WordPress gehackt – was tun? 7 Schritte für die erste Stunde

Woran erkennen Sie, dass WordPress gehackt ist?

1. Google oder der Browser warnt vor Ihrer Seite^{2 10}.
2. Ihr Hoster hat die Seite gesperrt².
3. Fremde Benutzer, vor allem Admins, stehen in WordPress².
4. Besucher landen auf fremden Seiten, Sie als Admin oft nicht⁶.
5. Virenscanner Ihrer Besucher schlagen bei Ihrer Seite an².
6. Bei Google erscheinen fremde Inhalte unter Ihrer Adresse¹⁰.

Schritt 1: Ruhe bewahren und notieren

Erst aufschreiben, dann handeln. Notieren Sie: Was sehen Sie? Seit wann, mit Uhrzeit? Was wurde zuletzt geändert, etwa ein neues Plugin? Machen Sie Screenshots von Warnungen und fremden Inhalten. Diese Notizen braucht jeder, der Ihnen später hilft, ob Sie selbst bereinigen oder einen Profi holen².

Schritt 2: Den Zustand sichern

Legen Sie eine zusätzliche Kopie an, auch wenn sie befallen ist². Überschreiben oder löschen Sie keine älteren Backups. Einbrüche bleiben im Median 14 Tage unentdeckt⁷, auch frühere Sicherungen können befallen sein. Spielen Sie noch kein Backup ein: Es bringt die alte Lücke mit zurück.

Schritt 3: Alle Zugänge ändern

1. WordPress: neue Passwörter für alle Admins, fremde Konten per Screenshot notieren^{2 4}.
2. Hosting: Passwort für Ihr Kundenkonto und die Server-Verwaltung ändern².
3. FTP/SFTP: alle Zugänge neu vergeben, auch für Agentur oder Helfer^{2 4}.
4. Datenbank: nur zusammen mit der wp-config.php ändern, sonst fällt die Seite aus⁸.
5. E-Mail des Admins: Darüber lassen sich WordPress-Passwörter zurücksetzen⁹.
6. Vorher Ihren Computer mit einem Virenscanner prüfen, Schadsoftware dort stiehlt Zugänge².

Schritt 4: Den Hoster informieren

Melden Sie den Hack Ihrem Hoster, am besten per Telefon oder Support-Ticket. Auf geteilten Servern können auch andere Seiten betroffen sein². Fragen Sie, ob er die Seite vorübergehend vom Netz nimmt. Das schützt Ihre Besucher und wirkt sich laut Google wahrscheinlich nicht auf das spätere Ranking aus⁴.

Schritt 5: Schadcode nicht blind löschen

Löschen Sie keine Dateien auf Verdacht. Wer nur Sichtbares entfernt, übersieht leicht Hintertüren. Über sie kommen Angreifer zurück oder spielen entfernten Schadcode neu ein³. Manche stecken in einem Ordner, den die normale Plugin-Liste gar nicht zeigt⁶. Laut WordPress.org ist das Finden und Entfernen der schwierigste Teil².

Schritt 6: Google-Warnung prüfen

Öffnen Sie in der Google Search Console den Bericht „Sicherheitsprobleme“¹⁰. Ohne Konto zeigt der Google Transparenzbericht den Status Ihrer Adresse¹¹. Beantragen Sie die Prüfung erst, wenn die Seite sauber und die Lücke geschlossen ist¹. Die Prüfung dauert dann etwa einen Tag bis mehrere Wochen¹.

Schritt 7: Meldepflicht nach DSGVO klären

Sind personenbezogene Daten betroffen, etwa Kundenkonten, Bestellungen oder Formulareingaben, melden Sie das der Datenschutz-Aufsichtsbehörde: unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren⁵. Ausnahme: voraussichtlich kein Risiko für die Betroffenen⁵. Dokumentieren Sie den Vorfall in jedem Fall⁵.

Wann brauchen Sie einen Profi?

1. Kunden- oder Zahlungsdaten könnten abgeflossen sein.
2. Google oder der Browser warnt vor Ihrer Seite.
3. Ihr Hoster hat die Seite gesperrt.
4. Die Seite war schon bereinigt und ist wieder befallen.
5. Sie kommen nicht mehr in WordPress oder ins Hosting.
6. Ihnen fehlen Zeit oder Erfahrung mit Dateien und Datenbank.