WordPress gehackt? Bereinigen und absichern

Was tun, wenn die WordPress-Seite gehackt wurde?

Zuerst die Seite vom Netz nehmen oder durch eine Hinweisseite ersetzen, Protokolle sichern und den eigenen Rechner auf Schadsoftware prüfen. Danach alle Zugänge ändern, die Installation bereinigen oder aus einer sauberen Sicherung neu aufsetzen und erst dann wieder online gehen.

Das BSI beschreibt die Reihenfolge im Leitfaden Prävention und Erste Hilfe bei Webseiten-Kompromittierung. Zusammengefasst:

1. Ruhe bewahren und mit Bedacht vorgehen.
2. Die betroffene Website offline schalten und durch eine statische Informationsseite ersetzen.
3. Protokolle sichern, also Zugriffe auf den Webserver und gegebenenfalls Datenbank-Logs.
4. Die Rechner aller Administratoren auf Schadprogramme prüfen, bevor sie sich wieder anmelden. Sonst können neue Passwörter erneut abgegriffen werden.
5. Den Webserver nach unbekannten und veränderten Dateien durchsuchen, auch in Nachbarverzeichnissen.
6. Sämtliche Passwörter ändern: Webserver, CMS und alle weiteren Zugänge.
7. Die Website neu aufsetzen, mit einer Sicherung von vor dem Angriff, und vor dem Livegang aktualisieren.
8. Vorbeugende Maßnahmen umsetzen und Strafanzeige erstatten.
9. Prüfen, ob Kundendaten abgeflossen sein können, und Betroffene gegebenenfalls informieren.

Die WordPress-Dokumentation ergänzt in der FAQ zu gehackten Websites zwei praktische Punkte: Die Sicherheitsschlüssel in der wp-config.php neu setzen, damit alle angemeldeten Sitzungen enden, und vor der Bereinigung noch einen Stand der infizierten Installation sichern, um später nachvollziehen zu können, was passiert ist.

Wie kommen Angreifer in eine WordPress-Seite?

Meist über bekannte Sicherheitslücken in veralteter Software, vor allem in Plugins und Themes, oder über erratene und abgegriffene Zugangsdaten. Seltener sind falsch gesetzte Einstellungen, etwa eine offene Registrierung, über die sich jeder ein Konto anlegen kann.

Das BSI nennt veraltete CMS und Erweiterungen sowie Standard- oder schwache Passwörter als Hauptwege. Wie schnell eine Lücke gefährlich wird, zeigte eine Cybersicherheitswarnung des BSI vom Juli 2026: Zwei Schwachstellen im WordPress-Kern ließen sich kombinieren und erlaubten Angreifern ohne Anmeldung, Code auf dem Server auszuführen. Kurz nach dem Update waren öffentliche Angriffsbeispiele verfügbar, und das BSI bewertete die Lage als unverzüglich zu behandeln. Behoben war das ab den Versionen 6.8.6, 6.9.5 und 7.0.2.

Wie läuft eine Bereinigung bei SaracAI ab?

SaracAI sichert zuerst den infizierten Zustand und sucht den Weg, über den der Angreifer hereinkam. Danach werden Kerndateien durch Originale ersetzt, Datenbank und Uploads durchsucht, fehlende Inhalte aus Sicherungen wiederhergestellt und die Installation gegen genau diesen Weg abgesichert.

### Ein Praxisbeispiel, anonymisiert Bei der WordPress-Website eines Dienstleistungsbetriebs fiel im Oktober 2026 auf, dass Seiten und Bilder fehlten. Die Untersuchung ergab:

• Einstiegsweg: Die Selbstregistrierung war offen und neue Konten erhielten zu weitreichende Rechte. Darüber hatten sich Angreifer seit einigen Wochen Zugang verschafft.
• Schaden: Eingeschleuster Code zeigte Besuchern eine gefälschte Prüfabfrage, wie sie aus der Kampagne „ClearFake“ bekannt ist, die zum Herunterladen von Schadsoftware verleitet. Außerdem waren Seiten und Bilder gelöscht.
• Wiederherstellung: Vor der Bereinigung wurde der infizierte Stand gesichert, danach ein sauberer Stand. Die gelöschte Startseite wurde aus einer älteren Sicherung und einer archivierten Fassung aus dem Web-Archiv rekonstruiert.
• Absicherung: Die Registrierung ist dauerhaft abgeschaltet, und zwar über ein Muss-Plugin, das sich im Dashboard nicht deaktivieren lässt. Nur namentlich freigegebene Konten dürfen Administrator sein; jedes andere Administratorkonto verliert sofort seine Rechte. Die Schnittstelle XML-RPC ist gesperrt.
• Updates mit Augenmaß: Ein Seitenbaukasten bleibt bewusst auf einer Versionsreihe, mit der die kostenpflichtige Erweiterung noch zusammenarbeitet, damit ein Update die Seite nicht beschädigt.

Für solche Arbeiten legen wir Server-Zugänge nur vorübergehend an und lassen sie danach wieder löschen, damit kein zusätzlicher Zugang offen bleibt.

Wie sichert man WordPress dauerhaft ab?

Die wirksamsten Maßnahmen sind schnelle Updates von Kern, Theme und Plugins, lange einzigartige Passwörter mit zweitem Faktor, möglichst wenige Erweiterungen und regelmäßige, geprüfte Sicherungen. Dazu kommen Einstellungen, die Angreifern die Arbeit erschweren, wenn sie doch einen Zugang finden.

Die WordPress-Dokumentation zum Härten von WordPress und der BSI-Leitfaden empfehlen übereinstimmend:

Auch Google hilft beim Erkennen: Der Bericht zu Sicherheitsproblemen in der Search Console meldet, wenn Google auf einer Website gehackte Inhalte oder Schadsoftware findet. Nach der Bereinigung wird dort eine Überprüfung beantragt, damit Warnhinweise in der Suche verschwinden.

Wann ist eine statische Website die bessere Lösung?

Wenn die Seite selten geändert wird und keine Funktionen braucht, die nur WordPress bietet, ist eine statische Website oft sicherer und pflegeleichter. Ohne Datenbank, Login und Plugins auf dem Server fallen die häufigsten Angriffswege weg.

Ein Wechsel ist ein Relaunch und sollte wie einer geplant werden, damit Adressen und Rankings erhalten bleiben; dazu mehr unter Website-Relaunch. Bleibt WordPress die richtige Wahl, etwa weil das Team Inhalte täglich selbst pflegt, gehört ein fester Rhythmus für Updates und Sicherungen dazu. Welche Technik zu welchem Bedarf passt, steht unter Website erstellen lassen.

Ihre WordPress-Seite zeigt verdächtige Anzeichen oder wurde bereits gehackt? Schreiben Sie uns über die Kontaktseite mit der Adresse der Website und einer kurzen Beschreibung, was Ihnen aufgefallen ist.