Eine WordPress-Website leitet plötzlich auf fremde Seiten weiter, zeigt unbekannte Inhalte oder wird von Google als gefährlich markiert. Manchmal ist der Hinweis deutlich. Häufiger bleibt ein Angriff zunächst unauffällig: Ein neuer Administrator taucht auf, Dateien verändern sich, Spam-Seiten erscheinen nur für Suchmaschinen oder der Server verschickt unerwartet viele E-Mails.
Nicht jede Störung ist automatisch ein Hack. Ein fehlerhaftes Update, ein Plugin-Konflikt oder ein abgelaufenes Zertifikat kann ähnlich wirken. Entscheidend ist deshalb eine strukturierte Prüfung. Wer in Panik einzelne Dateien löscht oder sofort ein Backup einspielt, vernichtet möglicherweise Spuren – und beseitigt die eigentliche Ursache nicht.
Welche Anzeichen sprechen für eine kompromittierte Website?
WordPress nennt mehrere typische „Indicators of Compromise“, also Hinweise auf einen möglichen Sicherheitsvorfall. Besonders ernst sind folgende Beobachtungen:
- Die Website leitet Besucher ohne erkennbaren Grund auf fremde Domains weiter.
- Google oder der Browser warnt vor Malware, Phishing oder einer gefährlichen Website.
- Der Hoster sperrt die Website wegen Schadcode, Spamversand oder auffälliger Prozesse.
- Im WordPress-Backend erscheinen unbekannte Administratoren oder Benutzerkonten.
- Plugins, Themes oder Dateien wurden verändert beziehungsweise neu angelegt, ohne dass dies beauftragt war.
- In den Google-Suchergebnissen tauchen fremdsprachige Seiten, Arzneimittel, Glücksspiel oder andere unbekannte Inhalte auf.
- Die Website versendet Spam oder die Domain beziehungsweise Server-IP landet auf einer Sperrliste.
- Sicherheitsplugins melden manipulierte Kerndateien, Webshells oder verdächtige PHP-Dateien.
- Serverlast, Datenverkehr oder Speicherverbrauch steigen ohne nachvollziehbaren Grund deutlich an.
Ein einzelnes Signal beweist nicht immer einen erfolgreichen Angriff. Mehrere dieser Auffälligkeiten oder eine konkrete Malware-Warnung sollten jedoch als Sicherheitsvorfall behandelt werden.
Warum Betreiber den Angriff oft nicht selbst sehen
Angreifer versuchen häufig, ihre Änderungen vor Administratoren zu verbergen. Inhalte können nur für Suchmaschinen, bestimmte Länder, mobile Besucher oder nicht eingeloggte Nutzer ausgespielt werden. Dieses Vorgehen wird als Cloaking bezeichnet. Die eigene Startseite kann daher völlig normal aussehen, obwohl Google bereits manipulierte Unterseiten indexiert.
Auch Schadcode muss nicht im sichtbaren Seiteninhalt liegen. Er kann sich unter anderem in Plugins, Themes, Upload-Verzeichnissen, Datenbankeinträgen, geplanten Aufgaben, MU-Plugins oder Serverkonfigurationen befinden. Ein kurzer Blick ins WordPress-Dashboard reicht deshalb nicht für eine belastbare Entwarnung.
Die ersten Maßnahmen: dokumentieren, begrenzen, nichts überstürzen
1. Beobachtungen und Zeitpunkt festhalten
Notieren Sie, wann und wodurch der Verdacht entstanden ist. Dokumentieren Sie betroffene URLs, Warnmeldungen, Weiterleitungsziele, unbekannte Benutzer und kürzlich vorgenommene Änderungen. Screenshots und genaue Uhrzeiten helfen später beim Abgleich mit Zugriffs-, Fehler- und Änderungsprotokollen.
WordPress empfiehlt ausdrücklich, die Symptome und die Hostingumgebung zu dokumentieren. Diese Informationen sind für die technische Bereinigung und die Suche nach dem Angriffsweg wesentlich wertvoller als die pauschale Aussage „Die Seite wurde gehackt“.
2. Risiko für Besucher einschätzen
Verteilt die Website Schadsoftware, zeigt Phishing-Seiten oder leitet Besucher auf gefährliche Ziele um, muss der Schaden zunächst begrenzt werden. Abhängig von der Umgebung kann das bedeuten, die Website kontrolliert in einen Wartungszustand zu versetzen oder den öffentlichen Zugriff vorübergehend einzuschränken. Stimmen Sie dies mit dem Hoster ab, statt lediglich die Startseite auszublenden – schädliche Unterseiten könnten sonst weiterhin erreichbar bleiben.
3. Hoster und zuständige Betreuung informieren
Bei Shared Hosting oder mehreren Websites auf einem Server kann der Vorfall weitere Installationen betreffen. Der Hostinganbieter kann oft bestätigen, ob Malware, auffälliger Mailversand oder ungewöhnliche Prozesse erkannt wurden. Er kann außerdem Protokolle besitzen, die in WordPress selbst nicht verfügbar sind.
