Es ist der Moment, den kein Website-Betreiber erleben möchte: eine E-Mail vom Hosting-Anbieter, Betreff „Malware auf Ihrem Webspace gefunden" – und plötzlich ist die Seite gesperrt. Kein Shop, keine Terminbuchung, keine Erreichbarkeit. Der erste Impuls ist meistens Panik.

Atmen Sie durch. Ein gehackter Webauftritt ist heute Alltag. Es trifft kleine Praxen und Selbstständige genauso wie große Unternehmen – häufig durch automatisierte Scans und Angriffswerkzeuge, die das Netz systematisch nach Schwachstellen absuchen. Entscheidend ist nicht, dass es passiert ist, sondern wie Sie jetzt reagieren.

Dieser Leitfaden geht Schritt für Schritt durch die Maßnahmen, die in solchen Fällen sinnvoll sind – aus der Praxis eines Entwicklers, der genau solche Vorfälle bearbeitet. In einem aktuellen Kundenprojekt wurde ich wegen eines Malware-Vorfalls auf einer WordPress-Website hinzugezogen. Wie das lief und was Sie daraus mitnehmen können, steht weiter unten.

Woran erkenne ich, dass meine Webseite gehackt wurde?

Zu den typischen Warnzeichen gehören:

Ihr Hoster sperrt die Seite und meldet „Malware" oder eine „Webshell".
Google zeigt „Diese Website kann Ihren Computer schädigen" an.
Die Seite leitet plötzlich auf fremde, oft dubiose Seiten weiter.
Unbekannte Administrator-Konten oder Beiträge tauchen im WordPress-Backend auf.
Die Seite lädt langsam, verschickt Spam oder verhält sich merkwürdig.

Wenn Sie eines davon bemerken oder eine Sperrmeldung Ihres Hosters bekommen: Bitte ernst nehmen, aber nicht in Panik geraten. Strukturiertes Vorgehen hilft mehr als schnelles Handeln.

Die ersten Schritte im Ernstfall

1. Ruhe bewahren und nichts überstürzt löschen. Der häufigste Fehler in der ersten Panik: sofort Dateien löschen und die Seite freischalten. Damit vernichten Sie unter Umständen wertvolle Spuren darüber, was passiert ist. Und die brauchen Sie später.

2. Wenn möglich, sollten die Server-Logs vor allen Änderungen gesichert werden. Server-Logs liefern wichtige Hinweise darauf, ob Daten abgeflossen sein könnten. Eine vollständige forensische Bewertung erfordert allerdings die Analyse aller verfügbaren Informationen – Logs allein beweisen nicht immer alles. Ein Angreifer könnte verschlüsselte Verbindungen nutzen, Logs manipulieren oder Daten in kleinen Mengen übertragen. Trotzdem: Wer die Logs sichert, bevor an der Seite gearbeitet wird, verschafft sich die beste Ausgangslage für eine spätere Beurteilung. Für die Risikobewertung nach DSGVO kann das ein wichtiger Baustein sein.

3. Passwörter erneuern – aber in der richtigen Reihenfolge. Alle Zugänge müssen neu: WordPress-Admins, Datenbank, FTP, Hosting-Konto. Idealerweise erst nach Sicherung der relevanten Logs und Beweisdaten. Passwortänderungen selbst überschreiben normalerweise keine Server-Logs, können aber die spätere Analyse erschweren – etwa wenn aktive Sessions oder verwendete Angriffswege vorher nicht dokumentiert wurden.

4. Die Infektion vollständig entfernen – nicht nur die eine gemeldete Datei. Schadsoftware kommt selten allein. Hintertüren verstecken sich oft an mehreren Stellen und sogar in der Datenbank. Wer nur den einen Fund vom Hoster entfernt und wieder freischaltet, wird häufig innerhalb kurzer Zeit erneut kompromittiert – abhängig davon, wie automatisiert die Lücke gesucht wird, kann das Minuten oder Wochen dauern.

