WordPress gehackt? Ihr Notfallplan in 12 Schritten

Wenn Ihre WordPress-Website gerade gehackt wurde und Sie wissen wollen, was bei „WordPress gehackt“ zu tun ist: Atmen Sie durch, bevor Sie irgendetwas tun. Die meisten WordPress-Kompromittierungen lassen sich vollständig beheben, doch die nächsten zwei Stunden sind entscheidend – sowohl für die Wiederherstellung Ihrer Website als auch für die Meldefrist nach DSGVO, die in dem Moment beginnt, in dem personenbezogene Daten offengelegt wurden. Dieser Ratgeber führt Sie in der richtigen Reihenfolge durch den Notfallplan.

Geschrieben für GmbH-Gründer, Marketingverantwortliche und Mittelständler, die kein eigenes DevSecOps-Team haben und eine klare, ruhige Abfolge von Maßnahmen brauchen.

Woran erkennen Sie, dass Ihre WordPress-Website wirklich gehackt wurde?

Typische Anzeichen einer echten Kompromittierung:

• Die Website zeigt verunstaltete Inhalte, fremdsprachige Werbung oder Pharma-Spam
• Die Google Search Console meldet „Sicherheitsprobleme“
• Browser zeigen eine rote Warnung vor einer „betrügerischen Website“
• Die Website leitet Besucher auf Spam- oder Betrugsdomains weiter
• In /wp-admin/users.php tauchen unbekannte Administratoren auf
• Die Serverlogs zeigen ausgehende Spam-Mails, die Sie nicht versendet haben
• Ihr Hoster schickt eine Missbrauchsmeldung
• In /wp-content/uploads/ oder in Theme-Ordnern erscheinen neue PHP-Dateien

Trifft eines oder mehrere davon zu, behandeln Sie es als bestätigten Angriff und folgen Sie den Schritten unten. Sehen Sie sich nicht erst auf der Live-Website „um“ – jede Minute, die sie online bleibt, erhöht das Risiko.

Was ist das Erste, was Sie tun sollten, wenn WordPress gehackt wurde?

Nehmen Sie die Website sofort offline. Das stoppt weiteren Schaden und begrenzt das Risiko nach DSGVO.

Die schnellsten Wege 2026:

• Über das Hosting-Panel eine Wartungsseite („Wir sind gleich wieder da“) einrichten
• Oder die Website vorübergehend in Cloudflare bzw. im DNS deaktivieren
• Oder, falls Sie per SSH Zugriff haben, die index.php umbenennen, sodass die Website eine leere Seite liefert

„Säubern Sie nicht im laufenden Betrieb“ – Besucher werden weiter angegriffen, und Ihr Hoster sperrt eventuell Ihr Konto.

Wie sichern Sie Beweise, bevor Sie eine gehackte WordPress-Website bereinigen?

Halten Sie den kompromittierten Zustand fest, bevor Sie etwas löschen. Sie brauchen ihn für die Forensik und die Dokumentation nach DSGVO.

• Einen vollständigen Snapshot des Servers erstellen (die meisten Hoster bieten das im Panel an)
• Die Datenbank im aktuellen Zustand herunterladen – auch kompromittiert enthält sie Beweise
• /wp-content/uploads/ und alle nutzergenerierten Inhalte herunterladen
• Eine Kopie aller Zugriffslogs sichern (/var/log/nginx/access.log oder das Pendant Ihres Hosters)
• Die genauen Symptome mit Zeitstempeln und Screenshots dokumentieren

Dieser Snapshot ist Ihr Sicherheitsnetz, falls die Bereinigung neue Probleme verursacht, und Ihre Beweisgrundlage, falls Sie später nach Art. 33 DSGVO melden müssen.

Der Notfallplan in 12 Schritten für gehackte WordPress-Websites

Arbeiten Sie die Schritte der Reihe nach ab. Überspringen Sie keinen.

Schritt 1: Alle Passwörter zurücksetzen

Ändern Sie die Passwörter für: WordPress-Admin, Hosting-Panel, FTP/SFTP, MySQL-Datenbank, E-Mail-Konten und alle verbundenen Dienste (Stripe, Mailchimp). Nutzen Sie einen Passwortmanager und Passwörter mit mindestens 16 Zeichen.