4. Beweissicherung und Backups nicht verwechseln
Erstellen Sie vor größeren Veränderungen eine aktuelle Kopie von Dateien, Datenbank und verfügbaren Protokollen – auch wenn diese Kopie vermutlich kompromittiert ist. Sie ist kein sauberes Wiederherstellungsbackup, kann aber für Analyse und Vergleich wichtig sein.
Überschreiben Sie nicht alle vorhandenen Sicherungen mit dem aktuellen Zustand. Ein scheinbar aktuelles Backup kann den Schadcode bereits enthalten. Für die Wiederherstellung ist entscheidend, wann der Angriff begann und welches Backup nachweislich davor erstellt wurde.
Passwörter ändern – aber in der richtigen Reihenfolge
Bei einem bestätigten oder wahrscheinlichen Angriff müssen sämtliche relevanten Zugänge berücksichtigt werden:
- WordPress-Administratoren und weitere Benutzerkonten,
- Hosting- beziehungsweise Plesk-Zugang,
- SFTP/SSH und gegebenenfalls FTP,
- Datenbankbenutzer,
- E-Mail-Konten mit administrativer Bedeutung,
- API-Schlüssel und externe Dienste,
- WordPress-Sicherheitsschlüssel zur Abmeldung bestehender Sitzungen.
Ein erster Passwortwechsel kann den laufenden Zugriff begrenzen. Nach einer erfolgreichen Bereinigung sollten die Zugangsdaten erneut geändert werden. Andernfalls kann ein noch vorhandener Keylogger, eine Webshell oder ein entwendeter Sitzungsschlüssel die neuen Daten bereits wieder kompromittiert haben.
Prüfen Sie auch die Computer, von denen aus WordPress und Hosting administriert wurden. Die offizielle WordPress-Dokumentation weist darauf hin, dass gestohlene FTP- oder Administrator-Zugangsdaten auch von einem infizierten Arbeitsplatz stammen können. Ein abgesichertes WordPress hilft wenig, wenn Zugangsdaten lokal mitgelesen werden.
Was bei der technischen Prüfung untersucht werden sollte
Ein einzelner Malware-Scan ist hilfreich, aber keine vollständige Untersuchung. Verschiedene Prüfmethoden erkennen unterschiedliche Auffälligkeiten. Sinnvoll ist eine Kombination aus externer Sicht, WordPress-Prüfung und Serveranalyse.
- Google Search Console: Der Bericht „Sicherheitsprobleme“ kann gehackte Inhalte, Malware oder Social Engineering mit Beispiel-URLs melden.
- Dateiintegrität: WordPress-Kerndateien sowie Plugins und Themes werden mit vertrauenswürdigen Originalquellen verglichen.
- Unbekannte Dateien: Besonders Uploads, Plugin-/Theme-Verzeichnisse, Stammverzeichnis und Serverkonfigurationen werden auf ausführbaren oder verschleierten Code geprüft.
- Benutzer und Sitzungen: Administratoren, neu angelegte Konten, Rollen und aktive Sitzungen werden kontrolliert.
- Datenbank: Manipulierte Optionen, Weiterleitungen, eingeschleuster JavaScript-Code und versteckte Spam-Inhalte können dort gespeichert sein.
- Geplante Aufgaben: WordPress-Cronjobs und serverseitige Tasks können Schadcode regelmäßig erneut erzeugen.
- Protokolle: Zugriffe, Dateiänderungen, Loginversuche und ausgehende Verbindungen helfen, Zeitraum und Angriffsweg einzugrenzen.
- Weitere Websites: Befinden sich mehrere Installationen im selben Hostingkonto, müssen sie in die Prüfung einbezogen werden.
Öffnen Sie verdächtige Seiten nicht wiederholt mit Ihrem normalen Arbeitsbrowser. Google weist darauf hin, dass der direkte Aufruf infizierter Seiten ein Risiko darstellen kann und manipulierte Inhalte dem angemeldeten Betreiber möglicherweise ohnehin verborgen bleiben.
Typische Fehler nach einem WordPress-Hack
Nur die gefundene Datei löschen
Eine entfernte Webshell oder manipulierte index.php kann lediglich ein Symptom sein. Bleibt der ursprüngliche Einstieg offen oder existiert eine zweite Hintertür, erscheint der Schadcode erneut.
Ein aktuelles Backup ungeprüft zurückspielen
Wurde die Kompromittierung erst spät erkannt, kann auch das letzte Backup befallen sein. Zusätzlich schließt eine Wiederherstellung weder die ausgenutzte Schwachstelle noch gestohlene Zugänge.
Alle Plugins gleichzeitig aktualisieren und Spuren vernichten
Updates sind nach der Bereinigung wichtig. Werden jedoch vor der Beweissicherung viele Dateien verändert, lässt sich später schwerer feststellen, welche Datei vom Angreifer und welche durch das Update geändert wurde.
Mehrere Sicherheitsplugins installieren
Zusätzliche Scanner können sich überschneiden, Ressourcen verbrauchen und trotzdem keine versteckte Persistenz erkennen. Entscheidend sind eine nachvollziehbare Analyse, saubere Quellen und die Kontrolle der gesamten Umgebung.
