WordPress gehackt: Seite säubern, absichern und Google informieren

Woran es liegt.

So behebst Du den Fehler.

Leg vor jeder Änderung eine Sicherung von Dateien und Datenbank an. Geh die Schritte der Reihe nach durch und prüf nach jedem, ob die Seite wieder lädt.

1. 01

   Zustand sichern und Hoster informieren

   Lege eine vollständige Sicherung von Dateien und Datenbank an, auch wenn sie befallen ist. Sie hilft später bei der Suche nach dem Einstieg und ist Dein Rückweg, falls bei der Reinigung etwas schiefgeht. Bewahre sie getrennt von älteren, sauberen Sicherungen auf. Sag Deinem Hoster Bescheid, er sieht die Zugriffe in den Server-Protokollen. Schickt die Seite Besucher auf Schadseiten, nimm sie bis zur Reinigung vom Netz.

2. 02

   Unbekannte Administratoren finden

   Prüfe unter Benutzer → Alle Benutzer, wer die Rolle Administrator hat. Schadcode kann Konten im Dashboard ausblenden, deshalb lohnt der direkte Blick in die Datenbank mit der Abfrage unten. Nutzt Deine Installation ein anderes Präfix als wp_, steht es in der wp-config.php bei $table_prefix. Setze es dann in der Abfrage ein. Lösche fremde Konten und ordne ihre Inhalte dabei einem echten Benutzer zu.

   SELECT u.ID, u.user_login, u.user_email, u.user_registered
   FROM wp_users u
   JOIN wp_usermeta m ON m.user_id = u.ID
   WHERE m.meta_key = 'wp_capabilities'
     AND m.meta_value LIKE '%administrator%';

3. 03

   Alle Passwörter erneuern

   Vergib neue Passwörter für jeden Administrator, für die Datenbank, für FTP und SSH sowie für das Konto beim Hoster. Das neue Datenbank-Passwort trägst Du in der wp-config.php bei DB_PASSWORD ein. Nimm für jeden Zugang ein eigenes, langes Passwort aus einem Passwort-Manager.

4. 04

   Salts austauschen

   Neue Sicherheitsschlüssel machen alle bestehenden Anmeldungen ungültig, auch die der Angreifer. Rufe https://api.wordpress.org/secret-key/1.1/salt/ auf und ersetze die acht Zeilen von AUTH_KEY bis NONCE_SALT in der wp-config.php durch die neuen. Mit WP-CLI erledigt das ein einziger Befehl.

   wp config shuffle-salts

5. 05

   WordPress-Kern frisch einspielen

   Prüfe per WP-CLI, ob die Dateien des WordPress-Kerns noch den offiziellen Prüfsummen entsprechen. Geänderte Dateien oder zusätzliche Dateien in wp-admin und wp-includes sind ein klares Zeichen. Lösche die zusätzlichen und lade dieselbe Version sauber darüber. Kontrolliere wp-config.php und .htaccess von Hand auf fremden Code, etwa lange Zeichenketten mit base64_decode oder eval.

   wp core verify-checksums
   wp core download --version=<Version> --force --skip-content

6. 06

   Plugins und Themes aus offiziellen Quellen neu installieren

   Lösche alle Plugins und Themes, die Du nicht brauchst, gratis beschaffte Bezahl-Erweiterungen zuerst. Die übrigen holst Du neu von wordpress.org oder direkt beim Hersteller und ersetzt die alten Ordner vollständig. Für Plugins aus dem Verzeichnis prüft WP-CLI die Dateien gegen Prüfsummen und installiert sie neu.

   wp plugin verify-checksums --all
   wp plugin install <plugin-slug> --force

7. 07

   Upload-Ordner und Datenbank durchsuchen

   Im Ordner wp-content/uploads haben PHP-Dateien nichts verloren, der Befehl unten listet sie auf. Leere index.php-Dateien mit dem Kommentar „Silence is golden“ sind harmlos. Prüfe zusätzlich in der Tabelle wp_options die Werte siteurl und home sowie Beiträge und Widgets auf eingeschleuste Skripte und fremde Links.

   find wp-content/uploads -type f -name "*.php"

8. 08

   Google um Überprüfung bitten

   Hat Google die Seite markiert, öffne in der Search Console den Bericht „Sicherheitsprobleme“. Er nennt Beispiel-Adressen der befallenen Seiten. Sorge dafür, dass die Spam-Seiten nur noch 404 oder 410 liefern. Ist alles bereinigt, klickst Du auf „Überprüfung anfordern“ und beschreibst kurz, was Du entfernt und abgesichert hast.

9. 09

   Lücke schließen und beobachten

   Aktualisiere danach alles, aktiviere per Plugin eine Zwei-Faktor-Anmeldung für Administratoren und setze die Konstante unten. Sie sperrt den Datei-Editor im Dashboard, über den Angreifer sonst Code einschleusen. Behalte Search Console und Server-Protokolle in den folgenden Wochen im Blick.

   define( 'DISALLOW_FILE_EDIT', true );

Zuletzt geprüft am 25. September 2026.