Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?

Nicht jede Auffälligkeit auf einer WordPress-Seite bedeutet gleich einen Hack – aber viele der klassischen Warnsignale sind eindeutig genug, um sie ernst zu nehmen. Das Problem ist meist nicht, dass gar nichts auffällt, sondern dass Betreiber unsicher sind, ob es sich wirklich um einen Angriff handelt oder um einen harmlosen Fehler.

Dieser Ratgeber ordnet die häufigsten Anzeichen ein, zeigt, wie Sie den Verdacht mit einfachen Mitteln überprüfen, und erklärt, welche Schritte nach einem bestätigten Hack wirklich sinnvoll sind – und welche nur Symptome kaschieren.

Wichtig vorab: WordPress selbst ist nicht per se unsicher. Die allermeisten erfolgreichen Angriffe nutzen bekannte Schwachstellen in veralteten Plugins, Themes oder schwache Passwörter aus – nicht eine Lücke im WordPress-Kern. Wer die folgenden Anzeichen kennt, verliert bei einem echten Vorfall wertvolle Zeit, weil er den Verdacht länger als nötig für sich behält.

Typische Anzeichen, dass Ihre WordPress-Seite gehackt wurde

Die folgenden Symptome treten bei den meisten kompromittierten WordPress-Seiten in ähnlicher Form auf. Einzelne Punkte können auch andere Ursachen haben, mehrere davon gleichzeitig sind aber ein starkes Indiz.

• Fremde Weiterleitungen: Besucher landen statt auf Ihrer Seite plötzlich auf einer anderen Domain – etwa einem Online-Shop, einer Casino- oder Dating-Seite.
• Eingeblendete Werbung oder Spam-Links: Auf der Seite tauchen Anzeigen, Pop-ups oder Textlinks auf, die Sie nie selbst eingefügt haben – teils gut versteckt im Quelltext.
• Google-Warnung: In der Google Search Console erscheint unter „Sicherheitsprobleme" ein Hinweis wie „Diese Website wurde möglicherweise gehackt", oder Besucher sehen im Browser eine Safe-Browsing-Warnung vor dem Seitenaufruf.
• Plötzlicher Ranking-Absturz: Rankings und organischer Traffic brechen ohne erkennbaren Grund massiv ein – oft, weil Google die Seite abgestraft oder aus dem Index genommen hat.
• Unbekannte Admin-Benutzer: In der WordPress-Benutzerverwaltung taucht ein Konto mit Administratorrechten auf, das Sie nicht angelegt haben.
• Veränderte oder unbekannte Dateien: Im Dateisystem finden sich neue PHP-Dateien, veränderte Kerndateien oder Ordner mit kryptischen Namen, die dort nicht hingehören.
• Spam-Mails über die eigene Domain: Ihr Hoster oder Kunden melden, dass massenhaft Spam-Mails von einer Adresse Ihrer Domain verschickt werden.
• Sperrung durch den Hoster: Der Hosting-Anbieter sperrt die Seite vorübergehend wegen Missbrauchsmeldungen oder auffälligem Verhalten.
• Ungewöhnlich hohe Serverlast: Die Seite wird ohne erklärbaren Besucheranstieg spürbar langsamer, weil im Hintergrund fremde Skripte laufen – etwa für Spam-Versand oder als Teil eines Botnetzes.

So prüfen Sie den Verdacht

Bevor Sie vorschnell handeln, lohnt sich eine strukturierte Prüfung. So vermeiden Sie sowohl Fehlalarme als auch, einen echten Hack zu übersehen.

Inkognito-Fenster und ein anderes Gerät oder Netz nutzen. Viele Angreifer setzen auf sogenanntes Cloaking: Eingeloggten Admins oder wiederkehrenden Besuchern wird die normale Seite gezeigt, neuen Besuchern aus Suchmaschinen dagegen die manipulierte Version mit Weiterleitung oder Spam-Inhalten. Prüfen Sie die Seite deshalb im Inkognito-Modus, ausgeloggt, und wenn möglich zusätzlich von einem anderen Gerät oder Netzwerk aus.

Google Search Console auf Sicherheitsprobleme prüfen. Unter „Sicherheit & manuelle Maßnahmen" zeigt die Search Console an, ob Google Schadsoftware, Spam-Inhalte oder gehackte Inhalte auf Ihrer Seite erkannt hat – meist mit konkreten Beispielen betroffener URLs.

Benutzerliste kontrollieren. Werfen Sie unter „Benutzer" im WordPress-Backend einen Blick auf alle Konten mit Administrator- oder Redakteur-Rechten. Unbekannte oder verdächtig benannte Accounts sind ein klares Warnsignal.

