WordPress gehackt: Was Unternehmen in Braunschweig jetzt prüfen sollten

Ein gehackter Webauftritt fällt selten sofort auf. Oft läuft die Website äußerlich normal weiter, während sie im Hintergrund Spam verteilt oder Besucher auf dubiose Seiten umleitet – und der Betreiber erfährt es erst, wenn Google warnt, der Hoster mahnt oder ein Kunde anruft. Genau dann zählt die richtige Reihenfolge: Wer hektisch löscht und neu installiert, zerstört Spuren und lässt die Hintertür meistens offen. Eines vorweg: Wir bauen selbst bewusst nicht mit WordPress – dieser Artikel ist trotzdem keine Abrechnung, sondern eine nüchterne Anleitung für den Ernstfall.

Woran Sie erkennen, dass Ihre Website gehackt wurde

• Google warnt: In den Suchergebnissen erscheint „Diese Website wurde möglicherweise gehackt", oder der Browser zeigt vor dem Aufruf eine rote Warnseite.
• Fremde Seiten in den Suchergebnissen: Suchen Sie bei Google nach site:ihre-domain.de. Tauchen dort Seiten auf, die Sie nie erstellt haben – oft mit japanischen Zeichen oder Pharma-Begriffen –, ist die Website kompromittiert. Tückisch: Beim direkten Aufruf sieht die Seite meist normal aus, weil die Schadinhalte nur Suchmaschinen gezeigt werden.
• Weiterleitungen: Besucher – häufig nur die mit Smartphone – landen auf Gewinnspiel-, Dating- oder Fake-Shop-Seiten.
• Post vom Hoster: Ihr Anbieter meldet Malware oder Spam-Versand oder hat die Seite bereits gesperrt.
• Meldung in der Google Search Console: Unter „Sicherheitsprobleme" listet Google erkannte Infektionen konkret auf.
• Unbekannte Administratoren: In der WordPress-Benutzerliste tauchen Konten auf, die niemand angelegt hat.
• Plötzlicher Absturz der Rankings oder E-Mails, die als Spam abgewiesen werden, weil Ihre Domain auf schwarzen Listen steht.

Warum trifft es so oft WordPress?

Nicht, weil WordPress grundsätzlich schlecht wäre – sondern weil es mit gut 40 Prozent Marktanteil das mit Abstand häufigste System und damit das lohnendste Ziel ist. Angriffe laufen fast nie gezielt gegen Ihr Unternehmen: Automatisierte Bots durchsuchen rund um die Uhr Millionen Websites nach bekannten Sicherheitslücken in veralteten Plugins und Themes. Wer seine Installation seit zwei Jahren nicht aktualisiert hat, wird nicht gehackt, weil jemand ihn ausgesucht hat, sondern weil ein Skript die Lücke gefunden hat.

Fair bleibt: Ein aktuell gehaltenes WordPress mit wenigen, gepflegten Plugins, starken Passwörtern und Zwei-Faktor-Anmeldung lässt sich solide betreiben. Das Problem sind die vielen Installationen, um die sich seit dem Livegang niemand mehr kümmert.

Sofortmaßnahmen – in dieser Reihenfolge

1. Nichts vorschnell löschen. Sichern Sie zuerst den aktuellen, infizierten Stand (Dateien und Datenbank) als separates Backup. Es dient der Analyse – eingespielt wird es natürlich nie.
2. Website vorübergehend vom Netz nehmen. In den Wartungsmodus schalten oder vom Hoster sperren lassen. Das schützt Ihre Besucher und begrenzt den Schaden an Ihrer Reputation.
3. Hoster kontaktieren. Gute Hoster haben Malware-Scanner und Zugriffs-Logs und können oft sagen, wann und worüber der Angriff lief. Fragen Sie auch, ob weitere Websites in Ihrem Paket betroffen sind.
4. Alle Passwörter ändern – von einem sauberen Gerät. WordPress-Zugänge, FTP/SSH, Datenbank, Hosting-Kundenkonto und die zugehörigen E-Mail-Postfächer. Falls Sie eines der Passwörter auch anderswo verwenden: dort ebenfalls.
5. Benutzerliste aufräumen. Unbekannte Konten – besonders Administratoren – entfernen und für alle verbliebenen Konten neue Passwörter erzwingen.
6. Klären, welche Daten betroffen sein könnten. Kundendaten aus Formularen, Newsletter-Adressen, Shop-Konten? Dann lesen Sie unbedingt den Abschnitt zum Datenschutz weiter unten.