Was Sie besser vermeiden sollten

Drei Reaktionen, die im Panikmodus verständlich sind, den Schaden aber häufig vergrößern:

Nur die gemeldete Datei löschen und die Seite wieder freischalten. Führt in vielen Fällen zu einer erneuten Sperrung nach kurzer Zeit.
Ein altes Backup einspielen, ohne die Ursache zu kennen. Die Lücke bleibt offen. Der Angreifer kann denselben Weg erneut nutzen.
„Nulled"-Plugins verwenden. Raubkopierte Premium-Erweiterungen zählen zu den häufigen Einfallstoren. Wer damit einmal Zeit oder Geld sparen wollte, riskiert einen deutlich höheren Folgeaufwand.

Ein echter Fall aus meiner Praxis: WordPress-Seite gesperrt, zwei Hintertüren, versteckter Admin

Ein Fachseminar-Anbieter mit WooCommerce-Shop kontaktierte mich am Morgen: Sein Hoster hatte ihm eine Mail geschickt – Malware auf der Website gefunden, Domain gesperrt. Der komplette Shop war offline. Für viele Website-Betreiber ist genau das der Moment, in dem sie sich fragen: Was tun, wenn WordPress gehackt wurde?

Die Meldung des Hosters war präzise: eine pts.php in einem Plugin-Verzeichnis war als WordPress Webshell erkannt worden. Eine Webshell ist keine eigene Sicherheitslücke, sondern ein Werkzeug, das Angreifer nach erfolgreicher Kompromittierung auf einem System platzieren. Sie ist eine bestimmte Form einer Backdoor und ermöglicht dem Angreifer weitreichenden Zugriff innerhalb der Berechtigungen, mit denen der Webserver läuft: Befehle ausführen, Dateien lesen oder verändern, Daten nach außen übertragen. Die genauen Rechte hängen davon ab, wie der Server konfiguriert ist.

Ich habe noch am selben Vormittag angefangen. Vor allen Änderungen an den Dateien wurden die Server-Logs gesichert. Das schafft die Grundlage für eine spätere forensische Bewertung.

Bei der genaueren Prüfung stellte sich heraus: Es war nicht nur eine WordPress-Backdoor. Es waren zwei versteckte Hintertüren in zwei verschiedenen Drittanbieter-Plugins. Und in der Datenbank hatte der Angreifer sich zusätzlich einen eigenen Administrator-Account angelegt – für den Fall, dass die Backdoors entfernt werden. Solche Konstellationen sind bei der Frage „Website gehackt – was tun?" typisch: Man findet fast nie nur einen Fund.

Nach der Bereinigung und Auswertung der gesicherten Logs fanden sich in den ausgewerteten Server-Protokollen keine Hinweise auf einen größeren Datenabfluss. Die Zugriffe erfolgten über IP-Adressen eines ausländischen Cloud-Anbieters und der Angreifer hatte kurzzeitig Zugriff. Für den Kunden war das eine deutliche Entlastung: Seine Teilnehmerdaten waren nach den vorliegenden Informationen nicht in nennenswertem Umfang betroffen.

Die wahrscheinliche Ursache: eine „nulled"-Version eines Premium-Plugins mit eingebautem Schad-Updater. Das offizielle Plugin selbst war sauber. Nur die raubkopierte Variante hatte den Trojaner mitgebracht.

Die Bereinigung dauerte insgesamt zwei Tage – inklusive kompletter Passwort-Erneuerung, neuen WordPress-Sicherheitsschlüsseln, Prüfung des WordPress-Kerns gegen das Original, Datenbank-Bereinigung und Entfernung der verwundbaren Plugins. Zum Schluss wurde alles mit Zwei-Faktor-Authentifizierung für alle Admins abgesichert. Ein zusätzlicher Sicherheits-Scan mit Wordfence zeigte anschließend keine bekannten Auffälligkeiten mehr. Wichtig zu wissen: Kein Scanner erkennt hundert Prozent aller Malware – aber in Kombination mit der manuellen Prüfung und dem sauberen Log-Bild war das ein solides Ergebnis. Die Seite ging wieder online.