Zuletzt geänderte Dateien sichten. Per FTP, SFTP oder Dateimanager im Hosting-Panel lässt sich das Änderungsdatum von Dateien sortieren. Wurden kürzlich Dateien verändert, die eigentlich niemand angefasst hat – etwa in Themes oder im WordPress-Kernverzeichnis –, ist das ein starker Hinweis.

Sucuri SiteCheck als kostenlosen Erst-Scan. Der externe, kostenlose Dienst Sucuri SiteCheck prüft die öffentlich sichtbare Seite auf bekannte Malware-Muster, Blacklist-Einträge und verdächtigen Code. Das ist ein guter erster Anhaltspunkt, aber ehrlich eingeordnet: Der Scan sieht nur, was von außen sichtbar ist. Serverseitig versteckte Schadsoftware, Backdoors ohne sichtbare Auswirkung oder Manipulationen in der Datenbank erkennt ein solcher externer Scan häufig nicht. Ein „sauberes" Ergebnis ist also kein vollständiger Entwarnungsbeweis.

Sofortmaßnahmen bei bestätigtem Hack

Bestätigt sich der Verdacht, kommt es auf die Reihenfolge an. Diese Schritte sollten möglichst zügig, aber überlegt erfolgen:

• Alle Zugangsdaten ändern: WordPress-Login, FTP- beziehungsweise SFTP-Zugang, Datenbank-Passwort und der Login beim Hosting-Anbieter. Angreifer nutzen kompromittierte Zugangsdaten häufig für einen erneuten Zugriff, selbst nachdem sichtbare Schäden beseitigt wurden.
• Backup des Ist-Zustands ziehen: Bevor Sie irgendetwas löschen, sichern Sie den aktuellen, kompromittierten Zustand vollständig – Dateien und Datenbank. Dieses Backup dient als Beweissicherung und als Grundlage für eine spätere Analyse, welche Schwachstelle ausgenutzt wurde.
• Seite gegebenenfalls in den Wartungsmodus versetzen: Solange Schadinhalte aktiv sind, sollten Besucher nicht mit ihnen in Kontakt kommen. Ein Wartungshinweis oder eine temporäre Offline-Schaltung verhindert weiteren Schaden, während die Bereinigung läuft.

Wichtig: Löschen Sie nicht einfach die offensichtlich befallenen Dateien und erklären die Sache damit für erledigt. Das beseitigt zwar die sichtbaren Symptome, aber nicht die Ursache.

Warum bloßes Löschen der Malware-Dateien nicht reicht

Eine Schadsoftware auf der Seite ist immer eine Folge, nicht die eigentliche Ursache. Irgendwo gab es eine Einfallstür: ein veraltetes Plugin mit bekannter Sicherheitslücke, ein kompromittiertes Passwort, eine unsichere Theme-Datei oder ein verwundbares Formular. Wird nur die eingeschleuste Datei entfernt, die Lücke selbst aber nicht identifiziert und geschlossen, bleibt der Zugang für den Angreifer im Zweifel weiter offen.

Typische Einfallstore sind veraltete Plugins oder Themes mit öffentlich bekannten Sicherheitslücken, wiederverwendete oder schwache Passwörter, unsichere Datei-Upload-Funktionen sowie kompromittierte FTP- oder Hosting-Zugänge. Erst wenn klar ist, über welchen dieser Wege der Angreifer hereinkam, lässt sich die Lücke gezielt schließen – ein pauschales „alles updaten und hoffen" reicht dafür in der Regel nicht aus.

In der Praxis führt das häufig zu einer Reinfektion binnen weniger Tage oder Wochen – oft sogar mit derselben Schadsoftware, weil automatisierte Angriffs-Skripte regelmäßig erneut nach derselben Lücke suchen. Eine saubere Bereinigung umfasst deshalb immer auch, den Angriffsweg zu finden, alle eingeschleusten Hintertüren (sogenannte Backdoors) zu entfernen und die zugrunde liegende Schwachstelle zu schließen – nicht nur die auffälligste Datei.

Wenn das nicht reicht

Die hier beschriebenen Schritte helfen, einen Hack zu erkennen und erste Schäden zu begrenzen. Die eigentliche Ursachenanalyse und vollständige Bereinigung – inklusive Backdoor-Suche und geschlossener Sicherheitslücke – erfordert aber technische Erfahrung, die im Alltag nicht jeder Website-Betreiber hat. Wenn Ihnen dafür die Zeit oder das Fachwissen fehlt, unterstützen wir mit einer professionellen Bereinigung mit Festpreis-Analyse.

Häufige Fragen