WordPress gehackt: Was jetzt zu tun ist (Schritt für Schritt)

Das Wichtigste

Erst sichern und dokumentieren, dann aufräumen. Wer sofort löscht, vernichtet die Spuren.
Der Button „Neu installieren“ im WordPress-Dashboard reicht nicht. Er überschreibt nur vorhandene Dateien, Angreifer legen aber neue an.
Ein Backup hilft nur, wenn es von vor dem Hack stammt.
Wer das Einfallstor nicht findet, ist oft wenige Wochen später wieder dran.
DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden, wenn ein Risiko für Personen besteht.

Woran du merkst, dass deine Seite gehackt wurde

Google oder Bing warnen vor deiner Seite, oder die Search Console meldet ein Sicherheitsproblem.
Dein Hoster hat die Seite gesperrt oder meldet Schadsoftware.
Besucher werden auf fremde Websites umgeleitet.
Bei Google tauchen Seiten auf, die du nie angelegt hast, oft mit Werbung für Medikamente, Casinos oder Fake-Shops.
Es gibt Admin-Konten, die niemand aus deinem Team angelegt hat.
Der Virenscanner von Besuchern schlägt bei deiner Seite an.

Diese Anzeichen nennen die WordPress.org-FAQ zu gehackten Seiten (Englisch) und die Hinweise von Google. Du weißt nicht sicher, ob deine Seite überhaupt WordPress nutzt? So prüfst du, ob eine Website WordPress nutzt.

Schritt für Schritt: was jetzt zu tun ist

1. Ruhe bewahren und alles notieren

Schreib auf, was dir aufgefallen ist, wann (mit Uhrzeit) und was sich zuletzt geändert hat, etwa ein neues Plugin oder eine Änderung am Theme. Mach Screenshots. Das brauchst du später beim Aufräumen, im Gespräch mit dem Hoster und für eine mögliche DSGVO-Meldung.

2. Seite vom Netz nehmen und Hoster informieren

Solange die Seite läuft, kann sie Besucher infizieren oder Daten abfließen lassen. Google rät, sie offline zu nehmen, am besten mit einer einfachen Wartungsseite (Status 503), die nicht vom befallenen Server kommt. Mehr dazu in Googles Anleitung zum Isolieren einer Website (Englisch). Sag deinem Hoster sofort Bescheid. Viele haben einen eigenen Ablauf für gehackte Seiten.

3. Eigene Rechner prüfen

Lass einen Virenscan auf allen Rechnern laufen, mit denen du dich bei WordPress oder beim Hoster anmeldest. Schadsoftware auf einem Laptop kann Passwörter beim Tippen mitlesen, und dann helfen neue Passwörter wenig.

4. Alle Zugänge ändern

WordPress: unbekannte Admin-Konten löschen und die Passwörter aller Nutzer zurücksetzen.
Hosting: Kundenkonto, FTP oder SFTP und das Datenbank-Passwort (danach in der wp-config.php anpassen).
Sicherheitsschlüssel: mit dem offiziellen Generator von WordPress.org neue Schlüssel (Salts) erzeugen und die alten in der wp-config.php ersetzen. Damit werden alle abgemeldet, auch der Angreifer.
E-Mail: das Postfach, an das Links zum Zurücksetzen von Passwörtern gehen.

5. Den befallenen Stand sichern

Bevor du etwas löschst, kopier Dateien und Datenbank so, wie sie jetzt sind. Diese Kopie brauchst du, um herauszufinden, wie der Angreifer hereinkam. Kennzeichne sie klar als befallen und spiel sie nie wieder ein.

6. Aus sauberen Quellen neu aufsetzen

Es gibt zwei Wege. Du spielst ein Backup von vor dem Hack ein, wenn du sicher weißt, dass es sauber ist. Oder du setzt neu auf: dieselbe WordPress-Version von wordpress.org per SFTP hochladen, Plugins und Theme aus ihren offiziellen Quellen neu installieren. Verlass dich nicht auf den Button im Dashboard. Danach prüfst du die Stellen, an denen sich Schadcode gern versteckt:

PHP-Dateien im Ordner wp-content/uploads. Dort gehören nur Bilder und Dokumente hin.
wp-config.php und .htaccess, auch Kopien in Unterordnern.
Der Ordner wp-content/mu-plugins. Diese Plugins starten automatisch und tauchen in der normalen Plugin-Liste nicht auf (Sucuri zu Schadcode in mu-plugins, Englisch).
Geplante Aufgaben (Cronjobs) beim Hoster, die den Schadcode still wieder herstellen.
Admin-Konten in der Datenbank.

