Gehackte WordPress-Seite bereinigen: Die vollständige Anleitung 2026

Last updated: April 25, 2026

Quick Answer: Eine gehackte WordPress Seite bereinigen bedeutet: Seite in den Wartungsmodus versetzen, sauberes Backup einspielen oder Schadcode manuell entfernen, alle Zugangsdaten ändern, Sicherheitslücken schließen und WordPress vollständig aktualisieren. Der gesamte Prozess dauert je nach Schwere des Angriffs zwischen zwei Stunden und zwei Arbeitstagen.

Key Takeaways

Sofortmaßnahme: Seite offline nehmen und Hosting-Anbieter informieren, bevor Besucher kompromittierte Inhalte sehen.
Backup zuerst prüfen: Ein sauberes Backup vor dem Hack-Zeitpunkt ist der schnellste Weg zur Wiederherstellung. [1]
Sicherheits-Plugins helfen: Wordfence, Sucuri oder MalCare scannen alle Dateien auf Schadcode. [2][3]
Core-Dateien ersetzen: /wp-admin/ und /wp-includes/ komplett löschen und durch frische WordPress-Dateien ersetzen, ohne wp-config.php zu überschreiben. [1]
Alle Passwörter ändern: WordPress-Admin, FTP, Datenbank und Hosting-Account müssen nach einem Hack neu gesetzt werden. [2]
Backdoor-Konten entfernen: Unbekannte Admin-Benutzer in der Datenbank sofort löschen. [1]
Sicherheitsschlüssel erneuern: Neue WordPress Security Keys invalidieren alle aktiven Sitzungen des Angreifers. [2]
Präventiv absichern: Nach der Bereinigung Zwei-Faktor-Authentifizierung, Firewall und automatische Updates aktivieren.

Woran erkennt man, dass eine WordPress-Seite gehackt wurde?

Ein Hack ist nicht immer sofort sichtbar. Viele Angreifer arbeiten monatelang unbemerkt im Hintergrund, um Daten zu stehlen oder Spam zu versenden.

Typische Anzeichen eines gehackten WordPress-Blogs oder einer gehackten Website:

Google zeigt in den Suchergebnissen Warnmeldungen wie „Diese Website wurde möglicherweise gehackt“
Besucher werden auf fremde Domains weitergeleitet
Unbekannte Dateien oder Ordner im Hosting-Verzeichnis
Neue Admin-Benutzer, die niemand angelegt hat
Spam-E-Mails werden über den Server verschickt
Der Hosting-Anbieter sperrt den Account wegen Schadcode
Die Seite lädt extrem langsam oder gibt Fehlermeldungen aus [6]

Wichtig: Wenn Google Search Console eine Sicherheitswarnung anzeigt, ist das oft der erste verlässliche Hinweis. Diese Meldungen sollten niemals ignoriert werden.

Häufige Einfallstore für Angreifer:

Einfallstor	Häufigkeit (Schätzung)
Veraltete Plugins	Sehr häufig
Schwache Passwörter	Häufig
Veraltete WordPress-Version	Häufig
Kompromittierte Themes	Mittel
Unsicheres Hosting	Gering

Gehackte WordPress-Seite bereinigen: Die ersten Schritte

Sobald ein Hack bestätigt ist, zählt jede Minute. Die ersten Maßnahmen begrenzen den Schaden und schaffen die Grundlage für eine saubere Bereinigung.

Schritt 1: Seite in den Wartungsmodus versetzen

Den Wartungsmodus sofort aktivieren, damit Besucher nicht auf kompromittierte Inhalte zugreifen. Das schützt auch den Ruf der Website gegenüber Suchmaschinen. [2] Wer keinen Zugang zum WordPress-Backend hat, kann eine einfache index.html-Datei über FTP in das Hauptverzeichnis hochladen.

Schritt 2: Hosting-Anbieter kontaktieren

Viele Hosting-Anbieter bieten bei Hacks aktive Unterstützung an, haben eigene Malware-Scanner oder können Logs bereitstellen, die den Angriffszeitpunkt eingrenzen.

Schritt 3: Backup sichern (auch das infizierte)

Vor jeder Änderung eine vollständige Kopie des aktuellen Zustands erstellen, inklusive Datenbank. Das infizierte Backup dient als Beweismittel und ermöglicht es, im Zweifel Inhalte zu retten.