Schritt 2: Das Einfallstor finden

Die häufigsten Einfallstore bei WordPress:

• Veraltetes Plugin mit bekannter Sicherheitslücke
• Veraltetes Theme (vor allem „nulled“ oder raubkopierte Themes)
• Schwaches Admin-Passwort (per Brute Force geknackt)
• Kompromittiertes Hosting-Konto bei Shared Hosting
• Gestohlene Admin-Zugangsdaten durch Phishing oder Malware

Prüfen Sie, wann Plugins, Themes und Core zuletzt aktualisiert wurden. Das Einfallstor ist meist das, was seit mehr als 60 Tagen nicht aktualisiert wurde.

Schritt 3: Einen Malware-Scan durchführen

Drei zuverlässige Sicherheitsscanner für WordPress 2026:

• Wordfence – kostenlos + kostenpflichtig, am weitesten verbreitet
• Sucuri SiteCheck – schneller externer Scan
• MalCare – kostenpflichtig, gut für betreute Bereinigung

Führen Sie den Scan durch und notieren Sie jede als verdächtig markierte Datei. Löschen Sie noch nichts automatisch – Sie brauchen zuerst eine saubere Bestandsaufnahme.

Schritt 4: Mit einer sauberen WordPress-Installation vergleichen

Laden Sie eine frische Kopie des WordPress-Core in Ihrer Version herunter. Vergleichen Sie Ihre Installation mit der sauberen Kopie. Jede veränderte Core-Datei ist verdächtig.

Laden Sie Themes und Plugins erneut aus den Originalquellen herunter (WordPress.org oder Anbieter kostenpflichtiger Plugins). Vergleichen Sie die Prüfsummen.

Schritt 5: Die Malware entfernen

Löschen oder ersetzen Sie jede kompromittierte Datei. Typische Orte für eingeschleuste Malware:

• /wp-content/uploads/ (oft als .jpg.php getarnte PHP-Dateien)
• /wp-content/themes/<theme>/ (veränderte functions.php, header.php)
• /wp-content/plugins/ (komplett hinzugefügte Plugins, die Sie nicht kennen)
• Stammverzeichnis (Injektionen in der wp-config.php, veränderte index.php)
• Datenbank (eingeschleuste Skripte in wp_options.siteurl oder in Beitragsinhalten)

Schritt 6: Nach Möglichkeit aus einem sauberen Backup wiederherstellen

Wenn Sie ein Backup von vor der Kompromittierung haben, ist die Wiederherstellung schneller und sicherer als eine Bereinigung. Prüfen Sie das Datum und stellen Sie sicher, dass das Backup vor dem Auftreten der Symptome erstellt wurde.

Vorsicht: Wenn die Malware wochenlang unbemerkt war, kann auch Ihr „sauberes“ Backup infiziert sein. Scannen Sie immer auch die wiederhergestellte Version.

Schritt 7: WordPress-Core sowie alle Plugins und Themes neu installieren

Die sicherste Bereinigung: WordPress-Core neu installieren und anschließend jedes Plugin und Theme aus den Originalquellen neu installieren. So überlebt garantiert keine eingeschleuste Datei.

Einschränkung: Das funktioniert nur, wenn Ihr Theme nicht stark angepasst ist. Bei individuellen Themes müssen Sie manuell vergleichen und bereinigen.

Schritt 8: Benutzerkonten prüfen

Prüfen Sie /wp-admin/users.php auf:

• Administratorkonten, die Sie nicht kennen
• Kürzliche Änderungen an bestehenden Administratorkonten
• Verdächtige E-Mail-Adressen bei Administratoren
• Konten, die im Zeitraum der Kompromittierung angelegt wurden

Löschen Sie jedes nicht legitime Konto. Erzwingen Sie für alle verbleibenden Nutzer ein neues Passwort.