Das ist keine Theorie. In Sucuris Auswertung von fast 40.000 bereinigten Seiten hatten 49 Prozent mindestens eine Hintertür, und in 55 Prozent der befallenen Datenbanken steckten falsche WordPress-Admins (Sucuri-Report 2023, Englisch).

7. Alles aktualisieren und die Passwörter noch einmal ändern

Ist die Seite sauber, bring WordPress, Plugins und Theme auf den neuesten Stand und lösch die Plugins, die du nicht brauchst. Wie das geht, steht in WordPress-Plugins auf Sicherheitslücken prüfen. Prüf auch die PHP-Version auf dem Server, siehe PHP-Version prüfen und aktualisieren. Danach änderst du alle Passwörter ein zweites Mal, denn die ersten neuen hat der Angreifer vielleicht mitgelesen.

8. Das Einfallstor finden

Wer diesen Schritt auslässt, lässt dasselbe Loch offen. Die häufigsten Wege hinein sind ein verwundbares Plugin oder Theme, veraltete Software und schwache oder mehrfach genutzte Passwörter. Von den 11.334 neuen WordPress-Lücken, die 2025 gemeldet wurden, steckten 91 Prozent in Plugins (Patchstack-Report 2026, Englisch). Die befallene Kopie und die Server-Logs zeigen oft, welche Datei zuerst verändert wurde. Kannst du das nicht selbst, hol dir Fachleute dazu.

9. Google um Überprüfung bitten

Hat Google deine Seite markiert, findest du das in der Search Console im Bericht „Sicherheitsprobleme“. Behebe alle Probleme, teste die Seite und beantrage dann über „Überprüfung beantragen“ eine Prüfung, mit einer kurzen Beschreibung, was du getan hast (Google-Hilfe). Laut Google dauert die Prüfung bei Malware ein paar Tage, bei Spam-Hacks bis zu mehrere Wochen.

DSGVO: Musst du den Hack melden?

Liegen auf der Seite personenbezogene Daten (Einträge aus dem Kontaktformular, Kundenkonten, eine Newsletter-Liste) und hatte der Angreifer Zugriff darauf, ist das in der Regel eine Datenschutzverletzung.

Artikel 33: Meldung an die zuständige Datenschutzaufsicht unverzüglich und möglichst binnen 72 Stunden, nachdem du davon erfahren hast, es sei denn, ein Risiko für Personen ist unwahrscheinlich. Meldest du später, musst du die Verzögerung begründen (Art. 33 DSGVO).
Artikel 34: Besteht voraussichtlich ein hohes Risiko für die Betroffenen, musst du sie auch direkt informieren (Art. 34 DSGVO).
Immer dokumentieren. Jede Datenpanne muss festgehalten werden, auch wenn du sie nicht meldest.
Hat deine Agentur oder dein Hoster den Vorfall bemerkt, muss sie dich unverzüglich informieren.

Das ist keine Rechtsberatung. Bist du unsicher, frag deine:n Datenschutzbeauftragte:n oder eine Anwältin oder einen Anwalt.

Selbst machen oder Hilfe holen?

Die Schritte 1 bis 5 schaffst du selbst. Hilfe bei Schritt 6 und 8 lohnt sich, wenn du Code nicht sicher lesen kannst, wenn Kundendaten betroffen sind oder wenn die Seite schon einmal gehackt wurde. Erste Anlaufstellen sind dein Hoster, deine Agentur oder ein spezialisierter Dienst für die Bereinigung.