Schritt 4: Sauberes Backup einspielen

Existiert ein Backup von vor dem Hack-Zeitpunkt, ist das Einspielen dieses Backups die schnellste und zuverlässigste Methode. [1] Danach müssen alle Passwörter geändert und alle Komponenten aktualisiert werden, da das Backup die ursprüngliche Sicherheitslücke enthält.

Schadcode manuell entfernen: So geht die gehackte WordPress-Seite bereinigen Schritt für Schritt

Wenn kein sauberes Backup vorhanden ist, muss der Schadcode manuell entfernt werden. Das erfordert FTP-Zugang und etwas technisches Verständnis.

WordPress-Core-Dateien ersetzen

Aktuelle WordPress-Version von wordpress.org herunterladen
Die Ordner /wp-admin/ und /wp-includes/ auf dem Server vollständig löschen
Die frischen Ordner aus dem heruntergeladenen Paket hochladen
Nicht überschreiben: wp-config.php und den gesamten wp-content/-Ordner unangetastet lassen [1]

Verdächtigen Code in Schlüsseldateien entfernen

In diesen Dateien verstecken Angreifer besonders häufig Schadcode: [1][9]

wp-config.php: Nach unbekannten eval(), base64_decode(), gzinflate() oder fremden include-Anweisungen suchen
.htaccess: Unbekannte Weiterleitungsregeln oder RewriteRule-Einträge entfernen
functions.php des aktiven Themes: Fremde Code-Blöcke am Anfang oder Ende der Datei prüfen

Praxistipp: Einen sauberen Vergleich bieten die Original-Dateien aus dem WordPress-Paket. Jede Abweichung in Core-Dateien ist verdächtig.

Plugin-Ordner bereinigen

Wenn der Hack über ein Plugin erfolgte, den gesamten Ordner des betroffenen Plugins löschen und anschließend eine frische Version aus dem WordPress-Dashboard installieren. [4] Niemals versuchen, einzelne Dateien innerhalb eines kompromittierten Plugin-Ordners zu „reparieren“.

Datenbank auf Schadcode prüfen

In der WordPress-Datenbank können Angreifer JavaScript-Snippets oder Spam-Links in Beiträgen, Optionen oder Widget-Inhalten hinterlegen. [8]

In phpMyAdmin die Tabelle wp_options auf verdächtige Werte bei siteurl, home und admin_email prüfen
Mit der SQL-Suche nach <script, base64 oder bekannten Spam-Domains in der Datenbank suchen
Tabelle wp_users auf unbekannte Admin-Konten durchsuchen und diese löschen [1]

Alle Zugangsdaten nach dem Hack ändern

Nach der Bereinigung müssen alle Zugangsdaten konsequent erneuert werden. Das ist kein optionaler Schritt.

Vollständige Checkliste für Passwortänderungen:

WordPress-Admin-Passwort für alle Benutzerkonten
FTP/SFTP-Zugangsdaten beim Hosting-Anbieter
MySQL-Datenbankpasswort (und entsprechend in wp-config.php aktualisieren)
Hosting-Account-Passwort und Kontroll-Panel (cPanel, Plesk etc.)
E-Mail-Konto, das mit dem WordPress-Admin verknüpft ist
WordPress Security Keys in wp-config.php erneuern [2]

Die neuen WordPress Security Keys können über den offiziellen Generator von WordPress.org erstellt und direkt in die wp-config.php eingefügt werden. Dadurch werden alle aktiven Sitzungen beendet, auch die des Angreifers.

Passwort-Anforderungen: Mindestens 16 Zeichen, Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Einen Passwort-Manager verwenden.

Mit Sicherheits-Plugins scannen und absichern

Sicherheits-Plugins sind kein Ersatz für manuelle Bereinigung, aber ein wertvolles Werkzeug zur Verifikation und als dauerhafte Schutzschicht.

Empfohlene Plugins für den Scan:

Wordfence Security: Detaillierter Datei-Scan mit Vergleich gegen WordPress-Repository, Firewall und Login-Schutz [3]
Sucuri Security: Cloud-basierter Scanner, erkennt auch Blacklisting bei Google und anderen Diensten [2]
MalCare: Automatisierter Scan ohne Serverbelastung, einfache Bereinigungsfunktion [3]

Nach der Installation sofort einen vollständigen Scan starten. Alle als infiziert markierten Dateien prüfen und bereinigen. Dabei nicht blind „alle löschen“ klicken, sondern jede Meldung kurz verstehen.

Wer sich bei der manuellen Bereinigung unsicher ist, kann einen professionellen WordPress Reparatur-Service in Anspruch nehmen. Das spart Zeit und reduziert das Risiko, Schadcode zu übersehen.