Schritt 9: Alles aktualisieren

Aktualisieren Sie WordPress-Core, jedes Plugin und jedes Theme auf die neueste Version. Wurde ein Plugin seit 12 Monaten oder länger nicht aktualisiert, ersetzen Sie es durch eine aktiv gepflegte Alternative.

Schritt 10: Die Sicherheit härten

Setzen Sie grundlegende Sicherheitsmaßnahmen für WordPress um:

• Wordfence oder Solid Security (ehemals iThemes Security) installieren
• Zwei-Faktor-Authentifizierung für alle Administratorkonten aktivieren
• Anmeldeversuche begrenzen und offensichtliche Brute-Force-Angriffe blockieren
• Dateibearbeitung im wp-admin deaktivieren (define('DISALLOW_FILE_EDIT', true); in der wp-config.php)
• /wp-admin/ auf eine individuelle URL verlegen, sofern Ihr Sicherheits-Plugin das unterstützt
• HTTPS überall und HSTS aktivieren
• Strikte Dateiberechtigungen setzen (644 für Dateien, 755 für Verzeichnisse)

Schritt 11: Die bereinigte Website bei Google zur Überprüfung einreichen

Wenn Google Ihre Website markiert hat:

• Google Search Console → Sicherheitsprobleme öffnen
• Nach der Bereinigung auf „Überprüfung beantragen“ klicken
• Beschreiben, was Sie unternommen haben
• 24–72 Stunden warten, bis Google neu crawlt und die Warnung entfernt

Schritt 12: Auf erneute Infektion überwachen

Kompromittierte Websites werden manchmal innerhalb weniger Tage erneut infiziert, wenn das Einfallstor nicht vollständig geschlossen wurde. In den ersten 30 Tagen:

• Wöchentlich Wordfence-Scans durchführen
• Serverlogs auf verdächtige Aktivitäten überwachen
• Auf unbekannte neue Dateien achten
• Benutzerkonten wöchentlich prüfen

Müssen Sie einen WordPress-Hack nach DSGVO melden?

Ja, wenn auf personenbezogene Daten zugegriffen worden sein könnte. Nach Art. 33 DSGVO haben Sie ab Kenntnis der Verletzung 72 Stunden Zeit, die zuständige Landesdatenschutzbehörde zu benachrichtigen.

Was auf einer typischen WordPress-Website als personenbezogene Daten gilt:

• E-Mail-Adressen von Kunden (Newsletter-Liste, Kontaktformulare, Bestellungen im Onlineshop)
• Namen und Adressen von Kunden
• Kommentare mit E-Mail-Adresse des Verfassers
• Mitgliederkonten mit Profildaten
• Rechnungs- und Versanddaten im Onlineshop
• Alle Nutzerinhalte, die in der WordPress-Datenbank gespeichert sind

Könnte auf eine dieser Datenarten während der Kompromittierung zugegriffen worden sein, gilt die Meldefrist.

So erfüllen Sie die Pflichten:

• Den Vorfall dokumentieren: was geschah, wann, welche Daten, wie viele Personen
• Ihren Datenschutzbeauftragten informieren, falls vorhanden
• Innerhalb von 72 Stunden eine Meldung bei der zuständigen Landesdatenschutzbehörde einreichen
• Betroffene Personen informieren, wenn ein hohes Risiko besteht (Art. 34)
• Den Vorfall und Ihre Reaktion schriftlich festhalten

Eine unterlassene Meldung ist selbst ein DSGVO-Verstoß mit eigenen Bußgeldern. Behandeln Sie die 72-Stunden-Frist als harte Deadline.

Wie lange dauert die Wiederherstellung einer gehackten WordPress-Website?

Realistische Zeitrahmen:

• Einfache Verunstaltung, aktuelles Backup vorhanden: 2–6 Stunden
• Malware in Theme- oder Plugin-Dateien eingeschleust: 4–12 Stunden
• Kompromittierte Administratorkonten plus Datenbank-Injektion: 8–24 Stunden
• Länger andauernde Kompromittierung ohne sauberes Backup: 1–3 Tage
• Kritischer Onlineshop mit aktiv betroffenen zahlenden Kunden: erfordert professionelle Soforthilfe, für eine sichere Wiederherstellung typischerweise 24–48 Stunden

Die meisten KMU unterschätzen die zweite Kategorie – jede eingeschleuste Datei zu finden und zu entfernen erfordert Geduld und Sorgfalt.

