Woran Ihr erkennt, dass WordPress gehackt wurde
Nicht jeder Hack ist sofort sichtbar. Manche Angreifer verstecken sich monatelang im System. Folgende Warnsignale sind typisch:
- Google Search Console zeigt Malware-Warnungen oder Sicherheitsprobleme
- Browser warnen Besucher vor Eurer Website („Diese Website ist möglicherweise gefährlich“)
- Die Website zeigt Inhalte, die Ihr nicht erstellt habt: fremde Links, Werbeanzeigen, andere Sprachen
- Ihr könnt Euch nicht mehr in den WP-Admin einloggen oder Euer Passwort funktioniert nicht
- Der Webhoster hat Euer Konto gesperrt oder eine Sicherheitswarnung geschickt
- In Google-Suchergebnissen erscheinen seltsame Beschreibungen oder Seiten für Eure Domain
- Analytics zeigt plötzlich massiven Traffic aus unbekannten Quellen
Wenn Ihr eines dieser Symptome seht: sofort handeln.
Sofortmaßnahmen: Was Ihr jetzt tun müsst
1. Website offline nehmen oder in den Wartungsmodus setzen. Solange die Seite online ist und Malware ausspielt, schadet sie Besuchern und Eurer Reputation weiter. Über den Webhoster oder per FTP eine einfache HTML-Wartungsseite schalten.
2. Alle Passwörter ändern. Sofort: WP-Admin-Passwort, FTP-Zugangsdaten, Datenbankpasswort, Webhoster-Login, E-Mail-Konten, die mit WordPress verknüpft sind. Neue Passwörter müssen stark sein, mindestens 16 Zeichen, zufällig.
3. Alle Admin-Benutzer prüfen. Gibt es Benutzerkonten, die Ihr nicht angelegt habt? Admin-Accounts mit komischen Namen? Diese sofort löschen.
4. Backup sichern. Auch wenn es verseucht ist: ein Backup des aktuellen Zustands sichern, bevor Ihr mit der Bereinigung beginnt. Ihr braucht es eventuell für die Analyse.
5. Webhoster informieren. Viele Hoster haben Sicherheitsteams, die helfen können, und eigene Scans laufen lassen. Manche sperren das Konto automatisch bei Malware-Erkennung und können bei der Bereinigung unterstützen.
Wie kommen Hacker in WordPress rein?
Die häufigsten Einfallstore sind keine Raketenwissenschaft. Es sind meistens dieselben Fehler:
Veraltete Plugins und Themes. Das ist mit Abstand die häufigste Ursache. Plugins, die seit Monaten oder Jahren nicht aktualisiert wurden, haben bekannte Sicherheitslücken, für die es öffentliche Exploits gibt. Hacker scannen das Internet automatisch nach Websites mit bekannt unsicheren Versionen.
Schwache Passwörter. „admin“ als Benutzername, „123456“ als Passwort: das sind keine Witze, das ist Realität. Brute-Force-Angriffe probieren millionenfach Kombinationen durch.
Nulled Themes und Plugins. Raubkopierte Premium-Plugins und Themes aus inoffiziellen Quellen enthalten häufig eingebaute Backdoors. Wer „gratis“ spart, zahlt später mehr.
Kein Two-Factor-Authentication. Einmal ein Passwort kompromittiert, schon ist der Angreifer drin. 2FA macht das deutlich schwieriger.
Veralteter WordPress-Core. Ähnlich wie bei Plugins: bekannte Sicherheitslücken in alten WordPress-Versionen werden aktiv ausgenutzt.
Was ein Hack wirklich kostet
Die sichtbaren Schäden sind oft der kleinste Teil:
Direkte Kosten: Bereinigung durch eine Agentur (300 bis 1.000 Euro), neue Hosting-Pakete bei Konto-Sperrung, ggf. neue Domain.
SEO-Schäden: Google kann kompromittierte Websites für Wochen oder Monate manuell penalisieren. Rankings, die über Monate aufgebaut wurden, können einbrechen. Die Wiederherstellung dauert oft länger als die Bereinigung selbst.
Reputationsschäden: Browser-Warnungen schrecken Besucher ab. Kunden, die eine „Diese Website ist nicht sicher“-Meldung sehen, kommen selten zurück.
DSGVO-Risiko: Wenn Kundendaten betroffen sind, besteht Meldepflicht an die Datenschutzbehörde. Meldepflichtige Vorfälle müssen innerhalb von 72 Stunden gemeldet werden.
Wie Ihr Euch künftig schützt
Updates konsequent einspielen. WordPress Core, alle Plugins, alle Themes, immer auf dem neuesten Stand. Am besten: automatische Updates für Minor-Versionen aktivieren, Major-Updates zeitnah manuell durchführen.
