Wenn Ihre WordPress-Seite gehackt wurde, nehmen Sie sie zuerst vom Netz, ändern alle Passwörter, spielen ein sauberes Backup ein, aktualisieren dann alles und prüfen zuletzt, ob Google warnt und ob Sie den Vorfall melden müssen. Löschen Sie dabei nichts voreilig: Die Spuren des Angriffs brauchen Sie, um die Lücke zu finden. Diese Anleitung gilt für Deutschland, mit einem Vergleich zu Österreich.
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Die typischen Anzeichen sind auffällig, aber nicht immer sofort sichtbar. Achten Sie auf diese Punkte:
- Ihre Seite zeigt fremde Werbung oder Pop-ups, die Sie nie eingebaut haben.
- Besucher werden auf unbekannte oder dubiose Seiten weitergeleitet.
- Google oder der Browser zeigen eine Warnung, dass die Seite gehackt oder gefährlich sein könnte. Im Bericht „Sicherheitsprobleme“ der Google Search Console steht dann meist mehr dazu.
- In WordPress gibt es Administratoren, die Sie nicht kennen, oder Seiten und Beiträge, die Sie nicht angelegt haben.
- Ihr Hoster meldet auffällige Aktivität oder sperrt Ihr Konto.
Was tun, wenn WordPress gehackt wurde? Die ersten 5 Schritte
Gehen Sie in dieser Reihenfolge vor. Bitten Sie vorab Ihren Hoster, eine Kopie des aktuellen, befallenen Zustands zu sichern (Dateien und Datenbank). Diese Kopie ist keine Wiederherstellungsquelle, sondern Beweismaterial: Damit lässt sich später nachvollziehen, was der Angreifer verändert hat und wie er hereingekommen ist.
Schritt 1: Wie nehme ich die Seite vom Netz?
Schalten Sie den Wartungsmodus ein oder bitten Sie Ihren Hoster, die Seite vorübergehend zu sperren. Die Sperre beim Hoster ist die sicherere Variante, denn ein Wartungsmodus-Plugin läuft im selben System, das der Angreifer möglicherweise kontrolliert. Ziel ist, dass Besucher keine Schadsoftware ausgeliefert bekommen und der Schaden nicht größer wird.
Schritt 2: Welche Passwörter muss ich nach einem Hack ändern?
Ändern Sie alle Zugänge, und zwar von einem Gerät aus, das Sie vorher auf Schadsoftware geprüft haben. Laut der offiziellen WordPress-Anleitung beginnt ein Angriff nicht selten am eigenen Rechner. Betroffen sind:
- das WordPress-Login (alle Benutzer, vor allem Administratoren),
- der Zugang zum Hosting-Konto,
- FTP- beziehungsweise SFTP-Zugänge,
- das Datenbank-Passwort (danach muss es auch in der Datei
wp-config.phpstehen).
Löschen Sie alle Administratoren, die Sie nicht kennen. Erzeugen Sie außerdem neue Sicherheitsschlüssel (die „Salts“ in der wp-config.php); die offizielle Quelle dafür ist api.wordpress.org/secret-key/1.1/salt/. Damit werden alle angemeldeten Sitzungen ungültig. WordPress.org empfiehlt zudem, die Passwörter nach der Bereinigung noch einmal zu ändern, weil erst dann sicher ist, dass sie nicht erneut abgegriffen werden.
Schritt 3: Wie spiele ich ein sauberes Backup ein?
Spielen Sie ein Backup ein, das vor dem Angriff entstanden ist. Das richtige Datum finden Sie, indem Sie zurückrechnen: Wann haben Sie das erste Anzeichen bemerkt, und wann wurden zuletzt Dateien geändert? Nehmen Sie im Zweifel das ältere Backup. Wie Sie Sicherungen anlegen und wo Sie sie ablegen, steht in meinem Beitrag zum Backup einer WordPress-Seite.
Meine Faustregel: Ein Backup zählt erst, wenn Sie es einmal testweise zurückgespielt haben – davor hoffen Sie nur, dass eines da ist.
Nach dem Zurückspielen kontrollieren Sie die Benutzerliste und ändern die WordPress-Passwörter erneut, denn ein älteres Backup kann alte Zugangsdaten oder sogar einen eingeschleusten Administrator zurückbringen. Und es bringt auch die Sicherheitslücke zurück, durch die der Angreifer hereinkam. Deshalb folgt sofort Schritt 4.
Haben Sie kein brauchbares Backup, muss die Schadsoftware entfernt werden. Das ist eine Aufgabe für Profis, denn Hintertüren verstecken sich gern in Themes, Plugins, im Upload-Ordner oder in der .htaccess. Ein Profi installiert WordPress-Core, Themes und Plugins frisch aus den offiziellen Quellen und vergleicht Dateien mit den Originalen; mit WP-CLI geht das zum Beispiel mit wp core verify-checksums und wp plugin verify-checksums --all.
Schritt 4: Was muss ich nach einem Hack aktualisieren?
Aktualisieren Sie WordPress, Ihr Theme und alle Plugins. Was Sie nicht nutzen, löschen Sie, deaktivieren genügt nicht, denn auch ein inaktives Plugin bleibt auf dem Server und kann angreifbar sein. Das hat einen konkreten Grund: Nach der Schwachstellen-Datenbank von Patchstack entfallen rund neun von zehn bekannten WordPress-Schwachstellen auf Plugins, nur etwa 1 Prozent auf den Kern. Meist war genau so eine Lücke das Einfallstor.
