WordPress gehackt: Was Sie jetzt tun sollten

Kurz gesagt: Wenn Ihre WordPress-Website gehackt wurde, löschen Sie nicht sofort alles, sondern sichern Sie zuerst den aktuellen Zustand, ändern Sie dann von einem sauberen Gerät aus alle Zugänge und bereinigen Sie die Seite oder stellen Sie ein nachweislich sauberes Backup wieder her. Prüfen Sie parallel, ob personenbezogene Daten betroffen sind - dann gilt eine Meldefrist von 72 Stunden an die Datenschutzbehörde (Art. 33 DSGVO). Zum Schluss schließen Sie die Lücke, über die der Angreifer hereingekommen ist, sonst ist die Seite bald wieder befallen.

Die folgenden Schritte sind in der Reihenfolge sortiert, die sich in der Praxis bewährt hat. Welche davon bei Ihnen nötig sind, hängt vom Einzelfall ab.

1. Anzeichen erkennen

Typische Hinweise auf einen Hack:

• Die Website leitet Besucher auf fremde Seiten um, oft nur auf dem Handy oder nur bei Aufruf über Google.
• In den Google-Suchergebnissen erscheinen fremde Titel, etwa für Medikamente, Glücksspiel oder japanische Schriftzeichen.
• Browser oder Google zeigen eine Warnung wie “Diese Website wurde möglicherweise gehackt” oder “Betrügerische Website”.
• Es gibt Administratoren in WordPress, die Sie nicht angelegt haben.
• Der Hoster sperrt die Seite oder meldet Spam-Versand und hohe Serverlast.
• Die Seite ist plötzlich sehr langsam oder zeigt Fehler, ohne dass jemand etwas geändert hat.

Wichtig: Manche Schadcodes zeigen sich nur bestimmten Besuchern. Dass Sie selbst nichts sehen, heißt nicht, dass die Seite sauber ist.

2. Nichts vorschnell löschen

Der erste Reflex ist oft, verdächtige Dateien zu löschen oder die Seite neu aufzusetzen. Damit gehen aber die Spuren verloren, die zeigen, wie der Angreifer hereinkam und was er getan hat. Besser:

• Erstellen Sie eine vollständige Kopie von Dateien und Datenbank im jetzigen Zustand und bewahren Sie sie getrennt auf.
• Sichern Sie die Server-Logs (Zugriffs- und Fehlerprotokolle), soweit Ihr Hoster sie anbietet. Viele Hoster halten sie nur wenige Tage vor.
• Notieren Sie, wann und wie Ihnen der Vorfall aufgefallen ist. Das brauchen Sie für eine mögliche DSGVO-Meldung.

Wenn die Seite aktiv Besucher gefährdet, etwa durch Umleitungen auf Betrugsseiten, nehmen Sie sie vorübergehend offline oder schalten Sie eine Wartungsseite.

3. Alle Zugänge ändern

Ändern Sie die Passwörter von einem Gerät aus, bei dem Sie sicher sind, dass es nicht selbst infiziert ist. Betroffen sind:

• alle WordPress-Benutzer mit Administrator- oder Redakteursrechten
• der Kundenzugang beim Hoster
• FTP-, SFTP- und SSH-Zugänge
• das Datenbank-Passwort (danach in der wp-config.php anpassen)
• die Sicherheitsschlüssel (“Salts”) in der wp-config.php - neue Werte melden alle angemeldeten Sitzungen ab
• API-Schlüssel, die in Plugins hinterlegt sind, etwa für Zahlungsanbieter oder Newsletter-Dienste

Aktivieren Sie, wo möglich, die Zwei-Faktor-Anmeldung.

4. Backups prüfen

Ein Backup hilft nur, wenn es aus der Zeit vor dem Angriff stammt. Viele Angriffe bleiben Wochen unbemerkt. Prüfen Sie daher:

• Wie weit reichen Ihre Backups zurück, und wo liegen sie?
• Lässt sich eingrenzen, seit wann der Schadcode vorhanden ist (zum Beispiel über Dateidaten oder Logs)?
• Sind Inhalte seit diesem Zeitpunkt hinzugekommen, etwa Bestellungen oder Beiträge, die bei einer Wiederherstellung verloren gingen?

Auch nach einer Wiederherstellung müssen Sie die Lücke schließen, sonst wiederholt sich der Angriff.