Die Warnung aus Google entfernen wollen, bevor die Ursache behoben ist
Eine Überprüfung in der Search Console sollte erst beantragt werden, wenn die Website vollständig bereinigt und die Sicherheitslücke geschlossen wurde. Andernfalls bleibt das Risiko bestehen oder die Warnung kehrt zurück.
Wie eine professionelle Bereinigung typischerweise abläuft
- Umfang feststellen: betroffene Website, Hostingkonto, weitere Installationen und mögliche Datenabflüsse eingrenzen.
- Schaden begrenzen: gefährliche Auslieferung stoppen und unbefugte Zugriffe einschränken.
- Zustand sichern: Dateien, Datenbank und verfügbare Protokolle für Analyse und Nachweis bewahren.
- Schadcode und Persistenz entfernen: kompromittierte Komponenten ersetzen oder aus einer nachweislich sauberen Quelle neu aufbauen.
- Eintrittsweg schließen: verwundbare Erweiterungen, unsichere Zugänge, falsche Berechtigungen oder Serverprobleme beheben.
- Zugänge erneuern: Passwörter, Schlüssel, Sitzungen und gegebenenfalls API-Zugänge kontrolliert zurücksetzen.
- Funktionen prüfen: Website, Formulare, Shop, Benutzerkonten und weitere zentrale Abläufe testen.
- Nachkontrolle einrichten: Protokolle, Dateiveränderungen, Malware-Scans und Search Console überwachen.
Bei geschäftlichen Websites sollte außerdem geprüft werden, ob personenbezogene Daten betroffen sein könnten und welche internen, vertraglichen oder gesetzlichen Melde- und Dokumentationspflichten daraus entstehen. Das ist vom konkreten Vorfall abhängig und sollte bei Bedarf mit Datenschutz- beziehungsweise Rechtsberatung geklärt werden.
So senken Sie das Risiko einer erneuten Kompromittierung
- WordPress, Plugins und Themes zeitnah und kontrolliert aktualisieren.
- Nicht verwendete Erweiterungen und Konten vollständig entfernen.
- Nur Erweiterungen aus vertrauenswürdigen Quellen einsetzen.
- Einzigartige starke Passwörter und Zwei-Faktor-Authentifizierung verwenden.
- Administrationszugänge sowie Arbeitsgeräte aktuell und geschützt halten.
- Backups getrennt speichern und Wiederherstellungen regelmäßig testen.
- Dateiänderungen, Sicherheitsmeldungen und Serverprotokolle überwachen.
- Zuständigkeiten zwischen Websitebetreuung und Hosting eindeutig festlegen.
Eine strukturierte WordPress-Wartung kann Updates, Backups, Scans und Funktionskontrollen zusammenführen. Beim Hosting sollte zusätzlich klar sein, wer Betriebssystem, PHP, Webserver, Firewall und Protokolle betreut.
Fazit: Erst den Vorfall verstehen, dann bereinigen
Eine sichtbare Weiterleitung ist nur eine mögliche Form eines WordPress-Hacks. Unbekannte Benutzer, Spam-Seiten, veränderte Dateien, Mailversand oder Warnungen von Google und Hoster sind ebenso wichtige Hinweise. Wer den Zustand dokumentiert, das Risiko begrenzt und die gesamte Umgebung prüft, schafft die Grundlage für eine dauerhafte Lösung.
Die Bereinigung endet nicht mit dem Löschen einer verdächtigen Datei. Erst wenn Schadcode und Hintertüren entfernt, der Eintrittsweg geschlossen, Zugänge erneuert und Website sowie Server nachkontrolliert wurden, ist der Vorfall sinnvoll aufgearbeitet. Eine absolute Sicherheitsgarantie gibt es dennoch nicht; Ziel ist eine nachvollziehbare Risikoreduzierung.
Quellen und weiterführende Informationen
- WordPress.org: FAQ „My site was hacked“, abgerufen am 29. Oktober 2026.
- WordPress Developer Resources: Hardening WordPress, abgerufen am 29. Oktober 2026.
- WordPress Developer Resources: Backups, abgerufen am 29. Oktober 2026.
- Google Search Console: Bericht „Sicherheitsprobleme“, abgerufen am 29. Oktober 2026.
- Google Search Central: Malware-Infektionen erkennen und verhindern, abgerufen am 29. Oktober 2026.
Verdächtige Veränderungen an Ihrer WordPress-Website?
Wenn Sie unbekannte Weiterleitungen, neue Benutzer, Spam-Seiten oder eine Sicherheitswarnung entdeckt haben, kann ich die beschriebene Prüfung, Absicherung und technische Fehlerbehebung für Sie übernehmen und den notwendigen Bereinigungsweg mit Ihnen abstimmen. Senden Sie mir über das Kontaktformular für einen WordPress-Sicherheitsvorfall die betroffene Domain, den Zeitpunkt der ersten Auffälligkeit und die genaue Warnmeldung – bitte keine Passwörter oder vollständigen Zugangsdaten.
