WordPress gehackt? Bereinigung und Wiederherstellung ohne Rätselraten

Nicht jeder Vorfall zeigt sich als offensichtlich veränderte Startseite. Viele Angriffe sind darauf ausgelegt, möglichst lange unentdeckt zu bleiben, weil die Website dann länger als Verteiler für Spam, als Weiterleitungsziel oder als Ablage für fremde Dateien genutzt werden kann. Die folgenden Anzeichen treten in der Praxis am häufigsten auf. Trifft eines davon zu, sollten Sie die Website nicht weiter selbst reparieren, sondern zuerst den Zustand sichern.

Die sichtbaren Folgen eines Angriffs lassen sich oft in einer Stunde beseitigen. Das eigentliche Problem ist der Weg, über den der Zugriff zustande kam. Solange dieser Weg offen ist, kommt derselbe Angriff wieder — häufig automatisiert und innerhalb weniger Tage, weil kompromittierte Systeme in einschlägigen Listen weitergereicht werden. Genau deshalb enthält unsere Bereinigung immer den Analyseteil und nicht nur das Aufräumen.

In der Praxis lassen sich die meisten Vorfälle auf wenige Muster zurückführen: eine Erweiterung mit bekannter, längst gepatchter Schwachstelle; ein Administratorzugang ohne zweiten Faktor, dessen Passwort aus einem fremden Datenleck stammt; eine seit Jahren nicht aktualisierte Theme-Datei mit einer unsicheren Dateifunktion; oder ein anderes System im selben Hostingpaket, über das der Angreifer seitlich in Ihre Installation gelangt ist. Welche dieser Varianten vorliegt, entscheidet darüber, welche Härtung danach sinnvoll ist — und ob eine Bereinigung überhaupt ausreicht oder ein sauberer Neuaufbau der ehrlichere Weg wäre.

Wenn bei einem Vorfall personenbezogene Daten betroffen sein könnten — Kontaktformulare, Benutzerkonten, Bestelldaten, Newsletter-Adressen — greift Art. 33 DSGVO: Die zuständige Aufsichtsbehörde ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu informieren, sofern ein Risiko für die Betroffenen besteht. Ist das Risiko hoch, kommt nach Art. 34 DSGVO die Benachrichtigung der Betroffenen hinzu. Beide Fristen laufen ab dem Zeitpunkt, an dem Sie Kenntnis erlangen — nicht ab dem Abschluss der Bereinigung.

Wir sind keine Rechtsberatung und ersetzen keine anwaltliche Einschätzung. Was wir liefern, ist die technische Grundlage für Ihre Entscheidung: ein dokumentierter Befund, der Zeitraum des Vorfalls, die betroffenen Bereiche und die getroffenen Maßnahmen. Genau diese Unterlagen fragen Aufsichtsbehörden und Versicherer ab. Welche Nachweise dabei erwartet werden, ordnet unser Beitrag Cyber-Versicherung: Welche Wartungsnachweise zählen ein. Für laufend gewartete Systeme entstehen diese Nachweise nebenbei, weil jeder Wartungszyklus ohnehin protokolliert wird — Details dazu auf der Seite DSGVO-Updates.

Wenn Sie den Ablauf im Ernstfall vorab durchspielen möchten, hilft unser Beitrag Notfallplan: Was tun wenn die Website gehackt wurde als Leitfaden. Wie Schadsoftware technisch erkannt und entfernt wird, beschreibt Malware-Scanning und Bereinigung für Online-Shops, und wie kurz das Zeitfenster zwischen Veröffentlichung einer Lücke und den ersten Angriffsversuchen ist, zeigt WordPress-Patch-Zeitfenster: 5 Stunden bis Angriff. Die Härtungsmaßnahmen im Überblick stehen in WordPress-Sicherheit 2026, die Wiederherstellung nach schweren Vorfällen in Disaster Recovery. Für Shopware-Installationen mit anstehendem Versionssprung ist die Seite Shopware Major-Upgrade der passende Einstieg.