„Shadi Aburok hat noch am selben Tag reagiert, zuerst die Log-Daten gesichert und transparent aufgezeigt, dass sich in den ausgewerteten Protokollen keine Hinweise auf einen Datenabfluss fanden. Eine klare Empfehlung." — Rainer Taufertshöfer, öffentliche Empfehlung auf Telegram

Warum wir Hetzner als Hoster empfehlen

Ein Detail, das bei diesem Fall geholfen hat: Der Kunde hostete bei Hetzner. Hetzner bietet je nach Produkt automatische Sicherheitsprüfungen und Mechanismen zur Erkennung auffälliger Dateien oder Aktivitäten. Betroffene Accounts können bei Fund automatisch gesperrt werden. Das klingt zunächst wie Stress – der Shop war ja offline. Aber dieser Automatismus hat vermutlich verhindert, dass die Backdoors länger unentdeckt aktiv blieben und weiteren Schaden anrichten konnten.

Die konkreten Leistungen hängen vom gebuchten Tarif ab. Wer Hetzner-Hosting nutzt, sollte prüfen, welche Sicherheitsleistungen im jeweiligen Produkt tatsächlich enthalten sind.

Die Kombination aus Hosting in deutschen Rechenzentren unter Einhaltung der DSGVO und aktiver Malware-Erkennung durch den Hoster ist ein Grund, warum wir bei Aburok für viele unserer Kunden Hetzner empfehlen. Der Preisunterschied zu manchen Billig-Hostern ist überschaubar, der Sicherheitszuwachs spürbar.

Wie eine professionelle Bereinigung abläuft

Wenn Sie WordPress-Malware entfernen und die Website wieder sauber online bringen möchten, folgt das Vorgehen in der Regel einer klaren Reihenfolge. Wer davon abweicht, riskiert, entweder Spuren zu vernichten oder Hintertüren zu übersehen:

Zuerst die Sicherung der verfügbaren Server-Logs vor jeder anderen Aktion. Dann ein Malware-Scan aller Dateien im Webspace, nicht nur der gemeldeten. Anschließend der Abgleich der WordPress-Kerndateien mit dem offiziellen Original – manche Angreifer manipulieren auch Kern-Dateien. Dann die Prüfung der Datenbank auf versteckte Admin-Accounts, injizierten Schadcode in Posts und manipulierte Optionen. Erneuerung aller Passwörter und der WordPress-Sicherheitsschlüssel in der wp-config.php. Entfernung oder Update der verwundbaren Komponente. Und zum Schluss ein unabhängiger Gegen-Scan sowie ein Live-Test. Erst dann sollte die Website wiederhergestellt und wieder online gehen.

Häufig übersehene Angriffsvektoren

Die aufgeräumten Grundlagen sind das eine. In der Praxis stoßen wir bei WordPress-Bereinigungen immer wieder auf Punkte, die viele Administratoren gar nicht auf dem Schirm haben:

Dateiberechtigungen. Viele WordPress-Installationen laufen mit zu offenen Rechten, teilweise sogar mit 777 auf ganzen Verzeichnissen oder mit falschen Datei-Besitzrechten. Das erleichtert Angreifern nach einem ersten Einfallstor die weitere Ausbreitung im System. Häufig werden 755 für Verzeichnisse und 644 für Dateien verwendet. Entscheidend ist jedoch das Zusammenspiel aus Dateirechten, Besitzerrechten und Serverkonfiguration – pauschale Werte sind kein Ersatz für eine passende Konfiguration.

Nicht mehr unterstützte PHP-Version. Wer auf einer PHP-Version läuft, die keine Sicherheitsupdates mehr bekommt, arbeitet mit einer Umgebung, deren bekannte Lücken nicht mehr geschlossen werden. Das ist kein WordPress-Problem, sondern eine Grundlage. Eine aktive, gepflegte PHP-Version ist in den meisten Fällen der bessere Boden für WordPress.