Sollten Sie für die Wiederherstellung einen Profi beauftragen?

In Eigenregie ist es möglich, wenn Sie sicher mit SSH, WordPress-Admin und grundlegenden Sicherheitstools umgehen. Holen Sie einen Spezialisten, wenn:

• Sie das Einfallstor nach gründlicher Prüfung nicht finden
• die Website personenbezogene Daten verarbeitet und Sie eine belastbare DSGVO-Dokumentation brauchen
• Sie bereits eine Bereinigung versucht haben und die Website erneut infiziert wurde
• die Website umsatzkritisch ist und jede Stunde mehr kostet als die Hilfe

Eine professionelle Wiederherstellung gehackter WordPress-Websites kostet in Deutschland je nach Komplexität und Aufwand typischerweise 1.500 € – 10.000 €.

Für die Notfallreaktion allgemein lesen Sie unseren Leitfaden Website nach einem Serverabsturz wiederherstellen – dort gilt eine ähnliche Logik.

Wie verhindern Sie den nächsten WordPress-Hack?

Bauen Sie nach der Wiederherstellung die Schutzmaßnahmen auf, die schon vorher hätten da sein sollen:

• Automatische tägliche externe Backups (UpdraftPlus → Hetzner Storage Box)
• Wordfence oder Solid Security aktiv und konfiguriert
• Zwei-Faktor-Authentifizierung für jeden Administrator
• Monatlicher Update-Zyklus für Plugins, Themes und Core
• Monatlicher Malware-Scan
• Vierteljährlicher Passwortwechsel
• Jährliches Sicherheitsaudit durch Dritte

Die meisten erfolgreichen, langjährigen WordPress-Websites in Deutschland setzen alle sieben Punkte um. Die Gesamtkosten liegen unter 500 € pro Jahr – weit weniger als ein weiterer Angriff.

Welches Hosting senkt das Risiko eines Hacks?

Das Hosting spielt eine größere Rolle, als viele denken:

• Managed-WordPress-Hoster (Raidboxes, Mittwald, Kinsta) bieten standardmäßig WAF, Malware-Scans und Isolation
• Hetzner Cloud mit eigenem Setup: sehr flexibel, aber Sie sind selbst für die Härtung verantwortlich
• Günstiges Shared Hosting: maximales Risiko – ein kompromittierter Nachbar kann alle auf dem Server betreffen
• VPS mit verwaltetem Control Panel (Plesk, cPanel): Mittelweg, gut für KMU

Für KMU im DACH-Raum hat Managed WordPress Hosting meist das beste Verhältnis von Risiko zu Kosten.

Mehr zur Wahl des Hosters lesen Sie in unserem Beitrag WordPress-Website langsam? So machen Sie sie wieder schnell, der deutsche Hoster ausführlicher behandelt.

Häufige Fragen zur Wiederherstellung gehackter WordPress-Websites

Fazit: Gehackte WordPress-Website wiederherstellen

Ein WordPress-Hack fühlt sich wie ein Notfall an, lässt sich aber für fast jedes KMU beheben, wenn Sie methodisch vorgehen. Nehmen Sie die Website zuerst offline, sichern Sie Beweise, arbeiten Sie die 12 Schritte der Reihe nach ab und denken Sie an die Meldefrist nach DSGVO. Mit einem ruhigen Ablauf ist die Wiederherstellung meist innerhalb von 24 Stunden abgeschlossen; überhastete Wiederherstellungen führen zu erneuten Infektionen und verpassten Compliance-Schritten.

Wenn Ihre Website gerade gehackt wurde und Sie dringend Hilfe brauchen – einschließlich der Dokumentation nach DSGVO –, können Sie einen Termin mit unserem Team buchen. Wir bieten Notfallhilfe und laufende Wartungsverträge für WordPress-Websites. Oder informieren Sie sich auf unserer Seite zu Webdesign und Webentwicklung über Absicherung und Wartung.