stellen
• Im WordPress: Wartungs-Modus-Plugin aktivieren (wenn Zugang noch da)
• Per FTP: Eine kleine index.html mit „Wartung läuft" hochladen
• Per htaccess: Zugriff auf alle IPs außer deine eigene blockieren

Ziel: Besucher sehen nichts Verdächtiges mehr, und Google merkt nicht weitere kompromittierte Seiten.

Schritt 3: Backup einspielen, wenn vorhanden (15-30 Min)

Hast du ein automatisches Backup (UpdraftPlus, Hosting-Backup, externes Backup)?

Wenn ja:

1. Wähle das letzte Backup VOR dem Hack (idealerweise von gestern oder dem Vortag des Hacks)
2. Restore in einer Staging-Umgebung oder direkt auf der Live-Site
3. Nach Restore: Alle Passwörter ändern (WP-Admin, Database, FTP)
4. Alle Plugins und das Theme aktualisieren

Wenn nein: Schritt 4 wird wichtiger.

Wichtig: Spiele NICHT einfach das letzte Backup ein, ohne zu wissen, ob es schon kompromittiert war. Manchmal sitzen Angreifer wochenlang unbemerkt im System.

Schritt 4: Manuelle Säuberung (1-4 Stunden)

Wenn kein Backup verfügbar ist oder das Backup auch kompromittiert war, musst du säubern. So gehst du vor:

4a. WordPress-Core neu installieren

Lade die aktuelle WordPress-Version von wordpress.org runter und überschreibe via FTP alle Core-Dateien, außer der wp-content/ Ordner und wp-config.php.

4b. Plugins komplett neu installieren

Lösche alle Plugins aus dem wp-content/plugins/ Ordner und installiere sie sauber neu aus dem offiziellen Plugin-Repository. Premium-Plugins: aus dem Account des Anbieters neu downloaden.

4c. Theme prüfen

Lade dein Theme neu vom Anbieter und überschreibe. Wenn du Custom-Code im Theme hast: vorher sichern, dann wieder hinzufügen.

4d. wp-config.php Schlüssel erneuern

Generiere neue Security-Keys über api.wordpress.org/secret-key/1.1/salt/ und ersetze sie in der wp-config.php. Das invalidiert alle aktiven Sessions.

4e. Uploads-Ordner prüfen

In wp-content/uploads/ sollten NUR Bild- und Dokument-Dateien liegen. Wenn dort PHP-Dateien sind: löschen. PHP in Uploads ist fast immer Malware.

4f. Datenbank scannen

Mit Plugins wie „Wordfence" oder „Sucuri" die Datenbank auf eingeschleusten Code (z. B. in der options-Tabelle) prüfen.

Schritt 5: Sicherheits-Hardening (2-3 Stunden)

Damit es nicht wieder passiert:

• 2FA für WP-Admin aktivieren (z. B. WP 2FA Plugin)
• Limit Login Attempts Plugin installieren (max 3 Versuche)
• Admin-Username „admin" löschen: Standard-Login wird automatisiert angegriffen
• Firewall-Plugin installieren (Wordfence, iThemes Security)
• Datei-Permissions prüfen: wp-config.php auf 600, alle anderen auf 644/755
• SSL erzwingen auf der gesamten Site
• Automatische Updates für Plugins aktivieren (oder Wartungsvertrag abschließen)
• Tägliches Backup einrichten, extern gespeichert (nicht nur auf dem Server)

Schritt 6: Google-Reputation wiederherstellen

Wenn Google bereits eine Warnung vor deiner Site ausgibt:

1. Search Console öffnen
2. Im Bereich „Sicherheitsprobleme" das Problem anschauen
3. Nach kompletter Säuberung: „Überprüfung beantragen" klicken
4. Google prüft erneut, dauert 1-3 Werktage
5. Bei Erfolg: Warnung wird entfernt

Wann du den Profi rufen solltest

Selber säubern ist machbar, aber riskant. Ruf einen Profi wenn:

• Du nicht weißt, was die Malware genau macht
• Du nicht sicher bist, ob alle kompromittierten Dateien gefunden sind
• Die Site geschäftskritisch ist und nicht 1-2 Tage offline sein darf
• Kundendaten betroffen sind (DSGVO-Meldepflicht!)
• Die Hack-Quelle nicht klar ist

Notfall-Reparaturen kosten 480-1.800 € je nach Ausmaß. Mit zeitlicher Priorität.

Wie kommen Hacker rein? (zur Prävention)

Die 5 häufigsten Einfallstore:

1. Veraltete Plugins (60 % aller Hacks)
2. Schwache Admin-Passwörter (15 %)
3. Veraltetes Theme (10 %)
4. Geleakte Hosting-Zugangsdaten (8 %)
5. Veraltete WordPress-Version (7 %)

Mit monatlichen Updates wären 95 % aller Hacks verhinderbar.

Häufige Fragen

Muss ich die DSGVO-Behörde informieren?
Wenn Kundendaten (Newsletter-E-Mails, Form-Submissions, Bestellungen) potenziell betroffen sind: Ja, innerhalb 72 Stunden. Sonst nicht.

Soll ich Kunden informieren?
Bei wahrscheinlichem Datenleck: Ja. Eine ehrliche Mail kommt besser an als ein Verschweigen, das später rauskommt.

Ist WordPress unsicher?
Nein. 43 % aller Websites laufen drauf. Entsprechend ist es das größte Angriffsziel. Mit regelmäßigen Updates ist es sicherer als die meisten Custom-Builds.

Und jetzt?

Wenn du gerade gehackt wurdest: Schreib uns sofort. Notfall-Reparatur startet innerhalb von 24 Stunden, oft schneller. Wenn du noch NICHT gehackt wurdest: ein Wartungsvertrag verhindert 95 % aller solchen Szenarien.