Für allgemeine technische Probleme, die nach der Bereinigung auftreten können, hilft die Übersicht zu WordPress-Fehlern professionell beheben.

WordPress nach der Bereinigung absichern: Schutz vor künftigen Angriffen

Eine bereinigte Seite ist nur so sicher wie ihre Schutzmaßnahmen. Ohne Härtung ist ein erneuter Hack wahrscheinlich.

Sofortmaßnahmen nach der Bereinigung:

WordPress-Core, alle Themes und Plugins aktualisieren [2] — veraltete Komponenten sind der häufigste Einfallsweg
Nicht verwendete Plugins und Themes löschen — inaktive Plugins sind trotzdem angreifbar
Zwei-Faktor-Authentifizierung (2FA) aktivieren für alle Admin-Konten
Login-Versuche begrenzen per Plugin oder Hosting-Einstellung
XML-RPC deaktivieren, wenn es nicht benötigt wird
Automatische Updates für den WordPress-Core aktivieren
Regelmäßige Backups einrichten, mindestens täglich, extern gespeichert

Langfristige Sicherheitsmaßnahmen:

Web Application Firewall (WAF) einsetzen, zum Beispiel über Cloudflare oder das Sucuri-Plugin
Datei-Berechtigungen korrekt setzen: Ordner auf 755, Dateien auf 644, wp-config.php auf 600
Hosting mit PHP-Versionskontrolle und automatischen Malware-Scans wählen
Google Search Console regelmäßig auf Sicherheitswarnungen prüfen

Wenn nach der Bereinigung weitere technische Probleme auftreten, etwa ein WordPress 500 Internal Server Error oder ein White Screen of Death, können diese durch beschädigte Dateien während der Bereinigung entstanden sein. Auch defekte WordPress-Websites lassen sich systematisch reparieren.

Wann einen Profi beauftragen?

Selbst bereinigen ist möglich, aber nicht immer sinnvoll. In diesen Situationen lohnt professionelle Hilfe:

Der Hack ist komplex und betrifft viele Dateien und die Datenbank
Kein technisches Verständnis für FTP, PHP oder Datenbankzugriff vorhanden
Die Seite ist geschäftskritisch und jede Stunde Ausfallzeit kostet Geld
Nach mehreren Bereinigungsversuchen taucht der Hack immer wieder auf (Backdoor übersehen)
Google hat die Seite auf die Blacklist gesetzt und ein Überprüfungsantrag muss gestellt werden [7]

Ein erfahrener WordPress-Reparatur-Service kennt die typischen Verstecke von Schadcode und kann auch hartnäckige Backdoors zuverlässig entfernen. Die Kosten für eine professionelle Bereinigung liegen je nach Aufwand zwischen 150 und 800 Euro, sind aber oft günstiger als der Schaden durch einen anhaltenden Hack.

Fazit

Eine gehackte WordPress-Seite bereinigen ist kein Hexenwerk, erfordert aber systematisches Vorgehen. Die wichtigsten Schritte: Seite offline nehmen, sauberes Backup einspielen oder Schadcode manuell entfernen, alle Zugangsdaten ändern, Sicherheitslücken schließen und alles aktualisieren. Wer diese Reihenfolge einhält und danach konsequent absichert, hat gute Chancen, dauerhaft hackfrei zu bleiben.

Actionable Next Steps:

Seite jetzt in den Wartungsmodus versetzen, falls noch nicht geschehen
Hosting-Anbieter kontaktieren und nach Logs und Malware-Scan fragen
Letztes sauberes Backup identifizieren und einspielen
Alle Passwörter und Security Keys erneuern
Wordfence oder Sucuri installieren und vollständigen Scan starten
Alle Plugins, Themes und WordPress-Core aktualisieren
2FA und automatische Updates aktivieren
Regelmäßige externe Backups einrichten

Bei anhaltenden Problemen oder komplexen Hacks lohnt sich der Blick auf einen professionellen WordPress-Reparatur-Service in Deutschland.

FAQ: Gehackte WordPress Seite bereinigen

Wie lange dauert es, eine gehackte WordPress-Seite zu bereinigen?
Mit einem sauberen Backup dauert die Wiederherstellung 1–3 Stunden. Eine manuelle Bereinigung ohne Backup kann 4–16 Stunden in Anspruch nehmen, je nach Umfang des Hacks.

