Sichern, sperren, informieren
Ein Hack ist ärgerlich, aber selten eine Frage von Minuten. Wichtiger als Tempo ist die Reihenfolge.
- 01
Zustand sichern
Eine Kopie aller Dateien und der Datenbank, so wie sie jetzt sind. Nicht zum Zurückspielen, sondern zur Analyse: Wer sofort löscht oder neu installiert, vernichtet die Spuren zur Lücke.
- 02
Zugangsdaten ändern
Die Passwörter aller Administratoren, des Hosting-Kundenmenüs, der FTP- und SSH-Zugänge und der Datenbank. Neue Sicherheitsschlüssel in der wp-config.php melden alle Sitzungen ab.
- 03
Unbekannte Konten sperren
Administratoren, die niemand kennt, notieren und ihnen die Rechte entziehen. Gelöscht wird nach der Analyse.
- 04
Den Hoster informieren
Er sieht Zugriffsprotokolle, die Ihnen fehlen, und kann einschätzen, ob andere Websites im selben Paket betroffen sind.
- 05
An den Datenschutz denken
Könnten personenbezogene Daten betroffen sein, läuft ab jetzt die Frist von 72 Stunden für eine Meldung.
Leitet die Website auf fremde Seiten weiter, kann ein Wartungsmodus sinnvoll sein, bis sie bereinigt ist. So landen keine Besucher mehr auf Betrugsseiten.
Woran Sie einen Hack erkennen
Viele Angriffe sind darauf ausgelegt, lange unbemerkt zu bleiben. Selbst in großen Unternehmen bleiben Angreifer im Mittel 14 Tage unentdeckt (Mandiant, M-Trends 2026).
Weiterleitungen für bestimmte Besucher
Wer über Google auf dem Handy kommt, landet auf einer Glücksspiel- oder Betrugsseite. Am Büro-PC sieht alles normal aus.
Unbekannte Administratoren
Unter „Benutzer“ stehen Konten, die niemand angelegt hat, oft mit unauffälligen Namen.
Spamseiten in Google
Eine Suche nach site:ihre-domain.de zeigt Seiten, die Sie nie angelegt haben, oft mit fremdsprachiger Werbung.
Hinweise des Hosters
Mails über Spamversand, ungewöhnlich hohe Last oder einen Fund des Malware-Scanners.
Warnung in der Search Console
Meldungen unter „Sicherheitsprobleme“ oder der Hinweis „Diese Website wurde möglicherweise gehackt“ in den Suchergebnissen.
Fremde Dateien
Unbekannte Plugins, eine veränderte .htaccess oder PHP-Dateien im Upload-Ordner, wo nur Bilder liegen sollten.
Wie es dazu kommt
Fast immer über eine bekannte Lücke in einer Erweiterung. Die meistgesuchten Lücken werden im Mittel fünf Stunden nach ihrer Veröffentlichung erstmals angegriffen, von Programmen, die das Internet nach verwundbaren Versionen absuchen. Wie groß oder bekannt eine Website ist, spielt dabei keine Rolle.
Seltener sind gestohlene oder schwache Passwörter. Deshalb gehören neue Zugangsdaten immer dazu, auch wenn die Lücke woanders lag.
- 11.334
- neue Sicherheitslücken im WordPress-Umfeld 2025Patchstack, 2026
- 91 %
- davon in PluginsPatchstack, 2026
- 46 %
- ohne verfügbares Update bei VeröffentlichungPatchstack, 2026
- 39,1 %
- der befallenen Installationen waren veraltetSucuri, Hacked Website Report 2023
Was der Hoster tut, und was nicht
Hoster wie IONOS, Strato oder all-inkl reagieren meist erst, wenn sie selbst etwas bemerken: Spamversand aus dem Paket, auffällige Last oder einen Fund ihres Malware-Scanners.
- Sperre des Pakets oder einzelner Ordner, damit kein Spam mehr verschickt wird
- Einen Hinweis per Mail
- Backups im Kundenmenü, je nach Tarif unterschiedlich weit zurück
- Die Bereinigung der Website selbst
- Das Schließen der Lücke durch Updates
- Die Prüfung der Meldepflicht nach DSGVO
Backup einspielen oder bereinigen?
Schnell, aber nur mit einem Backup von vor dem Einbruch.
Alles seit dem Backup geht verloren, und die alte Lücke ist wieder da. Ohne Update und neue Zugangsdaten folgt der nächste Einbruch. Viele Hacks bleiben wochenlang unbemerkt; dann sind auch die Backups schon befallen.
Gründlich, und am Ende ist die Ursache geschlossen.
- WordPress, Plugins und Theme frisch aus offiziellen Quellen einspielen
- Datenbank auf fremde Administratoren und eingeschleusten Code prüfen, besonders Optionen und Beitragsinhalte
- Upload-Ordner nach PHP-Dateien durchsuchen
- Neue Sicherheitsschlüssel setzen, alle Zugangsdaten erneuern
- Alles aktualisieren und die Ursache dokumentieren
Bedeutet fast immer: Eine Hintertür ist geblieben. Angreifer legen gern mehrere versteckte Zugänge an. Laut Sucuri hatte fast jede zweite befallene Website eine solche Hintertür (Sucuri, Hacked Website Report 2023). Erst wenn die Ursache gefunden und geschlossen ist, ist der Fall erledigt.