So verhinderst du, dass es wieder passiert

Updates zügig einspielen: Plugins, Theme, WordPress und PHP. Warum Tempo zählt, steht im Überblick zu WordPress-Sicherheitslücken: Zwischen einer veröffentlichten Lücke und dem ersten Angriff liegen oft nur Stunden.
Plugins löschen, die du nicht nutzt.
Starke, einzigartige Passwörter und Anmeldung mit zweitem Faktor, dazu möglichst wenige Admin-Konten.
Regelmäßige Backups, die nicht auf demselben Server liegen, und einmal testen, ob die Wiederherstellung klappt.

Oder du verkleinerst, was sich überhaupt angreifen lässt. Eine Website, die nur fertige Dateien ausliefert, hat keine Plugins, keine Datenbank und keinen Login auf deiner Domain. So arbeiten Seiten auf ShiftPress: Jede Seite wird vorab als HTML gebaut und über Cloudflare ausgeliefert. Unangreifbar ist keine Website, aber es gibt viel weniger, wo man einbrechen kann. Wenn du diesen Weg gehen willst: erst bereinigen, dann umziehen, damit nichts vom Angreifer mitkommt. Mehr dazu in statische Websites: Vorteile und Nachteile.

Mehr zur WordPress-Sicherheit

WordPress-Sicherheitslücken: warum veraltete Seiten gehackt werden (der Überblick)
WordPress-Plugins auf Sicherheitslücken prüfen (kostenlose Werkzeuge)
PHP-Version prüfen und aktualisieren (sicher, mit Test vorher)
PHP2Shell: die kritische PHP-Sicherheitslücke vom Oktober 2026 (aktuell)

Keine Plugins, keine Datenbank, kein Login zum Einbrechen.

ShiftPress zieht deine WordPress-Seite auf schnelle statische Seiten um, die Aussehen und Rankings behalten. Danach kümmern wir uns um die Seite und setzen deine Änderungen um. Starte mit einem kostenlosen Blick auf deine Website.

Website umziehen ↗

Häufige Fragen

Kann ich einfach ein Backup einspielen?

Nur eines von vor dem Hack, und auch dann musst du danach alle Passwörter ändern und die Lücke schließen. Sonst kommt der Angreifer auf demselben Weg wieder herein.

Reicht ein Sicherheits-Plugin, um die Seite zu reinigen?

Ein Scanner findet viel, aber nicht alles, und er läuft auf genau dem System, das der Angreifer kontrolliert. Sicherer ist es, WordPress, Plugins und Theme aus offiziellen Quellen neu aufzusetzen und den Scanner als zweite Kontrolle zu nutzen.

Wie lange dauert es, bis Google die Warnung entfernt?

Nachdem du in der Search Console eine Überprüfung beantragt hast, dauert sie laut Google bei Malware ein paar Tage und bei Spam-Hacks bis zu mehrere Wochen. Beantrage sie erst, wenn alle Probleme behoben sind.

Muss ich den Hack nach DSGVO melden?

Wenn personenbezogene Daten betroffen sind und ein Risiko für Personen besteht, ja: unverzüglich an die Datenschutzaufsicht, möglichst binnen 72 Stunden. Bei hohem Risiko musst du auch die Betroffenen informieren. Dokumentieren musst du jede Datenpanne, auch die, die du nicht meldest.

Wie ist der Angreifer hereingekommen?

Meistens über eine Lücke in einem Plugin oder Theme, über veraltete Software oder über ein schwaches oder mehrfach genutztes Passwort. 2025 steckten 91 Prozent der neu gemeldeten WordPress-Lücken in Plugins. Die befallene Kopie und die Server-Logs zeigen meist, wo es angefangen hat.

Kann eine gehackte Seite zu ShiftPress umziehen?

Ja, aber bereinige sie vorher, damit nichts vom Angreifer mit umzieht. Nach dem Umzug läuft die Seite ohne PHP, Plugins und Datenbank, und es gibt viel weniger, das sich angreifen lässt.

Fazit

Eine gehackte Seite fühlt sich wie ein Notfall an, und am wichtigsten ist die Reihenfolge: sichern, alle Zugänge ändern, aus sauberen Quellen neu aufsetzen, Einfallstor finden, dann Google um Überprüfung bitten. Der häufigste Fehler ist, sofort Dateien zu löschen.

Quellen: WordPress.org, Google web.dev, Google Search Console-Hilfe, Art. 33 DSGVO, Patchstack, Sucuri.