WordPress gehackt? So bereinigst du deine Seite

Was du tust, wenn deine WordPress-Seite gehackt wurde, in der Reihenfolge, die WordPress selbst empfiehlt: notieren, scannen, Passwörter, neue Schlüssel, frische Dateien, Updates.

Das Wichtigste

Bleib ruhig und notiere, was du siehst, bevor du etwas änderst. Der Leitfaden von WordPress nennt das den ersten Schritt.
Ändere jedes Passwort, gib WordPress neue geheime Schlüssel und ersetze die Kerndateien durch frische Kopien derselben Version.
Könnten personenbezogene Daten abgeflossen sein, verlangt die DSGVO eine Meldung an die Datenschutzbehörde, möglichst binnen 72 Stunden.

Bevor du aufräumst

WordPress pflegt einen Leitfaden für gehackte Seiten, zuletzt aktualisiert im Juli 2026. Seine ersten Schritte sind nicht technisch: Bleib ruhig und notiere, was du gesehen hast, wann (mit Zeitzone) und was sich zuletzt an der Seite geändert hat, etwa ein neues Plugin oder ein bearbeitetes Theme. Diese Notizen helfen deinem Hoster und später dir, wenn du herausfinden willst, wie die Angreifer hereingekommen sind.

Die Schritte in der Reihenfolge von WordPress

Scanne die Seite und deinen eigenen Computer. Nutze den Scanner eines Sicherheits-Plugins oder einen, der die Seite von außen prüft. Scanne auch deinen Computer mit einem Virenschutzprogramm: Ein gestohlenes Passwort kann von dort stammen.
Wende dich an deinen Hoster. Er unternimmt vielleicht schon etwas, und beim Shared Hosting können andere Seiten betroffen sein.
Achte auf Warnungen zu deiner Seite. WordPress rät, sie in der Google Search Console und den Bing Webmaster Tools anzumelden, die gefundene Probleme melden.
Ändere jedes Passwort: SFTP oder FTP, WordPress, die Verwaltung deines Hosting-Pakets und die Datenbank. Nimm lange, eigene Passwörter und schalte die Zwei-Faktor-Anmeldung ein.
Melde alle ab. Lass alle Benutzer neue Passwörter setzen, vor allem die Administratoren. Trag neue geheime Schlüssel in die wp-config.php ein, erzeugt mit dem Schlüsselgenerator von WordPress. Damit wird jeder abgemeldet, der noch angemeldet ist.
Sichere die gehackte Seite in einem Backup, bevor du sie bereinigst, damit nichts endgültig verloren geht.
Entferne den Hack. Ersetze die Ordner /wp-admin und /wp-includes durch frische Kopien derselben WordPress-Version, hochgeladen per SFTP, nicht über die Schaltfläche zur Neuinstallation im Dashboard. Prüfe wp-content gründlicher, vor allem die Dateien .htaccess, index.php, header.php, footer.php und functions.php. Ein sauberes Backup von vor dem Angriff kann diesen Schritt ersetzen.
Aktualisiere WordPress, Plugins und Themes, sobald die Seite sauber ist. Alte Versionen lassen sich leichter knacken.
Ändere die Passwörter noch einmal, auch das Datenbank-Passwort in der wp-config.php.
Finde heraus, wie die Angreifer hereingekommen sind, etwa aus den Protokollen des Servers, und schließ diesen Weg.

Wenn personenbezogene Daten abgeflossen sein könnten

Ein Shop, ein Kontaktformular oder ein Mitgliederbereich enthält personenbezogene Daten. Nach Artikel 33 der DSGVO muss der Betreiber eine Verletzung des Schutzes solcher Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Datenschutzbehörde melden. Das gilt nicht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte der Betroffenen führt. Dieser Ratgeber ist keine Rechtsberatung. Was für dich gilt, sagen dir dein Datenschutzbeauftragter oder ein Anwalt.

Nach dem Aufräumen

Arbeite den Ratgeber WordPress absichern: die ersten zehn Schritte durch, damit sich derselbe Weg nicht wieder öffnet.

Nächster Schritt

Die Seite Tools für Web-Sicherheit zeigt Sicherheits-Plugins mit Malware-Scannern und einen Firewall-Anbieter, der Bereinigungen anbietet.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.