XML-RPC. Die alte XML-RPC-Schnittstelle kann unter bestimmten Umständen für Brute-Force- oder Amplification-Angriffe missbraucht werden. Wenn Sie sie nicht aktiv benötigen (z. B. für die klassische WordPress-App oder ältere Integrationen), lässt sie sich in vielen Fällen deaktivieren.

REST API. Einige Plugins erweitern die REST API mit zusätzlichen Endpunkten. Bei Sicherheitsanalysen sollte geprüft werden, welche Endpunkte durch Plugins oder Themes bereitgestellt werden und ob diese korrekt abgesichert sind. Für den normalen WordPress-Betrieb ist das keine tägliche Wartungsaufgabe, aber ein sinnvoller Punkt auf der Checkliste bei einem Sicherheits-Audit.

wp-config.php. Wird gern übersehen: Nach einem Vorfall sollten das Datenbank-Passwort, alle Sicherheitsschlüssel (Auth Keys) und die Dateirechte auf die wp-config.php selbst geprüft und erneuert werden. Werden Sicherheitsschlüssel erneuert, sollten alle acht Schlüssel gleichzeitig ersetzt werden – sonst bleibt eine bereits gestohlene Session weiterhin gültig.

Cronjobs auf dem Server. Manche Angreifer legen serverseitige Cronjobs an, die Malware regelmäßig neu nachladen – selbst dann, wenn die ursprüngliche Datei entfernt wurde. Bei der Bereinigung sollten die Cron-Einträge des Hostings mit geprüft werden.

MU-Plugins. Das Verzeichnis wp-content/mu-plugins (Must-Use-Plugins) wird von vielen Administratoren gar nicht angeschaut, weil es im normalen WordPress-Backend nicht als eigener Menüpunkt auftaucht. Angreifer nutzen das gern als Versteck, weil MU-Plugins automatisch geladen werden. Ein Blick dorthin gehört zu jeder gründlichen Prüfung.

So schützen Sie sich künftig – die wichtigsten Punkte

Nach einem Vorfall macht es Sinn, die Grundlagen einmal in Ruhe neu zu setzen. Diese Punkte verhindern einen Großteil der typischen Angriffe:

WordPress, Plugins und Themes aktuell halten. Klingt banal, wird aber unterschätzt. Viele erfolgreiche Angriffe nutzen bekannte Sicherheitslücken, für die längst Updates verfügbar sind.

Keine „nulled"-Plugins, keine Raubkopien. Das war die Ursache im geschilderten Fall. Wer 50 Euro für ein Premium-Plugin sparen möchte, riskiert einen Schaden, der schnell ein Vielfaches davon kostet.

Zwei-Faktor-Authentifizierung für alle Admin-Accounts. Ein gestohlenes Passwort reicht dann für sich genommen nicht mehr aus, um sich einzuloggen.

Regelmäßige, getestete Backups. Backup ist nicht gleich Backup. Wichtig ist, in ruhigen Zeiten zu prüfen, ob sich das Backup auch tatsächlich wiederherstellen lässt. Sonst stellt sich diese Frage im Ernstfall.

Ein aktives Sicherheits-Plugin. Wordfence ist verbreitet, gibt es in einer soliden kostenlosen Version. Es scannt regelmäßig und warnt vor Auffälligkeiten – ohne Anspruch auf Vollständigkeit, aber als sinnvolle zusätzliche Schicht.

Serverseitige Grundlagen beachten. Aktuelle PHP-Version, saubere Dateiberechtigungen, ungenutzte Schnittstellen wie XML-RPC deaktivieren. Diese Punkte sind Basis-Handwerk, werden aber gern vergessen.

Wer bei einem Hoster ist, der selbst nach Malware scannt, hat eine zusätzliche Sicherheitsebene, die viele Website-Betreiber unterschätzen.