Schritt 5: Was prüfe ich zum Schluss, und wie bekomme ich die Google-Warnung weg?
Hat Google gewarnt, beantragen Sie im Bericht „Sicherheitsprobleme“ der Search Console eine Überprüfung. Beschreiben Sie dort, was das Problem war und was Sie behoben haben. Stellen Sie den Antrag erst, wenn die Seite wirklich sauber ist. Laut Google dauert die Überprüfung einige Tage bis mehrere Wochen; bei gehackten Seiten eher länger, weil manuell geprüft wird. Senden Sie den Antrag nicht mehrfach, solange noch keine Antwort da ist, sonst kann sich die Bearbeitung verlängern.
Prüfen Sie außerdem, ob Sie den Vorfall melden müssen. Dazu der nächste Abschnitt.
Muss ich einen Hack meiner WordPress-Seite melden?
Das hängt davon ab, ob personenbezogene Daten betroffen sein können. Nach Art. 33 DSGVO melden Sie eine Verletzung des Schutzes personenbezogener Daten „unverzüglich und möglichst binnen 72 Stunden“ nach Bekanntwerden an die Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Bei einem Hack zählt auch der unbefugte Zugriff auf Daten als Verletzung.
Personenbezogene Daten liegen auf vielen WordPress-Seiten: Anfragen aus Kontaktformularen, Benutzerkonten, Newsletter-Anmeldungen, Shop-Bestellungen. Wurde nur Spam-Werbung eingeblendet und gibt es keine Hinweise auf Zugriff auf solche Daten, ist eine Meldung oft nicht nötig. Entscheiden Sie das aber bewusst und halten Sie es schriftlich fest, denn nach Art. 33 Abs. 5 DSGVO müssen Sie jede Datenpanne dokumentieren, auch eine nicht gemeldete.
Besteht für die Betroffenen voraussichtlich ein hohes Risiko, müssen Sie diese zusätzlich selbst informieren (Art. 34 DSGVO). Hat Ihr Hoster den Vorfall entdeckt, muss er Sie als Auftragsverarbeiter unverzüglich informieren (Art. 33 Abs. 2 DSGVO); die Meldung an die Behörde bleibt Ihre Sache.
In Deutschland ist für Unternehmen die Datenschutz-Aufsichtsbehörde des Bundeslands zuständig, in dem das Unternehmen seinen Sitz hat (§ 40 BDSG). Viele Landesbehörden bieten ein Online-Formular an; Nordrhein-Westfalen etwa über die Seite der LDI NRW. Worauf Sie bei der Datenschutz-Seite Ihrer Website sonst achten sollten, steht in meinem Beitrag Ist meine WordPress-Website DSGVO-konform?. Verstöße gegen die Meldepflicht können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO); das ist der Höchstrahmen, nicht der Normalfall. Dieser Beitrag ist keine Rechtsberatung, Stand Oktober 2026.
Und in Österreich: An wen melde ich einen Hack?
Die Regeln sind dieselben, denn die DSGVO gilt EU-weit. Zuständig ist in Österreich die Datenschutzbehörde (DSB). Sie nennt dieselbe Frist, „unverzüglich und möglichst binnen 72 Stunden“, und verlangt die Meldung nur, wenn voraussichtlich ein Risiko besteht. Betroffene müssen nur bei hohem Risiko informiert werden. Gemeldet wird über ein Online-Formular, per PDF-Formular oder per Post. Ein Unterschied zu Deutschland: Es gibt nur eine zentrale Behörde, nicht eine je Bundesland.
Wann sollte ich bei einer gehackten WordPress-Seite einen Profi holen?
Holen Sie Hilfe, wenn Sie kein sauberes Backup haben, wenn die Seite nach der Wiederherstellung erneut befallen ist oder wenn Kundendaten betroffen sein könnten und Sie den Vorfall sauber einordnen müssen. Ich unterstütze bei der Bereinigung ortsunabhängig, also per Fernzugriff. Schreiben Sie mir dafür über die Kontaktseite; einen Überblick über meine Arbeit finden Sie unter Leistungen.
Häufige Fragen
Kann ich eine gehackte WordPress-Seite selbst bereinigen?
Mit einem sauberen Backup ja, die Schritte oben reichen dafür. Ohne Backup ist es riskant: Übersehen Sie eine Hintertür, wird die Seite kurz darauf erneut befallen.
Wie lange bleibt die Google-Warnung?
Bis Google die Überprüfung abgeschlossen hat. Das kann nach Googles Angaben einige Tage bis mehrere Wochen dauern. Ob die Seite sauber ist, entscheiden Sie vorher: Beantragen Sie die Überprüfung erst nach der Bereinigung.
Muss ich jeden Hack der Datenschutzbehörde melden?
Nein. Gemeldet wird, wenn die Verletzung voraussichtlich zu einem Risiko für Betroffene führt. Dokumentieren müssen Sie aber jeden Vorfall.
Muss ich meine Kunden informieren?
Nur wenn für sie voraussichtlich ein hohes Risiko besteht, etwa weil Zugangsdaten oder Bestelldaten abgeflossen sein können (Art. 34 DSGVO). Dann unverzüglich und in klarer Sprache.
Was, wenn ich kein Backup habe?
Dann muss die Schadsoftware aus dem laufenden System entfernt werden, am besten durch einen Profi. Legen Sie danach sofort eine automatische Sicherung an und testen Sie, ob sie sich zurückspielen lässt.
Gunther Schoepf