Bereinigen: Warum der Malware-Scanner allein selten reicht

Sicherheits-Plugins finden bekannte Schadmuster – aber Angreifer hinterlassen fast immer mehrere Hintertüren: unauffällig benannte Dateien in Upload-Ordnern, manipulierte Systemdateien, Einträge direkt in der Datenbank, zusätzliche Zugangsschlüssel. Wird nur die sichtbare Infektion entfernt, ist die Seite häufig nach wenigen Tagen wieder kompromittiert – über dieselbe Tür.

Der zuverlässige Weg ist ein sauberer Neuaufbau: WordPress, Theme und Plugins frisch aus den offiziellen Quellen installieren, Inhalte aus einem geprüften Backup übernehmen, Konfigurationsdateien kontrollieren und anschließend alles auf den neuesten Stand bringen. Wichtig dabei: Der Einbruch liegt oft Wochen vor der Entdeckung – das Backup „von letzter Woche" kann also bereits infiziert sein. Prüfen Sie ältere Stände, bevor Sie sie einspielen.

Wenn das über Ihre Möglichkeiten hinausgeht, ist das keine Schande. Holen Sie sich Hilfe, bevor Sie zum dritten Mal dieselbe Infektion entfernen.

Google informieren und die Reputation reparieren

Ist die Seite sauber, melden Sie das aktiv: in der Google Search Console unter „Sicherheitsprobleme" eine Überprüfung anfordern. Die Warnung in den Suchergebnissen verschwindet danach meist innerhalb weniger Tage; verlorene Rankings erholen sich langsamer, aber sie erholen sich. Falls Ihre Website noch gar nicht in der Search Console angemeldet ist: nachholen – das ist auch unabhängig vom Hack Pflicht für jede Unternehmens-Website.

Datenschutz: Prüfen Sie Ihre Meldepflicht

Sobald personenbezogene Daten im Spiel sein könnten – Anfragen aus dem Kontaktformular, Newsletter-Adressen, Kundenkonten im Shop –, kann der Vorfall eine meldepflichtige Datenpanne nach Art. 33 DSGVO sein. Die Frist ist kurz: 72 Stunden ab Kenntnis, zuständig für Unternehmen aus Niedersachsen ist die Landesbeauftragte für den Datenschutz. Dokumentieren Sie den Vorfall in jedem Fall schriftlich: Was ist wann passiert, welche Daten waren möglicherweise betroffen, was wurde unternommen. Ob tatsächlich gemeldet werden muss, hängt vom Risiko für die Betroffenen ab – klären Sie das im Zweifel mit einem Datenschutzbeauftragten oder Anwalt, statt es auszusitzen. (Auch hier gilt: Das ersetzt keine Rechtsberatung.)

So verhindern Sie den nächsten Hack

• Updates zur Routine machen: System, Theme und Plugins regelmäßig aktualisieren – oder automatische Updates aktivieren und die Seite danach kurz prüfen.
• Plugins radikal ausmisten: Jedes Plugin ist potenzielle Angriffsfläche. Was Sie nicht nutzen, fliegt raus – auch deaktivierte Plugins löschen.
• Zwei-Faktor-Anmeldung für alle Administrator-Konten, dazu einzigartige Passwörter aus einem Passwortmanager.
• Backups automatisieren und getrennt vom Webserver aufbewahren – und die Wiederherstellung einmal wirklich testen.
• Verantwortung klären: Wenn sich intern niemand kümmern kann, braucht die Seite einen Wartungsvertrag. Eine ungepflegte WordPress-Installation ist keine Frage, ob sie gehackt wird – nur wann.

Und die grundsätzliche Alternative: Wir entwickeln Websites mit Next.js statt WordPress – unter anderem genau aus diesem Grund. Es gibt kein Plugin-System, kein öffentlich erreichbares Admin-Login und keine vergessenen Updates; die häufigsten Einfallstore existieren schlicht nicht. Das ist kein Freifahrtschein gegen jede denkbare Attacke, aber es macht die Website als Ziel weitgehend uninteressant. Wenn Ihre WordPress-Seite zum wiederholten Mal bereinigt werden musste, ist ein Neubau auf moderner Technik oft günstiger als die nächste Rettung.

Fazit

Ein Hack ist ärgerlich, aber lösbar – wenn die Reihenfolge stimmt: Beweise sichern, Seite offline nehmen, Hoster einbinden, Passwörter ändern, sauber neu aufbauen, Google und gegebenenfalls die Datenschutzbehörde informieren. Und danach dafür sorgen, dass es kein zweites Mal gibt.

Wenn Sie akut betroffen sind und nicht weiterwissen: Rufen Sie uns an unter 0531 70201786 oder schreiben Sie uns – wir schauen uns die Lage an und sagen Ihnen ehrlich, ob sich eine Bereinigung lohnt oder ein Neuaufbau der schnellere Weg ist.