Google-Warnung und Meldepflicht
Die Warnung von Google entfernen
- 1Website vollständig bereinigen
- 2In der Search Console unter „Sicherheitsprobleme“ eine Überprüfung beantragen
- 3Kurz beschreiben, was gefunden und behoben wurde
- 4Spamseiten im Index mit Status 410 oder 404 ausliefern
Laut Google dauert die Überprüfung einige Tage bis wenige Wochen.
Personenbezogene Daten betroffen?
Betroffen sein können Anfragen aus dem Kontaktformular, Kundenkonten oder Newsletter-Adressen. Bei voraussichtlich hohem Risiko sind auch die Betroffenen selbst zu informieren (Art. 34 DSGVO). Dokumentieren Sie Ihre Prüfung in jedem Fall. Das ist keine Rechtsberatung; im Zweifel klären Sie es mit Ihrem Datenschutzbeauftragten.
Vorbeugen: So löse ich das mit dem Doppelgänger
Die wirksamste Vorsorge ist unspektakulär: Updates schnell einspielen, aber getestet, wenige und gut gepflegte Plugins, eine Überwachung, die Veränderungen bemerkt, und ein Weg zurück zu einem sauberen Stand.
Genau das übernehme ich mit dem Doppelgänger für WordPress: einer exakten Kopie Ihrer Website auf einem eigenen Server in Deutschland. Null ist das Risiko auch damit nicht, aber aus Wochen werden Stunden.
Getestete Updates, schnell
Jedes Update läuft zuerst auf einer exakten Kopie Ihrer Website. Sicherheitsupdates gehen nach dem Test in der Regel innerhalb von 24 bis 48 Stunden live.
Dateiabgleich jede Nacht
Jede Datei wird mit dem versionierten Stand abgeglichen. Fremdes fällt in der ersten Nacht auf, nicht nach Wochen.
Contentvalidierung
Seiten und Texte werden nachts auf Manipulationen geprüft, auch Spamseiten und eingeschleuste Links.
Zurück in Minuten
Fällt etwas auf, wird der letzte saubere Stand neu ausgerollt. Die Analyse läuft auf der Kopie, nicht auf der Live-Website.
Weiterlesen: WordPress-Updates sicher einspielen, Staging-Umgebungen im Vergleich und, für Shops, Onlineshop gehackt.
Ein Update allein reicht nicht: Bei fast jeder zweiten WordPress-Lücke gibt es zum Zeitpunkt der Veröffentlichung noch gar keinen Patch. Deshalb gehört nächtliche Überwachung dazu.
Kurz beantwortet.
Woran erkenne ich, dass meine WordPress-Website gehackt wurde?
Häufige Anzeichen sind Weiterleitungen auf fremde Seiten, oft nur für Besucher vom Handy oder aus der Google-Suche, unbekannte Administratoren im Backend, Spamseiten unter Ihrer Domain bei einer Suche nach site:ihre-domain.de, Hinweise des Hosters auf Spamversand oder Schadsoftware und Meldungen unter Sicherheitsprobleme in der Google Search Console.
Kann ich einfach ein Backup einspielen?
Nur, wenn das Backup sicher vor dem Einbruch entstanden ist. Viele Hacks bleiben wochenlang unbemerkt, dann sind auch die Backups bereits befallen. Und selbst ein sauberes Backup bringt die alte Lücke zurück: Ohne Update und neue Zugangsdaten ist die Website schnell wieder befallen.
Warum wird meine Website immer wieder gehackt?
Fast immer, weil eine Hintertür übrig geblieben oder die eigentliche Lücke nicht geschlossen ist. Angreifer legen gern mehrere versteckte Zugänge an, etwa als unauffällige PHP-Datei im Upload-Ordner oder als zusätzliches Admin-Konto. Laut Sucuri hatte fast jede zweite befallene Website eine solche Hintertür.
Wie bekomme ich die Warnung von Google wieder weg?
Erst die Website vollständig bereinigen, dann in der Google Search Console unter Sicherheitsprobleme eine Überprüfung beantragen und kurz beschreiben, was Sie getan haben. Laut Google dauert die Überprüfung einige Tage bis wenige Wochen.
Muss ich einen Hack der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sein können, etwa Anfragen aus dem Kontaktformular, Kundenkonten oder Newsletter-Adressen, in der Regel ja: binnen 72 Stunden, nachdem Sie davon erfahren haben (Art. 33 DSGVO), es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Das ist keine Rechtsberatung; im Zweifel klären Sie es mit Ihrem Datenschutzbeauftragten.
Hilft mein Hoster bei einem Hack?
Hoster sperren bei Spamversand oder gefundener Schadsoftware oft das Paket oder einzelne Ordner und schicken einen Hinweis. Die Bereinigung der Website selbst übernehmen sie in der Regel nicht, dafür sind Sie als Betreiber verantwortlich. Hilfreich sind die Backups im Kundenmenü, deren Aufbewahrungsdauer vom Tarif abhängt.