Häufige Fragen

Sind meine Kundendaten in Gefahr, wenn meine Website gehackt wurde? Server-Protokolle liefern wichtige Hinweise, ob und in welchem Umfang Daten abgeflossen sein könnten. Ihre Sicherung vor der Bereinigung schafft die beste Ausgangslage für eine spätere Bewertung. Ob eine Meldepflicht nach DSGVO besteht, hängt von der Bewertung des Risikos für die betroffenen Personen ab. Bei einem hohen Risiko kann eine Meldung an die Datenschutzbehörde erforderlich sein. Ohne Logs bleibt vieles Spekulation, und dann fällt die Bewertung im Zweifel vorsichtiger aus.

Wie lange dauert eine professionelle Bereinigung einer gehackten WordPress-Seite? Je nach Umfang meist ein bis zwei Tage – inklusive Analyse, Bereinigung, Absicherung und unabhängiger Kontrolle. Bei komplexeren Angriffen oder größeren Setups kann es auch länger dauern.

Kommt der Hacker wieder, wenn ich die Seite bereinigt habe? Nur, wenn die Einfallstür offenbleibt. Deshalb gehört zu einer sauberen Bereinigung, die Ursache zu schließen – nicht nur die Symptome. Wer nur die Malware entfernt, aber das verwundbare Plugin behält, wird häufig erneut kompromittiert.

Kann ich meine gehackte WordPress-Seite selbst bereinigen? Grundsätzlich schon. Wer die Website selbst bereinigen möchte, findet in Anleitungen zu „WordPress Malware entfernen" gute Grundlagen. Allerdings verstecken sich Hintertüren gern in legitim aussehenden Dateien und in der Datenbank. Im Zweifel spart professionelle Hilfe Zeit, Nerven und schützt vor einer erneuten Sperrung durch den Hoster.

Was kostet die Bereinigung einer gehackten Website? Das hängt von Umfang und Komplexität ab. Für einen typischen Fall wie den oben geschilderten liegt der Aufwand meist bei einem bis zwei Tagen. Der tatsächliche Aufwand hängt vom Umfang der Infektion, der Größe der Website und der vorhandenen Dokumentation ab. Konkrete Zahlen nach einem ersten Blick auf Ihr System – kostenlos im Erstgespräch.

Die wichtigsten Punkte auf einen Blick

Keine Dateien vorschnell löschen – wertvolle Spuren gehen sonst verloren.
Server-Logs sichern, sofern verfügbar, bevor mit der Bereinigung begonnen wird.
Nicht nur die gemeldete Malware entfernen, sondern die eigentliche Ursache beseitigen.
Alle Zugangsdaten und WordPress-Sicherheitsschlüssel erneuern.
Häufig übersehen: Datenbank, MU-Plugins, serverseitige Cronjobs, wp-config.php.
Die Bereinigung anschließend unabhängig überprüfen.
Für die Zukunft: aktuelle PHP-Version, Zwei-Faktor-Authentifizierung, getestete Backups, keine „nulled"-Plugins.

Warum Kunden uns nach einem Website-Vorfall beauftragen

Reaktion oft noch am selben Tag
Analyse statt bloßem Löschen der gemeldeten Datei
Bereinigung inklusive Ursachenanalyse, nicht nur Symptombehandlung
Unterstützung bei Fragen zur DSGVO-Bewertung des Vorfalls
Direkter Ansprechpartner ohne anonymes Ticketsystem

Soforthilfe: Wir bereinigen Ihre Website – schnell und persönlich

Ist Ihre Website gesperrt oder gehackt? Wir helfen schnell und gründlich. Als erfahrene Softwareentwicklung aus Petersberg bei Fulda bereinigen wir gehackte WordPress-Seiten, sichern sie ab und stehen Ihnen persönlich zur Seite. Kein anonymes Ticket-System, direkter Kontakt.

Aburok Softwareentwicklung Telefon: 0661 25055464 E-Mail: info@aburok.de Erstgespräch unverbindlich vereinbaren – Antwort innerhalb eines Arbeitstages.

Ihre Webseite wurde gehackt? Erste Hilfe – und was Sie jetzt tun müssen