Nicht verwendete Plugins deaktivieren und löschen. Deaktiviert reicht nicht, deinstalliert. Selbst inaktive Plugins können Sicherheitslücken enthalten.
Two-Factor-Authentication aktivieren. Plugins wie WP 2FA oder Google Authenticator for WordPress machen das einfach. Für alle Admin-Konten Pflicht.
Login-Versuche begrenzen. Ein Plugin wie Limit Login Attempts Reloaded blockiert IPs nach mehreren Fehlversuchen. Brute-Force-Angriffe werden damit deutlich schwerer.
Regelmäßige Backups außerhalb des Servers. Täglich oder zumindest wöchentlich, gespeichert außerhalb des Webservers (z.B. in Cloud-Storage). Wenn der Server kompromittiert ist, nützt ein Backup auf demselben Server wenig.
Sicherheits-Scan regelmäßig ausführen. Plugins wie Wordfence oder Sucuri scanen die Website regelmäßig auf Malware und verdächtige Dateiveränderungen.
Mehr zur laufenden Absicherung: Website-Betreuung und WordPress-Wartung
DIY-Bereinigung oder professionelle Hilfe?
Wer technisch fit ist und Zeit hat: Eine Bereinigung ist selbst möglich. Das bedeutet: alle Dateien per FTP prüfen und säubern, Datenbank auf injizierte Inhalte durchsuchen, alle Passwörter und Keys zurücksetzen, Clean-Backup einspielen oder von Grund auf neu aufsetzen.
Wer das nicht kennt: Hände weg. Unvollständige Bereinigungen hinterlassen Backdoors, über die Hacker innerhalb von Tagen wieder einsteigen.
Professionelle Bereinigung durch eine Agentur kostet in Österreich typischerweise 300 bis 1.000 Euro, je nach Komplexität. Das ist schmerzhaft, aber günstiger als ein zweiter Hack wegen einer unvollständigen Bereinigung.
FAQ zu WordPress Sicherheit
Kann ich eine gehackte WordPress-Website selbst reparieren? Mit technischem Wissen: ja. Eine seriöse Bereinigung erfordert FTP-Zugang, Datenbankzugang und das Wissen, wonach man sucht. Das Problem: Anfänger übersehen oft Backdoors, die der Angreifer hinterlassen hat. Eine unvollständige Bereinigung führt in der Regel zu einem zweiten Hack innerhalb kurzer Zeit. Im Zweifel ist professionelle Hilfe günstiger als ein zweiter Schadensfall.
Wie lange dauert eine Bereinigung? Das hängt vom Ausmaß des Hacks ab. Einfache Fälle mit sauberem Backup: wenige Stunden. Komplexe Hacks mit tief verwurzelten Backdoors, ohne aktuelles Backup: 1 bis 3 Tage. Danach kommt die Nachsorge: Monitoring, Passwort-Reset aller Beteiligten, Sicherheitsmaßnahmen implementieren.
Muss ich einen Hack der DSGVO melden? Wenn personenbezogene Daten (Kundendaten, E-Mail-Adressen, Zahlungsdaten) betroffen sind, ja. Die DSGVO schreibt vor, dass Datenschutzverletzungen innerhalb von 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden müssen. In Österreich ist das die Datenschutzbehörde (DSB). Wenn keine personenbezogenen Daten betroffen sind, entfällt die Meldepflicht.
Hilft ein SSL-Zertifikat gegen Hacks? SSL (das grüne Schloss in der Adresszeile) verschlüsselt die Verbindung zwischen Browser und Server, schützt aber nicht vor Hacks der Website selbst. Ein Hack passiert auf Server-Ebene, nicht auf der Verbindungsebene. SSL ist notwendig, aber kein Schutz gegen Malware oder Eindringen.
Wie oft werden WordPress-Websites gehackt? WordPress ist das meistgenutzte CMS weltweit, das macht es zum attraktiven Ziel. Schätzungen zufolge werden täglich hunderttausende WordPress-Sites angegriffen, die meisten automatisiert über bekannte Sicherheitslücken in Plugins. Das bedeutet nicht, dass WordPress unsicher ist. Es bedeutet, dass regelmäßige Updates und grundlegende Sicherheitsmaßnahmen kein optionales Extra sind.
Was ist der beste Schutz für eine WordPress-Website? Die wirksamste Kombination: aktuelle Software (Core, Plugins, Themes), starke einzigartige Passwörter für alle Konten, Two-Factor-Authentication für Admin-Zugänge, regelmäßige externe Backups und ein Sicherheits-Monitoring-Plugin. Kein einzelnes Tool schützt vollständig. Die Kombination macht Eure Website für Angreifer aber deutlich unattraktiver als schlecht gewartete Alternativen.