5. Schadcode, Benutzer, Cronjobs und Dateien prüfen

Wenn kein sauberes Backup vorhanden ist, muss die Seite bereinigt werden. Die wichtigsten Stellen:

Bereich	Worauf Sie achten sollten
Benutzer	unbekannte Administratoren, geänderte E-Mail-Adressen bei bestehenden Konten
WordPress-Kern	Kerndateien durch frische Dateien derselben Version ersetzen
Plugins und Themes	nur aus offizieller Quelle neu installieren, ungenutzte entfernen
wp-content/uploads	dort gehören keine PHP-Dateien hin
wp-content/mu-plugins	wird oft übersehen, Code hier läuft automatisch
.htaccess, wp-config.php, index.php	eingeschleuste Umleitungen oder verschleierter Code
Datenbank	fremde Skripte in Beiträgen, Widgets und Optionen, geänderte siteurl
Cronjobs	geplante Aufgaben in WordPress und im Hosting-Panel, die Schadcode nachladen

Verschleierter Code erkennt man oft an Funktionen wie eval, base64_decode oder gzinflate in Kombination mit langen Zeichenketten. Diese Funktionen kommen allerdings auch in legitimem Code vor, ein Fund ist also ein Hinweis, kein Beweis. Sicherheits-Plugins und Scanner helfen bei der Suche, finden aber nicht alles.

6. Google Search Console und Sicherheitswarnung

Wenn Google Ihre Seite als gefährlich markiert hat, sehen Sie das in der Google Search Console unter “Sicherheit und manuelle Maßnahmen”. Erst wenn die Seite vollständig bereinigt ist, beantragen Sie dort eine Überprüfung. Prüfen Sie außerdem in der Search Console, ob fremde Inhaber hinzugefügt oder fremde Sitemaps eingereicht wurden, und entfernen Sie diese.

7. Hoster informieren

Informieren Sie Ihren Hoster. Er kann oft Logs liefern, einen Scan durchführen oder bestätigen, ob andere Kunden auf demselben Server betroffen sind. Falls der Hoster die Seite gesperrt hat, klären Sie, welche Nachweise er für die Freigabe braucht.

8. DSGVO-Meldepflicht prüfen

Sind personenbezogene Daten betroffen, etwa Kundenkonten, Bestellungen, Formulareingaben oder Newsletter-Listen, müssen Sie prüfen, ob eine Meldung an die zuständige Datenschutz-Aufsichtsbehörde nötig ist. Nach Art. 33 DSGVO muss die Meldung möglichst innerhalb von 72 Stunden erfolgen, nachdem Ihnen die Verletzung bekannt wurde. Sie entfällt nur, wenn die Verletzung voraussichtlich zu keinem Risiko für die betroffenen Personen führt. Bei einem hohen Risiko müssen Sie zusätzlich die Betroffenen selbst informieren (Art. 34 DSGVO).

Dokumentieren Sie den Vorfall in jedem Fall, auch wenn Sie nicht melden. Ob in Ihrem Fall eine Meldepflicht besteht, ist eine rechtliche Bewertung - im Zweifel fragen Sie Ihren Datenschutzbeauftragten oder einen Anwalt.

9. Danach absichern

Ein Hack hat fast immer eine Ursache, die bestehen bleibt, wenn man sie nicht behebt. Häufig sind es veraltete Plugins, schwache oder mehrfach genutzte Passwörter oder Plugins aus inoffiziellen Quellen. Nach der Bereinigung sollten Sie:

• WordPress, Plugins und Themes regelmäßig aktualisieren
• nicht genutzte Plugins und Themes löschen, nicht nur deaktivieren
• tägliche Backups an einem separaten Speicherort einrichten und die Wiederherstellung testen
• Administratorrechte auf die Personen beschränken, die sie wirklich brauchen
• die Seite überwachen lassen, damit ein erneuter Befall früh auffällt

Notfallhilfe von Bußmann IT

Wenn Sie die Bereinigung nicht selbst übernehmen möchten: Bußmann IT aus Algermissen bei Hildesheim hilft bei gehackten WordPress-Websites auch ohne Wartungsvertrag, als Einzelauftrag zu 90 € netto pro Stunde (zzgl. USt., für Unternehmen). Telefon: 05126 80 47 737. Wer danach dauerhaft Ruhe haben möchte, findet die Wartungspakete unter Website-Wartung.

Häufige Fragen

Reicht es, ein Sicherheits-Plugin zu installieren?

Nein. Ein Sicherheits-Plugin kann bei der Suche helfen, entfernt aber nicht zuverlässig jeden Schadcode und schließt nicht automatisch die Lücke, über die der Angriff kam. Läuft der Schadcode noch, kann er das Plugin sogar umgehen.

Kann ich einfach ein altes Backup zurückspielen?

Ja, wenn das Backup nachweislich aus der Zeit vor dem Angriff stammt. Danach müssen Sie trotzdem alle Zugänge ändern und die Ursache beheben, sonst kann derselbe Angriff erneut gelingen.

Muss ich einen Hack der Datenschutzbehörde melden?

Nur wenn personenbezogene Daten betroffen sind und ein Risiko für die betroffenen Personen nicht ausgeschlossen werden kann. Dann gilt die Frist von 72 Stunden nach Art. 33 DSGVO. Dokumentieren sollten Sie den Vorfall in jedem Fall.