Kann ich eine gehackte WordPress-Seite selbst bereinigen?
Ja, mit FTP-Zugang, phpMyAdmin-Kenntnissen und dieser Anleitung ist eine Selbstbereinigung möglich. Bei komplexen Hacks oder fehlenden technischen Kenntnissen ist ein Profi empfehlenswert.

Was ist ein Backdoor und warum ist er gefährlich?
Ein Backdoor ist versteckter Code, der dem Angreifer dauerhaften Zugang zur Website ermöglicht, auch nach einer Bereinigung. Backdoors verstecken sich oft in Theme-Dateien, Plugins oder als scheinbar harmlose PHP-Dateien. Werden sie übersehen, kehrt der Hack zurück.

Muss ich nach einem Hack alle Benutzerpasswörter zurücksetzen?
Ja. Alle WordPress-Admin-Passwörter, FTP-Zugangsdaten, Datenbankpasswörter und das Hosting-Passwort müssen geändert werden. [2]

Wie finde ich heraus, wann genau der Hack stattgefunden hat?
Server-Logs (Access Log, Error Log) beim Hosting-Anbieter zeigen ungewöhnliche Zugriffe. Google Search Console meldet den Zeitpunkt einer erkannten Infektion. Auch das Erstellungsdatum verdächtiger Dateien gibt Hinweise.

Hilft ein Sicherheits-Plugin wie Wordfence wirklich?
Ja, als Ergänzung zur manuellen Bereinigung. Wordfence vergleicht alle Dateien mit dem WordPress-Repository und meldet Abweichungen. Als alleinige Maßnahme reicht es bei einem aktiven Hack nicht aus. [3]

Was tun, wenn Google die Seite als gefährlich markiert hat?
Nach vollständiger Bereinigung in der Google Search Console unter „Sicherheitsprobleme“ einen Überprüfungsantrag stellen. Google prüft die Seite dann erneut, was 1–3 Tage dauern kann.

Kann der Hack über ein Theme kommen?
Ja. Besonders Themes aus inoffiziellen Quellen oder „nulled“ (gecrackte) Premium-Themes enthalten häufig eingebetteten Schadcode. Nur Themes aus dem offiziellen WordPress-Repository oder direkt vom Entwickler verwenden.

Was bedeutet „nulled“ Plugin oder Theme?
„Nulled“ bezeichnet raubkopierte Premium-Plugins oder Themes, die kostenlos angeboten werden. Sie enthalten fast immer Schadcode und sind eine der häufigsten Ursachen für WordPress-Hacks. [9]

Wie schütze ich meine WordPress-Seite dauerhaft vor Hacks?
Regelmäßige Updates, starke Passwörter, 2FA, ein Sicherheits-Plugin, externe Backups und ein gutes Hosting mit Firewall reduzieren das Risiko erheblich.

Quellen

[1] WordPress Hacked – https://contabo.com/blog/de/wordpress-hacked/
[2] Recover Hacked WordPress Site – https://duplicator.com/de/recover-hacked-wordpress-site/
[3] WordPress Gehackt So Retten Sie Ihre Website In 5 Schritten – https://www.forge12.com/blog/wordpress-gehackt-so-retten-sie-ihre-website-in-5-schritten/
[4] Wie Kann Ich Eine Gehackte WordPress Site Reparieren – https://help.one.com/hc/de/articles/115005710205-Wie-kann-ich-eine-gehackte-WordPress-Site-reparieren
[5] Malware Hack Bereinigung – https://wp-profi.de/malware-hack-bereinigung/
[6] WordPress Gehackt – https://ankerpunkt-it.de/blog/wordpress-gehackt
[7] WordPress Gehackt – https://website-bereinigung.de/wordpress-gehackt
[8] Gehackt Datenbank Bereinigen Reparieren – https://de.wordpress.org/support/topic/gehackt-datenbank-bereinigen-reparieren/
[9] WordPress Hack – https://www.metamove.de/programmierung/cms/wordpress/wordpress-hack.html

Tags: gehackte WordPress Seite bereinigen, WordPress Hack, WordPress Malware entfernen, WordPress Sicherheit, WordPress Bereinigung, Schadcode WordPress, WordPress gehackt, WordPress absichern, Wordfence, WordPress Backup, WordPress Reparatur, Website Hack bereinigen

Verschlagwortet gehackte wordpress-seite bereinigen, schadcode wordpress, website hack bereinigen, wordfence, wordpress absichern, wordpress backup, wordpress bereinigung, wordpress gehackt, wordpress hack, wordpress malware entfernen, wordpress reparatur, wordpress sicherheit